Оценка на въздействието върху защитата на данните

Естество на обработването: автоматизиран анализ на данни за генетични варианти (VCF файлове), качени от клинични генетични лаборатории. Обработването включва анотация на варианти спрямо популационни и клинични бази, автоматизирана ACMG/AMP класификация, фенотип-генотип корелация, извличане от биомедицинска литература, клинично резюмиране с помощта на изкуствен интелект и генериране на отчети за клинична интерпретация. Всички модели на изкуствен интелект работят локално на специализирана самостоятелна инфраструктура и никакви геномни данни не се изпращат към външни услуги или програмни интерфейси на трети страни.

Обхват: платформата обработва данни от whole-exome и whole-genome секвениране, съдържащи хиляди до милиони генетични варианти на пациентска проба. Свързаните фенотипни данни (HPO термини) и клиничният контекст също се обработват.

Контекст: платформата служи като инструмент за подкрепа на клинично решение за квалифицирани генетици. Тя не взема автономни клинични решения. Всички изходни данни, включително резюмета, генерирани от изкуствения интелект, изискват професионален преглед и валидиране.

Цел: да се намали времето за интерпретация на варианти от дни до минути, подобрявайки лабораторната пропускливост и последователност, при запазване на клиничната точност.

Необходимост: обработването на данни за генетични варианти е съществено за основната функция на платформата. Услугата не може да бъде предоставяна без обработване на VCF файлове. Фенотипните данни са необходими за клинична корелация и приоритизация на вариантите.

Пропорционалност: обработваме само минимума необходими данни. VCF файловете се получават в псевдонимизирана форма (само идентификатори на пробите, без имена на пациенти). Не изискваме и не съхраняваме директно идентифицираща пациентска информация. Фенотипните данни са ограничени до стандартизирани HPO кодове, релевантни към клиничния въпрос. Запазването на данните е ограничено във времето с автоматично изтриване.

Правно основание: Helena Bioinformatics действа в двойна роля в зависимост от дейността по обработване. При обработване на геномни данни от името на лаборатория за клинична интерпретация на варианти, Helena действа като Обработващ лични данни въз основа на Споразумение за обработване на лични данни (член 28 от GDPR). Администраторът на лични данни (лабораторията) се позовава на изрично съгласие (член 9, параграф 2, буква "а") или изключението за предоставяне на здравни услуги (член 9, параграф 2, буква "з") като правно основание за обработване на специална категория данни. При обработване на де-идентифицирани данни за вътрешни цели на R&D, включително валидиране на алгоритми и подобрение на платформата, Helena действа като самостоятелен Администратор на лични данни с легитимен интерес (член 6, параграф 1, буква "е") като правно основание, в съответствие с приложимото Data Use Agreement. Във всички случаи се прилагат по-стриктните условия на регулиращите споразумения.

Прилагат се следните технически и организационни мерки:

Технически мерки: специализирани самостоятелни сървъри в ЕС (Хелзинки, Финландия) без многоклиентско споделяне; TLS 1.3 криптиране при предаване; AES-128 симетрично криптиране на ниво приложение с HMAC-SHA256 проверка на интегритета, плюс пълно дисково криптиране на инфраструктурно ниво; контрол на достъпа на базата на роли с принцип на най-малко привилегии и изолация на данните на ниво организация; JWT удостоверяване с автоматично изтичане на сесията; цялостни одитни записи за всички операции с данни; автоматизирано изтриване на данни на базата на конфигурируеми политики за запазване; мрежова изолация със защитна стена, ограничаваща второстепенен трафик; bcrypt хеширане на пароли (коефициент на трудоемкост 12); управление на ключове за програмни интерфейси с SHA-256 хеширане и сравнение с постоянно време на изпълнение; изпълнение на модели за изкуствен интелект само локално, без външни повиквания; и редовни оценки на уязвимостите.

Организационни мерки: Споразумения за обработване на лични данни (DPA) с всички лабораторни партньори; задължения за конфиденциалност за целия персонал; документирани процедури за реакция при инцидент със сигурността с 24-часово уведомяване на Администраторите на лични данни; редовен преглед и актуализация на мерките за сигурност; управление на подизпълнители с уведомяване на Администратора на лични данни; обучение на персонала по задълженията за защита на данните; и определено лице за контакт по защита на данните.

Платформата Helena е проектирана и управлявана в съответствие с приложимите европейски и национални регулации за защита на данните и киберсигурност. В допълнение към GDPR (Регламент (ЕС) 2016/679), архитектурата за сигурност на платформата адресира изискванията на Директивата NIS2 (Директива (ЕС) 2022/2555), транспонирана в българското национално законодателство чрез измененията на Закона за киберсигурност (Държавен вестник бр. 17, 13 февруари 2026 г.). Макар Helena Bioinformatics сама по себе си да не може да бъде класифицирана като съществено или важно лице по NIS2, нейната инфраструктура и мерки за сигурност са проектирани да подкрепят лабораторните партньори, които притежават такъв статус. Мерките, описани в това DPIA, включително криптиране при съхранение и предаване, контрол на достъпа, одитно логване, процедури за реакция при инцидент и управление на подизпълнители, са съгласувани със задълженията за управление на риска, изложени в член 21 от NIS2.

Това DPIA заключава, че платформата Helena може да обработва генетични данни с приемливо ниво на остатъчен риск, при условие че всички идентифицирани мерки се поддържат и преглеждат редовно. Ключовите фактори, подкрепящи това заключение, са: данните се получават само в псевдонимизирана форма; цялото обработване се осъществява в рамките на ЕС на специализирана самостоятелна инфраструктура; криптирането се прилага както при предаване, така и при съхранение; моделите на изкуствен интелект работят изключително на локална инфраструктура без външно предаване на данни; платформата функционира като подкрепа на решение, изискваща задължителен човешки преглед; и запазването на данните е ограничено във времето с автоматично изтриване.

Това DPIA ще се преглежда годишно или при значителни промени в дейностите по обработване, инфраструктурата или регулаторната среда.

За въпроси относно тази оценка, свържете се с нас на privacy@helena.bio.

v1.1 - март 2026 г.: изяснено двойно правно основание (роли на Обработващ и Администратор); коригирана спецификация на криптирането (AES-128 Fernet на ниво приложение, пълно дисково криптиране на инфраструктурно ниво); добавен Риск 7, покриващ обработването от изкуствен интелект и локалното изпълнение на моделите; добавен Vercel като подизпълнител с изясняване на обхвата; добавен Раздел 5 относно регулаторно съответствие с NIS2; обновена референцията към длъжностното лице по защита на данните до определено лице за контакт по защита на данните; общи редакторски подобрения.

v1.0 - февруари 2026 г.: първоначална публикация.