Accueil › Guide des données de laboratoire › Protection des données et rôles

Protection des données et rôles entre laboratoire et fabricant : qui est responsable de quoi pour les données génétiques et sanguines

Vérifié par Dr Daniel Wallerstorfer, biologiste moléculaire et fondateur de Novogenia · Mis à jour le 13 octobre 2026 · Temps de lecture : 14 min

Qui dirige ? Pourquoi les rôles comptent dans le partage de données

Un laboratoire mesure. Un fabricant calcule et assemble. Entre les deux circulent certaines des données les plus personnelles qu’une personne possède : son génome et son état de santé actuel. Dès que ces données changent de mains, le droit de la protection des données pose une question simple : qui est responsable de quoi ?

Sur un plateau de tournage, il est clair qui réalise, qui tient la caméra et qui coproduit. Dans le partage de données entre laboratoire et fabricant, cela doit être tout aussi clair – car les obligations découlent du rôle : qui recueille le consentement ? Qui informe le client ? Qui répond à une demande d’effacement ?

Pourquoi les données génétiques et sanguines sont spécialement protégées

Le règlement général sur la protection des données (RGPD) utilise deux notions centrales pour les laboratoires et les détenteurs de données :

• Données génétiques : les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d’une personne qui donnent des informations uniques sur sa physiologie ou son état de santé et qui résultent, notamment, d’une analyse d’un échantillon biologique (art. 4, point 13).
• Données concernant la santé : les données à caractère personnel relatives à la santé physique ou mentale qui révèlent des informations sur l’état de santé d’une personne (art. 4, point 15). Le considérant 35 inclut expressément les informations obtenues lors du test ou de l’examen d’une substance corporelle – autrement dit, les valeurs sanguines aussi.

Toutes deux font partie des catégories particulières de données à caractère personnel. Leur traitement est interdit (art. 9, par. 1), sauf si l’une des exceptions de l’art. 9, par. 2, s’applique. Pour un produit de suivi, la principale option est le consentement explicite. Les États membres peuvent en outre introduire des conditions supplémentaires pour les données génétiques et les données concernant la santé (art. 9, par. 4). Les règles nationales complémentaires en Allemagne et en Autriche sont traitées dans Données génétiques et RGPD.

Réalisateur, équipe de tournage, coproduction : les trois rôles du RGPD

Le RGPD répartit la responsabilité selon trois rôles :

• Responsable du traitement – le réalisateur : il détermine, seul ou conjointement avec d’autres, les finalités et les moyens du traitement (art. 4, point 7).
• Sous-traitant – l’équipe sur le plateau : il traite des données pour le compte du responsable du traitement (art. 4, point 8).
• Responsables conjoints du traitement – la coproduction : ils déterminent conjointement les finalités et les moyens (art. 26, par. 1).

Le rôle découle de ce qui se passe réellement, et non de l’intitulé du contrat, comme le souligne le comité européen de la protection des données dans ses lignes directrices 07/2020. Un sous-traitant qui, en violation du RGPD, détermine lui-même les finalités et les moyens est considéré comme un responsable du traitement pour ce qui concerne ce traitement (art. 28, par. 10).

Trois configurations typiques entre laboratoire et fabricant

Pour un produit de suivi fondé sur des données de laboratoire ou génétiques, trois modèles sont possibles, selon qui décide de quoi :

Aucune configuration n’est correcte par défaut. Le rôle doit correspondre à votre manière réelle de collaborer et être consigné par écrit avant que les données ne circulent. Chez Novogenia, nous définissons les rôles pour votre projet dans le contrat.

La base juridique : un consentement explicite pour une finalité spécifique

Le consentement explicite doit porter sur une ou plusieurs finalités spécifiques (art. 9, par. 2, point a). C’est un piège typique pour les détenteurs de données : si les données ont été collectées pour une analyse de laboratoire, le produit de suivi constitue une finalité supplémentaire. Et les données ne peuvent pas être traitées ultérieurement d’une manière incompatible avec la finalité initiale (art. 5, par. 1, point b).

Vérifiez donc si votre consentement couvre le produit de suivi et, si nécessaire, recueillez un nouveau consentement avant de transmettre des données. Quatre points comptent :

• Spécifique : nommez le produit de suivi, les données utilisées (par exemple gènes, valeurs sanguines, questionnaire, données corporelles) et le fabricant en tant que destinataire. Chez Novogenia, la formule est recalculée à chaque production ; mentionnez-le également.
• Clairement distinct : s’il figure dans un document qui concerne également d’autres questions, il doit être présenté sous une forme qui le distingue clairement et sous une forme compréhensible (art. 7, par. 2).
• Démontrable : le responsable du traitement doit être en mesure de démontrer que la personne a donné son consentement (art. 7, par. 1).
• Révocable : le consentement peut être retiré à tout moment, aussi simplement qu’il a été donné (art. 7, par. 3). Définissez ce qu’il advient alors des données, de l’abonnement et des productions en cours.

Votre propre marque, une information complète : qui dit quoi au client ?

Votre marque peut occuper le devant de la scène ; la politique de confidentialité ne doit pour autant comporter aucune zone d’ombre. Si vous collectez les données auprès de vos clients, vous les informez au moment de la collecte, entre autres, du responsable du traitement, des finalités et de la base juridique, des destinataires ou des catégories de destinataires, de la durée de conservation et du droit de retirer leur consentement à tout moment (art. 13, par. 1 et 2).

Si le fabricant, en tant que responsable du traitement à part entière, reçoit les données de vous et non des clients, l’art. 14 s’applique : il les informe dans un délai raisonnable, au plus tard dans un délai d’un mois, ou au plus tard lors de la première communication avec eux ou de la première communication des données à un autre destinataire (art. 14, par. 3). Si vous êtes responsables conjoints du traitement, votre accord définit qui remplit quelle obligation d’information (art. 26, par. 1).

Contrat, sécurité, durée de conservation : ce qui doit être écrit

Si le fabricant agit en tant que sous-traitant, vous avez besoin d’un contrat qui définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées. Le sous-traitant s’y engage notamment à ne traiter les données que sur instruction documentée, à prendre les mesures de sécurité prévues à l’art. 32, à vous aider à répondre aux demandes de vos clients et, au terme de la prestation, à supprimer ou à renvoyer toutes les données, selon votre choix (art. 28, par. 3, points a, c, e et g).

Quel que soit le rôle, trois sujets ont leur place dans chaque accord. Premièrement, la durée de conservation : les données ne peuvent être conservées sous une forme permettant l’identification que le temps nécessaire à la finalité (art. 5, par. 1, point e). Comme une formule personnalisée est recalculée à chaque production, le fabricant a besoin des données tant que l’abonnement court – définissez ce qui se passe après sa fin, après le retrait du consentement ou à la fin du contrat. Deuxièmement, le registre des activités de traitement : la dérogation prévue pour les organisations comptant moins de 250 employés ne s’applique pas lorsque des catégories particulières de données sont traitées (art. 30, par. 5). Troisièmement, l’analyse d’impact relative à la protection des données : elle est requise notamment en cas de traitement à grande échelle de catégories particulières de données (art. 35, par. 3, point b).

Suisse : LPD et LAGH au lieu du RGPD

La Suisse a ses propres règles. Depuis le 1er septembre 2023, la loi fédérale sur la protection des données (LPD) révisée s’applique. Pour les analyses génétiques s’y ajoute la loi fédérale sur l’analyse génétique humaine (LAGH) ; pour le traitement des données génétiques, elle renvoie pour le reste à la législation sur la protection des données (art. 10, al. 2, LAGH). Vous connaissez les idées de base grâce au RGPD, mais la mécanique diffère :

• Données personnelles sensibles : les données sur la santé et les données génétiques sont des données personnelles sensibles (art. 5, let. c, ch. 2 et 3, LPD).
• Une autre logique de base : la LPD ne commence pas par une interdiction comme l’art. 9 RGPD. Les données personnelles doivent être traitées de manière licite, conformément au principe de la bonne foi et de manière proportionnée (art. 6). Mais communiquer des données personnelles sensibles à des tiers constitue une atteinte à la personnalité (art. 30, al. 2, let. c). Celle-ci est illicite, à moins d’être justifiée par le consentement, par un intérêt prépondérant privé ou public, ou par la loi (art. 31, al. 1).
• Consentement : lorsque le consentement est requis, il doit être donné librement pour un traitement déterminé, après une information adéquate, et de manière expresse pour les données personnelles sensibles (art. 6, al. 6 et 7, LPD).
• Rôles : le responsable du traitement est celui qui détermine, seul ou conjointement avec d’autres, les finalités et les moyens (art. 5, let. j). Un sous-traitant ne peut traiter les données que de la manière dont vous seriez vous-même en droit de le faire, et ne peut sous-traiter qu’avec votre autorisation préalable (art. 9, al. 1 et 3). La LPD n’impose pas aux responsables privés de conclure un accord comme celui de l’art. 26 RGPD.
• Information : le responsable du traitement informe la personne concernée également lorsque les données ne sont pas collectées auprès d’elle. Il mentionne les destinataires et, si des données sont communiquées à l’étranger, l’État concerné (art. 19, al. 1, 2 et 4, LPD).

Selon la LAGH, trois règles comptent le plus pour les détenteurs de données. Les informations issues d’une analyse génétique ne peuvent être communiquées à une autre personne qu’avec le consentement de la personne concernée (art. 7, al. 2). Les échantillons et les données génétiques ne peuvent être utilisés à d’autres fins que si la personne y a consenti librement et expressément, après avoir été suffisamment informée (art. 12, al. 1) – exactement la situation de données génétiques existantes réutilisées pour un produit de suivi. Et pour les analyses génétiques hors du domaine médical, l’information écrite doit nommer le laboratoire qui réalise l’analyse ainsi que les entreprises et laboratoires à l’étranger qui participent à l’analyse ou traitent les données génétiques (art. 32). Qui peut prescrire des analyses liées à l’alimentation et au sport en Suisse est expliqué dans Qui peut proposer des tests génétiques ?

Checklist : rôles et protection des données avant le premier jeu de données

• Les rôles sont clairs et correspondent à votre manière réelle de collaborer.
• Le bon contrat est en place : contrat au sens de l’art. 28, par. 3, accord au sens de l’art. 26, ou règles relatives à la transmission des données.
• Le consentement couvre le produit de suivi, les données utilisées et le fabricant en tant que destinataire ; il est démontrable et révocable.
• La politique de confidentialité mentionne les destinataires, les finalités, la durée de conservation et les droits – de manière coordonnée entre toutes les parties.
• La durée de conservation, l’effacement et la restitution sont définis, y compris pour la fin d’un abonnement et le retrait du consentement.
• Pour la Suisse : justification de la communication, consentement exprès selon la LAGH, information écrite nommant le laboratoire, et indication de l’État.

Questions fréquentes

À lire aussi: Données génétiques et RGPD · Qui peut proposer des tests génétiques ? · Intégration des données : données brutes, interfaces, formats

Remarque : Ce guide fournit des informations générales destinées aux entreprises et aux professionnels et ne remplace pas un avis médical ou juridique. Les caractéristiques génétiques déterminées dans une analyse génétique sont bien documentées (chaque gène inclus est étayé par au moins trois études indépendantes) ; les recommandations qui en découlent sont des conclusions logiques, non prouvées scientifiquement. La réglementation peut évoluer ; sous réserve d’erreurs et de modifications.