Zpracování DNA v soukromém sektoru

Byla kontrolována společnost, která je zapsána v obchodním rejstříku, přičemž jejími předměty podnikání jsou mimo jiné výzkum a vývoj v oblasti přírodních a forenzních věd a činnost technických poradců v oblasti přírodních věd, molekulární biologie, forenzní genetiky a správné laboratorní praxe i molekulárně biologické a forenzně genetické analýzy, tedy genetické analýzy zpracované pro soudní potřeby související s vyšetřováním a soudním dokazováním zejména v trestních záležitostech. Společnost se ve své činnosti zaměřuje především na vědu a výzkum, DNA servis, publikační činnost, poradenství a prodej specializovaných produktů pro forenzní laboratoře.

Zákazníci od společnosti zpravidla objednávají genetické určení původu předků, určení otcovství, identifikaci odesílatele anonymních dopisů, specifický průkaz spermatu nebo určování příbuzenského vztahu, včetně stanovení vaječnosti dvojčat. V současnosti je těžištěm aktivit společnosti identifikace kosterních pozůstatků, jež zahrnuje i historické nálezy.

Při genetickém určení původu předků společnost na základě požadavku objednatele uplatněného osobně, telefonicky, e-mailem, faxem nebo vyplněním elektronického objednávkového formuláře provádí genetickou analýzu biologického materiálu, jehož vzorek objednatel společnosti předává v zabezpečené a řádně označené odběrové soupravě DNA Collector. Výstupem této analýzy je certifikát o analýze a text vysvětlující základy genetické genealogie, případně porovnání zjištěného výsledku s veřejně dostupnými databázemi.

Také určení otcovství je realizováno pouze na objednávku zákazníka. Výstupem testu otcovství je expertní posudek konstatující existenci či neexistenci genetické shody v přímé příbuzenské linii mezi otcem a osobou, jež má být jeho potomkem. Zmíněný posudek rovněž obsahuje prohlášení jeho zpracovatele, podle kterého při všech operacích bylo se zpracovávaným biologickým materiálem nakládáno jako s citlivými údaji, a ujištění, že sekundární vzorky pocházející z předaného biologického materiálu budou protokolárně dezintegrovány, což se děje po skončení zákonem stanovené záruční doby. Nespotřebované primární vzorky jsou klientům odevzdávány zpět spolu s expertizními posudky. Informace o zpracování nestandardních vzorků, nacházejících se na zubních kartáčcích, nedopalcích cigaret, žvýkačkách, věcech osobní potřeby apod., která je uvedena v ceníku služeb společnosti v souvislosti s testy paternity, je toliko reprezentativním výčtem služeb, provedeným z marketingových důvodů. Potenciálním zákazníkům společnosti se tímto způsobem prezentuje odborná kvalifikace a erudice společnosti.

Při identifikaci odesílatele anonymních dopisů společnost zpracovává obvykle popis DNA vzorku ze slin. Detekce spermatu či krve je postup, jehož cílem je zjištění, zda dodaný biologický materiál je sperma nebo krev či cokoliv jiného. Specifickým průkazem spermatu se prokazuje, jestli například na prostěradle je sperma, zda zkoumané sperma je lidské nebo zvířecí a opatřuje se standardní popis vzorku, nedochází však k určení konkrétního jedince. Popisem zachyceného vzorku z dodaného materiálu společnost zajistí důkaz, který je poté předán objednateli, jenž jím dále disponuje. Postupy, používané při testování, jsou specifikovány příručkou kvality, jež je ve společnosti zavedena. Uvedených testů společnost provedla v letech 2007 až 2008 asi sto ročně, což činí zhruba pět procent objemu její činnosti.

Určování příbuzenského vztahu, včetně stanovení vaječnosti dvojčat, je realizováno stejnými postupy jako určování otcovství, ale získané DNA profily jsou vyhodnocovány podle odlišných statistických vzorců.

Kontrolující se zaměřili na dodržování povinností při zpracovávání osobních údajů v souvislosti s předáváním biologických vzorků společnosti objednateli analýz DNA. Objednatelé objednávkou zároveň stanoví, v jakém rozsahu budou vzorky nesoucí osobní údaje zpracovány. Objednávka zákazníka je dokumentována v knize zakázek, která je jednou ze základních dokumentačních pomůcek společnosti. Ohledně každé zakázky zpracovávané společností se v ní eviduje číslo jednací, datum, kdy byla zakázka doručena do společnosti, popis objednávky, jméno a příjmení objednatele, určení zpracovatele zakázky, datum skončení zakázky, předání zakázky a termín provedení příslušné platby objednatelem. V knize zakázek se případně také uvádějí poznámky, které zakázku blíže charakterizují. Záznamy v knize zakázek je povinností v souladu s pravidly stanovenými příručkou kvality provádět ručně, nesmí být sepisovány na počítači. Subjekt osobních údajů podepisuje požadavkový formulář, čímž vydává souhlas s objednaným rozsahem zpracování osobních údajů nebo oznamuje společnosti, že příslušný souhlas se zpracováním osobních údajů byl dán. Zpracovávané osobní údaje jsou ve společnosti uchovávány v tištěné a elektronické podobě pouze po nezbytně nutnou dobu, kterou je lhůta šesti měsíců a tří týdnů. Tři týdny je doba pro zpracování biologického vzorku podle příslušné smlouvy o dílo, šest měsíců je lhůta, v níž společnost drží biologický vzorek po předání díla z důvodů možné reklamace v průběhu šestiměsíční záruční doby.

Před každým z výše zmíněných zpracování genetických vzorků objednatel od společnosti obdrží požadavkový formulář, informaci pro zákazníky, zálohovou fakturu, odběrovou soupravu a návod k jejímu použití. Mezi nimi je významná zejména „Informace pro zadavatele analýzy DNA za účelem testu otcovství, geneticko-genealogického zkoumání či jiného podobného úkonu“. Jejím prostřednictvím jsou subjekty údajů vyrozuměny o nakládání se vzorky DNA a jinými osobními údaji ve společnosti. Subjekty údajů jsou mimo jiné informovány, jaké osobní údaje společnost zpracovává, jakými způsoby se tak děje, jak jsou testované vzorky označovány, v jakém právním režimu zpracování probíhá, včetně poučení o tom, že odebrané vzorky DNA lze zpracovávat pouze se souhlasem dotčených osob, po jakou dobu budou testované vzorky ve společnosti uchovány, a též je jim sděleno, že po uplynutí záruční doby budou zpracovávané údaje zlikvidovány nebo jejich likvidace bude provedena dříve, pokud o to objednatel požádá. Objednatelům je uvedenou informací poskytnuto také úplné poučení ve smyslu §§ 12 a 21 zákona o ochraně osobních údajů. Všichni zaměstnanci společnosti jsou povinni zachovávat mlčenlivost o skutečnostech týkajících se činnosti firmy, včetně zpracování osobních údajů. Případné neoprávněné nakládání s dokumenty vytvořenými v rámci firmy by bylo považováno za hrubé porušení pracovní kázně. Dokumenty, které se odesílají zákazníkům, musí být před odesláním převedeny do formátu PDF. Data na firemních osobních počítačích se zálohují, přičemž obvyklým cyklem zálohování je jeden týden. S cílem zpracovávat jenom přesné osobní údaje společnost jako preventivní opatření zavedla a udržuje systém kvality podle normy ISO 9001:2000.

Společnost odebrané biologické vzorky v průběhu jejich zpracování důsledně eviduje a označuje, což se projevuje již při odběru srovnávacích vzorků pro DNA analýzu, kdy zákazník musí krabičku obsahující tampony se srovnávacími vzorky opatřit přelepkami zabraňujícími neoprávněným manipulacím a jednoznačně ji označit, přičemž toto označení zároveň uvede do formuláře „Požadavek na analýzu DNA“. Po skončení analýzy se ústní stěry (primární vzorky) zaslané na expertizu vracejí objednateli spolu s písemným vyhotovením expertizy. Vzorky, které jsou ve společnosti uchovávány po nezbytně nutnou dobu, jsou poté protokolárně likvidovány. Informace o průběhu a výsledcích zkoumání se předávají pouze objednatelům nebo osobám, které jsou objednateli k takovému převzetí písemně pověřeny. Po ukončení testů je zakázáno provádět dodatečné úpravy v záznamech o jejich průběhu. Doplňky a změny chybně napsaných údajů se provádějí přeškrtnutím původního údaje tak, aby zůstal čitelný a doplněním správného údaje se šifrou pracovníka, jenž údaj opravil, a datem.

Společnost zpracovává základní identifikační údaje svých zákazníků za účelem splnění povinnosti průkaznosti účetních dokladů. K tomu vytvořila formuláře objednávek s určitými předepsanými údaji, které však objednatelé nemusí vyplňovat. Tyto údaje jsou uchovávány po dobu stanovenou příslušnými zákony. K ochraně osobních údajů ve společnosti přispívá rozsáhlá vnitřní normotvorba, která upravuje veškeré postupy pracovníků při zpracování osobních údajů objednatelů.

V době zahájení kontroly nebylo zpracování osobních údajů, které společnost provádí v rámci svých komerčních aktivit, písemně oznámeno Úřadu.

Kontrolou bylo zjištěno porušení zákona o ochraně osobních údajů pouze z důvodu, že společnost jako správce zpracovávala osobní údaje, aniž by tuto skutečnost písemně oznámila Úřadu před zpracováváním osobních údajů, čímž nerespektovala ustanovení § 16 odst. 1 tohoto zákona, a byla jí tak Úřadem uložena pokuta ve správním řízení.