Capítulo 10.6: GDPR para Leigos: Um Guia de Sobrevivência para Pesquisa Genética

GDPR para Leigos: Um Guia de Sobrevivência para Pesquisa Genética

Título: GDPR para Leigos: Um Guia de Sobrevivência para Pesquisa Genética

Apresentador(es): Heidi Beate Bentzen, LLM (Centre for Medical Ethics, University of Oslo)

Heidi Beate Bentzen:

Meu nome é Heidi Bentzen. Sou pesquisadora da Universidade de Oslo. Minha formação é em direito e darei a você um guia de sobrevivência do GDPR para leigos para pesquisa genética.

Na União Europeia (EU), costumava haver uma diretiva de dados pessoais. Isso significava que cada Estado-Membro era livre para descobrir como implementar as regras. Isto significou que ficamos com interpretações muito variadas entre os Estados-Membros. Assim, para resolver esta questão, a EU decidiu: “Em vez disso, implementaremos um regulamento”, e esse é o GDPR, o Regulamento Geral de Proteção de Dados. O que isto fez foi harmonizar a legislação de proteção de dados nos estados membros da EU. Também regula especificamente os dados genéticos. O GDPR tem dois propósitos. Um é gerenciar o fluxo de dados. Em nossa resposta, desculpe, recomeçando. O GDPR, desculpe, não sei o que está acontecendo agora. Desculpe, vou começar este slide novamente.

Anfitrião: OK tudo bem. Vá em frente, e ainda está gravando, então vamos apenas editar esta peça e tudo bem.

Heidi: Obrigada.

Anfitrião: Exatamente. Sem problemas. Comece quando estiver pronta.

Heidi: O objetivo do GDPR é gerenciar o fluxo de dados de maneira responsável, uniforme e previsível. Os seus objetivos consistem em proteger os direitos e liberdades fundamentais das pessoas singulares e, em particular, o seu direito à proteção de dados. Mas é também para garantir que a livre circulação de dados pessoais dentro da União Europeia não seja restringida ou proibida. Portanto, as regras do GDPR são rígidas, mas por um bom motivo. Saberá que os dados são tratados de forma tão segura num hospital em Espanha como numa empresa privada na Finlândia, e que os direitos fundamentais do indivíduo são respeitados não só na Suécia, mas também na Grécia. Portanto, o GDPR não visa restringir o processamento de dados; trata-se de gerenciar o processamento de dados de forma responsável.

Um dos objetivos fundamentais da União Europeia enquanto tal é reforçar a sua base científica e tecnológica, o que implica também a livre circulação do conhecimento científico. Por isso, declarou que deveria haver o menor número possível de obstáculos legais à colaboração em investigação, o que, naturalmente, exige a circulação de dados pessoais. Ao mesmo tempo, a Carta dos Direitos Fundamentais da União Europeia garante a proteção dos dados pessoais, pelo que o GDPR tenta equilibrar estes dois objetivos. Assim, portanto, o GDPR é construído como uma ferramenta para facilitar a pesquisa e ao mesmo tempo promover o indivíduo, protegendo o indivíduo participante da pesquisa. Portanto, é um modelo para colaboração numa sociedade do conhecimento.

E vemos isso muito claramente também no próprio texto do GDPR, que fala muito bem e favoravelmente sobre a investigação científica, e menciona inúmeras exceções às regras principais se o tratamento for para fins de investigação científica. Então, o GDPR se aplica ao processamento de dados que você realiza no Espaço Econômico Europeu? Bem, a resposta provisória é muito provável, mas refere-se apenas a dados, não às amostras. As amostras de sangue não são consideradas dados pessoais, mas sim a rotulagem das mesmas e os dados obtidos das amostras através de análises laboratoriais. E se os dados forem anônimos, estão isentos do GDPR, mas para determinar se são anônimos, é necessário usar uma espécie de testes de anonimato, o que significa que é necessário observar as circunstâncias factuais. Você precisa considerar todos os meios razoavelmente prováveis ​​de serem usados ​​para tentar identificar alguém, e você precisa considerar isso de forma dinâmica, então se quiser processar os dados por 10 anos, você também precisa considerar, bem, quanto custaria então? Que tecnologia teríamos disponível daqui a nove anos para potencialmente identificar esta pessoa? Olhando para a literatura sobre reidentificação, sabemos que geralmente podemos, pelo menos na investigação genética, não prometer aos participantes da investigação que não serão identificados. Na investigação científica, os dados são normalmente processados ​​sob pseudônimo e os dados pseudonimizados são considerados dados pessoais sujeitos ao GDPR.

Agora, como você garante que o processamento de dados esteja em conformidade? Bem, deixe-me ajudá-lo. Vou apresentar uma folha de dicas do GDPR, então vou te ensinar sobre os sete princípios nos quais o GDPR se baseia. Portanto, todas as outras regras que você vê no GDPR serão, de alguma forma, apenas especificações desses sete princípios. Então, se você conhece isso, você já está em conformidade praticamente.

O primeiro princípio é legalidade, justiça e transparência. É que os dados pessoais devem ser tratados de forma lícita, leal e transparente em relação ao titular dos dados. Vejamos primeiro a legalidade. Uma coisa que devemos fazer aqui é manter separados os diferentes tipos de consentimento. Por isso, falamos frequentemente de consentimento informado quando falamos de investigação. Agora, consentimento informado é um termo usado na literatura ética e normalmente se refere a um instrumento de ética em pesquisa como consentimento informado para participação em pesquisa. O que estamos falando em termos de GDPR é algo um pouco diferente. Estamos a falar da necessidade de uma base legal para o tratamento de dados, e que pode, mas não precisa de ser, consentimento. Por exemplo, deixe-me dar um exemplo: se você estiver realizando um ensaio clínico, haverá leis, hum, obrigando você a processar determinados dados para fins de segurança. A base para o processamento de dados para essa parte deveria ser a lei, e não deveria ser o consentimento. Então aqui você vê a diferença. Quando você pode, no entanto, combinar esses dois tipos de consentimento em um documento, mas eles devem estar claramente separados.

Com a pesquisa genética, temos um pequeno problema no sentido de que ela é muito dinâmica. Bem, na verdade não é apenas um problema, é muito, muito bom, mas também significa que é um desafio manter os consentimentos válidos porque as informações que você forneceu há alguns anos podem estar muito desatualizadas neste momento. Portanto, existem atualmente várias iniciativas que procuram termos de consentimento alternativos, por isso estou apenas mencionando isso para vocês. Uma opção é, por exemplo, o consentimento dinâmico, que é eletrônico e permite atualizações contínuas de informação, podendo também permitir processos de reconsentimento muito fáceis. Com a genética, há o benefício adicional de que, se você fizer uma descoberta que não tem certeza se deve relatar, poderá perguntar aos participantes da pesquisa se fizermos certas classes de descobertas, você gostaria de saber ou não? E assim você saberá como eles se sentem a respeito.

Como você viu, a transparência era a outra parte do primeiro princípio, e o princípio da transparência implica que os dados pessoais sejam processados ​​de forma transparente em relação ao participante da pesquisa. Deixe-me lhe dar um exemplo. As ferramentas de IA para assistência no diagnóstico médico podem ser extremamente eficientes. Assim, um exemplo é a análise de imagens faciais para o diagnóstico de transtornos genéticas, e que é tão eficiente que pode até revelar informações que não podem ser captadas por profissionais de saúde experientes, ou ainda, pode até detectar o status de portador. Portanto, neste estudo, por exemplo, teve uma precisão diagnóstica de 99% entre os 10 melhores. A ferramenta mencionada aqui é uma rede neural convolucional profunda de 10 camadas. As redes neurais são, como todos sabem, conhecidas por serem difíceis de explicar. No entanto, descobrimos que na verdade não é tão difícil cumprir o requisito de transparência, como muitos querem fazer você acreditar. Aqui, por exemplo, isso foi realizado por meio de uma explicação em três camadas: uma explicação muito fácil sobre reconhecimento de padrões, uma explicação mais detalhada com fotos e exemplos de dados transmitidos como você vê no slide e, finalmente, para aqueles particularmente interessados, um link para uma explicação no artigo da Nature Medicine que explica o algoritmo e, antes da publicação desse artigo, para a pré-impressão.

A justiça é o último elemento do primeiro princípio. A IA, por exemplo, pode ser sexista e racista, e o princípio da equidade implica que o tratamento de dados deve ser justo em relação ao titular dos dados. Então, isso significa, por exemplo, que se deve se esforçar para evitar viéses e, uma vez divulgado qualquer viés potencial nos dados, e este é um exemplo de como isso foi feito no artigo que mencionei no slide anterior.

O segundo princípio do GDPR que você precisa conhecer é a limitação da finalidade. A limitação da finalidade consiste em duas dimensões: uma é a especificação e a outra é a compatibilidade. Especificação significa que os dados pessoais serão coletados para finalidades específicas, explícitas e legítimas, e compatibilidade significa que os dados não serão processados ​​posteriormente de maneira incompatível com essas finalidades.

Aqui você vê um dos lugares onde a pesquisa científica realmente aproveita de uma posição privilegiada, porque para a pesquisa científica você ainda precisa especificar a finalidade e garantir que ela seja explícita e legítima, mas você pode fazer processamento adicional mesmo que seja incompatível com o propósito original.

No entanto, existem outros lados do princípio da limitação de propósito dos quais você precisa estar ciente, especialmente para a pesquisa genética. Frequentemente, você constrói grandes bancos de dados genéticos, que são tremendamente úteis para a pesquisa médica, mas também têm um enorme potencial de uso indevido. E é crucial compreender o impacto dos escândalos, e isso impõe a você a responsabilidade de pensar sobre como proteger o banco de dados do acesso não intencional de terceiros. E esta é uma tarefa que vai muito além da segurança da informação, e explicarei a vocês, através de um ou dois exemplos, como são os tipos de problemas que normalmente enfrentamos aqui. Por exemplo, há algumas semanas, o Supremo Tribunal norueguês negou às autoridades o acesso a um biobanco de investigação científica. Um bebê morreu, supostamente envenenado por ácido fórmico, e o pai é suspeito do caso. Assim, a amostra de tecido do biobanco de pesquisa científica é uma prova necessária e, sem ela, não será possível à polícia comprovar sua tese. O Supremo Tribunal declarou que o acesso aos biobancos pode diminuir a confiança na investigação científica e nos biobancos associados e negou o acesso.

No entanto, olhando para o outro lado da fronteira com a Suécia, houve um caso em que a antiga Ministra dos Negócios Estrangeiros, Anna Lindh, foi assassinada e o biobanco cedeu ao pedido da polícia sem ordem judicial e distribuiu amostras de um suspeito identificado, uh , que acabou por ser o verdadeiro assassino. Porém, o que aconteceu? As consequências para o biobanco sueco de rastreio neonatal, que foi utilizado neste caso, foram que 2.000 pessoas retiraram imediatamente o seu consentimento para o biobanco quando souberam disto, e mais 50 pessoas por mês o fizeram. Então, isso mostra que se você começar a permitir que outras pessoas usem os mesmos dados para outros fins, você pode na verdade destruir o objetivo principal da coleta de dados, e é por isso que estou dizendo para vocês tomarem cuidado com isso. Também vemos isto muito em outras disputas, por exemplo, relacionadas com o parentesco biológico, vemos isso depois de eventos com vítimas em massa, vemos isso com questões de imigração e questões de redefinição de prioridades.

O terceiro princípio do GDPR é a minimização de dados. Os dados devem ser adequados, relevantes, e esta é a parte difícil da investigação genética, devem limitar-se ao necessário em relação aos fins para os quais são tratados. Então, isso significa que você precisa ter certeza de que a finalidade do processamento está alinhada com os dados que você está gerando. Então, se você está olhando apenas para um gene, precisa ser capaz de explicar por que está fazendo um sequenciamento completo do genoma. Portanto, certifique-se de ter um propósito para o processamento que esteja alinhado aos testes que você está executando e aos dados que você está gerando e processando. Por que temos essa regra? Quer dizer, estamos analisando big data e quanto mais dados, melhor, certo?

Bem, é o argumento orwelliano. A retenção indiscriminada de dados não é considerada correta. O processamento de dados precisa ser proporcional, e é por isso, por exemplo, que vemos que não temos bancos de dados forenses universais. Esta é uma base da legislação em matéria de direitos humanos e, portanto, não se aplica apenas à EU, mas de forma mais geral. E vimos isso, por exemplo, quando houve uma sugestão para estabelecer uma base de dados forense universal no Kuwait e isso foi impedido pelo seu supremo tribunal. Mas isto explica por que é que existe tanta pressão no setor da saúde e da investigação por parte de terceiros sobre as nossas bases de dados. Eles simplesmente querem acesso porque não estão em condições de estabelecer eles próprios bancos de dados igualmente bons.

O quarto princípio do GDPR é que os dados pessoais devem ser precisos e atualizados, e acho que não preciso explicar isso muito mais porque, como pesquisadores, vocês apreciam muito esse aspecto.

O quinto princípio do GDPR é integridade e confidencialidade. Muito disso está relacionado à segurança da informação. Esses dados pessoais serão processados ​​de forma a garantir segurança adequada, proteção contra processamento não autorizado ou ilegal e contra perda, destruição ou dano acidental. Se olhar para as regras específicas do GDPR, verá, por exemplo, também que poderá, em alguns casos, precisar ou querer realizar uma avaliação de impacto na proteção de dados. E é aí que você avalia quais riscos existem para os participantes da pesquisa e como você pode mitigar esses riscos.

O sexto princípio é a limitação de armazenamento. Isto significa que os dados pessoais serão conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para os fins para os quais os dados pessoais são tratados. Mas os dados pessoais podem ser armazenados por períodos mais longos se forem tratados apenas para fins de investigação científica. Então, novamente, uma exceção muito positiva no campo da investigação científica. É claro que isso exige que você tenha medidas técnicas e organizacionais adequadas em vigor, mas ainda assim, você vê que a retenção de dados pode ser legal fora dos limites regulares se o processamento for para pesquisa científica.

Então, o último princípio fundamental do GDPR é a responsabilidade, e isso significa que o controlador, que é quem decide a finalidade do processamento, será responsável por uma finalidade e meio de processamento, devo dizer, será responsável para o cumprimento de todos os princípios anteriores. E também posso lembrar que se você olhar novamente para esta lista e pensar em transparência e responsabilidade, juntas, elas constituem os dois elementos da confiabilidade. Portanto, vemos aqui que o que a EU pretende é simplesmente um processamento de dados confiável. Então, eles querem que o fluxo dos dados seja gerenciado de maneira responsável e confiável para os participantes da pesquisa.

Então, como você viu, o GDPR foi criado para funcionar como um instrumento para facilitar a pesquisa científica responsável, e funciona como tal. Tanto dentro da EU como para colaborações como com países, a Comissão Europeia decidiu oferecer um nível adequado de proteção de dados. Por exemplo, o Japão. Assim, quando o Japão e a EU decidiram mutuamente que ofereciam níveis adequados de proteção de dados, isso criou a maior área de fluxos seguros de dados do mundo. Outros países que, tal como o Japão, têm uma decisão da Comissão Europeia de que oferecem um nível adequado de proteção, para que os dados possam fluir livremente entre a EU e esses países, incluem, como se vê no topo deste diapositivo, Andorra, Argentina, organizações comerciais no Canadá, Ilhas Faroe, Guernsey, Israel, Ilha de Man, Japão, Nova Zelândia, Suíça e Uruguai. E também estão em curso conversações sobre adequação com a Coreia do Sul.

Se eu agora sair um pouco do GDPR em si e ver, bem, como realmente conseguimos o GDPR? Bem, tem uma mãe, e a mãe é a Convenção 108 do Conselho da Europa, que agora também existe numa versão modernizada. Este é o único instrumento juridicamente vinculativo a nível internacional neste domínio aberto a qualquer país, e existem atualmente 55 países em todo o mundo vinculados a essa convenção. São todos os países que você vê neste slide, então esses são os 47 países que são membros do Conselho da Europa e, além disso, são Argentina, Cabo Verde, Maurício, México, Marrocos, Senegal, Tunísia e Uruguai. Assim, em todos estes 55 países, os elementos do GDPR também serão vistos na legislação de proteção de dados desses países, porque se baseiam na mesma convenção, que é a Convenção 108 do Conselho da Europa.

E, finalmente, com exceção dos direitos humanos e da Convenção 108 do Conselho da Europa, que pode ser utilizada por qualquer país do mundo, a maior parte da legislação relacionada com o processamento de dados para investigação é regional. No entanto, com colegas de todo o mundo, identificamos as funções que a governação dos dados genômicos deve cumprir como base para a conceção, implementação e avaliação de quadros de governação. Portanto, reconhecemos que diferentes funções de governação podem estar em tensão umas com as outras. Por exemplo, acesso aos dados versus introdução de supervisão e restrições para garantir a utilização adequada dos dados. Por isso, utilizamos o quadro de governação de seis projetos internacionais de investigação genômica de grande escala em todo o mundo: África, Ásia, EUA e Europa, para ilustrar as escolhas de governação, bem como as suas abordagens a compromissos importantes e como estes são refletido nas suas funções de governação. Este pode ser um trabalho que mostra os principais elementos globais a serem considerados na pesquisa genômica. Muito obrigada pela atenção e por favor entre em contato se desejar que eu, a qualquer momento, responda a alguma dúvida. Obrigado.