Genetiska personuppgifter – vad gäller enligt GDPR

Integritetsskyddsmyndigheten, IMY, räknar genetiska uppgifter som en särskild kategori av känsliga personuppgifter. Enligt myndigheten rör genetiska uppgifter en persons nedärvda eller förvärvade genetiska kännetecken, och sådana uppgifter kan till exempel framgå av en DNA-analys. Det gäller alltså inte bara sjukdomsrisk i snäv mening, utan resultatet av ett hälsoinriktat DNA-test i stort kan omfattas av samma skydd.

Varför genetisk data behandlas extra försiktigt

Dataskyddsförordningens skäl beskriver genetiska uppgifter som personuppgifter kopplade till nedärvda eller förvärvade genetiska kännetecken hos en person, vilka framgår av en analys av ett biologiskt prov. Som huvudregel är det förbjudet att behandla den typen av känsliga personuppgifter, om det inte finns ett tydligt rättsligt stöd för det – till exempel att du själv har lämnat ett uttryckligt samtycke till att just den behandlingen får ske. Det är skälet till att seriösa testleverantörer ska be om ett tydligt samtycke innan provet analyseras, inte bara vid köpet av produkten.

Vad det innebär i praktiken för dig som testar dig

Att en uppgift räknas som känslig innebär bland annat att den ska hanteras med högre skyddsnivå, att behandlingen ska vila på en tydlig rättslig grund och att du som registrerad har rättigheter kopplade till uppgifterna, som rätt till information om behandlingen och rätt att i vissa fall få uppgifterna rättade eller raderade. Exakt hur ett enskilt företag hanterar detta i sina system regleras av bolagets egen integritetspolicy, som du bör läsa innan du skickar in ett DNA-prov.

Vad du kan kontrollera innan du testar dig

Innan du beställer ett hälsoinriktat DNA-test kan det vara värt att se efter att leverantören tydligt beskriver vilka uppgifter som samlas in, vad de används till, hur länge de sparas och hur du kan kontakta bolaget om du har frågor om din data. Läs särskilt igenom villkoren för eventuell vidare användning av provet eller resultatet, till exempel för forskning eller produktutveckling, eftersom sådan användning normalt kräver ett separat samtycke utöver själva testköpet.

Om uppgifterna behandlas utanför Sverige

Flera bolag som säljer hälsoinriktade DNA-test använder laboratorier eller molntjänster i andra länder för att analysera prov och lagra resultat. Om personuppgifter, inklusive genetiska uppgifter, förs över till ett land utanför EU och EES ska överföringen ha ett giltigt rättsligt stöd enligt dataskyddsförordningen. Integritetspolicyn ska ange om och i så fall vart uppgifterna kan komma att föras, vilket är ytterligare en anledning att läsa den innan du skickar in ett prov.

Skillnaden mot uppgifter som samlas i vården

När ett prov tas inom hälso- och sjukvården, till exempel inför en klinisk genetisk utredning, gäller ett annat regelverk för hur uppgifterna får sparas och delas, med patientdatalagen och hälso- och sjukvårdens sekretessregler som ram. Ett hälsoinriktat konsumenttest som du beställer själv omfattas i stället av det säljande bolagets egna rutiner inom ramen för GDPR, utan samma vårdspecifika regelverk. Det är ytterligare ett skäl att inte likställa ett konsumenttest med ett prov som tas inom vården.

Läs vidare om hur du konkret kan hantera samtycke och radering av din DNA-data, eller gå tillbaka till genomgången av hälsorelaterat DNA-test som kategori för att förstå vad testerna faktiskt brukar omfatta. Se även våra begränsningar med DNA-test för en bredare bild av vad ett resultat kan och inte kan säga.