Inicio › Guía de datos de laboratorio › Protección de datos y roles
Protección de datos y roles entre laboratorio y fabricante: quién es responsable de qué con los datos genéticos y sanguíneos
Según el RGPD, los datos genéticos y los datos relativos a la salud, como los valores sanguíneos, pertenecen a las categorías especiales de datos personales (art. 9, apartado 1). Si los cedes a un fabricante para un producto complementario, necesitas una base jurídica — la opción principal es el consentimiento explícito para fines especificados (art. 9, apartado 2, letra a) — y roles claros: el fabricante puede ser encargado del tratamiento (art. 28), responsable del tratamiento por derecho propio o corresponsable del tratamiento contigo (art. 26). Qué rol encaja depende de quién decide realmente sobre los fines y los medios; se establece en el contrato. En Suiza se aplica la Ley federal de protección de datos (DSG) y, para los análisis genéticos, también la GUMG.
¿Quién dirige? Por qué los roles importan cuando se comparten datos
Un laboratorio mide. Un fabricante calcula y mezcla. Entre ambos viajan algunos de los datos más personales que tiene una persona: su genoma y su estado de salud actual. En cuanto estos datos cambian de manos, la legislación de protección de datos plantea una pregunta sencilla: ¿quién es responsable de qué?
En un rodaje está claro quién dirige, quién maneja la cámara y quién coproduce. Cuando un laboratorio y un fabricante comparten datos, tiene que estar igual de claro — porque las obligaciones dependen del rol: ¿quién obtiene el consentimiento? ¿Quién informa al cliente? ¿Quién responde a una solicitud de supresión?
Por qué los datos genéticos y sanguíneos están especialmente protegidos
El Reglamento General de Protección de Datos (RGPD) utiliza dos conceptos que son centrales para los laboratorios y los propietarios de datos:
- Datos genéticos: datos personales relativos a las características genéticas heredadas o adquiridas de una persona que proporcionan una información única sobre su fisiología o su salud, obtenidos en particular del análisis de una muestra biológica (art. 4, punto 13).
- Datos relativos a la salud: datos personales relativos a la salud física o mental que revelan información sobre el estado de salud de una persona (art. 4, punto 15). El considerando 35 incluye expresamente la información obtenida de pruebas o exámenes de una sustancia corporal — es decir, también los valores sanguíneos.
Ambos pertenecen a las categorías especiales de datos personales. Su tratamiento está prohibido (art. 9, apartado 1), salvo que se aplique alguna de las excepciones del art. 9, apartado 2. Para un producto complementario, la opción principal es el consentimiento explícito. Los Estados miembros también pueden introducir condiciones adicionales para los datos genéticos y los datos relativos a la salud (art. 9, apartado 4). Las normas nacionales adicionales en Alemania y Austria se tratan en Datos genéticos y RGPD.
Dirección, equipo, coproducción: los tres roles del RGPD
El RGPD reparte la responsabilidad en tres roles:
- Responsable del tratamiento — la dirección: decide, solo o junto con otros, sobre los fines y los medios del tratamiento (art. 4, punto 7).
- Encargado del tratamiento — el equipo de rodaje: trata datos por cuenta del responsable (art. 4, punto 8).
- Corresponsables del tratamiento — la coproducción: determinan conjuntamente los fines y los medios (art. 26, apartado 1).
El rol se deriva de lo que ocurre realmente, no del título del contrato, como subraya el Comité Europeo de Protección de Datos en sus Directrices 07/2020. Un encargado que infringe el RGPD al determinar por sí mismo los fines y los medios será considerado responsable con respecto a dicho tratamiento (art. 28, apartado 10).
Tres configuraciones típicas entre laboratorio y fabricante
Para un producto complementario basado en datos de laboratorio o genéticos, son posibles tres modelos, según quién decida qué:
| Configuración | Cuándo encaja | Qué necesitas |
|---|---|---|
| Fabricante como encargado del tratamiento | Tú determinas la finalidad y los medios; el fabricante calcula y produce siguiendo tus instrucciones documentadas. | Contrato conforme al art. 28, apartado 3; otros encargados solo con tu autorización previa por escrito (art. 28, apartado 2) |
| Dos responsables independientes | Cada parte persigue sus propios fines, por ejemplo tú el análisis de laboratorio y el fabricante la entrega a tus clientes y su facturación. | Base jurídica para la cesión; cada parte cumple sus propias obligaciones de información (art. 13 y 14) |
| Corresponsables del tratamiento | Los fines y los medios se determinan conjuntamente, por ejemplo para un producto diseñado en común sobre una base de datos compartida. | Acuerdo conforme al art. 26 sobre quién cumple cada obligación; sus aspectos esenciales se ponen a disposición de los interesados (art. 26, apartado 2), y estos pueden ejercer sus derechos frente a cada uno de los responsables (art. 26, apartado 3) |
Ninguna configuración es la correcta por defecto. El rol debe ajustarse a la forma real de colaboración y constar por escrito antes de que fluyan los datos. En Novogenia, definimos en el contrato los roles para tu proyecto.
La base jurídica: consentimiento explícito para una finalidad especificada
El consentimiento explícito debe referirse a uno o varios fines especificados (art. 9, apartado 2, letra a), del RGPD). Aquí hay una trampa típica para los propietarios de datos: si los datos se recogieron para un análisis de laboratorio, el producto complementario es una finalidad adicional. Y los datos no pueden tratarse ulteriormente de manera incompatible con la finalidad original (art. 5, apartado 1, letra b), del RGPD).
Por tanto, comprueba si tu consentimiento cubre el producto complementario y, cuando sea necesario, obtén un nuevo consentimiento antes de ceder los datos. Hay cuatro puntos importantes:
- Específico: menciona el producto complementario, los datos utilizados (por ejemplo, genes, valores sanguíneos, cuestionario, datos corporales) y al fabricante como destinatario. En Novogenia, la fórmula se vuelve a calcular en cada ciclo de producción; inclúyelo también.
- Claramente diferenciado: si figura en un documento que trata también otros asuntos, debe distinguirse claramente de ellos y ser fácil de entender (art. 7, apartado 2).
- Demostrable: el responsable debe poder demostrar que la persona ha dado su consentimiento (art. 7, apartado 1).
- Revocable: el consentimiento puede retirarse en cualquier momento, y retirarlo debe ser tan fácil como darlo (art. 7, apartado 3). Define qué ocurre entonces con los datos, la suscripción y los ciclos de producción pendientes.
Marca propia, información completa: ¿quién le dice qué al cliente?
Tu marca puede ocupar el primer plano; aun así, la política de privacidad no puede tener lagunas. Si recoges los datos de tus clientes, les informas en el momento de la recogida, entre otras cosas, sobre el responsable, los fines y la base jurídica, los destinatarios o las categorías de destinatarios, el plazo de conservación y el derecho a retirar el consentimiento en cualquier momento (art. 13, apartados 1 y 2).
Si el fabricante, como responsable por derecho propio, recibe los datos de ti y no de los clientes, se aplica el art. 14: les informa dentro de un plazo razonable, a más tardar en un mes, o a más tardar en el momento de la primera comunicación con ellos o de la primera comunicación de los datos a otro destinatario (art. 14, apartado 3). En caso de corresponsabilidad, el acuerdo entre los corresponsables define quién cumple cada obligación de información (art. 26, apartado 1).
Contrato, seguridad, plazo de conservación: qué debe constar por escrito
Si el fabricante trabaja como encargado del tratamiento, necesitas un contrato que establezca el objeto y la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados. En él, el encargado se compromete, entre otras cosas, a tratar los datos únicamente siguiendo instrucciones documentadas, a adoptar las medidas de seguridad del art. 32, a ayudarte con las solicitudes de tus clientes y, al finalizar la prestación, a suprimir o devolver todos los datos, a tu elección (art. 28, apartado 3, letras a), c), e) y g), del RGPD).
Sea cual sea el rol, hay tres temas que deben figurar en todo acuerdo. Primero, el plazo de conservación: los datos solo pueden mantenerse de forma que permita identificar a los interesados durante el tiempo que exija la finalidad (art. 5, apartado 1, letra e), del RGPD). Como una fórmula personalizada se vuelve a calcular en cada ciclo de producción, el fabricante necesita los datos mientras dure la suscripción — define qué ocurre cuando termina, tras la retirada del consentimiento o al finalizar el contrato. Segundo, el registro de las actividades de tratamiento: la excepción para organizaciones con menos de 250 empleados no se aplica cuando se tratan categorías especiales de datos (art. 30, apartado 5). Tercero, la evaluación de impacto relativa a la protección de datos: se exige en particular en caso de tratamiento a gran escala de categorías especiales de datos (art. 35, apartado 3, letra b), del RGPD).
Suiza: DSG y GUMG en lugar del RGPD
Suiza tiene sus propias normas. Desde el 1 de septiembre de 2023 se aplica la Ley federal de protección de datos (DSG) revisada. Para los análisis genéticos se suma la Ley federal sobre análisis genéticos en seres humanos (GUMG); para el tratamiento de datos genéticos, esta remite por lo demás a la legislación de protección de datos (art. 10, apartado 2, de la GUMG). Las ideas básicas te resultarán familiares por el RGPD, pero la mecánica es diferente:
- Datos personales sensibles: los datos relativos a la salud y los datos genéticos son datos personales sensibles (art. 5, letra c, puntos 2 y 3, de la DSG).
- Una lógica básica distinta: la DSG no parte de una prohibición como el art. 9 del RGPD. Los datos personales deben tratarse de forma lícita, de buena fe y de manera proporcionada (art. 6). Pero comunicar datos personales sensibles a terceros constituye una vulneración de la personalidad (art. 30, apartado 2, letra c). Esta es ilícita salvo que esté justificada por el consentimiento, por un interés privado o público preponderante o por la ley (art. 31, apartado 1).
- Consentimiento: cuando se requiere el consentimiento, debe darse libremente para uno o varios tratamientos específicos tras una información adecuada, y de forma explícita en el caso de datos personales sensibles (art. 6, apartados 6 y 7, de la DSG).
- Roles: el responsable es quien decide, solo o junto con otros, sobre la finalidad y los medios (art. 5, letra j). Un encargado solo puede tratar los datos de la forma en que tú mismo podrías hacerlo, y solo puede subcontratar con tu autorización previa (art. 9, apartados 1 y 3). La DSG no impone a los responsables privados la obligación de celebrar un acuerdo como el del art. 26 del RGPD.
- Información: el responsable informa al interesado también cuando los datos no se recaban de él. Indica los destinatarios y, si los datos van al extranjero, el país (art. 19, apartados 1, 2 y 4, de la DSG).
Según la GUMG, hay tres normas especialmente importantes para los propietarios de datos. La información derivada de un análisis genético solo puede comunicarse a otra persona si la persona analizada ha dado su consentimiento (art. 7, apartado 2). Las muestras y los datos genéticos solo pueden utilizarse para otra finalidad si la persona ha dado su consentimiento libre y expreso tras una información suficiente (art. 12, apartado 1) — exactamente la situación de los datos genéticos existentes que se reutilizan para un producto complementario. Y para los análisis genéticos fuera del ámbito médico, la información por escrito debe indicar el laboratorio que realiza el análisis, así como las empresas y laboratorios en el extranjero que participan en el análisis o tratan los datos genéticos (art. 32). Quién puede prescribir análisis de alimentación y deporte en Suiza se explica en ¿Quién puede ofrecer tests genéticos?
| Tema | UE (RGPD) | Suiza |
|---|---|---|
| Datos genéticos y de salud | categorías especiales, tratamiento prohibido salvo que se aplique una excepción (art. 9) | datos personales sensibles (art. 5, letra c, de la DSG) |
| Consentimiento | explícito, para fines especificados (art. 9, apartado 2, letra a), del RGPD) | explícito cuando se requiere (art. 6, apartado 7, de la DSG); libre y expreso para el análisis genético y para su uso con otra finalidad (art. 5 y art. 12, apartado 1, de la GUMG) |
| Tratamiento por encargo | contrato con contenido mínimo (art. 28, apartado 3) | por contrato o por ley, comprobar la seguridad de los datos, subcontratación solo con autorización previa (art. 9 de la DSG) |
| Información | art. 13 y 14 | art. 19 de la DSG; para los análisis genéticos fuera del ámbito médico, también art. 32 de la GUMG |
| Datos a través de la frontera | hacia Suiza: decisión de adecuación de la Comisión (Decisión 2000/518/CE), que sigue en vigor con arreglo al art. 45, apartado 9 | hacia Austria y Alemania: protección adecuada según el anexo 1 de la Ordenanza sobre protección de datos (DSV) (art. 16, apartado 1, de la DSG) |
| Evaluación de impacto | en caso de tratamiento a gran escala de categorías especiales (art. 35, apartado 3, letra b), del RGPD) | en caso de tratamiento extenso de datos personales sensibles (art. 22, apartado 2, letra a, de la DSG) |
Lista de comprobación: roles y protección de datos antes del primer registro
- Los roles están claros y se corresponden con la forma real de colaboración.
- Existe el contrato adecuado: conforme al art. 28, apartado 3, un acuerdo conforme al art. 26 o normas sobre la cesión de datos.
- El consentimiento cubre el producto complementario, los datos utilizados y al fabricante como destinatario; es demostrable y revocable.
- La política de privacidad indica los destinatarios, los fines, el plazo de conservación y los derechos — coordinada entre todas las partes.
- El plazo de conservación, la supresión y la devolución están definidos, también para el final de una suscripción y la retirada del consentimiento.
- Para Suiza: justificación de la comunicación, consentimiento expreso conforme a la GUMG, información por escrito que indique el laboratorio, e indicación del país.
Preguntas frecuentes
¿Son los valores sanguíneos datos relativos a la salud según el RGPD?
¿Es el fabricante automáticamente nuestro encargado del tratamiento?
¿Cubre nuestro consentimiento actual también el producto complementario?
¿Tiene que aparecer el fabricante en nuestra política de privacidad aunque vendamos con nuestra propia marca?
¿Pueden los datos de Suiza ir a un laboratorio en Austria?
Artículos relacionados: Datos genéticos y RGPD · ¿Quién puede ofrecer tests genéticos? · Integración de datos: datos brutos, interfaces, formatos
¿Productos complementarios para tus datos?
Cuéntanos de qué datos dispones y quiénes son tus clientes – te mostraremos qué producto complementario encaja.
Solicitar un proyecto →Oferta para laboratoriosNota: Esta guía ofrece información general para empresas y profesionales y no sustituye el asesoramiento médico ni jurídico. Los rasgos genéticos determinados en un análisis genético están bien documentados (cada gen incluido está respaldado por al menos tres estudios independientes); las recomendaciones que se derivan de ellos son conclusiones lógicas, no están científicamente demostradas. La normativa puede cambiar; salvo error u omisión y sujeto a modificaciones.