Ко мне за консультацией обратились представители IT-стартапа, которые разрабатывают программное обеспечение для обработки генетических исследований в медицинских целях.
Главный вопрос, который они поставили: подпадает ли обработка генетической информации под действие законодательства о персональных данных и как выстроить с ней работу корректно?
На практике и в теории ответ на этот вопрос не так очевиден.
С одной стороны, генетическая информация может характеризовать состояние здоровья человека — а значит, относится к специальной категории персональных данных (ст. 10 ФЗ-152). Так, например, трактует обрабатываемые данные компания “Генотек”.
С другой стороны, генетические сведения могут использоваться для идентификации человека, поскольку отражают его физиологические и биологические особенности. Тогда это уже биометрические персональные данные (ч. 1 ст. 11 ФЗ-152).
Однако есть и иное мнение: некоторые юристы считают, что геномная информация вообще не вписывается в понятие персональных данных, ведь она затрагивает интересы не только субъекта, но и его родственников, предков и даже потомков.
Добавлю к этому еще один риск: сведения о геноме теоретически могут использоваться для неправомерного воздействия на человека — например, с учётом его предрасположенности к определённым реакциям на лекарства или аллергенам.
Поэтому оператору, выстраивая работу с такими данными, важно:
- получить письменное согласие субъекта (или иное законное основание для обработки);
- четко определить цели обработки и содержимое формируемой базы данных;
- технически обеспечить изоляцию каждого отчета, чтобы данные из разных исследований не могли быть связаны между собой.
В итоге можно сказать, что регулирование в этой сфере в России пока недостаточно четкое. Это создает риск ошибок при обработке — а значит, и утечек.
