Medio millón de británicos se inscribieron para ayudar a encontrar una cura para el cáncer. Sus datos acabaron a la venta en Alibaba.
La organización benéfica UK Biobank informó al Gobierno británico de un incidente relacionado con la puesta a la venta, en la plataforma china de comercio electrónico Alibaba, de datos médicos pertenecientes a 500 000 ciudadanos británicos.
La defensora nacional de datos, la Dra. Nicola Byrne, declaró en un comunicado:
«Las personas que comparten generosamente sus datos de salud para ayudar a otros a través de la investigación médica esperan, con razón, que se mantengan a salvo y que se asuma la responsabilidad cuando las cosas salen mal».
Las autoridades afirmaron que los investigadores descargaron los datos en virtud de un contrato legítimo, pero su aparición en Alibaba demuestra cómo un acceso «autorizado» puede acabar convirtiéndose en una divulgación pública.
El UK Biobank cuenta con más de 15 millones de muestras biológicas y historiales médicos detallados de voluntarios reclutados entre 2006 y 2010, y investigadores de todo el mundo lo utilizan para estudiar el cáncer, la demencia, la diabetes y otras enfermedades crónicas.
Normalmente, UK Biobank firma contratos con universidades y empresas privadas que han superado un proceso de selección antes de permitirles acceder a los datos, pero los investigadores rastrearon los anuncios de Alibaba hasta tres instituciones de investigación. UK Biobank les ha revocado el acceso y ha suspendido el acceso a nuevos datos mientras refuerza los controles de seguridad.
Según se ha informado, al menos uno de los anuncios contenía datos de los 500 000 voluntarios, y Alibaba y las autoridades chinas retiraron los anuncios antes de que nadie pudiera confirmar la venta.
El conjunto de datos procede de la cohorte de investigación a largo plazo del UK Biobank e incluye secuencias genéticas, muestras de sangre, imágenes médicas e información detallada sobre el estilo de vida, que se utilizan para la investigación sanitaria a nivel mundial.
UK Biobank destaca que los datos estaban «anonimizados», lo que significa que no incluían nombres, direcciones ni números del Servicio Nacional de Salud (NHS). Sin embargo, seguían conteniendo datos demográficos detallados, como el sexo, la edad, el mes y año de nacimiento, indicadores socioeconómicos, detalles sobre el estilo de vida y parámetros de salud. Hemos comprobado en repetidas ocasiones que estos datos pueden volver a vincularse a personas concretas mediante el cruce de información con otros registros públicos o comerciales.
Por qué le importa a China
Los informes de los servicios de inteligencia estadounidenses, los informes políticos y los estudios académicos ofrecen una visión coherente: China considera los grandes y variados conjuntos de datos sobre el genoma humano y la salud como un recurso estratégico, tanto por motivos económicos como de seguridad.
El Centro Nacional de Contrainteligencia y Seguridad (NCSC) de Estados Unidos afirma explícitamente que la República Popular China considera los datos genómicos y sanitarios a gran escala como un «bien estratégico» para impulsar sus sectores de biotecnología, inteligencia artificial y medicina de precisión, y ha invertido miles de millones en iniciativas nacionales de genómica y medicina de precisión.
Los grandes conjuntos de datos procedentes de poblaciones no chinas resultan especialmente valiosos para desarrollar modelos de inteligencia artificial y mejorar la competitividad comercial a nivel mundial de las empresas farmacéuticas y biotecnológicas chinas.
Desde el punto de vista de un atacante o de los servicios de inteligencia extranjeros, el UK Biobank es un activo de «gran valor»: se trata de datos seleccionados, de alta calidad, a escala poblacional y mucho más útiles que las filtraciones aleatorias. Y dado que los datos genéticos son inmutables (a diferencia de una contraseña, no se pueden sustituir), cualquier filtración tiene una utilidad de inteligencia a muy largo plazo.
El año pasado, el diario The Guardian informó de que una de cada cinco solicitudes de acceso al UK Biobank que fueron aceptadas procedía de entidades chinas, entre ellas BGI, la empresa china líder en genómica que posteriormente fue incluida en la Lista de Entidades de Estados Unidos debido a las preocupaciones sobre su papel en la vigilancia de las poblaciones minoritarias.
China no está acumulando muestras de ADN solo por curiosidad. Está elaborando un mapa genómico mundial que abarca tanto a sus adversarios como a sus propios ciudadanos.
Tus datos genómicos
Existe una gran preocupación por la posibilidad de que los datos genéticos caigan en manos equivocadas, y con razón. Pero no voy a decir que ceder voluntariamente tus datos médicos para la investigación sea algo malo. Los investigadores suelen hacer un buen uso de esos datos para ayudar a otras personas.
Pero hay algunas preguntas importantes que conviene plantearse antes de hacerlo.
- ¿Quién dirige el proyecto y dónde tiene su sede?
Es preferible optar por biobancos sin ánimo de lucro o académicos, con un claro mandato de interés público y una supervisión rigurosa, en lugar de recurrirse a opacos intermediarios de datos con fines comerciales. - ¿Cómo almacenan los datos recopilados?
Pregunta específicamente por los datos genómicos, los archivos de secuenciación sin procesar, los enlaces a historiales médicos y si los datos están cifrados tanto en reposo como en tránsito. - ¿Quién puede acceder a los datos y qué controles se aplican?
Busque un comité de acceso formal, contratos estrictos y controles técnicos, como entornos de análisis seguros y opciones de exportación limitadas, en lugar de modelos del tipo «descargar el CSV y listo», como el que propició el incidente del UK Biobank. - ¿Pueden las entidades extranjeras acceder a los datos o copiarlos?
A la luz de las advertencias de los gobiernos de EE. UU. y el Reino Unido sobre el acceso chino a los datos genómicos occidentales, es razonable preguntarse si los datos pueden ser consultados, procesados o almacenados en jurisdicciones con diferentes niveles de seguridad. - ¿Cómo gestionan el riesgo de reidentificación?
Como ya hemos comentado, «anonimizado» no es una palabra mágica. Privacy y los servicios de inteligencia estadounidenses han advertido de que los datos sanitarios y genómicos a menudo pueden reidentificarse cuando se combinan con otros conjuntos de datos.
Si los datos que contienen tu ADN están en manos de otra persona, no puedes recuperarlos, pero sí puedes exigir una mejor gestión y presionar a las instituciones para que traten los datos genómicos como información sensible de seguridad nacional.
También hay que mostrarse más receloso ante las estafas muy específicas. Los atacantes pueden utilizar grandes conjuntos de datos combinados para crear estafas convincentes de spear-phishing o relacionadas con la salud; por ejemplo, poniéndose en contacto contigo para hablar de una enfermedad concreta que padezcas tú o un familiar. Desconfía especialmente de los correos electrónicos, llamadas y aplicaciones no solicitados relacionados con la salud o el ADN.
¿Qué saben los ciberdelincuentes sobre ti?
Utiliza el análisis gratuito de huellas digitales Malwarebytes para comprobar si tu información personal ha sido expuesta en Internet.
