Генетическая конфиденциальность

В большинстве случаев генетическая последовательность человека является уникальной. Исключение составляют однояйцевые близнецы, у которых практически идентичные геномы с рождения^[9]. Во всех прочих случаях генетический профиль индивидуален и используется для идентификации при доказательстве невиновности или вины посредством ДНК-протоколирования^[10]. Некоторые варианты генов (аллеи) достоверно связаны с проявлением определённых болезней, например, мутации BRCA1 и BRCA2 при раке молочной железы и яичников, а также PSEN1, PSEN2 и APP при раннем развитии болезни Альцгеймера^[11][12][13]. Генетические последовательности также наследуются по определённым закономерностям, что используется для определения происхождения с помощью генеалогических ДНК-тестов. Кроме того, зная последовательность ДНК родственников, можно установить родственные отношения, что важно для установления отцовства. Соответственно, генетический код может использоваться для вывода множества характеристик, в том числе весьма чувствительных:

• Родительство / Опровержение отцовства;
• Кровное родство;
• Усыновление;
• Происхождение;
• Предрасположенность к заболеваниям;
• Прогнозируемые физические характеристики^[14].

Наиболее распространённые образцы для генетических тестов напрямую для потребителей — мазки со щеки и образцы слюны^[15]. Самой популярной целью домашних генетических тестов является получение сведений о происхождении с помощью генеалогического анализа, предлагаемых компаниями 23andMe, AncestryDNA, Family Tree DNA и MyHeritage^[16]. Кроме того, существуют тесты, позволяющие узнать о генах, связанных с риском определённых заболеваний (например, болезнью Альцгеймера или целиакией)^[17].

Исследования показывают, что геномные данные подвержены атакам со стороны злоумышленников.^[3][18][19]. В 2013 году были обнаружены уязвимости в безопасности публичных баз генетических данных^[4]. Это означает, что участников исследований иногда можно идентифицировать только по их ДНК^[20]. Так как генетическая информация позволяет определять родственные связи, риски касаются и родственников. Хотя случаи преднамеренных утечек данных вне научных исследований оспариваются, исследователи считают, что необходимо учитывать и этот риск^[21].

Доступные геномные данные критически важны для биомедицинских исследований, но одновременно увеличивают шанс утечки чувствительной информации^{[3][18][19][21][22]}. В клинической практике для защиты анонимности часто удаляют идентификаторы пациентов^{[3][18][19][23]}. Однако анонимные данные не подпадают под действие тех же правовых норм, что в отношении идентифицированных испытуемых^[19][23]. Кроме того, современные методы позволяют вновь идентифицировать пациентов либо их родственников по генетическим данным^{[3][18][19][22]}.

В одном исследовании идентификация проводилась путём сопоставления данных по коротким тандемным повторам (STR, например, CODIS), частотам аллелей SNP (например, в анализе происхождения) и по данным полного секвенирования^[18]. Рассматривались гипотезы, что для идентификации можно задействовать также данные социальных сетей и генеалогические базы^[18]. Риски возрастают и при комбинировании геномной информации с открытыми данными (реестрами избирателей, поисковыми запросами, демографией)^[3] или с медицинской документацией^[19].

Обсуждается ответственность компаний, предоставляющих ДНК-тесты, за защиту данных от утечек^[24]. Неоднозначным остаётся вопрос о юридической принадлежности геномных данных — компании или человеку. Известны случаи недобросовестного использования личных генетических данных и косвенной идентификации родственников^[18][25]. Учёные отмечают дополнительные риски, такие как генетическая дискриминация, утрата анонимности и психологические последствия^[25][26], а также обращают внимание на то, что эти вопросы волнуют и государственные органы^[17].

Для юристов и защитников частной жизни вопросы использования генетических данных в расследовании преступлений представляют особую важность с точки зрения четвёртой поправки к Конституции США, особенно когда подозреваемый идентифицируется по косвенным семейным связям^[27]. С 2018 года американская полиция активно использует генетические базы для раскрытия «холодных» дел с ДНК-уликами^[28]. Подозреваемые выявляются не напрямую через базы данных типа CODIS, а через поиск совпадающих ДНК родственников, благодаря сервисам, где пользователи ищут родственные связи^[28][29]. Затем следователи могут отследить подозреваемого и получить выброшенные образцы ДНК для подтверждения совпадения^[28].

Несмотря на опасения относительно конфиденциальности подозреваемых и их родственников, такие методы, по мнению ряда юристов, выдержат проверку на предмет соответствия Четвёртой поправке^[6]. Как и в научных исследованиях^[30][31], подозреваемые теряют право на «собственность» в отношении выброшенных биологических материалов и не могут рассчитывать на приватность в отношении такой ДНК^[6]. Конфиденциальность генетических данных родственников также не гарантируется законом, поскольку защита по Четвёртой поправке распространяется только на обвиняемого^[6].

Систематический обзор мнений по вопросу генетической конфиденциальности показал беспокойство людей о возможных рисках для себя и членов своей семьи^[21]. Учёные отмечают, что участие в биомедицинских исследованиях или генетическом тестировании затрагивает и родственников, а не только самих участников^{[18][20][21][25]}. Обеспокоенность вызывает также то, кто контролирует эти данные и можно ли использовать их против человека^[21].

Американское общество человеческой генетики также выражает опасения по поводу генетических тестов у детей^[32], так как выводы генетического тестирования могут негативно сказаться на самооценке ребёнка, влиять на процесс усыновления или стать фактором судебных споров о попечительстве^[14].

Когда доступ к генетической информации регулируется, это позволяет предотвратить получение данных страховыми компаниями и работодателями. Тем самым уменьшаются риски дискриминации, в случае утечки информации человек может остаться без работы или страховки^[14].

В США биомедицинские исследования с участием людей регулируются базовым сводом норм «Общее правило», который требует удаления идентификаторов (имя, адрес и др.) из собираемых данных для защиты приватности^[33]. В 2012 году Президентская комиссия по этике биомедицинских исследований указала, что границы между идентифицируемыми и анонимными данными «размываются», а с развитием технологий и увеличением доступности данных деидентифицированные данные могут быть вновь идентифицированы^[33]. На практике уже показано, что личность участника может быть установлена с помощью сопоставления его ДНК и других публичных данных^[34]. В результате разрабатываются рекомендации по обеспечению согласованной политики доступа к персональным генетическим данным^[35].

Защита участников исследований была усилена в законе «Акт о лекарствах XXI века» (2016), который охотно поддержало ASHG^[8][36][37].

Закон о недопущении дискриминации по генетической информации (GINA), 2008 защищает права людей и участников исследований. GINA запрещает страховщикам и работодателям требовать или использовать генетическую информацию человека или членов семьи (и наказывает за дискриминацию по этому признаку)^[38]. Эта защита не распространяется на некоторые виды страхования, например, страхование жизни^[38].

Закон HIPAA, 1996 также вводит ряд мер для защиты генетической информации, уточняя, что она является частью охраняемых медицинских данных^[39]. Это означает установление ограничений на круг лиц, которым медицинские организации могут передавать информацию^[40].

Три основных типа законов штатов касаются генетической конфиденциальности: информированного согласия и прав собственности; запрета дискриминации при страховании; запрета дискриминации в сфере занятости^[41][42]. По данным Национального института исследований генома человека, на январь 2020 года 41 штат имел собственные законы в этой области^[41]. Однако объём их защиты различается: некоторые применяются ко всем лицам, другие — только к определённым категориям, например, страховщикам, работодателям или исследователям^[41].

Например, Аризона обеспечивает широкий спектр защиты и требует информированного согласия для сбора, хранения или передачи результатов^[43][44]. Законопроектом также предусматривается предоставление лицу, проходящему тестирование, эксклюзивных прав на свою генетическую информацию^[45]. Кроме того, в Аризоне действует запрет на страховую и трудовую дискриминацию по результатам генетических тестов^[46][47].

В штате Нью-Йорк действует строгая защита от генетической дискриминации, включая строгие условия согласия на обработку данных^[48].

Калифорния также предлагает широкий спектр мер, хотя право собственности на генетическую информацию не закреплено. Акцент сделан на запрет дискриминации в занятости^[49] и страховании^[50], отдельный законопроект предусматривает новые права для потребителей услуг ДНК-тестирования^[51].

Во Флориде летом 2020 года принят закон, запрещающий страховщикам использовать генетическую информацию^[7].

Миссисипи, напротив, предусматривает лишь минимальные меры, соответствующие федеральным требованиям^[52][53][54].

В целях баланса между необходимостью обмена данными и защитой приватности исследователи рассматривают возможность перехода к контролируемому доступу с выдачей прав доверенным пользователям для многих исследований^[4][20].

В октябре 2005 года IBM стала первой крупной корпорацией, утвердившей особую политику по генетической конфиденциальности — запрещая использовать генетические данные сотрудников для принятия кадровых решений^[55].

Согласно работе Янива Эрлиха и Арвинда Нараянана (2014), методы нарушения генетической конфиденциальности делятся на три категории^[56]:

Задача состоит в установлении связи между неизвестным геномом и скрытой личностью путём накопления квази-идентификаторов, постепенно сужая круг возможных совпадений.

Атакующий уже обладает идентифицированным образцом ДНК цели и базой данных, связывающей генетические данные с чувствительными атрибутами. Сопоставляя эти данные, можно связать личность с каким-либо свойством (например, предрасположенностью или заболеванием).

Атакующий знает чей-либо деперсонализированный геномный набор данных, но у него есть только «санитизированная» версия без чувствительных локусов. Цель атаки — восстановить отсутствующие чувствительные локусы.

В более поздних исследованиях были описаны и новые векторы:

Используются данные о readily available фенотипах (физические черты и т. п.) для вывода генетических характеристик. По мере роста и укрупнения баз данных генетической информации возрастает точность и спектр потенциальных выводов^[57][58].

В соответствии с обзором Чжию Ван и соавторов (2022), меры защиты генетической информации подразделяются на две категории^[59]:

К юридическим мерам относятся — Закон о недопущении дискриминации по генетической информации (2008), HIPAA (1996), Общее правило, политика обмена данными NIH, GDPR (ЕС), законы штатов (например, California Consumer Privacy Act, California Privacy Rights Act, Virginia Consumer Data Protection Act), внутренние регламенты (соглашения об использовании данных, политики конфиденциальности, условия использования), а также информированное согласие.

К техническим относят криптографические средства (гомоморфное шифрование, безопасные мультисторонние вычисления, доверенная вычислительная среда, блокчейн), а также методы искажения данных: k-анонимность, Beacon-сервисы^[60], дифференциальная приватность, синтетическая генерация данных^[61].