Siga ZDNET: Agréganos como fuente preferida en Google.

Conclusiones clave de ZDNET

• Es posible que HIPAA no cubra las pruebas de salud y de ADN realizadas en el hogar.
• Los datos genéticos pueden exponerlo a usted o a sus familiares y crear riesgos de seguro.
• La revisión de la FDA y la atención de seguimiento varían ampliamente.

Llega el kit. No es grande.

Lo sacas del buzón y lo llevas a tu mostrador. Está impreso en colores divertidos y amigables.

Torunda. Escupir. Pincha tu dedo. Envíelo por correo. Pronto aprenderá algo nuevo sobre usted mismo: sus hormonas, su fertilidad, su riesgo de cáncer, su predisposición al Alzheimer, su metabolismo, su sensibilidad a los alimentos o incluso su genoma completo.

Ése es el atractivo de las pruebas de ADN y de salud caseras («directas al consumidor»). A altas horas de la noche, desde su teléfono, puede solicitar casi cualquier prueba para realizar en casa, ya sea que no tenga seguro, tenga curiosidad o simplemente esté ansioso por saber qué secretos puede estar ocultando su cuerpo.

Sin embargo, antes de pedir uno, busqué un poco en Google.

Al principio buscaba respuestas sencillas. ¿La prueba fue revisada por la FDA? ¿Estaba la empresa cubierta por HIPAA? ¿Un médico podría explicar los resultados? Cuanto más leo, menos simple se vuelve. El lenguaje de la FDA era poco común y, cuando aparecía, generalmente estaba vinculado a una prueba, informe o kit de recolección específico, no necesariamente a toda la empresa o servicio.

Algunas empresas dijeron que cumplen con HIPAA; otros no lo hicieron. Casi todos citaron laboratorios certificados por CLIA o acreditados por CAP, pero esos son solo estándares de calidad de laboratorio. El asesoramiento y la atención de seguimiento también variaron ampliamente. Eso me hizo profundizar más en la letra pequeña: ¿podría mi información compartirse con las autoridades o usarse para publicidad o investigación?

La respuesta estaba en las políticas que la mayoría de la gente nunca lee. Pero lo hice, para 10 empresas.

Everlywell, LetsGetChecked, Labcorp OnDemand, Nebula Genomics / DNA Complete, Nucleus, SiPhox, myLAB Box, CircleDNA, SelfDecode y 23andMe. Me comuniqué con todas las empresas que mencioné para hacer comentarios. También hablé con 12 expertos en bioética, genética, HIPAA y leyes de atención médica, regulación de la FDA, privacidad del consumidor y ciberseguridad, aunque solo cité a seis de ellos.

Es posible que mis datos de salud no estén protegidos como asumo

¿Mi primer riesgo? No es la lanceta, el hisopo o el tubo que estoy usando para recolectar mi muestra biológica. Comienza antes, cuando ordeno la prueba y probablemente asumo que, debido a que la empresa maneja datos relacionados con la salud, mi información está protegida como cualquier otro registro médico.

En los EE. UU., HIPAA, la Ley de Responsabilidad y Portabilidad del Seguro Médico de 1996, protege la información de salud personal, o PHI, cuando es creada, mantenida o transmitida por entidades cubiertas y sus socios comerciales. No es una ley de privacidad general para todos.

Anya Prince, profesora de derecho David H. Vernon en la Facultad de Derecho de la Universidad de Iowa, estudia salud y privacidad genética. Prince dijo a ZDNET que la pregunta principal es si una empresa está cubierta por HIPAA. «Es posible que los laboratorios de DTC no cuenten como entidades cubiertas», dijo Prince. «La información de salud que tienen… se regirá por la política de privacidad de una empresa en lugar de considerarse PHI».

Cuando miré empresas populares de DTC a domicilio, me sorprendió encontrar varios usos del lenguaje HIPAA y algunas lagunas.

Everlywell dijo que está «comprometido a salvaguardar su información de salud de identificación personal» según HIPAA. Labcorp dijo que está «obligado por ley a mantener la privacidad de la información de salud» según HIPAA. Nucleus me dijo que «cumple con HIPAA». SiPhox dijo que tiene «seguridad de grado HIPAA» y myLAB Box dijo que la información y las muestras vinculadas a sus kits están «cubiertas» por HIPAA.

Para los demás, no pude encontrar una página pública actual que confirme que la empresa cumple con HIPAA o está cubierta por HIPAA.

Julian Gage, fundador de Engage Compliance y responsable de protección de datos subcontratado para las empresas de pruebas genéticas y de salud de DTC, dijo a ZDNET que las afirmaciones de «grado HIPAA» y «cumple con HIPAA» son lenguaje de marketing, «no protección».

«El cifrado de grado HIPAA es una declaración sobre una configuración de seguridad», dijo Gage. «No dice nada sobre si HIPAA realmente se aplica a usted o qué puede hacer la empresa con sus resultados».

Por ejemplo, explicó que cuando una empresa de DTC envía un pedido a través de un médico o una red de telesalud, ese médico o red puede ser una entidad cubierta por HIPAA, y la porción de datos que crea y mantiene puede estar bajo la HIPAA. Pero eso no necesariamente coloca a la empresa de pruebas, o a la transacción completa del consumidor, bajo HIPAA. «Puede terminar con una fina capa protegida y el resto viviendo bajo los términos que usted aprovechó al momento de pagar», dijo Gage.

Dijo que el mayor error es que la gente «da por sentado que enviar una muestra por correo a una empresa privada les da el mismo escudo que entregársela a su propio médico».

La letra pequeña dice quién más puede ver mis datos.

En la décima política de privacidad, ciertos términos comienzan a desdibujarse: publicidad, marketing, afiliados, socios, terceros, segmentación, análisis, investigación, desidentificado, agregado. Son fáciles de pasar por alto. Pero estos términos revelan quién puede ver mi información.

LetsGetChecked dijo que puede utilizar mi «información personal» para proporcionar «marketing, incluido marketing dirigido en sitios de terceros, como sitios web de redes sociales» y, con consentimiento, puede compartirla con «terceros con fines publicitarios». También dijo que «puede incluir datos genéticos no identificados en nuestras bases de datos de investigación», a los que terceros pueden acceder y descargar.

SiPhox dijo: «No vendemos su información personal o de salud», pero también dijo: «Los datos agregados pueden usarse para información de marketing y orientación». Nebula Genomics dijo que «nunca divulgará datos genéticos con fines de investigación» sin mi consentimiento. Pero su política de privacidad decía que mi «información genética o fenotípica no identificada o seudonimizada» puede compartirse con terceros para investigaciones.

Estos términos no son necesariamente nefastos. La investigación puede ser valiosa. Pero, ¿cuándo mis datos «no identificados» o «agregados» también pueden ayudar con el marketing y la segmentación? Me tomo un momento. ¿A qué estoy dando mi consentimiento? ¿Es realmente imposible rastrear mi información hasta mí?

«Su ADN es lo que más lo identifica y los investigadores han demostrado más de una vez que genomas supuestamente no identificados pueden rastrearse hasta personas reales», dijo Gage. «Una vez que los datos se desidentifican según el estándar legal, quedan completamente fuera de la mayoría de las reglas de privacidad y la empresa puede usarlos, compartirlos o venderlos sin preguntarle nuevamente».

El Dr. Avi Rubin, director del Laboratorio de Seguridad Médica y Salud de la Universidad Johns Hopkins, dijo a ZDNET que desidentificar los datos es un paso importante, pero «es importante no confiar demasiado en ese proceso». Los estudios han demostrado, dijo, que «cuando se combinan con datos disponibles públicamente, los conjuntos de datos anónimos a menudo pueden inferir y revelar información privada».

En otras palabras, la desidentificación no es un borrador mágico. Un informe de Wired de 2013 mostró cómo los investigadores, incluso entonces, podían utilizar información de acceso público, incluidas bases de datos genealógicas, para identificar participantes «anónimos» en un gran estudio genómico.

Mis datos genéticos y de salud pueden tener consecuencias

Los datos personales pueden ser confidenciales. ¿Mis datos genéticos y de salud? Eso es algo completamente distinto. Es permanente, identificativo y familiar. «A diferencia de su contraseña, su ADN no se puede cambiar», dijo Rubin.

Dice cosas no sólo sobre mí, sino también potencialmente sobre familiares que nunca dieron su consentimiento para una prueba. Puede revelar paternidad, enfermedades hereditarias y riesgos con consecuencias emocionales, médicas y financieras.

Laura Hercher, directora de investigación estudiantil en el Programa de Graduados en Genética Humana del Sarah Lawrence College y consejera genética, dijo a ZDNET que no está nada claro si las compañías que ofrecen seguros de vida o de atención a largo plazo comenzarán a preguntar a los clientes si han realizado pruebas genéticas con el fin de «descartar clientes de mayor riesgo». Pero en la mayoría de los estados, dijo, «podrían hacerlo».

Prince, que también estudia la discriminación genética, hizo una observación similar sobre GINA, o Ley de No Discriminación por Información Genética. La ley de 2008 no regula cómo «las aseguradoras de vida, cuidados a largo plazo y discapacidad utilizan la información genética», dijo Prince. Eso significa que a una persona «se le podrían negar estos seguros o cobrarle una prima más alta» según los resultados de sus pruebas.

Luego está la cuestión de la aplicación de la ley. La genealogía genética ha ayudado a resolver casos sin resolver. También plantea preocupaciones sobre la privacidad: ¿una empresa requiere una orden judicial, citación u orden judicial? ¿Me avisará? ¿Mis familiares podrían estar implicados?

En mi revisión de las empresas de DTC a domicilio, el lenguaje de aplicación de la ley apareció en cada política de privacidad que examiné.

«No podemos decirlo lo suficiente», decía la política de privacidad de 23andMe. «(Nosotros) no proporcionaremos información a las autoridades a menos que la ley lo exija para cumplir con una orden judicial, citación u orden de registro válida».

Cada política que revisé incluía algún lenguaje que permitiera la divulgación en respuesta a obligaciones legales o solicitudes gubernamentales, incluidas citaciones, órdenes judiciales, órdenes judiciales, obligaciones de salud pública y requisitos regulatorios.

¿Qué derechos tengo realmente?

La eliminación de cuentas, la retención de muestras y la destrucción de muestras fueron tres cuestiones importantes para mí. ¿Puedo cerrar una cuenta? ¿Eliminar mis datos genéticos o de salud? ¿La empresa mantendría registros de todos modos? ¿La muestra física que envié por correo se destruiría automáticamente o solo si se lo pedía?

Eso es importante porque, como dijo Hercher a ZDNET, «no existen leyes» que garanticen la privacidad de los datos de ADN. Si bien los términos de servicio son importantes, «pueden cambiar y de hecho cambian con el tiempo», dijo.

Las respuestas suelen estar enterradas. LetsGetChecked dijo que los usuarios pueden solicitar que «elimine su información o destruya su muestra», aunque puede negarse si «la información aún es necesaria» o si todavía tiene «una base legal para procesar la información o conservar la muestra». También dijo que las muestras «se destruyen de forma segura después de ser procesadas». CircleDNA dijo que conservará una muestra durante el período máximo permitido por la ley, «después del cual será destruida».

Tuve que buscar estos detalles y no puedo estar seguro de si cambiarán y cuándo.

¿Se necesita más precisión o regulación?

Las pruebas de salud y de ADN caseras deben ser económicas y rápidas. ¿Pero se puede confiar en los resultados? Un laboratorio puede producir datos técnicamente precisos, pero el consumidor aún necesita saber qué significan los datos, qué no significan y qué hacer a continuación.

Mientras comparaba empresas, me preguntaba: El laboratorio puede ser legítimo, pero ¿quién interpretará el resultado por mí? Al Dr. Robert Green, profesor de medicina genética en la Facultad de Medicina de Harvard y científico que dio una charla TED sobre pruebas genómicas en bebés, le preocupa si algunos resultados de las pruebas son precisos, se interpretan adecuadamente y están relacionados con la atención médica.

«Cuando alguien te ofrece una prueba genética en línea, surge una cuestión de calidad», dijo Green a ZDNET. «¿Se está realizando bien la prueba? Y por bien no me refiero sólo a que sea precisa. También tendría que haber una interpretación precisa». Green sugirió que algunas empresas pueden incluso confiar en sistemas de interpretación automatizados que «pasan por alto toneladas de condiciones importantes».

Hercher parecía más preocupado por la regulación. «La mayoría de las empresas de pruebas genéticas DTC no son fraudes, pero creo que el cuidado del comprador sigue siendo un buen mensaje», afirmó. «Esta no es una industria fuertemente regulada».

La terminología regulatoria en torno a las pruebas de salud y de ADN caseras también es confusa. «En casa» me dice dónde se recoge la muestra. «Directo al consumidor» me dice cómo se comercializa la prueba. La revisión de la FDA y la certificación CLIA son etiquetas completamente diferentes y ninguna garantiza mis resultados.

Aún así, cuando revisé las menciones de la FDA en 10 empresas, encontré que eran escasas y específicas para las pruebas. LetsGetChecked dijo que la FDA le otorgó una «autorización de comercialización» para la prueba Simple 2. 23andMe dijo que incluye «informes autorizados por la FDA» y enumera docenas de informes de salud que «cumplen con los requisitos de la FDA». Everlywell y myLAB Box citaron la autorización de la FDA para pruebas relacionadas con COVID-19.

Las afirmaciones de calidad de laboratorio fueron mucho más comunes en mi revisión. Casi todos citaron laboratorios certificados por CLIA, acreditación CAP o ambos.

Pero eso no significa que una prueba o informe haya pasado por la revisión de la FDA, o que el resultado sea clínicamente significativo. CLIA es sólo un estándar federal para la calidad de los laboratorios, dijo Green. «El CAP es un estándar diferente» que involucra estándares profesionales en patología. Ambos, dijo, son «estándares mínimos» y «la certificación CLIA no dice mucho sobre la calidad de la interpretación».

Green reconoció que una mayor supervisión de la FDA podría hacer que el mercado fuera más consistente, pero también podría frenar la innovación. Dijo que las pruebas genéticas «cambian cada semana». Si cada ajuste requiriera una revisión completa de la FDA, «eso sería completamente catastrófico para las pruebas genéticas», afirmó Green. Aún así, el mercado actual es difícil de comparar porque «algunos son de buena calidad y otros no».

Como la calidad varía, dijo que una de las primeras cosas que busca es si una empresa tiene la experiencia adecuada detrás de la prueba: «¿Tienen un director médico que sea médico o genetista?». o «¿Tienen director de laboratorio?»

Los resultados están en… ¿Qué sigue?

El profesor Arthur L. Caplan, bioético de la Facultad de Medicina Grossman de la Universidad de Nueva York que ha estudiado la genética en medicina durante décadas, sugirió a ZDNET que la promesa de los resultados de las pruebas caseras puede superar lo que los consumidores son capaces de interpretar por sí mismos.

«Lo que a menudo se vende es ‘tome el control de su salud, esté a cargo'», dijo Caplan. «No puedes, porque vas a obtener información que necesitas una maestría para comprender».

Las pruebas de ADN y de salud en el hogar pueden permitirme omitir un proveedor de atención médica tradicional y realizar pedidos sin seguro médico. Pero detrás de escena, ¿hay atención médica disponible o consultas de seguimiento? Por lo que encontré, está lejos de ser consistente.

LetsGetChecked dijo que los usuarios pueden recibir «una llamada de seguimiento de nuestro equipo clínico para analizar cualquier anomalía». Labcorp OnDemand dijo que su equipo puede contactar a los usuarios sobre resultados «anormales o críticos», pero agregó que «la coordinación de la atención, en sí misma, no incluye asesoramiento médico». SiPhox dijo que es un «servicio exclusivamente de bienestar» y «no está diseñado para diagnosticar, prevenir o tratar ninguna enfermedad».

Green dijo que hay pruebas caseras que se encuentran en algún punto entre las pruebas tradicionales ordenadas por un médico y las pruebas puras directas al consumidor. «También hay una gran cantidad de productos que se encuentran en un escenario intermedio en el que un médico realmente los solicita», dijo. «Pero no es un médico que usted conozca, haya visto o con el que haya hablado».

Entonces, si el acceso fácil y asequible a pruebas de ADN y de salud es una ventaja, la desventaja puede ser lo que sucede cuando tengo que interpretar mis datos en gran medida por mi cuenta. Caplan indicó que era escéptico a la hora de tratar los resultados de ADN obtenidos en casa como un consejo médico claro.

«Las empresas le dirán que podemos realizar pruebas para cosas complicadas como la inteligencia», dijo Caplan. «Creo que eso simplemente no es cierto». Muchos resultados no son diagnósticos. «Con frecuencia, son sólo una presentación de un posible riesgo», dijo.

«Creo que los principales impactos en la salud todavía dependen principalmente del medio ambiente», añadió, señalando la contaminación del agua y el aire, la seguridad alimentaria y otras condiciones con las que vive la gente todos los días. «Hay una gran disminución de su papel». Poner demasiado énfasis en los genes, dijo, puede trasladar la responsabilidad nuevamente al individuo. «Es como echarle la culpa de la mala salud porque se trata de genes malos», dijo Caplan.

Green rechazó la idea de que recibir información genética sea perjudicial. Su investigación, me dijo, ha encontrado «sorprendentemente poca evidencia de daño psicosocial». Las personas pueden sentirse molestas por un resultado, dijo, pero esa angustia suele ser «transitoria y leve».

«Creo que deberíamos ser mucho más agresivos a la hora de ofrecer pruebas genómicas tanto a adultos como a niños», afirmó. «Porque nuestro sistema de salud es muy deficiente a la hora de proporcionar pruebas de detección adecuadas».

Qué hacer antes de solicitar una prueba

Antes de solicitar una prueba de salud o de ADN en casa, tome un tiempo y lea la letra pequeña.

Estas pruebas pueden ser económicas, convenientes y útiles, especialmente para personas que no tienen seguro, tienen seguro insuficiente o están alejadas de los especialistas.

No estoy diciendo que todas las empresas de pruebas caseras sean una granja de datos. Pero averigüe si la compañía dice que su prueba está autorizada, aprobada o aprobada por la FDA; lo que eso significa; y si se aplica a toda la prueba o solo a un informe ofrecido. Busque si el laboratorio está certificado por CLIA o acreditado por CAP y pregunte quién interpretará los resultados y si hay alguna consulta de seguimiento disponible.

A continuación, lea las políticas de privacidad y consentimiento. Busque HIPAA, intercambio de datos, publicidad, investigación, datos agregados y no identificados, y aplicación de la ley. Gage me dijo que buscara «terceros, socios y la palabra ‘vender'», junto con retención, eliminación, destrucción de muestras, adquisición y quiebra. «Si esas partes se leen como vagas», dijo, «la vaguedad es su respuesta».

Entonces, ¿puedo confiar en una prueba de salud o de ADN hecha en casa?

A veces. Algunos pueden proporcionar conocimientos reales, análisis útiles y un camino más económico hacia la información. Pero también recopilan algunos de los datos más confidenciales que una persona puede revelar. Haga su propia lista de verificación de los riesgos y beneficios que más le interesan y luego vea si la prueba es adecuada. Personalmente, me resultó muy difícil elegir uno que cumpliera con todos los míos.