Datos genéticos y protección jurídica

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

Los datos genéticos representan la información más íntima e inmutable de una persona, y su protección jurídica se ha convertido en una de las fronteras más urgentes del Derecho Digital contemporáneo.

Qué son los datos genéticos y por qué requieren una protección especial

Cuando hablamos de datos genéticos, nos referimos a la información obtenida a partir del análisis de muestras biológicas (sangre, saliva, tejidos) que revela características hereditarias, predisposiciones a enfermedades, ascendencia y rasgos biológicos únicos de cada persona. A diferencia de una dirección de correo electrónico o de un número de teléfono, el dato genético es permanente: no puede modificarse, sustituirse ni «reiniciarse». Esta inmutabilidad le confiere un grado de sensibilidad sin paralelo en el universo de la protección de datos personales.

Se observa que el avance exponencial de las pruebas genéticas directas al consumidor, de las investigaciones en biotecnología y del uso de bancos de ADN por parte de organismos públicos y privados ha ampliado drásticamente la recolección de este tipo de información. Empresas de salud, aseguradoras, laboratorios de ascendencia, plataformas de fertilización asistida e incluso aplicaciones de bienestar han pasado a procesar datos genéticos a gran escala, muchas veces sin que los titulares comprendan plenamente las implicaciones de ese intercambio.

El carácter sensible de los datos genéticos obedece a múltiples factores. En primer lugar, no conciernen únicamente a la persona que proporcionó la muestra, sino también a sus familiares consanguíneos, lo que genera un efecto de exposición colectiva involuntaria. En segundo lugar, la combinación de información genética con otras bases de datos (salud, comportamiento, localización) permite construir perfiles sumamente detallados, con un significativo potencial discriminatorio. En tercer lugar, las filtraciones de datos genéticos son irreversibles: una vez expuestos, no hay manera de deshacer el daño.

El marco jurídico en Brasil: la LGPD (Ley General de Protección de Datos Personales de Brasil) y los datos genéticos

La Ley General de Protección de Datos Personales (Ley nº 13.709/2018) clasifica los datos genéticos como datos personales sensibles, categoría que recibe el más alto nivel de protección normativa. El artículo 5º, inciso II, de la LGPD menciona expresamente el «dato genético» junto con los datos sobre origen racial, convicción religiosa, opinión política, afiliación sindical, datos referentes a la salud, vida sexual y datos biométricos. Esta clasificación no es meramente formal: impone obligaciones sustancialmente más rigurosas a los agentes de tratamiento.

Cabe señalar que el tratamiento de datos genéticos, conforme al artículo 11 de la LGPD, solo puede realizarse en supuestos taxativos. El principal es el consentimiento del titular, que debe otorgarse de forma específica, destacada y para finalidades determinadas. A diferencia del consentimiento genérico que se acepta para los datos comunes, aquí se exige que el titular sea informado con claridad sobre qué datos genéticos se recolectarán, con qué propósito exacto, durante cuánto tiempo se almacenarán y con quién podrán compartirse.

Además del consentimiento, la LGPD admite el tratamiento de datos sensibles sin consentimiento en situaciones específicas: cumplimiento de una obligación legal por parte del controlador, tratamiento compartido de datos necesarios para la ejecución de políticas públicas, realización de estudios por parte de un órgano de investigación (con anonimización siempre que sea posible), ejercicio regular de derechos en procesos judiciales, protección de la vida o de la integridad física del titular o de un tercero, y tutela de la salud por parte de profesionales del área o de entidades sanitarias. Cada uno de estos supuestos exige un análisis cuidadoso para verificar si la base legal es efectivamente aplicable al caso concreto.

El dato genético es la única información personal verdaderamente inmutable: protegerlo no es solo una obligación legal, sino un imperativo ético que alcanza a generaciones enteras.

Un aspecto que merece especial atención es la elaboración del Informe de Impacto a la Protección de Datos Personales (RIPD). La Autoridad Nacional de Protección de Datos (ANPD) puede exigir este informe siempre que el tratamiento de datos genéticos represente un riesgo elevado para los derechos de los titulares. En la práctica, las organizaciones que procesan datos genéticos a una escala significativa deben mantener este informe actualizado como medida preventiva, documentando los riesgos identificados, las medidas de mitigación y las salvaguardas implementadas.

Due diligence en datos genéticos: verificación y cumplimiento

El proceso de due diligence aplicado a los datos genéticos implica un análisis sistemático y profundo de las prácticas de recolección, almacenamiento, tratamiento e intercambio de esta información por parte de una organización. Este procedimiento es especialmente relevante en operaciones de fusión y adquisición que involucran a empresas de biotecnología, laboratorios de análisis clínicos, aseguradoras de salud y startups de genómica, pero se aplica igualmente a cualquier entidad que procese datos genéticos de forma habitual.

Al llevar a cabo este análisis, se revisa en primer lugar el inventario de datos: qué tipos de datos genéticos se recolectan, de cuántos titulares, en qué sistemas se almacenan y qué flujos de intercambio existen (internos y externos). La ausencia de un inventario completo y actualizado es, por sí sola, un indicio de riesgo significativo de incumplimiento. A continuación, evaluamos las bases legales utilizadas para cada finalidad de tratamiento. Es común encontrar organizaciones que se apoyan en términos de consentimiento genéricos, insuficientes para datos sensibles conforme a la LGPD.

La seguridad de la información constituye otro pilar fundamental de la due diligence en datos genéticos. Consideramos esencial verificar medidas técnicas como el cifrado en reposo y en tránsito, los controles de acceso basados en roles (RBAC), la seudonimización o anonimización cuando sea viable, los registros de auditoría (logs) para la trazabilidad de los accesos, y las políticas de retención con plazos definidos y procedimientos de eliminación segura. La ausencia o fragilidad de estas medidas puede configurar una infracción del artículo 46 de la LGPD, que impone a los agentes de tratamiento la adopción de medidas de seguridad aptas para proteger los datos personales.

Observamos también que la due diligence debe examinar los contratos con terceros que reciben o procesan datos genéticos (operadores, en los términos de la LGPD). Estos contratos deben contener cláusulas específicas sobre la finalidad del tratamiento, las medidas de seguridad, las obligaciones de confidencialidad, los procedimientos en caso de incidentes y las condiciones para la subcontratación. La transferencia internacional de datos genéticos añade una capa adicional de complejidad, pues exige verificar las garantías previstas en los artículos 33 a 36 de la LGPD.

Riesgos prácticos y escenarios de vulnerabilidad

La experiencia en due diligence de datos revela escenarios recurrentes de vulnerabilidad que merecen atención. El primero es la discriminación genética: el uso de información genética para negar cobertura de seguros, rechazar una contratación laboral o aplicar precios diferenciados en servicios de salud. Aunque la Constitución Federal prohíbe toda forma de discriminación y la LGPD restringe el uso de datos sensibles con fines discriminatorios (artículo 11, §1º), la fiscalización de este tipo de práctica todavía enfrenta desafíos considerables.

Otro escenario preocupante es el intercambio secundario de datos genéticos. Se dan situaciones en que los titulares entregan muestras para una prueba de ascendencia y, en los términos de uso (frecuentemente extensos y de difícil comprensión), autorizan que se compartan con socios de investigación, empresas farmacéuticas o bases de datos internacionales. La granularidad del consentimiento resulta crucial en este contexto: el titular debe poder elegir, de forma separada e independiente, cada finalidad de uso.

Identificamos además riesgos asociados a la reidentificación de datos supuestamente anonimizados. Estudios científicos demuestran que los datos genéticos, incluso cuando están parcialmente anonimizados, pueden cruzarse con bases de datos públicas (como registros genealógicos) para identificar a personas concretas. Esta posibilidad pone en duda la eficacia de la anonimización como medida de protección y refuerza la necesidad de técnicas robustas de privacidad diferencial y de evaluaciones periódicas del riesgo de reidentificación.

En el ámbito de las relaciones laborales, la recolección de datos genéticos por parte de los empleadores plantea cuestiones éticas y jurídicas profundas. El uso de pruebas genéticas como criterio para la admisión, el ascenso o el despido puede configurar una discriminación prohibida por la legislación laboral y constitucional, además de vulnerar frontalmente los principios de finalidad, adecuación y necesidad de la LGPD.

Buenas prácticas y recomendaciones para las organizaciones

Con base en el análisis del escenario normativo y de los riesgos identificados, hemos reunido un conjunto de recomendaciones prácticas para las organizaciones que tratan datos genéticos. La primera y más fundamental es la adopción del principio de minimización: recolectar únicamente los datos genéticos estrictamente necesarios para la finalidad declarada, evitando acumular información «para uso futuro» sin una base legal definida.

Se recomienda también implementar un programa de gobernanza específico para datos genéticos, que incluya políticas internas claras, capacitación periódica de los equipos que acceden a estos datos, el nombramiento de un encargado (DPO) con conocimientos en bioética y protección de datos, y canales efectivos para que los titulares ejerzan sus derechos (acceso, rectificación, eliminación, portabilidad y revocación del consentimiento).

La transparencia hacia los titulares debe ser una prioridad absoluta. Los formularios de consentimiento para datos genéticos deben redactarse en un lenguaje accesible, con explicaciones claras sobre los riesgos involucrados, incluido el posible impacto sobre los familiares. Consideramos una buena práctica la adopción de modelos de consentimiento dinámico, que permitan al titular revisar y modificar sus decisiones a lo largo del tiempo, especialmente cuando surjan nuevas finalidades de tratamiento.

Por último, conviene destacar la importancia de mantenerse al día respecto de las regulaciones específicas que se vienen desarrollando. La ANPD ha avanzado en la elaboración de orientaciones sectoriales, y proyectos de ley en trámite en el Congreso Nacional buscan establecer marcos regulatorios más detallados para los datos genéticos. Las organizaciones que se anticipan a estas regulaciones y adoptan desde ya estándares elevados de protección se posicionan de manera más segura y competitiva en el mercado.

Este tema guarda relación directa con los datos biométricos, asunto que abordamos en un artículo específico.

Este tema guarda relación directa con el informe de impacto a la protección de datos, asunto que abordamos en un artículo específico.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.