互动科普

隐私难隐基因检测的尴尬

撰文  马克·A·罗斯坦（Mark A. Rothstein）

翻译  范建得

过去，如果有家族成员患结肠癌，那你能做的就只有等待和担心，因为谁也不知道结肠癌会不会出现在你身上。而今，接受一次遗传检查，你就能确定自己患结肠癌的几率到底有多大，并根据实际情况，决定是否接受预防性治疗。医生对病人的基因信息了解得越多，就有更大的把握预防、治疗甚至治愈疾病。

1990年人类基因组计划的启动，让我们对个性化医疗充满期待，但这股热情并未持续太久。基因检测很容易揭露一个人的基因特征，但也很容易引发麻烦。根据基因信息，保险公司可能提高参保费用，或拒绝为某些人提供健康保险服务；企业老板也可能因此拒绝某些人的求职申请，甚至辞退具有较高患病风险的员工。科学家和公共卫生官员已意识到，如果基因信息得不到有效保护，人们就会因为害怕自己的信息被滥用，而拒绝参与基因检测计划。这样一来，基于基因信息的个性化医疗和提高医护水平，就无从谈起。

截至目前，人们对基因歧视的担心尚未成为现实，健康记录泄露事件几乎没有发生过。虽然在2003年，人类基因组计划就已完成，但由于全基因组分析费用高昂——每次检测都需要花费数千美元，基因检测尚未普及。此外，科学家还缺乏一套标准技术，以利用全基因扫描进行健康风险评估。

不过，在很多国家——尤其在富有阶层中，针对多重疾病的基因检测将很快变为一项常规检查项目。新技术和新发现的不断涌现，将让基因检测更实用、成本更低廉。在健康医疗领域，纸质病历全面转向电子化，为基因检测的普及奠定了基础。实际上，保护基因信息的难度远超人们想象，即使美国政府在2008年颁布的《基因信息反歧视法》（Genetic Information Nondiscrimination Act），也仅能提供有限的保护。因此，在基因检测普及以及基因信息被大肆滥用之前，相关部门应尽快完善法律体制。

信息膨胀

从法律层面来说，基因信息包括个人及亲属的基因检测结果和家族病史（因为家族成员共有的疾病一般涉及遗传因素），这类信息正在迅速增加。过去10年，基因研究及相关临床应用已从囊肿性纤维症（cystic fibrosis）、肌肉萎缩症（muscular dystrophy）等单基因疾病，转向更常见更复杂的多元性疾病——涉及多个基因与环境的相互作用，比如气喘、癌症、心血管疾病和糖尿病等。目前已投入使用的基因检测方法超过1,500种，还有数千种正处于研发阶段。当这些方法成为常规医疗手段时，大部分病人的健康记录都将含有大量的基因信息。

全基因组分析将进一步发掘我们的基因信息。进行分析时，技术人员将从几十万核苷酸碱基中，找出发生突变的单个碱基，而这种突变往往与某种疾病和状态相关。虽然很多科学家认为，全基因组分析技术尚未成熟，还不适于用作常规检测手段，但美国加利福尼亚州山景城的23andMe公司、冰岛雷克雅未克的deCODE生物科技公司等，已经展开强大的营销攻势，将全基因组扫描服务推向市场，尽管这些公司都没有医学实验室的营运执照。10年内，解读人类基因组30亿个核甘酸碱基的费用，很可能会低于1,000美元（参见《环球科学》2006年第2期《1000美元测出你的基因组》一文）。

其他两个因素也会导致健康记录信息量的急剧增加。个性化医疗将极大提升现有医疗水平——根据病人情况量身定制的用药方案，不仅能提高治疗效率，更能减少毒副作用。不过，个性化医疗的实现，依赖于全基因组分析技术。越来越多的医生开始重视“药物基因组”检测结果，并据此为病人挑选合适的药物及使用量。在评估人们处于特定环境中的健康风险时，利用全基因组分析技术研究个体对有毒物质的反应的“毒理基因组学”，也扮演着越来越重要的作用。

网络带来的麻烦

为什么保护健康信息是一个高难度挑战？这与人们对数字信息的依赖有很大的关系。在很多国家和地区，各类医院都将纸质医疗记录转变成了电子健康记录(electronic health records，EHRs)，医院负责人认为这种做法有助于改善医护质量、降低营运成本。美国也开始构建国家健康信息网(National Health Information Net，NHIN)，目标是构建一种电子格式，让各类记录都能相互兼容，能够在美国甚至全球网络中传递。这项计划一旦完成，当一个婴儿出生后，一份电子健康记录就将伴随他终身。隶属美国健康与公共服务部门的健康信息技术国家协调办公室主要负责NHIN的开发工作，而美国各个州政府和私营部门则参与研究、发展和试运行。

NHIN计划引起了争议。在传统的纸质系统中，个人隐私能得到较好的保护。在这个系统中，信息是分散的，在有限时间内，从一大堆病历中找到某个人的健康记录，几乎是不可能完成的任务。NHIN计划的完成将彻底改变这种状况，人们的健康记录将井井有条地出现于网络中——当然包括敏感的个人信息。这样一来，人们向医护人员陈述某些事实时，就不再享有“选择性回忆”的权利，再也无法隐瞒自己曾接受过哪些医生的治疗。即便是很早以前接受过的心理辅导记录，或者因为有某种家族疾病而接受基因检测的结果，都将作为电子健康记录的一部分，永远保存下来。很多有过不良记录（比如曾经吸毒）的人，可能因为害怕别人看到自己的健康记录而拒绝或放弃治疗——不论对于个人还是公共卫生来说，这种结果都是一出悲剧。实际上，医生们为病人治病时，有时并不需要完整的病人健康记录——骨科医生为患者治疗脚踝扭伤时，根本不需要知道这个病人是否易患乳癌；牙医为患者植牙时，也不需要知道患者家族是否具有亨廷顿病病史。

为了保护病人的敏感信息，加拿大、荷兰、英国等国家正在考虑采取一些措施，仅向医护人员提供必要的病人信息。比如，赋予病人对健康记录的完全控制权，允许他们删除某些陈旧信息；限制医护人员获取病人健康信息的自由度，他们只能看到有利于诊断的信息；应用特殊规则来隐藏敏感信息；建立一个基础性健康信息库，对所有医护人员开放；成立一个独立的健康记录银行，根据病人情况向医生提供信息档案。在丹麦，人们可以“封锁”自己的电子健康记录中的任何信息，尽管很少有人行使这项权力，但对于保护个人隐私来说，确实具有重大意义。

美国尚未实行上述措施。2008年2月，美国国家生命健康统计委员会（美国卫生及公共服务部的智囊团）建议，在预先确定信息分类的情况下，普通民众应该有权拒绝公开某些敏感健康信息，如家庭暴力、药物滥用、心理健康、性传染疾病和基因信息等。但如何实现这一点还有待研究。在信息开放与限制之间如何实现平衡，也是一个急须解决的问题。如果病人对健康信息的控制权过大，医生将对记录的准确性和完整性失去信心，他们甚至可能认为，要准确诊断疾病，必须重新寻找病人的病史，并为病人安排新的健康检查项目。但这样一来，信息网络会逐渐失去效用，医护成本也会上升。另一方面，如果病人对自己的健康信息没有控制权，他们可能退出网络、付钱移除记录或拒绝接受某些医护服务等。

其他问题同样有待解决。是否应该在医生常用的电子记录扫描与用药咨询系统中，加入个人隐私管理规则，防止他人获知病人的实际用药情况？在病人要求不公开某些健康信息时，医护人员是否有权查看与这些信息相关的电子档案？如果发生紧急事件，医生能否绕开上述限制，直接获取他想要的病人健康信息？

法律漏洞

随着基因信息日益增多、电脑网络迅速普及，立法保护健康隐私势在必行。不幸的是，很多国家的法律并不完善。最接近国家级隐私保护法的是美国政府在1996年颁布的《健康保险便利及责任法案》（Health Insurance Portability and Accountability Act, HIPAA），以及在2003年颁布的《HIPAA附加隐私条款》。后者明确规定，在得到允许的情况下，医护人员、医疗计划以及记录交换所可以查看、使用个人健康信息。

但HIPAA有个很大的漏洞：约束范围过小。这一法规只能约束医疗单位，而事实上，人们最担心的是，如果个人信息泄露，在应征工作、购买人寿保险或申请工伤补偿时，会遭到歧视。然而，正是这些领域经常要求人们签名授权，同意公开个人健康信息。据估计，像这样的授权事件，每年都会发生2,500万次。

即便在医疗领域，HIPAA的约束范围仍不够大。它只适用于以电子方式处理医疗需求的实体单位，很多医护人员并不在此列，比如只收现金的医生、利用医疗信息为会员制定锻炼计划的健康俱乐部、受雇于私人诊所的健康护理人员等。

隐私保护法规执行起来也不顺利。从2003年4月到2008年5月，美国卫生及公共服务部收到的隐私投诉约36,000件，虽然相关部门对法规做了一些修正，但至今仅有一个案例的违规者遭到处罚。

不过，某些公司要求获得员工的健康信息是合法的，因为这些信息可能影响公司决策——电力公司肯定不会让一个易患癫痫的人去攀爬电线杆固定电缆。问题的关键在于，个人健康信息的公开程度。在招聘野外工作人员时，电力公司并不需要知道，应聘人员携带了一种突变基因，可能导致他在几十年后患心血管疾病；同样，公司在审查员工的工伤赔偿申请时，不必获知员工的生殖健康信息；在交通事故中，如果某位乘客或驾驶员的牙齿碎裂，要求保险公司赔偿，保险理赔专员在评估赔偿等级时，也不需要知道申请人的基因检测结果。由于大多数法律并未严格限制健康信息的获取，以至于很多单位很容易就能找到他人健康信息。

讽刺的是，电子健康记录网络却可以解决这个问题。内置软件可以扫描电子记录，仅选取与特定要求相关的信息。这种软件的基本原理是“情景获取标准”（contextual access criteria），对于X类查询要求，它只会给出A、B、C类信息（即不会给出与查询要求对应的所有信息）。比如，人寿保险从业者在查询他人健康信息时，只能得到这个人的死亡风险信息。目前，基于“情景获取标准”的软件技术是可行的，但尚未普遍应用。这可能是因为商业需求不足，无法推动该技术的推广。或许应该由政府出面，采取法律手段强制推行。

由于美国的法律在保护个人健康信息方面存在诸多缺陷，很多州政府开始制定自己的保护法规。在立法过程中，这些州引入了“基因特例论”（genetic exceptionalism）——即将基因信息与其他敏感健康信息区别开来，以不同的方式进行处理。虽然这一规定能否让人们满意尚待观察，但至少将基因信息的“地位”，提高到与心理健康、药物滥用、艾滋病等信息相同的水平。

尽管美国各州法律有所差别，但有很多条款颇为相似：12个州规定，在接受基因检测前，人们应该签署书面同意书；27个州要求，相关机构必须要得到被检测者的同意后，才能公开基因检测结果。不过，州法律和美国法律一样，都允许保险公司和雇主在合法的情况下，要求个人签署授权书，同意他们查询相关医疗信息。结果，美国有47个州又制定了其他法律，用以禁止保险公司依据个人基因检测结果，拒绝承保或对于保险范围设限。HIPAA已将参与团体健康保险计划(一般由雇主发起)的人纳入保护范围，而已生效的州法律仅为购买个人保险的人提供保护。

虽然美国有35个州的法律明确规定，禁止雇主以接受基因检测作为招聘条件之一，也不能利用预测性基因信息，拒绝为应聘人员提供就业机会，但在有条件录用的情况下，法律却允许雇主向应聘人员提出个人健康记录查询要求，并以获得查询授权作为录用条件之一。

由于法律存在缺陷，越来越多的人要求修正隐私保护法规，美国政府面临的压力也越来越大。上世纪90年代中期，美国国会就提出了基因信息平等法案(Genetic Information Nondiscrimination Act, GINA)，但直到2008年5月才正式通过。GINA禁止保险公司根据投保人的基因信息，改变承保范围及保险费用。不幸的是，这项法案并不比很多州法律完善，未将人寿、残障或长期医护保险包括在内。

构建全民健康体系

GINA、HIPAA及美国各州法律存在缺陷并非立法官员的失误，而是由于在美国当前医疗卫生体制下，个人保险范围取决于医疗信息（参见本期第26页《稳私2.0》）。在美国，人们有三种获得保险的途径；由雇主提供的团体健康保险、个人保险或国家保险计划（比如医疗保险和医疗补助）。就团体和个人保险计划而言，保险公司必须精确计算投保人或团体的健康风险，并依据风险指数决定投保费用。保险公司进行精细计算的主要目的是为了维护自己的经济利益：了解每位客户的病史以及未来的患病几率，制定合理的保险价格并排除可能申请巨额赔偿的投保人。

本文提到的所有隐私法规都不适用于医疗保险或医疗补助方案，因为从专业层面来说，这两个方案是权益而非保险。有些法规试图保护国家保险计划涉及的个人信息，但政府没有必要去窥视任何人的基因信息，毕竟国家不会因为某人是否容易患病而对他的保险费用作出调整。

实际上，在保护个人信息方面，构建一个全民医疗卫生系统可能起到最好的效果。在这个体系中，风险和所需资金由全民共同承担，即便有些人的患病风险较高，但只要把这一风险分摊到全国人民身上，也就显得微不足道。对于大部分人而言，自然就没有了偷看他人隐私信息的动机。人们心中最大的忧虑也就烟消云散：不用担心自己的健康信息泄露，被拒绝投保，或为工作单位的医疗计划增添负担而被辞退。

然而，很多国家都没有健全的全民医疗卫生制度，美国就是一个典型例子。在2008年的总统大选中，全民医疗卫生制度已成为候选各方的核心议题。虽然有些观察家认为，新型基因技术对于个人隐私的威胁并不大，关于职场或健康保险的歧视案例也极为罕见，但仍有很多人害怕基因信息泄露，拒绝接受基因检测。[美国国家人类基因组所前负责人弗朗西斯·S·柯林斯（Francis S. Collins）表示，约1/3符合研究条件的人因为害怕信息泄露，遭到他人歧视，而拒绝参与基因研究。]在未来10年间，不论是基因检测的数量、受测人数还是基因信息的使用途径，都会显著增长，而利用电子健康记录网络，人们随便点击几下鼠标，就可能查询到他人的基因信息，因此制定更好的隐私保护法刻不容缓。

在寻找保护基因信息的最佳方法的过程中，很多国家的决策者发现，保护隐私既需高昂成本，又有相当大的难度。或许，在未经授权的情况下，经过改良的安全措施能防止基因信息泄露，但在得到授权后，人们的查询行为也应该受到限制（这对于保护基因信息同样重要）：哪些人（或单位）基于怎样的目的，有权查询哪些基因信息。

有效的隐私保护法规至少应具备下列四个因素：扫清公众获取（或购买）健康保险的障碍，平衡雇主与员工之间的权利；限制人们非法使用预测性健康信息；限制基因信息的公开范围，惩罚非法获取他人信息的人，并为受害者提供帮助；电子健康记录和电子健康记录网络须经过精心设计，仅在限制范围内为人们提供他人健康信息。这些问题若能妥善解决，将为个人健康信息的保护奠定坚实基础。