遺伝子検査キットのデータはどう扱われる？プライバシーリスクと対策を徹底解説

直接消費者向け（DTC）遺伝子検査の市場が拡大し、今では試験管に唾液を吐いて検査機関に郵送するだけで、自分のルーツや健康リスクに関する結果を受け取れるようになりました。

しかし、検査を出した後、あなたのデータはどうなるのでしょうか？祖先を調べる検査や遺伝子解析には、プライバシー上の懸念があるのでしょうか？ここでは、知っておくべきポイントを詳しく解説します。

自宅でできる遺伝子検査の仕組み

自宅での遺伝子検査は、まずサンプルの採取から始まります。多くの場合は少量の唾液ですが、企業によっては頬の内側を綿棒でこすって採取する方式もあります。血液サンプルを選択肢として用意している会社もありますが、一般的ではありません。

各社とも検査の手順や所要時間の目安を案内しています。例えば、23andMeの場合、ウェブサイトで注文してからキットが届くまで3〜5日程度かかります。速達配送を選べば、さらに早く受け取ることも可能です。

同社はサンプルを返送するための送料込み封筒を提供しています。ただし、ポストに投函する前に、固有のバーコードを使って唾液サンプルと本人を紐付ける必要があります。その後3〜4週間ほどでメールが届き、オンラインアカウントにログインすると検査結果を確認できる仕組みです。

23andMeを含む一部のサイトでは、生データ（ローデータ）も顧客に提供しています。これをサードパーティのオンラインツールに入力すれば、さらなる分析結果を得ることもできます。

検査の内容は、企業が提供するサービスや支払う金額によって異なります。例えば、Ancestry.comでは家系の起源や親族が時代とともにどのように移動したかを調べられるほか、存命の親族を見つけることにも役立ちます。拡張オプションでは、数十種類の身体的・個人的特徴について、遺伝がどのような影響を与えているかを分析してくれます。

中には、驚くほど細かい地域レベルでの特定をうたう検査もあります。例えばAncestryDNAは、70万以上の地域の情報をもとに系譜を追跡して結果を提供します。23andMeでも祖先分析の検査を受けることができますが、こちらは健康関連の商品ラインナップがより充実しています。

あるオプションでは、遺伝的な変異によって特定の病気のリスクが高まっているかどうかを知ることができます。また、キャリア検査では、自分自身には影響しないものの、子孫に影響を及ぼす可能性のある遺伝的要因を調べます。

遺伝子検査会社はあなたのデータをどう扱っているのか？

データプライバシーは、家庭向け遺伝子検査の購入を検討している人にとって大きな関心事です。多くの企業は、情報の取り扱い方針を明記した専用ページやFAQセクションを設けています。重要な質問への答えを確認することで、その企業と取引すべきかどうかの判断材料になります。

例えば、企業のデータプライバシー対策を審査する際には、以下のような点をチェックしましょう。

• 企業がデータを匿名化しているかどうか
• 情報をどのように保存しているか
• 悪用を防ぐためにどのような安全策が講じられているか
• 二次目的で情報を使用していないか
• 会社が事業を停止した場合、データがどうなるか
• 遺伝データの所有権は誰にあるのか
• 研究利用をオプトアウトできるかどうか
• 要請があれば情報を削除してもらえるかどうか

例えば「Gene Planet」という検査会社では、顧客が情報の扱い方や保持範囲を自分で選択できるとしています。どの自宅検査会社を評価する場合も、ウェブサイトのフッターにあるプライバシーポリシーやデータ保護関連のセクション全体を必ず確認しましょう。

自宅遺伝子検査にはどんなリスクがあるのか？

企業がデータ保護のベストプラクティスに従っていれば、問題が発生する可能性は低くなります。それでも、潜在的な脅威は存在します。

自己アップロードされたデータから見つかったセキュリティリスク

大手遺伝子検査会社の多くは、ユーザーが自身のデータをシステムにアップロードすることを許可していません。しかし研究によると、中小の事業者ではアップロードを許可している場合があり、プライバシーが危険にさらされる可能性があります。ある研究チームは、顧客がアップロードした情報を通じて、第三者が許可なく人々の遺伝子型を知り得る複数の方法を突き止めました。

幸いなことに、研究者たちは実際の被害事例を特定するのではなく、理論的な観点からこの問題を検証しました。それでも、脆弱性が存在しうることを示しており、ハッカーが機密情報へアクセスするリスクを高めかねません。

家族が遺伝データの「意外な事実」を広めることも

医療業界は厳格なルールに従っており、連邦法によって人々は一般的な医療上の不利益から守られています。

例えば米国では、FCA（虚偽請求法）に基づき、医療や製薬分野の不正行為に関する情報を当局に提供することが奨励されています。また、米国の「遺伝情報差別禁止法（GINA）」は、検査結果を理由とした保険や職場での差別を禁じています。

それでも、検査結果には、すぐには友人や家族に知られたくない情報が含まれているかもしれません。

インターネット上には、祖先分析の結果を受けて、自分が養子だったことや、実の父親に会ったことがなかったことを初めて知ったという体験談が数多くあります。ある調査では、回答者の27％がこの方法で、それまで知らなかった近親者の存在を知ったことが示されています。

また、特定のがんのリスクが高いといった、心穏やかでない健康情報を知ることもあります。

だからこそ、多くの専門家は、遺伝データにはまず自分だけでアクセスし、内容をよく理解してから他人と共有することを推奨しています。

あわせて、遺伝データポータルには強力なパスワードを設定しましょう。同居人や知人が覗き見したい誘惑に駆られても、成功しないようにするためです。

データ漏洩のリスクは現実に存在する

遺伝子検査や祖先分析を提供する企業でも、データ漏洩は起こり得ます。一つの事例は2019年、スタートアップ企業のVeritas Geneticsで発生しました。同社は問題の規模について曖昧な対応にとどまりましたが、担当者は不正アクセスによるデータ閲覧があったことを認めたものの、正確な発生日時までは明らかにしていません。

ただし、漏洩したのは顧客データであり、健康に関する詳細情報ではなかったと説明しています。

別の事例では、Vitageneが3,000人以上の顧客の誕生日、遺伝的健康情報、氏名を誤って公開してしまいました。これはクラウドストレージの設定ミスによるもので、発覚後には対応しましたが、人的ミスがいかに消費者のプライバシーを危険にさらしうるかを示す例となりました。

第三者との提携でデータアクセスの可能性が拡大

遺伝子検査会社があなたのデータを他者と共有するケースもあります。一例として、23andMeは製薬大手のグラクソ・スミスクライン（GSK）と4年間の提携を行いました。製薬会社側は、遺伝データを活用して製品の有効性を高めたり、臨床試験への参加者募集を改善したりすることなどを目指していました。

23andMeは顧客の同意を得た上でデータを提供しています。しかし、新しいサービスに登録する際、多くの人は細かい条件文を読まずに同意してしまうものです。

仮にデータ共有の事実を知り、同意したとしても、その情報を安全に管理してくれるかどうか、2社目の企業をも信頼しなければならない点には注意が必要です。

遺伝子検査を購入する前に自分を守るために

私たちは日々、深く考えることなく企業にデータを提供しており、遺伝情報を預けることに問題を感じない人もいるでしょう。しかし、検査を購入したり情報を提供したりする前に最も賢明なのは、その企業がどのようにデータを扱うのかを調査することです。詳細を確認する前に「同意する」をクリックする衝動を抑えましょう。

さらに、オプトインやオプトアウトを自由に選択できるかどうかも確認してください。最初は第三者へのデータ提供に問題を感じていても、後になって不安になるかもしれません。企業のセキュリティ対策について知っておけば、十分な情報に基づいた自信ある選択ができるはずです。