Domů › Průvodce laboratorními daty › Ochrana osobních údajů a role

Ochrana osobních údajů a role mezi laboratoří a výrobcem: kdo za co odpovídá u genetických a krevních dat

Zkontroloval Dr. Daniel Wallerstorfer, molekulární biolog a zakladatel společnosti Novogenia · Aktualizováno: 13. října 2026 · Doba čtení: 11 min

Kdo režíruje? Proč jsou při sdílení dat důležité role

Laboratoř měří. Výrobce počítá a míchá. Mezi nimi putují jedny z nejosobnějších údajů, které člověk má: jeho genom a jeho aktuální zdravotní stav. Jakmile tato data změní majitele, klade právo na ochranu osobních údajů jednoduchou otázku: kdo za co odpovídá?

Na filmovém place je jasné, kdo režíruje, kdo stojí za kamerou a kdo je koproducentem. Při sdílení dat mezi laboratoří a výrobcem to musí být stejně jasné – protože povinnosti se řídí rolí: Kdo získává souhlas? Kdo informuje zákazníka? Kdo odpovídá na žádost o výmaz?

Proč jsou genetická a krevní data zvlášť chráněna

Obecné nařízení o ochraně osobních údajů (GDPR) používá dva pojmy, které jsou pro laboratoře a vlastníky dat zásadní:

• Genetické údaje: osobní údaje týkající se zděděných nebo získaných genetických znaků osoby, které poskytují jedinečné informace o její fyziologii či zdraví a které vyplývají zejména z analýzy biologického vzorku (čl. 4 bod 13).
• Údaje o zdravotním stavu: osobní údaje týkající se tělesného nebo duševního zdraví, které vypovídají o zdravotním stavu osoby (čl. 4 bod 15). Bod 35 odůvodnění sem výslovně řadí informace získané z testování nebo vyšetření tělesné látky – jinými slovy i krevní hodnoty.

Oba patří ke zvláštním kategoriím osobních údajů. Jejich zpracování je zakázáno (čl. 9 odst. 1), pokud neplatí některá z výjimek podle čl. 9 odst. 2. U navazujícího produktu je hlavní možností výslovný souhlas. Členské státy mohou pro genetické údaje a údaje o zdravotním stavu navíc zavést další podmínky (čl. 9 odst. 4). Dalším vnitrostátním pravidlům v Německu a Rakousku se věnuje článek Genetické údaje a GDPR.

Režie, štáb, koprodukce: tři role podle GDPR

GDPR rozděluje odpovědnost podle tří rolí:

• Správce – režisér: sám nebo společně s jinými určuje účely a prostředky zpracování (čl. 4 bod 7).
• Zpracovatel – štáb na place: zpracovává údaje pro správce (čl. 4 bod 8).
• Společní správci – koprodukce: společně stanoví účely a prostředky (čl. 26 odst. 1).

Role vyplývá z toho, co se skutečně děje, nikoli z nadpisu ve smlouvě, jak zdůrazňuje Evropský sbor pro ochranu osobních údajů ve svých pokynech 07/2020. Zpracovatel, který poruší GDPR tím, že sám určí účely a prostředky, se ve vztahu k tomuto zpracování považuje za správce (čl. 28 odst. 10).

Tři typická uspořádání mezi laboratoří a výrobcem

U navazujícího produktu založeného na laboratorních nebo genetických datech přicházejí v úvahu tři modely podle toho, kdo o čem rozhoduje:

Žádné uspořádání není automaticky správné. Role musí odpovídat tomu, jak skutečně spolupracujete, a musí být písemně zakotvena dříve, než data začnou proudit. Ve společnosti Novogenia stanovíme role pro váš projekt ve smlouvě.

Právní základ: výslovný souhlas pro stanovený účel

Výslovný souhlas se musí vztahovat k jednomu či více stanoveným účelům (čl. 9 odst. 2 písm. a)). Tady je typická past pro vlastníky dat: pokud byla data shromážděna pro laboratorní analýzu, je navazující produkt dalším účelem. A údaje nesmějí být dále zpracovávány způsobem, který je s původním účelem neslučitelný (čl. 5 odst. 1 písm. b)).

Ověřte proto, zda váš souhlas navazující produkt pokrývá, a v případě potřeby získejte před předáním dat nový souhlas. Důležité jsou čtyři body:

• Konkrétní: Uveďte navazující produkt, použitá data (například geny, krevní hodnoty, dotazník, tělesné údaje) a výrobce jako příjemce. Ve společnosti Novogenia se receptura přepočítává pro každou výrobní sérii; uveďte i to.
• Jasně oddělený: Pokud je součástí dokumentu, který se týká i jiných skutečností, musí být jasně odlišitelný a srozumitelný (čl. 7 odst. 2).
• Doložitelný: Správce musí být schopen doložit, že osoba souhlas udělila (čl. 7 odst. 1).
• Odvolatelný: Souhlas lze kdykoli odvolat, a to stejně snadno, jako byl udělen (čl. 7 odst. 3). Stanovte, co se pak stane s daty, s předplatným a s rozpracovanými výrobními sériemi.

Vlastní značka, úplné informace: kdo co zákazníkovi sděluje?

Vaše značka může stát v popředí; informace o ochraně osobních údajů přesto nesmějí mít bílá místa. Pokud údaje získáváte od svých zákazníků, informujete je v okamžiku jejich získání mimo jiné o správci, o účelech a právním základu, o příjemcích nebo kategoriích příjemců, o době uložení a o právu kdykoli odvolat souhlas (čl. 13 odst. 1 a 2).

Pokud výrobce jako samostatný správce získává údaje od vás, a nikoli od zákazníků, platí čl. 14: informuje je v přiměřené lhůtě, nejpozději do jednoho měsíce, nebo nejpozději při první komunikaci s nimi či při prvním zpřístupnění údajů jinému příjemci (čl. 14 odst. 3). Pokud jste společnými správci, určuje vaše ujednání, kdo plní kterou informační povinnost (čl. 26 odst. 1).

Smlouva, zabezpečení, doba uložení: co má být písemně

Pokud výrobce působí jako zpracovatel, potřebujete smlouvu, která stanoví předmět a dobu trvání zpracování, povahu a účel zpracování, typ údajů a kategorie subjektů údajů. Zpracovatel se v ní mimo jiné zavazuje zpracovávat údaje pouze na základě doložených pokynů, přijmout bezpečnostní opatření podle čl. 32, být vám nápomocen při vyřizování žádostí vašich zákazníků a po ukončení poskytování služeb podle vašeho rozhodnutí všechny údaje vymazat, nebo vrátit (čl. 28 odst. 3 písm. a), c), e) a g)).

Bez ohledu na roli patří do každé dohody tři témata. Zaprvé doba uložení: údaje smějí být uloženy ve formě umožňující identifikaci jen tak dlouho, jak to vyžaduje účel (čl. 5 odst. 1 písm. e)). Protože se personalizovaná receptura přepočítává pro každou výrobní sérii, potřebuje výrobce údaje po dobu trvání předplatného – stanovte, co se stane po jeho skončení, po odvolání souhlasu nebo při ukončení smlouvy. Zadruhé záznamy o činnostech zpracování: výjimka pro organizace s méně než 250 zaměstnanci neplatí, pokud se zpracovávají zvláštní kategorie údajů (čl. 30 odst. 5). Zatřetí posouzení vlivu na ochranu osobních údajů: je vyžadováno zejména při rozsáhlém zpracování zvláštních kategorií údajů (čl. 35 odst. 3 písm. b)).

Švýcarsko: DSG a GUMG místo GDPR

Švýcarsko má vlastní pravidla. Od 1. září 2023 platí revidovaný spolkový zákon o ochraně osobních údajů (DSG). U genetických vyšetření k němu přistupuje spolkový zákon o genetických vyšetřeních u člověka (GUMG); pro zpracování genetických údajů jinak odkazuje na právo na ochranu osobních údajů (čl. 10 odst. 2 GUMG). Základní myšlenky znáte z GDPR, mechanika se však liší:

• Citlivé osobní údaje: Údaje o zdraví a genetické údaje jsou citlivé osobní údaje (čl. 5 písm. c) body 2 a 3 DSG).
• Jiná základní logika: DSG nezačíná zákazem jako čl. 9 GDPR. Osobní údaje musí být zpracovávány zákonně, v dobré víře a přiměřeně (čl. 6). Sdělení citlivých osobních údajů třetím osobám je však zásahem do osobnosti (čl. 30 odst. 2 písm. c)). Je protiprávní, pokud není ospravedlněno souhlasem, převažujícím soukromým nebo veřejným zájmem nebo zákonem (čl. 31 odst. 1).
• Souhlas: Tam, kde je souhlas vyžadován, musí být udělen dobrovolně pro konkrétní zpracování po náležitém informování a u citlivých osobních údajů výslovně (čl. 6 odst. 6 a 7 DSG).
• Role: Správcem je ten, kdo sám nebo společně s jinými rozhoduje o účelu a prostředcích (čl. 5 písm. j)). Zpracovatel smí údaje zpracovávat jen tak, jak byste to směli dělat vy sami, a další zpracovatele smí zapojit jen s vaším předchozím svolením (čl. 9 odst. 1 a 3). DSG neukládá soukromým správcům povinnost uzavřít ujednání, jaké stanoví čl. 26 GDPR.
• Informace: Správce informuje subjekt údajů i tehdy, když údaje nezískává od něj. Uvádí příjemce, a pokud údaje putují do zahraničí, i danou zemi (čl. 19 odst. 1, odst. 2 a odst. 4 DSG).

Podle GUMG jsou pro vlastníky dat nejdůležitější tři pravidla. Informace z genetického vyšetření smějí být sděleny jiné osobě jen tehdy, pokud s tím testovaná osoba souhlasila (čl. 7 odst. 2). Vzorky a genetické údaje smějí být použity k jinému účelu jen tehdy, pokud osoba po dostatečném informování udělila svobodný a výslovný souhlas (čl. 12 odst. 1) – přesně to je situace existujících genetických dat znovu využitých pro navazující produkt. A u genetických vyšetření mimo lékařskou oblast musí písemné informace uvádět laboratoř, která vyšetření provádí, a také společnosti a laboratoře v zahraničí, které se na vyšetření podílejí nebo genetické údaje zpracovávají (čl. 32). Kdo smí ve Švýcarsku iniciovat analýzy v oblasti výživy a sportu, vysvětluje článek Kdo smí nabízet genetické testy?

Checklist: role a ochrana osobních údajů před prvním záznamem

• Role jsou jasné a odpovídají tomu, jak skutečně spolupracujete.
• Je uzavřena správná smlouva: podle čl. 28 odst. 3, ujednání podle čl. 26, nebo pravidla pro předání dat.
• Souhlas pokrývá navazující produkt, použitá data a výrobce jako příjemce; je doložitelný a odvolatelný.
• Informace o ochraně osobních údajů uvádějí příjemce, účely, dobu uložení a práva – sladěné mezi všemi stranami.
• Doba uložení, výmaz a vrácení jsou stanoveny, i pro konec předplatného a odvolání souhlasu.
• Pro Švýcarsko: ospravedlnění sdělení, výslovný souhlas podle GUMG, písemné informace s uvedením laboratoře a uvedení země.

Časté dotazy

Související: Genetické údaje a GDPR · Kdo smí nabízet genetické testy? · Integrace dat: surová data, rozhraní, formáty

Upozornění: Tento průvodce slouží jako obecná informace pro podniky a odborníky a nenahrazuje lékařské ani právní poradenství. Genetické vlastnosti zjištěné genetickou analýzou jsou dobře zdokumentované (každý zahrnutý gen je podložen nejméně třemi nezávislými studiemi); doporučení z nich odvozená jsou logické závěry, nikoli vědecky prokázané skutečnosti. Předpisy se mohou měnit; chyby a změny vyhrazeny.