Vyhledejte své předky pomocí DNA – co na to GDPR?

DNA je prostředek pro získání tzv. genetických údajů o jednotlivci. Ty jsou z pohledu GDPR velmi důležité, protože umožňují získat o jednotlivci informace, které jinak není možné získat, zejména pak o fyziologii člověka a o jeho zdraví.

Ještě před přijetím GDPR také označil DNA za mimořádně citlivý zdroj osobních údajů Evropský soud pro lidská práva, když v roce 2008 rozhodoval o britské legislativě, která umožňovala uchovávání vzorků DNA u osob, které byly zadrženy, ale následně zproštěny obvinění ze spáchání trestného činu.

Proto jsou genetické údaje zahrnuty v GDPR do zvláštní kategorie osobních údajů, které se také označují jako citlivé osobní údaje (mimo jiné jsou zde podobně zahrnuty údaje o zdravotním stavu, sexuální orientaci, náboženském vyznání apod.). Ty mají stanovený přísnější režim zpracování – jako pravidlo je jejich zpracování zcela zakázáno; GDPR pouze stanoví několik málo výjimek, mimo jiné v případě, že jednotlivec udělí k zpracovávání takových genetických údajů výslovný souhlas pro přesně stanovené účely.

Služby, které dohledají Vaše předky pomocí DNA

Jelikož se objevuje veliké množství služeb, které pomocí Vašeho DNA vyhledá Vaše předky, vyvstává současně i spoustu otazníků, co se týče ochrany osobních údajů. Pokud se někdo rozhodne pro DNA analýzu, musí si být vědom toho, že poskytuje cizímu subjektu prakticky ty nejcitlivější údaje, které o něm existují; s tímto budou vždy spojena nějaká rizika. Například společnost MyHeritage, což je zahraniční společnost zabývající se DNA testy a zjišťováním příbuzných a etnickým původem. Zde je například poněkud problematické, že se jedná o zahraniční subjekt, který vzorky posílá do USA, ale zároveň nemá například dostatečnou podporu v zemi, kde nabízí své služby. V případě MyHeritage je dále problémem její dosavadní přístup k ochraně os. údajů; např. v loňském roce u ní došlo k masivnímu úniku osobních údajů. U jiné podobné služby např. vyvolala kontroverzi dohoda, na základě které získala velká farmaceutická firma přístup k některým údajům poskytnutým klienty. I proto je nutné jakoukoliv tuto službu využívat s vědomím rizik, která mohou nastat.

Jak je to s odesíláním vzorků DNA do zemí mimo EU?

Jak je to s odesíláním vzorků DNA do zemí mimo EU?

Podle GDPR platí, že jakékoliv předání osobních údajů do třetí země (tj. nečlenského státu EU), kdy osobní údaje jsou předávány mj. za účelem dalšího zpracování, včetně uložení, musí být podmíněno tím, že je v takové zemi dostatečná úroveň ochrany osobních údajů, popřípadě, že existují dostatečné záruky, že předáním osobních údajů do takové země nebude ohrožena ochrana osobních údajů jednotlivce. V tomto směru je také GDPR stanovena povinnost o takovém přenosu informovat jednotlivce (zejména o záměru poskytovat osobní údaje do třetí země a o úrovni ochrany), není však nutné vždy odkazovat na konkrétní legislativu o ochraně osobních údajů v dané zemi.

Vzhledem k USA bylo Evropskou komisí vydáno rozhodnutí, které stanovilo podmínky, za kterých je úroveň ochrany při zpracovávání os. údajů americkými společnostmi dostatečná, aby mohly tyto transfery osobních dat probíhat bez nutnosti poskytovat další podrobné záruky. Toto rozhodnutí, nazývané také „Privacy Shield“ ale není bez kontroverzí; jeho předchůdce, tzv. rozhodnutí „Safe Harbour“ zrušil Soudní dvůr EU mj. ve světle aféry s Edwardem Snowdenem a současné rozhodnutí už bylo také (byť zatím neúspěšně) napadeno před Soudím dvorem EU. V rámci „Privacy Shield“ režimu se americké společnosti zapisují do seznamu subjektů, které se dobrovolně zavázaly k dodržování zásad ochrany os. údajů. Pokud společnost v tomto seznamu není, je možné předávat osobní údaje jenom za splnění podrobných záruk vyžadovaných GDPR.

Když společnost uvádí, že osobní údaje uživatelů zpřístupní třetím stranám například při akvizici společnosti, kdy veškerá její aktiva či akcie budou předmětem nabytí nebo prodeje – osobní údaje pak budou jedním z převáděných aktiv. Je to možné?

Zde je podstatné zmínit, že osobní údaje o jednotlivcích nejsou „aktiva“ žádné společnosti, nejedná se o její majetek ani tyto údaje nevlastní. Z koncepce GDPR poměrně jasně vyplývá, že jednotlivec nemůže svá osobní data „prodávat“ jakékoliv společnosti, pouze dává souhlas k tomu, aby tato společnost za určitých podmínek (od účelů a způsobů zpracování, až např. po dobu uchování) jeho údaje zpracovávala – v zásadě je společnosti pouze „propůjčuje“ a může svůj souhlas kdykoliv odvolat zpět a např. požadovat vymazání osobních údajů již poskytnutých.

Proto je také tato část smluvních podmínek spíše nedostačující – není dostatečně vyjasněno, jaké osobní údaje budou zpřístupněny a komu přesně a za jakých podmínek (např. bude se jednat pouze o údaje typu jméno a příjmení nebo rovnou i vzorky DNA, příp. dojde ke zpřístupnění teprve tomu, kdo společnost koupí, nebo i „zájemcům“ v rámci procesu vyjednávání atd.).