Home › Guida ai dati di laboratorio › Protezione dei dati e ruoli
Protezione dei dati e ruoli tra laboratorio e produttore: chi è responsabile di cosa con i dati genetici ed ematici
Ai sensi del GDPR, i dati genetici e i dati relativi alla salute, come i valori ematici, rientrano nelle categorie particolari di dati personali (art. 9, par. 1). Se li trasmetti a un produttore per un prodotto di follow-up, ti serve una base giuridica – l’opzione principale è il consenso esplicito per finalità specifiche (art. 9, par. 2, lett. a)) – e ruoli chiari: il produttore può essere responsabile del trattamento (art. 28), titolare autonomo del trattamento oppure contitolare insieme a te (art. 26). Quale ruolo sia adatto dipende da chi decide effettivamente finalità e mezzi; viene definito nel contratto. In Svizzera si applica la legge federale sulla protezione dei dati (LPD) e, per le analisi genetiche, anche la GUMG.
Chi dirige? Perché i ruoli contano nella condivisione dei dati
Un laboratorio misura. Un produttore calcola e miscela. In mezzo viaggiano alcuni dei dati più personali che una persona possieda: il suo genoma e il suo stato di salute attuale. Non appena questi dati passano di mano, il diritto della protezione dei dati pone una domanda semplice: chi è responsabile di cosa?
Su un set cinematografico è chiaro chi dirige, chi sta alla macchina da presa e chi coproduce. Nella condivisione dei dati tra laboratorio e produttore deve essere altrettanto chiaro – perché gli obblighi seguono il ruolo: chi raccoglie il consenso? Chi informa il cliente? Chi risponde a una richiesta di cancellazione?
Perché i dati genetici ed ematici sono particolarmente protetti
Il regolamento generale sulla protezione dei dati (GDPR) utilizza due concetti centrali per laboratori e detentori di dati:
- Dati genetici: dati personali relativi alle caratteristiche genetiche ereditarie o acquisite di una persona che forniscono informazioni univoche sulla sua fisiologia o sulla sua salute e che risultano in particolare dall’analisi di un campione biologico (art. 4, punto 13).
- Dati relativi alla salute: dati personali attinenti alla salute fisica o mentale che rivelano informazioni sullo stato di salute di una persona (art. 4, punto 15). Il considerando 35 vi include espressamente le informazioni risultanti da esami e controlli effettuati su una sostanza organica – in altre parole, anche i valori ematici.
Entrambi rientrano nelle categorie particolari di dati personali. Il loro trattamento è vietato (art. 9, par. 1), salvo che si applichi una delle eccezioni dell’art. 9, par. 2. Per un prodotto di follow-up l’opzione principale è il consenso esplicito. Gli Stati membri possono inoltre introdurre ulteriori condizioni per i dati genetici e i dati relativi alla salute (art. 9, par. 4). Le norme nazionali aggiuntive in Germania e in Austria sono trattate in Dati genetici e GDPR.
Regia, troupe, coproduzione: i tre ruoli del GDPR
Il GDPR ripartisce la responsabilità secondo tre ruoli:
- Titolare del trattamento – la regia: determina, singolarmente o insieme ad altri, le finalità e i mezzi del trattamento (art. 4, punto 7).
- Responsabile del trattamento – la troupe sul set: tratta dati personali per conto del titolare del trattamento (art. 4, punto 8).
- Contitolari del trattamento – la coproduzione: determinano congiuntamente le finalità e i mezzi (art. 26, par. 1).
Il ruolo deriva da ciò che accade effettivamente, non dal titolo nel contratto, come sottolinea il Comitato europeo per la protezione dei dati nelle sue Linee guida 07/2020. Un responsabile del trattamento che viola il GDPR determinando da sé le finalità e i mezzi del trattamento è considerato titolare del trattamento in questione (art. 28, par. 10).
Tre configurazioni tipiche tra laboratorio e produttore
Per un prodotto di follow-up basato su dati di laboratorio o genetici sono possibili tre modelli, a seconda di chi decide cosa:
| Configurazione | Quando è adatta | Cosa ti serve |
|---|---|---|
| Produttore come responsabile del trattamento | Tu determini finalità e mezzi; il produttore calcola e produce su tue istruzioni documentate. | Contratto ai sensi dell’art. 28, par. 3; altri responsabili solo previa tua autorizzazione scritta (art. 28, par. 2) |
| Due titolari autonomi | Ciascuna parte persegue finalità proprie, per esempio tu l’analisi di laboratorio e il produttore la consegna ai tuoi clienti e la relativa fatturazione. | Base giuridica per la trasmissione; ciascuna parte adempie i propri obblighi di informazione (artt. 13 e 14) |
| Contitolari del trattamento | Determinate insieme finalità e mezzi, per esempio per un prodotto progettato congiuntamente su una base di dati comune. | Accordo ai sensi dell’art. 26 su chi adempie quale obbligo; il contenuto essenziale è messo a disposizione degli interessati (art. 26, par. 2), che possono esercitare i propri diritti nei confronti di ciascuno di voi (art. 26, par. 3) |
Nessuna configurazione è giusta per impostazione predefinita. Il ruolo deve corrispondere al modo in cui collaborate effettivamente ed essere messo per iscritto prima che i dati fluiscano. Da Novogenia definiamo i ruoli per il tuo progetto nel contratto.
La base giuridica: consenso esplicito per una finalità specifica
Il consenso esplicito deve riferirsi a una o più finalità specifiche (art. 9, par. 2, lett. a)). È una trappola tipica per i detentori di dati: se i dati sono stati raccolti per un’analisi di laboratorio, il prodotto di follow-up è una finalità aggiuntiva. E i dati non possono essere successivamente trattati in modo incompatibile con la finalità originaria (art. 5, par. 1, lett. b)).
Verifica quindi se il tuo consenso copre il prodotto di follow-up e, se necessario, raccogli un nuovo consenso prima di trasmettere i dati. Contano quattro punti:
- Specifico: indica il prodotto di follow-up, i dati utilizzati (per esempio geni, valori ematici, questionario, dati corporei) e il produttore come destinatario. Da Novogenia la formula viene ricalcolata a ogni ciclo di produzione; indica anche questo.
- Chiaramente distinto: se si trova in un documento che riguarda anche altre questioni, deve essere chiaramente distinguibile e in forma comprensibile (art. 7, par. 2).
- Dimostrabile: il titolare del trattamento deve essere in grado di dimostrare che la persona ha prestato il proprio consenso (art. 7, par. 1).
- Revocabile: il consenso può essere revocato in qualsiasi momento, con la stessa facilità con cui è stato accordato (art. 7, par. 3). Definisci cosa succede allora ai dati, all’abbonamento e ai cicli di produzione aperti.
Il tuo marchio, un’informazione completa: chi dice cosa al cliente?
Il tuo marchio può stare al centro della scena; l’informativa privacy, però, non ammette zone d’ombra. Se raccogli i dati presso i tuoi clienti, li informi al momento della raccolta, tra l’altro, su titolare del trattamento, finalità e base giuridica, destinatari o categorie di destinatari, periodo di conservazione e diritto di revocare il consenso in qualsiasi momento (art. 13, paragrafi 1 e 2).
Se il produttore, come titolare autonomo del trattamento, riceve i dati da te e non dai clienti, si applica l’art. 14: li informa entro un termine ragionevole, al più tardi entro un mese, oppure al momento della prima comunicazione con loro o della prima comunicazione dei dati a un altro destinatario (art. 14, par. 3). Se siete contitolari, il vostro accordo definisce chi adempie quale obbligo di informazione (art. 26, par. 1).
Contratto, sicurezza, periodo di conservazione: cosa mettere per iscritto
Se il produttore lavora come responsabile del trattamento, ti serve un contratto che stabilisca la materia disciplinata e la durata, la natura e la finalità del trattamento, il tipo di dati e le categorie di interessati. In esso il responsabile si impegna tra l’altro a trattare i dati soltanto su istruzione documentata, ad adottare le misure di sicurezza di cui all’art. 32, ad assisterti nelle richieste dei tuoi clienti e, al termine della prestazione, a cancellare o restituire tutti i dati, a tua scelta (art. 28, par. 3, lettere a), c), e) e g)).
Qualunque sia il ruolo, tre temi appartengono a ogni accordo. Primo, il periodo di conservazione: i dati possono essere conservati in una forma che consenta l’identificazione solo per il tempo necessario alla finalità (art. 5, par. 1, lett. e)). Poiché una formula personalizzata viene ricalcolata a ogni ciclo di produzione, il produttore ha bisogno dei dati finché l’abbonamento è attivo – definisci cosa succede dopo la sua fine, dopo la revoca del consenso o alla scadenza del contratto. Secondo, il registro delle attività di trattamento: l’esenzione per le organizzazioni con meno di 250 dipendenti non si applica quando sono trattate categorie particolari di dati (art. 30, par. 5). Terzo, la valutazione d’impatto sulla protezione dei dati: è richiesta in particolare per il trattamento su larga scala di categorie particolari di dati (art. 35, par. 3, lett. b)).
Svizzera: LPD e GUMG al posto del GDPR
La Svizzera ha regole proprie. Dal 1° settembre 2023 si applica la legge federale sulla protezione dei dati (LPD) riveduta. Per gli esami genetici si aggiunge la legge federale concernente gli esami genetici sull’essere umano (GUMG), che per il trattamento dei dati genetici rinvia per il resto al diritto in materia di protezione dei dati (art. 10 cpv. 2 GUMG). I principi di base li conosci dal GDPR, ma i meccanismi sono diversi:
- Dati personali degni di particolare protezione: i dati concernenti la salute e i dati genetici sono dati personali degni di particolare protezione (art. 5 lett. c n. 2 e 3 LPD).
- Logica di base diversa: la LPD non parte da un divieto come l’art. 9 GDPR. I dati personali devono essere trattati in modo lecito, secondo il principio della buona fede e in modo proporzionato (art. 6). Comunicare a terzi dati personali degni di particolare protezione costituisce però una lesione della personalità (art. 30 cpv. 2 lett. c), che è illecita se non è giustificata dal consenso, da un interesse preponderante privato o pubblico o dalla legge (art. 31 cpv. 1).
- Consenso: se il consenso è necessario, deve essere espresso liberamente per uno o più trattamenti determinati, dopo debita informazione, ed esplicitamente per i dati personali degni di particolare protezione (art. 6 cpv. 6 e 7 LPD).
- Ruoli: titolare del trattamento è chi determina, singolarmente o insieme ad altri, lo scopo e i mezzi del trattamento (art. 5 lett. j). Un responsabile del trattamento può trattare i dati solo nel modo in cui tu stesso avresti il diritto di farlo e può affidare il trattamento a terzi solo previa tua autorizzazione (art. 9 cpv. 1 e 3). La LPD non prevede per i titolari privati l’obbligo di concludere un accordo come quello dell’art. 26 GDPR.
- Informazione: il titolare del trattamento informa la persona interessata anche quando i dati non sono raccolti presso di lei. Indica i destinatari e, se i dati vanno all’estero, lo Stato (art. 19 cpv. 1 e 2 nonché cpv. 4 LPD).
Secondo la GUMG, per i detentori di dati contano soprattutto tre regole. Le informazioni derivanti da un esame genetico possono essere comunicate a un’altra persona solo con il consenso della persona esaminata (art. 7 cpv. 2). Campioni e dati genetici possono essere utilizzati per un altro scopo solo se la persona vi ha acconsentito in modo libero ed esplicito dopo essere stata sufficientemente informata (art. 12 cpv. 1) – esattamente la situazione dei dati genetici esistenti riutilizzati per un prodotto di follow-up. E per gli esami genetici al di fuori dell’ambito medico, l’informazione scritta deve indicare il laboratorio che esegue l’esame, nonché le aziende e i laboratori all’estero che partecipano all’esame o trattano i dati genetici (art. 32). Chi può avviare analisi su alimentazione e sport in Svizzera è spiegato in Chi può offrire test genetici?
| Tema | UE (GDPR) | Svizzera |
|---|---|---|
| Dati genetici e sanitari | categorie particolari, trattamento vietato salvo eccezioni (art. 9) | dati personali degni di particolare protezione (art. 5 lett. c LPD) |
| Consenso | esplicito, per finalità specifiche (art. 9, par. 2, lett. a)) | esplicito dove richiesto (art. 6 cpv. 7 LPD); libero ed esplicito per l’esame genetico e per l’utilizzo per un altro scopo (art. 5 e art. 12 cpv. 1 GUMG) |
| Trattamento per conto del titolare | contratto con contenuto minimo (art. 28, par. 3) | per contratto o per legge, verifica della sicurezza dei dati, subaffidamento solo previa autorizzazione (art. 9 LPD) |
| Informazione | artt. 13 e 14 | art. 19 LPD; per gli esami genetici al di fuori dell’ambito medico anche art. 32 GUMG |
| Dati oltre confine | verso la Svizzera: decisione di adeguatezza della Commissione (decisione 2000/518/CE), ancora in vigore ai sensi dell’art. 45, par. 9 | verso Austria e Germania: protezione adeguata secondo l’allegato 1 dell’ordinanza sulla protezione dei dati (OPDa) (art. 16 cpv. 1 LPD) |
| Valutazione d’impatto | per il trattamento su larga scala di categorie particolari (art. 35, par. 3, lett. b)) | per il trattamento estensivo di dati personali degni di particolare protezione (art. 22 cpv. 2 lett. a LPD) |
Checklist: ruoli e protezione dei dati prima del primo record
- I ruoli sono chiari e corrispondono al modo in cui collaborate effettivamente.
- È in essere il contratto giusto: ai sensi dell’art. 28, par. 3, un accordo ai sensi dell’art. 26 o regole sulla trasmissione dei dati.
- Il consenso copre il prodotto di follow-up, i dati utilizzati e il produttore come destinatario; è dimostrabile e revocabile.
- L’informativa privacy indica destinatari, finalità, periodo di conservazione e diritti – coordinata tra tutte le parti.
- Periodo di conservazione, cancellazione e restituzione sono definiti, anche per la fine di un abbonamento e la revoca del consenso.
- Per la Svizzera: giustificazione della comunicazione, consenso esplicito ai sensi della GUMG, informazione scritta con l’indicazione del laboratorio e indicazione dello Stato.
Domande frequenti
I valori ematici sono dati relativi alla salute ai sensi del GDPR?
Il produttore è automaticamente il nostro responsabile del trattamento?
Il nostro consenso esistente copre anche il prodotto di follow-up?
Il produttore deve comparire nella nostra informativa privacy anche se vendiamo con il nostro marchio?
I dati dalla Svizzera possono andare a un laboratorio in Austria?
Approfondimenti: Dati genetici e GDPR · Chi può offrire test genetici? · Integrazione dei dati: dati grezzi, interfacce, formati
Prodotti di follow-up per i tuoi dati?
Raccontaci di quali dati disponi e chi sono i tuoi clienti – ti mostreremo quale prodotto di follow-up fa per te.
Richiedi un progetto →Offerta per laboratoriNota: questa guida contiene informazioni di carattere generale per aziende e professionisti e non sostituisce una consulenza medica o legale. I tratti genetici determinati in un’analisi genetica sono ben documentati (ogni gene incluso è supportato da almeno tre studi indipendenti); le raccomandazioni che ne derivano sono conclusioni logiche, non scientificamente provate. Le normative possono cambiare; salvo errori e modifiche.