商业DNA检测:隐私风险都有哪些?

2020年2月12日 18:46

原文来源:Comparitech
原文作者:VICTORIA MCINTOSH
编译:香港奇点财经

你有没有想过你从哪里来?想过你是怎么诞生的?和谁有共同的基因?现在有一种新的方式可以帮你寻找答案,而它只需要你的一滴口水。

商业DNA检测越来越受欢迎,这并不奇怪。毕竟,家谱存在于世界各国,而且流传久远,例如,英国皇室成员的祖先可以追溯到亨利七世。现在有了商业DNA检测,家族图谱就更容易获得了。你的DNA就是一张包含了每一个祖先特征的地图。通过正确的分析,DNA检测还可以解开有关健康问题或易患病体质的数据。

但是,如果你正在考虑进行一项测试,不妨再思考一下,衡量利弊。事实证明,获取秘密是需要代价的,它甚至可能会带来长期的后果。DNA可能会暴露你想象不到的隐私,甚至是那些不属于你自己的秘密,并将你置于没有被提前告知的风险之中。商业DNA测试存在巨大的隐私问题,例如你在细则中同意了什么条款。

谁拥有数据?

你的唾液属于你,但获取到的数据,那就不同了。为了测试你的基因,商业DNA服务一般都会要求你授权他们可以利用未知的信息。一般经常出现在签约的服务条款中,有些条款可能会让你感到不安。例如,AncestryDNA在声明中表示,”不对提交用于测试的DNA主张任何所有权”,然而条款里是这样陈述的:

“通过向AncestryDNA提交DNA,您将授予AncestryDNA和Ancestry集团公司一项全球范围内、免版税、可再授权和可转让的权利,以托管、转让、处理、分析、分发和交流您的基因信息,目的是为您提供产品和服务,进行Ancestry的研究和产品开发,增强Ancestry的用户体验,以及制造和提供个性化的产品和服务。”

其他供应商也在其条款中包含了类似的声明。例如,23andMe在条款中包含了”放弃财产权”,用户提交DNA检测需要先签署相应条款。

虽然公司在使用DNA进行研究之前需要获得用户同意,但用户可能没有意识到他们有选择权。法律专家朱迪•罗素(Judy Russell)指出,选择往往是不明确的。多数同意书的设计都是非常糟糕的。因此,用户会觉得,同意这些条款是进行测试的必要之举。正如罗素在她的博客中所建议的: “因此,当AncestryDNA表示,在其100多万名应试者中,有数十万人同意参加这项研究时,我认为,只有极少数人知道(a)他们不必同意,以及(B)如果他们同意了,他们同意披露他们家族历史的每一个细节。”

当HIPAA和其他健康隐私法规不适用时

由于DNA是健康信息,许多用户可能希望数据受到隐私立法的保护。例如,HIPAA是美国著名的健康隐私立法,而在加拿大,大多数省份都有健康隐私法。如果医生要求进行基因检测,法律会强制执行保护措施和使用限制。

然而,HIPAA仅适用于”卫生保健提供者”授权的遗传信息。医院、个体诊所和私人医疗机构必须遵守HIPAA隐私惯例,保险公司也是如此。其他私人公司则不需要,除非它们为HIPAA医疗保健实体提供服务。举一个明显的例子,为医院提供X射线技术的企业通常遵守HIPAA。这是因为他们的医院客户负责商业伙伴的隐私实施。然而,如果X射线公司从未与卫生保健提供者合作,则HIPAA不适用。

AncestryDNA和23andMe在内的基因检测公司都不是医疗保健提供商,只要他们的实验室出于商业目的和兴趣进行DNA测序,HIPAA就不适用。正如彼得•皮茨(Peter Pitts)为《福布斯》(Forbes)撰文时所说,当基因检测在个性化医疗还只是一个遥远的梦想时,《可携性法案》就通过了。这就引出了一个问题,既然基因检测已经司空见惯,是否应扩大立法范围,将处理遗传信息的组织或实验室包括在内,即使这些组织或实验室与卫生保健部门无关。

其他立法是否有限制?

对于美国以外的个人,法律可能会提供更多的保护。在加拿大,私营公司须遵守PIPEDA,其中包括对收集、使用和披露的限制。卫生信息也属于省级卫生信息法的管辖范围。例如,安大略省的《个人健康信息法》将”实验室或标本收集中心”列为保健监护机构。这就限制了机构在未经同意的情况下使用数据;特别是,未经同意,不得将数据披露到安大略省以外的地方,除非是出于卫生保健规划的目的。

在欧洲,《一般数据保护条例》适用于所有处理个人信息的组织。该法第9条”个人数据的处理”明确规定了基因信息以及处理基因数据的商业DNA测试公司,均适用更高级别的安全措施。

意想不到的后果:当你的DNA影响保险

你是否容易患上某些疾病?随着年龄的增长,DNA是否会显示健康问题?在美国,保险公司如果想知道……在某些情况下,可能已经获得了这些信息。

《基因信息非歧视法案》禁止健康保险公司利用DNA信息进行歧视,但该法律不适用于人寿保险。有相关报道称,客户因DNA信息而被拒绝承保,例如具有乳腺癌的基因易感性。

还有一个问题是,用户在移交数据之前是否有选择权。2017年,众议院提出了HR1313,即《员工健康计划法案》。该法案将允许雇主要求员工及其家人进行基因检测,如果员工希望获得公司的医疗保险。Register的Iain Thomson表示,虽然测试不是强制性的,那些拒绝的人可能会使他们的医疗费用增加50%……幸运的是,根据Govtrack.us的报道,2019年,该法案似乎被撤销了,其状态为”在前一届国会中死亡”。

你的父母是他们所说的那样吗?

我们都曾在电影和肥皂剧中看到过,一个角色发现自己的父母中有一方与自己没有血缘关系。亲子鉴定并不新鲜,二十多年来,它一直被用来证明父母身份和解决纠纷。然而,商业DNA公司确实提供了一种新的方法。要进行亲子鉴定,父母和孩子之间的关系就已经有了问题。相比之下,商业DNA测试的结果可能会令人震惊,即父母和孩子之间没有基因匹配。根据数据库的详细信息,测试还可能提供潜在父母的数据。如果父级和子级在同一数据库中,则可以不显示匹配项。作为对潜在后果的提醒,23 and Me在其服务条款中包含了一条警告。”一旦你获得了你的基因信息,这些信息是不可撤销的。”

你的隐私和你家人的隐私

DNA会暴露父母的信息已经引发了严重的伦理问题和未经同意的意外隐私侵犯。迄今为止,收养机构可能受到法律约束,不能应父母的要求发布可识别信息。收养隐私法是一个长期的热点问题。

被收养人有权知道自己的父母身份,还是父母有权保护自己的隐私,谁的权利更大?通过DNA检测,父母可能无法选择是否暴露自己的信息。如果孩子进行DNA测试,一旦他们有了自己的DNA信息,他们就可以在不同的数据库中进行测试以找到匹配。

其他家庭成员的隐私呢?你的DNA有多少是关于其他亲属的?当我们把自己的DNA交给商业检测公司时,我们可能在未经家人同意的情况下暴露了他们。《科学》杂志上一项题为”利用长时间的家族搜索对基因组数据进行身份推断”的研究揭示了真相:60%的美国人的欧洲血统可能与他们的第三代表亲或更近的亲属相匹配。Vox的记者BrianResnick估计,随着技术的进步,越来越多的人将自己的数据交给DNA公司,这个数字还会上升。

有一个例子:在加利福尼亚州,一个人参与了DNA测试数据库,导致其家庭成员被捕。

用商业DNA测试来抓凶手。

2018年4月,美国联邦调查局(FBI)在加州逮捕了一个数十年未破的案件:金州谋杀案。这一消息成为了头条新闻,因为逮捕和发现嫌疑人的方式而引起轰动。为了找到杀手,调查人员尝试了一种新的策略。他们采集了DNA证据,并将其与商业DNA平台GedMatch进行了对比。嫌疑人没有上传他们的DNA……但俄勒冈州的一个亲戚上传了。当局突然有了新的线索。通过俄勒冈州的DNA匹配,并在家谱中找出亲属,他们可以减少嫌疑人的数量,最终把范围缩小到可以逮捕他。

执法部门使用DNA来解决犯罪问题并不是什么新趋势。自1988年以来,DNA证据的使用一直是可以接受的。然而,要求警方进入商业DNA数据库的呼声正在拉响警报。在过去,DNA证据是盖棺定论的最后一根钉子。1988年,警方确认一名被告有罪,因为受害者的DNA与其T恤衫上的血迹相符。而对于金州案的凶手,调查人员没有使用DNA来确认证据。相反,它成为了一个新的搜索线索。

越来越多的执法机构进入

执法部门的DNA测试权限日益受到关注,警方和调查人员应该有多少权限来获取DNA测试结果?2019年1月,FamilyTreedna允许FBI访问其研究,引起了公众的愤怒。

血统DNA也需要遵循合规的法律要求,包括那些来自授权令或传票的要求。

2019年11月,法院允许佛罗里达州的一名侦探授权搜查GedMatch的全部服务器。这开创了一个令人不安的先例:如果可以获得授权,其他机构很可能使用法院命令绕过DNA检测公司的隐私政策。纽约大学的艾琳·墨菲(Erin Murphy)在接受《科学新闻》采访时表示,能够获得授权是一个巨大的改变。”这是一个信号,表明没有任何基因信息是安全的。

然而,其他人则持怀疑态度。律师兼生物伦理学家Kayte Spector-Bagdady在接受《科学新闻》采访时表示,事情不会这么简单。与对鼠尾草进行分析的公司不同,GedMatch允许用户免费上传其原始数据来填充其数据库。因此,授权令不适用于直接面向消费者的私人消费者分析公司。如果警方对23andMe等数据库发出搜查令,该公司有权上诉。如果公司觉得用户隐私受到威胁,他们”仍然有权在法庭上质疑授权令”。

然而,这是假设该公司需要一张授权令才能开始。在2019年5月之前,执法部门授权了可以访问Ged Match的文件,这是警方能够使用该工具找到金州杀手的原因。很快,用户可能会看到那些日子又回来了:2019年12月,GedMatch被法医测试公司Verogen收购。由于Verogen专门协助警方,未来执法部门可以访问Ged Match。

为什么DNA执法是个问题?

随着执法部门获取信息的渠道越来越多,科学家和民权倡导者开始担忧。例如,研究人员担心,越来越少的人会为了健康研究而公开自己的DNA,因为他们害怕最终进入警方的数据库。医生手中的基因数据和法律机构手中的基因数据之间存在显著差异。澳大利亚昆士兰大学的凯特琳•柯蒂斯(Caitlin Curtis)博士提出了一个问题:

“从医生那里获得遗传健康风险评分是可以接受的,但执法部门预测嫌疑人的精神健康状况万一和医生出现误差,法庭上该如何考虑这些信息?”

也有其他人质疑,将DNA交给警方是否违反了第四修正案,该修正案禁止”不合理的搜查和扣押”。回顾过去警方使用DNA证据的案例,很明显,这种方法并不是万无一失的。

黑客也想要DNA数据

即使一家公司计划了最好的隐私政策,他们能够坚持吗?警察不是唯一想要你DNA的人,这对黑客来说是一个有价值的目标。数据泄露是安全团队的一个常见祸根,而且DNA数据库已经遭受过入侵。2018年,DNA测试网站MyHeritage遭到了9200万用户名和密码的攻击。此后,该公司增加了双重身份验证,以提高登录安全性,但他们受到的黑客攻击不会是最后一次。019年11月,攻击者从Veritas Genetics获得了大量数据,对于那些DNA数据在暗网中的人来说,几乎是没有选择的。

黑客为什么想要你的DNA?《男性杂志》的Matt Jancer讲述了网络犯罪的现实。黑客可以通过出售DNA获得赎金,将医疗状况或家庭秘密透露给不该泄露的人。这是很有价值的数据,任何有价值数据的存储库都存在风险。更糟糕的是,被盗的密码列表和DNA序列数据库之间存在巨大差异。首先,你的DNA不能被重置或改变:一旦进入暗网,它就永远消失了。

冰山一角

可悲的现实是,我们才刚刚开始了解如何利用我们的DNA,但技术上的恐惧已经成为现实。科学家正在将DNA与素描软件结合起来,生成一个人脸的粗略模型。这项技术被称为DNA表型分析,使科学家能够在没有照片的情况下通过视觉识别个体,更令人不寒而栗的是这些数据的用途。

其他邪恶的做法并不难想象。例如,窃取的DNA是否可以用来入侵生物识别安全系统?这似乎并不太牵强,松本勉(Tsutomu Matsumoto)等研究人员使用3D打印和小熊软糖绕过了相关系统。当涉及到商业DNA测试时,客户需要明白,乐趣是伴随着风险的。一旦你的DNA被分析,它可以被用于比寻找失去的亲人更多的事情。从根本上说,你的DNA就是你的源代码。