DNA-tietojen käsittely - avoimia kommentteja

Suomen Sukututkimusseura julkaisi 17.04.2019 sivuillaan tiedotteen sukututkimuksen käytännesääntöjen uudistuksen tilanteesta. Työn tuloksena on syntynyt alustavia linjauksia, joihin pyydetään kommentteja. Juteltiin asiasta kaveriporukassa, mutta kun kukaan ei ole seuran jäsen päädyttiin kommentoimaan asiaa näin yleisesti. Tarkoitushan on, että käytännesääntöihin sitoutuisivat muutkin kuin seuran jäsenet. Seuraavassa yleiset kommenttimme (lyhenne DNA tarkoittaa myös RNA:ta jne):

Kehityskohtia ja muita kommentteja

• Luonnos ei ole niinkään käytännesääntö, vaan pyrkii tulkitsemaan lakia ja löytämään siitä helpottavia seikkoja. Teksti muistuttaa lain tulkintaa, joka on oikeuslaitoksen tehtävä. Yhteisön kannalta käyttökelpoiset käytännesäännöt ovat ohjeistavia ja joiltakin osin jopa lakia tiukempia, moraalisia ohjeistuksia. Lisätietoa tässä ja tässä kumotussa laissa. Nykyinen Tietosuojalaki ei käytännesääntöjä enää samalla tavalla tunne. Maininta on nyt Tietosuoja-asetuksessa.
• Luonnoksesta näkyy, että tekijät ovat tiukasti sitoutuneet yhteen DNA-laboratorioon, jota tuovat esimerkkinä toistuvasti esiin. Suomalaiset käyttävät kuitenkin kaikkia kolmea suurinta eli Ancestry (suurin), MyHeritage ja FTDNA (pienin) varsin aktiivisesti.
• Luonnoksessa ei tuoda esiin, että käsiteltäessä DNA-tietoja toisen puolesta, on tälle selvitettävä, mitä DNA-tiedoista saa ja voi tulevaisuudessa saada selville henkilöä ja hänen läheisiään koskien.
• Luonnoksessa ei tuoda esiin, että käsiteltäessä DNA-tietoja alaikäisen tai huollettavan puolesta, on lupa kysyttävä kaikilta huoltajilta. Eli jos tietojen käsittelijä on toinen huoltajista, on toisenkin oltava vähintään tietoinen asiasta. Huollettava itse ei voi lupaa antaa. Oikeuskäytännössä toisen antama lupa riittänee, mutta esim. riitaisissa huoltajuustilanteissa ja vastaavissa DNA-tietoja ja sukuselvityksiä on käytetty myös asiattomasti.
• Lainaus:" Näytteenantajan genomitiedosta sellaisenaan ei ole mahdollista tunnistaa esimerkiksi hänen sisaruksiaan tai vanhempiaan..."
  • DNA-tiedoista voidaan päätellä käytännössä aukottomasti perheen sisäiset suhteet isä-lapsi, äiti-lapsi, sisarukset. Sitä kauempana sukulaisuuden etäisyys voidaan tunnistaa, mutta ei enää vahvistaa yksilöivällä termillä (isä, äiti, sisko). Arvioitu serkku saattaa todellisuudessa olla eno tai pikkuserkku jne. Kun tietoja jaetaan niin, että samalla jaetaan asianomaisten nimiä, sukupuu tai muita sukulaisuuden dokumentoivia asioita, on tunnistaminen aukottomasti mahdollista. Varmuuden vuoksi hyvä tapa tietojen julkaisemiseen  on nimimerkkien käyttö. Sen jälkeen nimimerkit voivat keskenään sopia tietojen vaihtamisesta niiltä osin kuin se on tapauskohtaisesti mahdollista ja hyvien tapojen mukaista. Ilman nimenomaista lupaa voi luovuttaa elossa olevista vain omat tietonsa. Suositeltavaa olisi kuitenkin kerätä tiedot ensisijaisista lähteistä.
• Lainaus: "...se voi paljastaa tietoja rekisteröidyn entisestä, nykyisestä tai tulevasta fyysisen terveyden tai mielenterveyden tilasta...".
  • Tähän olisi lisättävä henkilön fyysiset ominaisuudet. Siis DNA:sta on pääteltävissä silmien ja hiusten väri, ihonväri, pituus, korvavahan koostumus, hikoiluherkkyys ja tavattomasti muita ominaisuuksia.
• Lainaus: "Käytännössä geneettisessä sukututkimuksessa käsiteltävä henkilötiedot voidaan jakaa kolmeen ryhmään:"
  • Tähän olisi lisättävä neljäs ryhmä, sukukaaviot, jotka yhdistävät tietokantaosumat toisiinsa. Näitä kaavioita on olemassa juuri näissä DNA-laboratorioiden tietokannoissa, eikä tätä merkittävää osaa DNA-sukututkimuksessa tule ohittaa.
• Luonnoksessa ei tuoda esiin, että DNA-tietoihin pääsee käsiksi tunnettujen tai tiedettyjen "projektien vetäjien" lisäksi tutkimuslaitoksen henkilökunta ja tahot, joille tutkimuslaitos myy tai muuten luovuttaa tai mahdollisesti luovuttaa DNA-tietoja. Tiedot voivat joutua ulkopuolisille myös tietomurron yhteydessä. Murron kohteena voi olla tutkimuslaitos tai käyttäjä itse.
• Luonnoksessa ei tuoda esiin, että "projektien vetäjät" ja tutkimuslaitoksen henkilökunta pääsevät käsiksi myös muihin tietoihin, kuten käyttäjien selailuhistoria ja muu käyttäytyminen palvelun sisällä sekä kaikki annetut tiedot, kuten sähköpostiosoitteet, postisoitteet yms, vaikka ne eivät kaikille näkyisikään.
• Luonnoksessa tulisi opastaa käyttäjiä siitä, että myös "piilotettuna" internetissä olevaan tietokantaan kirjaamiseen tarvitaan elossa olevien henkilöiden nimenomainen lupa.

Hyviä havaintoja ja kehuttavaa

• Erityisen hyvänä asiana pidetään sitä, että nyt myös sukututkijat myöntävät, että DNA-tiedoista on mahdollista saada tietoa sairauksista ja ominaisuuksista. Pitkään on itsepäisesti, jopa vastoin parempaa tietoa väitetty, että DNA-laitosten data on perimän sellaisesta kohdasta (roska-dna), josta ei voi päätellä mitään.

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Alkuperäinen teksti em. lähteestä. Yllä olevat kommentit koskevat tätä tekstiä.

Genomitieto on ihmisen perimää koskevaa tietoa ja vastaa EU:n yleisessä tietosuoja-asetuksessa tarkoitetun geneettisen tiedon määritelmää. Se määritellään henkilötiedoiksi, jotka liittyvät luonnollisen henkilön perittyihin tai hankittuihin ominaisuuksiin, koska ne on saatu kyseisen luonnollisen henkilön biologisesta näytteestä analysoimalla, erityisesti kromosomien DNA:sta tai RNA:sta tai muusta vastaavia tietoja tarjoavasta tekijästä tehdyllä analyysilla (johdantolauseke 34).

Genomitieto on myös tietosuoja-asetuksessa tarkoitettua terveystietoa, koska se voi paljastaa tietoja rekisteröidyn entisestä, nykyisestä tai tulevasta fyysisen terveyden tai mielenterveyden tilasta ja se on kehosta peräisin olevan aineen testaamisesta tai tutkimisesta saatua tietoa (johdantolauseke 35).

Käytännössä geneettisessä sukututkimuksessa käsiteltävä henkilötiedot voidaan jakaa kolmeen ryhmään:

1. Genomin raakadata: Tilatun DNA-testin mukainen raakadata näytteenantajan genomista.

2. Genomin analysointitiedot: Tilatun DNA-testin pohjalta laadittuja yhteenvedonomaisia analysointitietoja näytteenantajan genomista (esimerkiksi haploryhmä).

3. Tietokantaosumat: Ne henkilöt ja heidän haploryhmätietonsa, jotka DNA-testaamista harjoittavan yrityksen testitulostietokannassa osoittautuvat näytteenantajan sukulaisiksi ja jotka näkyvät ao. testausyrityksen käyttämässä verkkopalvelussa (esimerkiksi Family Tree DNA:ssa) näytteenantajan asiakastilillä tämän tietokantaosumina (”match”).

Tämä on Suomen Sukututkimusseuran hallituksen hyväksymä alustava linjaus genomitiedon käsittelystä sukututkimuksessa tietosuoja-asetuksen mukaisten käytännesääntöjen laatimiseksi.

Käsittelyn oikeusperusteet

Tietosuoja-asetus kieltää geneettisten tietojen käsittely henkilön yksiselitteistä tunnistamista varten (artikla 9.1), jollei rekisteröity ole antanut nimenomaista suostumusta kyseisten henkilötietojen käsittelyyn yhtä tai useampaa tiettyä tarkoitusta varten (artikla 9.2a). Geneettisessä sukututkimuksessa käsiteltävästä genomin raakadatasta ja sen analysointitiedoista ei voida suoraan tai epäsuorasti yksiselitteisesti tunnistaa ketään tiettyä henkilöä. Näytteenantajan genomitiedosta sellaisenaan ei ole mahdollista tunnistaa esimerkiksi hänen sisaruksiaan tai vanhempiaan. Vertailemalla näytteenantajan ja jonkun toisen henkilön genomitietoa voidaan ainoastaan esittää arvioita siitä, kuinka suurella todennäköisyydellä he ovat toisilleen sukua. Poikkeuksen tästä muodostavat identtiset kaksoset, joilla on samanlainen perimä.

Koska geneettisessä sukututkimuksessa käsiteltävän genomin raakadatan ja sen analysointitietojen perusteella ei voida ketään henkilöä yksiselitteisesti tunnistaa, ei tietosuoja-asetus edellytä, että käsittelijä pyytää joltakulta muulta suostumuksen oman genomitietonsa käsittelyyn. Toisen henkilön genomitiedon käsittelyyn käsittelijän on syytä kaikissa tilanteissa pyytää nimenomainen suostumus ja aina kirjallisena, joka voi olla myös sähköisessä muodossa. Näytteenantajan tietokantaosumat ovat geneettisen sukututkimuksen verkkopalvelussa antaneet rekisterinpitäjälle nimenomaisen suostumuksen omien henkilötietojensa näkymiseen sukulaistensa asiakastileillä. Henkilötietojen näkymisen sukulaisille voi verkkopalvelussa myös kieltää.

Käsittelytavat

Geneettisessä sukututkimuksessa käsitellään genomitietoa pääasiallisesti seuraavissa tilanteissa:

1. Henkilö käsittelee omaa genomitietoaan geneettisen sukututkimuksen verkkopalvelussa omalla asiakastilillään. —Oman genomitiedon käsittely on lainmukaista ilman lähisukulaisilta tai muilta henkilöiltä pyydettävää nimenomaista suostumusta.

2. Käsittelijä käsittelee näytteenantajan genomitietoa tämä puolesta geneettisen sukututkimuksen verkkopalvelun asiakastilillä. —Käsittely on lainmukaista, kun käsittelijä saa siihen näytteenantajalta nimenomaisen suostumuksen. Pääsääntöisesti tämä tapahtuu suullisesti jo näytteenottotilanteessa, mutta suostumus on syytä antaa myös kirjallisesti.

3. Käsittelijä käsittelee näytteenantajan genomitietoa siirtämällä sitä kolmannelle taholle (esimerkiksi johonkin analysointipalveluun verkossa) ja vastaanottamalla sieltä näytteenantajaa koskevaa terveystietoa. —Käsittely on lainmukaista, kun käsittelijä saa näytteenantajalta nimenomaisen suostumuksen sekä genomitiedon siirtämiseen kolmannelle taholle että terveystietojen vastaanottamiseen ja käsittelyyn näytteenantajan puolesta. Suostumus on syytä pyytää erikseen jokaiseen siirtoon ja aina kirjallisena.

4. Yhteisön (esimerkiksi sukuseuran) nimeämä henkilötietojen käsittelijä käsittelee yhden tai useamman näytteenantajan genomitietoa näiden puolesta geneettisen sukututkimuksen verkkopalvelun asiakastilillä sekä kerää ja tallentaa genomitietoa yhteisön ylläpitämään henkilörekisteriin. —Käsittely on lainmukaista, kun yhteisö saa näytteenantajalta siihen nimenomaisen suostumuksen.

5. Yhteisön nimeämä henkilötietojen käsittelijä siirtää yhden tai useamman näytteenantajan genomitietoa kolmannelle taholle (esimerkiksi johonkin analysointipalveluun verkossa) ja vastaanottaa sieltä näytteenantajaa koskevaa terveystietoa. —Käsittely on lainmukaista, kun yhteisö saa näytteenantajalta nimenomaisen suostumuksen sekä genomitiedon siirtämiseen kolmannelle taholle että terveystietojen vastaanottamiseen ja käsittelyyn näytteenantajan puolesta. Suostumus on syytä pyytää erikseen jokaiseen siirtoon. Mikäli yhteisö tallentaa terveystietoja ylläpitämäänsä henkilörekisteriin, siihen on lisäksi erikseen pyydettävä näytteenantajalta nimenomainen suostumus.

6. Geneettisen sukututkimuksen verkkopalvelun (esimerkiksi Family Tree DNA:n) nimeämä yhteistyöryhmän (ns. projektin) vetäjä käsittelee ryhmässä sen jäsenten genomitietoa. —Käsittely on lainmukaista, koska näytteenantajat ovat ryhmään liittyessään antaneet verkkopalvelulle nimenomaisen suostumuksen käsitellä genomitietoaan ryhmässä.

Pohdiskellut kaveriporukassa ja kommenteiksi kirjannut I Virta, "still going strong"