Решая пройти генетический тест, вы добровольно делитесь своим биоматериалом и генетической информацией с компанией, выполняющей исследование. Разбираемся, как такие компании, предлагающие пройти ДНК-тестирование, защищают данные своих клиентов.
Безопасное хранение биоматериала
Современные методы сбора биоматериала предполагают возможность его хранения в течение длительного времени. Если злоумышленник получит доступ к пробирке с вашей кровью или слюной, выделение из нее ДНК станет делом техники. Поэтому образцы должны тщательно охраняться: доступ в лабораторию должен быть защищен надежной пропускной системой, а пробирки — не нести на себе персональных данных, чтобы никто, включая сотрудников лаборатории, не мог идентифицировать их принадлежность.
Для доступа к биологическим образцам клиентов Genotek сотрудник лаборатории должен пройти через два биометрических сканера, открывающих доступ только авторизованным сотрудникам. По периметру лаборатории установлены камеры наблюдения с круглосуточной записью. При сдаче биоматериала пробирки обезличиваются: им присваивается уникальный код, который клиент сам вводит в личном кабинете. Данные о соответствии между баркодом и личностью клиента находятся в защищенной внутренней системе хранения данных компании. После завершения анализа в соответствии с СанПином биологические образцы уничтожаются, если клиентом не было затребовано хранение.
23andme обезличивает пробирки, однако отмечает, что может передавать их для обработки субподрядчикам. Информацию о том, как регулируется доступ в лабораторию, нам найти не удалось.
Ancestry отправляет обезличенные пробирки в «защищенную лабораторию» подрядчика, не сообщая, кто им выступает и каковы критерии защищенности.
Family Tree DNA подчеркивает, что ни при каких условиях не перенаправляет образцы клиентов третьим лицам и вернет их клиенту при получении официального запроса с копией паспорта и за дополнительную плату в $50. Компания не уточняет, как реализовано безопасное хранение образцов, но отмечает, что ставит доверие своих клиентов и неприкосновенность их данных превыше всего.
Helix в своей политике приватности не уточняет ничего о том, как именно хранит, защищает и утилизирует образцы слюны.
«Инвитро» штрихкодирует биоматериал при пациенте и вносит информацию о нем в лабораторную систему, что «исключает возможность подмены биоматериала», говорят в компании. Затем он отправляется биологистической службой в лабораторный комплекс. Результат исследования, параллельно верифицируемый лабораторной системой и врачом клинической диагностики, отправляется пациенту в личный кабинет или на адрес электронной почты — по выбору пациента. После проведения необходимых исследований или истечения срока хранения используемый биоматериал утилизируется в пределах лабораторных комплексов в соответствии с СанПином.
Надежное хранение данных
Потенциальную угрозу при злоупотреблении представляют не только пробирки с биоматериалом, но и цифровые файлы с расшифрованной последовательностью генома. Они должны храниться на собственных или арендованных серверах компании, которые необходимо надежно защитить от внешнего проникновения. Результаты расшифровки генома тоже должны быть обезличены, чтобы даже в случае утечки злоумышленник не смог установить, кому принадлежит данная последовательность ДНК. Передача данных должна происходить исключительно в зашифрованном виде, чтобы сделать перехват бессмысленным.
Genotek хранит данные пользователей в соответствии с 152-ФЗ «О персональных данных»: на собственных серверах компании, находящихся на территории России и защищенных от внешних атак. Результаты исследований обезличены и доступны в читаемом варианте только в личном кабинете клиента, а также ограниченному кругу сотрудников. Передача данных между клиентом и личным кабинетом происходит в зашифрованном виде по протоколу HTTPS.
23andme отмечает, что использует ряд физических, технических и административных мер для защиты персональной информации пользователей, выбранных в соответствии с текущими стандартами индустрии. Доступ к сайту компании происходит через зашифрованное соединение по технологии SSL.
Ancestry хранят результаты генетических анализов в зашифрованном виде. С помощью «ряда мер безопасности» информацию защищают не только от посягательств посторонних лиц, но и от доступа неавторизованных сотрудников компании.
FamilyTreeDNA подчеркивает, что персональная информация пользователей хранится и обрабатывается в штабе компании, примыкающем к Центру Геномных Исследований (Хьюстон, Техас, США). Покупая тест, иностранные клиенты компании выражают свое согласие с тем, что их персональная информация будет передаваться, обрабатываться и храниться в соответствии со стандартами, действующими в Соединенных Штатах. Меры безопасности включают ограничение доступа персонала к персональным данным клиентов, защищенное соединение при передаче финансовой информации и контроль за уровнем защиты данных при передаче информации третьей стороне.
Американская Helix открывает доступ к персональной информации необходимому минимуму сотрудников и посредников и работает «в соответствии со стандартами, принятыми в индустрии». Компания отмечает, что передача данных через интернет не является гарантированно безопасной, а сохранность данных может быть нарушена в случае взлома физических или электронных систем защиты. Кроме этого, ответственность по изучению политики приватности партнеров, которые фактически выполняют приобретаемое пользователем исследование ДНК, ложится на плечи самого пациента.
«Инвитро» хранит данные на собственных серверах, находящихся в пределах России. Сервера защищены несколькими уровнями безопасности, уточнили Forbes в компании. Контроль безопасности хранения и обеспечения доступа к персональным данным проводится в соответствии с 153 ФЗ «О персональных данных».
Защита от использования в интересах третьих лиц
Многие компании строят свой бизнес на продаже генетических и других данных фармацевтическим корпорациям и другими заинтересованными игроками биотехнологического рынка.
Genotek не передает сторонним компаниями данные пользователей, однако оставляет за собой право использовать обезличенную агрегированную генетическую информацию пользователей для улучшения алгоритмов обработки данных клиентов (самообучение) и проведения научных исследований. Принимая оферту, пользователи дают согласие на такое использование, однако могут в любой момент запретить компании задействовать их обезличенные данные.
23andme запрашивает согласие пользователя на использование обезличенной генетической информации и данных опросника для проведения исследований, которые публикуются в научных журналах. Однако, вне зависимости от наличия или отсутствия согласия, обезличенные агрегированные данные пользователей могут быть переданы третьей стороне «для развития продукта», а также коммерческим партнерам. Ярким примером такой продажи данных является сделка c Genentech на $60 млн.
Ancestry оставляет за собой право передавать персональную информацию посредникам для хранения и обработки различного рода, обещая перед этим убедиться в том, что посредник придерживается надлежащей политики приватности.
FamilyTreeDNA сообщает, что так же, как и Ancestry, может передавать персональную информацию посредникам, а также запрашивает согласие пользователей на использование их обезличенной и агрегированной генетической информации в научных исследованиях, проводимых третьей стороной. Кроме этого, у пользователей могут дополнительно запрашивать согласие на использование их индивидуальных данных, в анонимизированном или неанонимизированном виде, для исследовательских проектов, в том числе коммерческих. Компания подчеркивает, что данное однажды согласие уже нельзя будет отменить.
Американская Helix передает персональную информацию пользователей партнерам, непосредственно выполняющим исследование, и при необходимости делится ей с поставщиками услуг (например, платежными системами или курьерскими службами).
«Инвитро» сотрудничает с российскими и международными фармацевтическими компаниями в рамках клинических исследований при участии пациентов, давших согласие на это. При этом фармацевтические компании получают только обезличенные результаты лабораторных исследований, на основе которых можно делать выводы о действии того или иного препарата, подчеркивают в компании. Биоматериалы «Инвитро» партнерам также не передает, обрабатывая их и утилизируя в лабораторном комплексе в Москве.
При этом нередко клиенты генетических компаний сами хотят поделиться своими данными: залить их на сторонний сервер для анализа или отправить исследователям, чтобы двигать науку вперед. В таком случае достаточно просто запросить у компании исходные данные (иногда их еще называют «сырыми») и распространять их на свой страх и риск.