Domů › Průvodce white-label genetickými testy › Ochrana osobních údajů

Ochrana osobních údajů u white-label genetických testů: role, souhlas, uchovávání

Zkontroloval Dr. Daniel Wallerstorfer, molekulární biolog a zakladatel společnosti Novogenia · Aktualizováno: 13. října 2026 · Doba čtení: 11 min

Štafeta s DNA: proč záleží na každé předávce

Co se stane s genetickými údaji vašich zákazníků, když se společnost dostane do insolvence? Ve společnosti Novogenia odpověď najdete v obchodních podmínkách: mezi zásadami převzatými do informací o ochraně osobních údajů ke genetické analýze je výmaz genetických údajů v případě insolvence. Takové otázky zní teoreticky – dokud nezačnete budovat značku na genetických údajích.

White-label genetický test je štafeta. Vaše značka přijme objednávku, sada putuje k zákazníkovi, vzorek do laboratoře, výsledek do zprávy a na platformu; u lékařských analýz běží jeden úsek lékař. Štafetovým kolíkem jsou genetické údaje – a při každé předávce musí být jasné, kdo běží a kdo za daný úsek odpovídá.

Obecné nařízení o ochraně osobních údajů (GDPR) definuje genetické údaje jako osobní údaje týkající se zděděných nebo získaných genetických znaků osoby, které poskytují jedinečné informace o její fyziologii či zdraví a které vyplývají zejména z analýzy biologického vzorku (čl. 4 bod 13). Jejich zpracování je v zásadě zakázáno (čl. 9 odst. 1), pokud se neuplatní některá z výjimek podle čl. 9 odst. 2 – u spotřebitelských genetických testů především výslovný souhlas. To platí pro lifestylové analýzy stejně jako pro lékařské. Základy pro poradenskou praxi najdete v článku Genetické údaje a GDPR; zde se zaměřujeme na to, co přidává vlastní značka.

Kdo běží který úsek? Role značky a laboratoře

GDPR zná tři role. Správcem je ten, kdo sám nebo společně s jinými určuje účely a prostředky zpracování (čl. 4 bod 7). Zpracovatel zpracovává údaje pro správce (čl. 4 bod 8). Pokud dva nebo více správců určují účely a prostředky společně, jsou společnými správci (čl. 26). Kdo má jakou roli, vyplývá z toho, co se skutečně děje – nikoli z nadpisu smlouvy. Tak to popisuje Evropský sbor pro ochranu osobních údajů ve svých pokynech 07/2020.

Smlouva o zpracování osobních údajů je víc než formulář. Mimo jiné stanoví, že laboratoř zpracovává údaje jen na základě vašich doložených pokynů, že zúčastněné osoby jsou vázány mlčenlivostí, jaká bezpečnostní opatření platí, že další zpracovatelé se zapojují jen s vaším povolením a že na konci se všechny údaje podle vašeho rozhodnutí vymažou, nebo vrátí (čl. 28 odst. 2 a 3). A zpracovatel, který sám určuje účely a prostředky, se ve vztahu k tomuto zpracování považuje za správce (čl. 28 odst. 10).

Praktický tip: Před spuštěním si zapište, kdo informuje zákazníka podle čl. 13, kdo odpovídá na žádosti o přístup a výmaz a kdo kdy maže které údaje. Ve společnosti Novogenia stanoví informace o ochraně osobních údajů ke genetické analýze, kdo odpovídá za které zpracování.

Souhlas: startovní signál každé analýzy

Bez výslovného souhlasu pro stanovené účely se u spotřebitelských genetických testů nic nepohne (čl. 9 odst. 2 písm. a) GDPR). Souhlas musíte být schopni doložit (čl. 7 odst. 1) a zákazník ho může kdykoli odvolat (čl. 7 odst. 3). Předem zaškrtnuté políčko souhlasem není (bod 32 odůvodnění).

White label přidává praktickou otázku: souhlas se obvykle uděluje ve vašem e-shopu nebo při registraci sady – laboratoř ho ale potřebuje také. Naplánujte proto, jak se doklad o souhlasu dostane do laboratoře a jak se tam dostane jeho odvolání. Vnitrostátní pravidla přidávají další požadavky:

• Německo, lékařské analýzy: Souhlas se uděluje výslovně a písemně odpovědnému lékaři a vztahuje se i na zpracování genetických údajů; pověřená laboratoř analyzuje až tehdy, když má doklad o souhlasu (§ 8 odst. 1 GenDG).
• Rakousko: Údaje z genetických analýz ve smyslu GTG se jiným osobám, než které zákon uvádí, předávají jen s výslovným písemným souhlasem, který lze kdykoli písemně odvolat (§ 71 odst. 2 GTG).
• Švýcarsko: Každý genetický test vyžaduje svobodný a výslovný souhlas po náležitém poučení (čl. 5 GUMG).

Kdo vidí co? Jen ten, kdo to skutečně potřebuje

Vlastní značka svádí k tomu chtít vidět všechno: každý výsledek, každou zprávu. GDPR tu šlape na brzdu: údaje musí být omezeny na to, co je nezbytné pro daný účel (čl. 5 odst. 1 písm. c)), a standardně se zpracovávají jen údaje nezbytné pro každý konkrétní účel (čl. 25 odst. 2). Zeptejte se proto sami sebe: k čemu vaše značka potřebuje náhled? Pro zákaznický servis často stačí stav objednávky a údaje o odeslání. Ve společnosti Novogenia jako partner rozhodujete, zda zprávy svých zákazníků uvidíte.

• Zaměstnavatelé: Nesmějí genetické výsledky svých zaměstnanců vyžadovat ani používat (§ 19 GenDG, § 67 GTG, čl. 37 GUMG). Více o tom, jak takové programy navrhnout: Programy firemního zdraví.
• Pojišťovny: Ani ony zpravidla nesmějí genetické výsledky vyžadovat ani používat (§ 18 GenDG, § 67 GTG, čl. 37 GUMG) – s úzkými výjimkami v Německu a Rakousku.
• Zabezpečení: Chraňte zprávy vhodnými technickými a organizačními opatřeními (čl. 32 GDPR) – zabezpečený portál je lepší než příloha e-mailu. Jak vypadají zprávy a platforma pod vaší značkou, popisuje článek Zprávy a platforma pod vaší značkou.

Uchovávat a zničit: i vzorky mají datum spotřeby

Osobní údaje se smějí uchovávat v podobě umožňující identifikaci jen tak dlouho, jak to vyžaduje účel (čl. 5 odst. 1 písm. e) GDPR). U genetických vzorků a výsledků jsou některé zákony konkrétnější:

Tam, kde žádný zvláštní zákon lhůtu nestanoví, ji určíte sami – zdůvodněnou účelem – a zapíšete ji do informací o ochraně osobních údajů i do smlouvy. Myslete na obojí: na vzorek v laboratoři i na údaje na platformě.

Výzkum a vývoj produktů: jen se samostatným souhlasem

Genetické údaje mnoha lidí mají pro výzkum a vývoj produktů velkou hodnotu. Právě proto potřebuje každé použití nad rámec původního účelu vlastní pevný základ:

• GDPR: Další zpracování pro účely vědeckého výzkumu se nepovažuje za neslučitelné s původním účelem (čl. 5 odst. 1 písm. b)), vyžaduje však vhodné záruky, jako je minimalizace údajů a, je-li to možné, pseudonymizace (čl. 89 odst. 1). Pro genetické údaje přesto platí čl. 9: výslovný souhlas (odst. 2 písm. a)) nebo základ v právu Unie či členského státu (odst. 2 písm. j)) – v Německu například § 27 spolkového zákona o ochraně osobních údajů (BDSG) s vážením zájmů.
• Souhlas s oblastmi výzkumu: Protože účely výzkumu často nelze při získání údajů plně určit, měly by subjekty údajů mít možnost vyslovit souhlas s určitými oblastmi vědeckého výzkumu, budou-li dodrženy uznávané etické normy (bod 33 odůvodnění).
• Německo, lékařské analýzy: Genetický vzorek smí být použit k jiným účelům jen tehdy, pokud to dovoluje zákon nebo pokud osoba po poučení udělila výslovný písemný souhlas (§ 13 odst. 2 GenDG).
• Rakousko: Genetické analýzy pro vědecké účely smějí být prováděny jen na vzorcích zbavených identifikačních údajů (§ 66 odst. 1 GTG).
• Švýcarsko: V nekódované nebo kódované podobě smějí být vzorky a genetické údaje použity k jinému účelu jen se svobodným a výslovným souhlasem po náležitém poučení; v anonymizované podobě, pokud byla osoba předem informována a nevznesla námitku (čl. 12 GUMG).

Pro vaši značku to znamená: udělejte ze souhlasu s výzkumem samostatné, dobrovolné rozhodnutí – oddělené od objednávky a kdykoli odvolatelné. Jak fungují studie s genotypizační laboratoří, popisuje článek Genotypizace pro výzkum a studie.

Švýcarsko: DSG a GUMG místo GDPR

Pro zákazníky ve Švýcarsku neplatí GDPR, ale spolkový zákon o ochraně osobních údajů (DSG), na který pro genetické údaje výslovně odkazuje čl. 10 odst. 2 GUMG. Hlavní myšlenky znáte z GDPR; detaily se liší:

• Citlivé údaje: Genetické údaje jsou citlivými osobními údaji (čl. 5 písm. c) bod 3 DSG); je-li vyžadován souhlas, musí být udělen výslovně (čl. 6 odst. 7).
• Zpracovatel: Zpracovatel smí údaje zpracovávat jen tak, jak byste to směli vy sami; zajistíte, že dokáže zaručit bezpečnost údajů, a zpracování smí předat třetí osobě jen s vaším předchozím svolením (čl. 9 DSG).
• Laboratoř v Rakousku: Osobní údaje smějí být zpřístupněny státům, u nichž Spolková rada shledala odpovídající úroveň ochrany (čl. 16 odst. 1 DSG); Rakousko a Německo jsou uvedeny v příloze 1 nařízení o ochraně osobních údajů (DSV). Subjektu údajů sdělíte dotčený stát (čl. 19 odst. 4 DSG).
• Navíc podle GUMG: Písemné informace uvádějí laboratoř, případné zapojené společnosti a laboratoře v zahraničí a kontaktní údaje osoby odpovědné za zpracování údajů (čl. 32 GUMG). Kdo zpracovává genetické údaje, omezuje přístup na osoby, které ho potřebují k plnění svých úkolů, zaznamenává kroky zpracování relevantní pro dohledatelnost a předává údaje bezpečně (čl. 3 odst. 2 GUMV).
• Posouzení vlivu: Při rozsáhlém zpracování citlivých osobních údajů provede správce předem posouzení vlivu na ochranu osobních údajů (čl. 22 DSG).

Kontrolní seznam: ochrana osobních údajů pro vaši značku genetických testů

• Role značky, laboratoře a případně lékaře jsou písemně vyjasněny – smlouvou o zpracování osobních údajů (čl. 28) nebo ujednáním podle čl. 26.
• Souhlas je výslovný, vázaný na účel a doložitelný; doklad o souhlasu i případné odvolání se dostanou do laboratoře.
• Informace o ochraně osobních údajů uvádějí správce, účely, příjemce nebo kategorie příjemců a dobu uložení (čl. 13); ve Švýcarsku také laboratoř a stát (čl. 32 GUMG, čl. 19 DSG).
• Vaše značka vidí jen to, co potřebuje ke svému účelu; zaměstnavatelé a pojišťovny nedostávají žádné genetické výsledky.
• Vzorky a údaje mají pevné lhůty pro uchovávání a zničení; konec smlouvy je upraven (čl. 28 odst. 3 písm. g)).
• Výzkum nebo vývoj produktů se zákaznickými údaji jen se samostatným, dobrovolným souhlasem.
• Při rozsáhlém zpracování genetických údajů: posouzení vlivu na ochranu osobních údajů (čl. 35 odst. 3 písm. b) GDPR, čl. 22 DSG).

Časté dotazy

Související: Genetické údaje a GDPR · Právo: jak nabízet genetické testy v DE, AT a CH · Zprávy a platforma pod vaší značkou

Upozornění: Tento průvodce slouží jako obecná informace pro podniky a odborníky a nenahrazuje lékařské ani právní poradenství. Genetické vlastnosti zjištěné genetickou analýzou jsou dobře zdokumentované (každý zahrnutý gen je podložen nejméně třemi nezávislými studiemi); doporučení z nich odvozená jsou logické závěry, nikoli vědecky prokázané skutečnosti. Předpisy se mohou měnit; chyby a změny vyhrazeny.