Сегодня много говорят о необходимости защищать персональные данные, но имеют в виду в основном имена, телефоны, e-mail и номера различных карточек, забывая, что есть еще множество данных, которые могут быть использованы преступниками и при этом плохо или вовсе никак не охраняются учреждениями и сервисами, которые их обрабатывают.
Криминал
Например, в апреле 2018 года в Калифорнии арестовали серийного насильника и убийцу Джозефа Ди Анджело, совершавшего преступления с 1976 по 1986 год. Вроде бы положительное событие, правосудие восторжествовало, но как это было сделано? Найден он был благодаря анализу генома. Прокуратура округа Contra Costa и ФБР использовали образец ДНК с места преступления 1980 года и, используя публичный поиск по базе данных генеалогического сервиса GEDmatch, нашли несколько родственников маньяка. Весьма вероятно, что правоохранители использовали при поиске еще аналогичные сервисы Ancestry.com (из которого, кстати, недавно утекла база логинов и паролей) и 23andMe, но доказать это сейчас невозможно, а сами компании заявили, что непричастны к этому делу.
Технология поиска родственников по ДНК используется как минимум с 2015 года и уже получила название «семейный поиск» (familial search). Первым известным кейсом в этой области стало дело жителя Нового Орлеана Майкла Асри-младшего (Michael Usry Jr), который был обвинен в убийстве на основании того, что образец ДНК, который сдавал для исследовательских целей даже не он сам, а его отец, частично совпал с ДНК на теле жертвы. Несмотря на то что прямое сравнение образцов доказало его невиновность, девятнадцатилетний продюсер провел немало неприятных часов, отвечая на вопросы полицейских. При этом сами сервисы генетического поиска за последние пять лет получили не менее 15 судебных ордеров на поиск генетической информации, и компания 23andMe утверждала, что добилась отмены всех требований, направленных в ее адрес, что, видимо, и побудило полицейских искать обходной путь.
Проблема законности таких методов полиции не самая важная. На сегодняшний день просто не существует способа удаленного подтверждения прав на генный материал, и кто угодно может прислать на анализ все, что найдет. Даже если сделать сдачу биоматериала только очной, под строгим контролем и с предъявлением документов, все равно возможны «фокусы» со сдачей чужой слюны. Пока же 100%-ная вероятность утечки данных заложена в самой концепции генетических баз данных, допускающих сравнение присланных образцов со всеми имеющимися в базе. При этом точность такого анализа пока остается настолько невысокой, что компании избегают любых публичных утверждений относительно нее. Например, всего четыре года назад FDA (Food and Drug Administration, аналог Минздрава в США) приостанавливала продажу генетических тестов компании 23andMe в связи с необходимостью проверки их результатов.
Десяток судебных ошибок последних лет, включая нашумевшее дело Лукаса Андерсона (Lucas Anderson), ложно обвиненного в убийстве 66-летнего инвестора Рави Кумры (Ravi Kumra), а также специальное исследование Норвежского института общественного здоровья, посвященное проблеме загрязнения ДНК в криминалистике, подтверждают, что чужая ДНК может переноситься с места на место, в том числе и самими полицейскими или врачами. При этом наименьшую точность показывает анализ ДНК, взятый смывом с поверхностей, а именно этот метод чаще всего используется в криминалистике. Готовы ли вы к тому, что предоставив свои данные некоему сервису, вдруг окажетесь под следствием просто потому, что ваш геном оказался самым близким к преступнику из имеющихся в доступе? Да, следствие — не суд, и тюрьма вам, возможно, не грозит, но приятного в этом все равно мало.
Медицина
Огромный риск утечек создают сегодня и медицинские учреждения: в 2017 году чаще всего потери данных происходили именно в медицинских организациях (более чем в 20% случаях). Например, в январе 2018 года хакеры украли медицинские данные половины населения Норвегии. Причем созданный для защиты медицинских данных HelseCERT до сих пор не может даже оценить объем и состав похищенных данных. В Европе уже разгорается скандал в связи с тем, что вступающий 25 мая в действие регламент по работе с персональными данными (GDPR) относит медицинскую информацию к особо охраняемой. Выполнить его будет непросто: например, повсеместно используемый для работы с медицинскими изображениями стандарт DICOM не имеет никаких встроенных средств безопасности. Сами же медицинские учреждения признают, что не имеют ни компетенций, ни бюджета даже на аудит систем защиты.
В большинстве российских клиник, впрочем, такой проблемы нет — бумажные карты и бдительные сотрудники регистратуры являются защитой сверхгарантированной стойкости. Однако и здесь генетическая информация подвержена большому риску, так как изначально появляется в электронной форме и даже если распечатывается, то остается вопрос аккуратного ее удаления с носителей оборудования, используемого для анализа.
Преступное использование генетических данных пока еще не слишком распространено, хотя уже есть возможности для шантажа через построение генеалогического древа. Под удар попадают, например, усыновленные или внебрачные дети. Последних, если верить бельгийскому биологу Маартену Лармюзо (Maarten Larmuseau), в мире около 2%. Эмоциональный накал проблемы вы можете оценить, просто погуглив «как отказаться от теста на отцовство». Помимо этого, существует возможность получить из генетического анализа данные о предрасположенности к определенным заболеваниям, а это отличная возможность для околомедицинского мошенничества или просто ущемления прав с использованием полученной информации. Например, уже вполне возможны тайные проверки предрасположенности к заболеваниям при устройстве на работу, для этого достаточно лишь снять следы слюны с чашки или бокала и отправить их в любой сервис расшифровки ДНК.
Индустрию незаконной торговли такими данными пока сдерживает сложность задачи, а также дороговизна оборудования и программного обеспечения, позволяющего производить анализ биоматериала. Но эта операция становится все менее сложной. Сейчас оборудование для расшифровки ДНК можно приобрести за $20 000–30 000, цены на него будут постепенно снижаться, а работать оно будет в домашних условиях. Получается, что, с одной стороны, мы видим ужесточение законодательства в отношении генетических данных (тот же европейский GDPR, относящий их к особо охраняемым), а с другой — новую опасность в виде массового сбора генетических данных, например, через слюну, оставленную на еде и окурках, или следы пота и жира, оставшиеся в результате прикосновений. Впрочем, и в последнем есть свои плюсы — кто-нибудь отучится плевать на улице.
Кстати, инициатором сдачи образцов ДНК отцом Майкла Асри стала церковь Иисуса Христа Святых последних дней (мормоны), с 1996 года ведущая некие масштабные генетические исследования. И она же является создателем наиболее распространенного стандарта хранения генеалогических данных GEDCOM, используемого сегодня многими сервисами, работающими с ДНК, например, тем же 23andMe.