# Платформы приватности геномных данных

Реидентификация по нескольким десяткам SNP, вывод фамилии и дальнеродственный поиск, а также конкретная цена каждого криптографического ответа: раздувание шифртекста, раунды связи и конечный бюджет приватности.

Геном нельзя обезличить, и принадлежит он не только вам, — поэтому приватность здесь строят криптографией, а не вычёркиванием полей.

Source: https://bioecon.ru/docs/services-governance-capital/digital-it/genomic-data-privacy-platforms/
Updated: 2026-09-04



Любой другой режим защиты персональных данных начинается с удаления идентификаторов. В геномике так нельзя: данные и есть идентификатор. Из одного этого факта следует, почему здесь строят криптографию, а не политику вычёркивания полей.

## Почему геном не обезличивается

Геном — пожизненный уникальный ключ. Работа Линя, Оуэна и Олтмена 2004 года показала, что порядка 30–80 независимых распространённых вариантов достаточно, чтобы отличить человека от всех остальных, — исчезающе малая доля от тех миллионов, что выдаёт генотипирующий чип. Удаление имени не меняет ничего: запись по-прежнему сходится со своим владельцем, как только существует любой другой его образец.

Три результата сделали это осязаемым. Хомер с соавторами в 2008 году показал, что присутствие человека в объединённой когорте выявляется по одним лишь опубликованным сводным частотам аллелей, — после чего сводную статистику полногеномных исследований убрали из открытого доступа. Гимрек с соавторами в 2013 году показал, что короткие тандемные повторы Y-хромосомы можно сопоставить с любительскими генеалогическими базами и вывести фамилию, а фамилии вместе с возрастом и штатом часто хватало, чтобы назвать участника исследования по имени. Дальнеродственный поиск обобщает атаку: поскольку родство обнаруживается вплоть до троюродных, база, покрывающая лишь несколько процентов населения, даёт совпадение для большей его части — на этом стоит судебная генетическая генеалогия.

Отсюда два следствия, которых не снимает никакая форма согласия. Геном затрагивает родственников, которые ничего не подписывали, включая ещё не родившихся; и, в отличие от банковской карты, после утечки его нельзя перевыпустить.

## Чего стоит каждый криптографический ответ

**Гомоморфное шифрование** позволяет считать прямо по шифртексту, так что недоверенная площадка вычисляет, ни разу не держа открытых данных. Цена арифметическая: шифртекст многократно больше скрываемых значений, каждая операция на порядки дороже своего открытого аналога, а число последовательных умножений ограничено — дальше рост шума требует дорогой процедуры бутстрэппинга. Поэтому метод практичен для узких, заранее согласованных вычислений: частоты аллелей, проверка конкретного варианта, определённый шкальный риск, — но не для разведочного полногеномного анализа. Соревнования iDASH по защищённому геномному анализу как раз и отслеживают, где проходит эта граница.

**Защищённые многосторонние вычисления** разделяют данные так, что ни у одной стороны нет пригодной доли, и стороны считают результат совместно. Цена здесь не вычислительная, а коммуникационная: протоколам нужно много раундов, поэтому определяющими становятся полоса и задержка канала между организациями. Подход хорош для нескольких известных партнёров в хорошей сети и заметно деградирует при многих участниках или разных континентах.

**Дифференциальная приватность** идёт противоположным путём, добавляя откалиброванный шум так, чтобы присутствие отдельного участника нельзя было вывести из результата. Её цена — бюджет. Параметр приватности расходуется каждым запросом и не возобновляется, поэтому набор данных выдерживает конечное число честных ответов, прежде чем гарантия исчерпана. Хуже для геномики другое: требуемый шум плохо масштабируется для редких вариантов — ровно того сигнала, на котором держится работа с редкими болезнями.

**Федеративный анализ** перемещает вычисление вместо данных и внедряется легче остальных. Но его выход — сводная статистика, то самое, что читала атака Хомера, так что федерация остаётся архитектурой разграничения доступа и всё равно требует применить к покидающим её результатам один из перечисленных методов. Протокол Beacon консорциума GA4GH — компактная иллюстрация: сервис, отвечающий лишь «есть ли такой аллель, да или нет», при повторяющихся запросах утекал факт членства, и чинить это пришлось бюджетами и шумом, а не более строгим форматом ответа.