Home › Gids labdata › Gegevensbescherming en rollen

Gegevensbescherming en rollen tussen lab en producent: wie waarvoor verantwoordelijk is bij genetische gegevens en bloedgegevens

Gecontroleerd door Dr. Daniel Wallerstorfer, moleculair bioloog en oprichter van Novogenia · Bijgewerkt: 13 oktober 2026 · Leestijd: 12 min

Wie heeft de regie? Waarom rollen ertoe doen bij het delen van gegevens

Een lab meet. Een producent rekent en mengt. Daartussen reizen enkele van de meest persoonlijke gegevens die een mens heeft: het eigen genoom en de actuele gezondheidstoestand. Zodra deze gegevens van hand wisselen, stelt het gegevensbeschermingsrecht een eenvoudige vraag: wie is waarvoor verantwoordelijk?

Op een filmset is duidelijk wie regisseert, wie de camera bedient en wie coproduceert. Bij het delen van gegevens tussen lab en producent moet dat net zo duidelijk zijn – want de plichten volgen de rol: wie vraagt de toestemming? Wie informeert de klant? Wie beantwoordt een verzoek om wissing?

Waarom genetische gegevens en bloedgegevens bijzonder beschermd zijn

De algemene verordening gegevensbescherming (AVG) gebruikt twee begrippen die voor labs en data-eigenaren centraal staan:

• Genetische gegevens: persoonsgegevens die verband houden met de overgeërfde of verworven genetische kenmerken van een persoon, die unieke informatie verschaffen over diens fysiologie of gezondheid en die met name voortkomen uit een analyse van een biologisch monster (art. 4, punt 13).
• Gegevens over gezondheid: persoonsgegevens die verband houden met de fysieke of mentale gezondheid en waaruit informatie over iemands gezondheidstoestand blijkt (art. 4, punt 15). Overweging 35 rekent daar uitdrukkelijk informatie toe die voortkomt uit het testen of onderzoeken van een lichaamseigen stof – met andere woorden ook bloedwaarden.

Beide behoren tot de bijzondere categorieën van persoonsgegevens. Verwerking ervan is verboden (art. 9, lid 1), tenzij een van de uitzonderingen van art. 9, lid 2, van toepassing is. Voor een vervolgproduct is uitdrukkelijke toestemming de belangrijkste optie. De lidstaten kunnen bovendien bijkomende voorwaarden invoeren voor genetische gegevens en gegevens over gezondheid (art. 9, lid 4). Aanvullende nationale regels in Duitsland en Oostenrijk worden behandeld in Genetische gegevens en de AVG.

Regie, crew, coproductie: de drie rollen in de AVG

De AVG verdeelt de verantwoordelijkheid over drie rollen:

• Verwerkingsverantwoordelijke – de regisseur: stelt, alleen of samen met anderen, het doel van en de middelen voor de verwerking vast (art. 4, punt 7).
• Verwerker – de crew op de set: verwerkt gegevens ten behoeve van de verwerkingsverantwoordelijke (art. 4, punt 8).
• Gezamenlijke verwerkingsverantwoordelijken – de coproductie: bepalen samen de doeleinden en middelen (art. 26, lid 1).

De rol volgt uit wat er feitelijk gebeurt, niet uit het kopje in het contract, zoals het Europees Comité voor gegevensbescherming benadrukt in zijn Richtsnoeren 07/2020. Een verwerker die in strijd met de AVG zelf de doeleinden en middelen van de verwerking bepaalt, wordt met betrekking tot die verwerking als verwerkingsverantwoordelijke beschouwd (art. 28, lid 10).

Drie typische constellaties tussen lab en producent

Voor een vervolgproduct op basis van lab- of genetische gegevens zijn drie modellen mogelijk, afhankelijk van wie wat beslist:

Geen enkele constellatie is standaard de juiste. De rol moet passen bij hoe jullie werkelijk samenwerken en schriftelijk vastliggen voordat er gegevens stromen. Bij Novogenia leggen we de rollen voor je project in het contract vast.

De rechtsgrond: uitdrukkelijke toestemming voor een welbepaald doel

Uitdrukkelijke toestemming moet betrekking hebben op een of meer welbepaalde doeleinden (art. 9, lid 2, onder a). Dat is een typische valkuil voor data-eigenaren: zijn de gegevens voor een labanalyse verzameld, dan is het vervolgproduct een extra doel. En gegevens mogen niet verder worden verwerkt op een wijze die onverenigbaar is met het oorspronkelijke doel (art. 5, lid 1, onder b).

Controleer dus of je toestemming het vervolgproduct dekt en vraag, waar nodig, nieuwe toestemming voordat je gegevens doorgeeft. Vier punten zijn belangrijk:

• Specifiek: Noem het vervolgproduct, de gebruikte gegevens (bijvoorbeeld genen, bloedwaarden, vragenlijst, lichaamsgegevens) en de producent als ontvanger. Bij Novogenia wordt de receptuur bij elke productieronde opnieuw berekend; neem ook dat op.
• Duidelijk gescheiden: Staat de toestemming in een document dat ook over andere aangelegenheden gaat, dan moet ze duidelijk te onderscheiden en gemakkelijk te begrijpen zijn (art. 7, lid 2).
• Aantoonbaar: De verwerkingsverantwoordelijke moet kunnen aantonen dat de persoon toestemming heeft gegeven (art. 7, lid 1).
• Intrekbaar: Toestemming kan te allen tijde worden ingetrokken, even eenvoudig als ze is gegeven (art. 7, lid 3). Leg vast wat er dan gebeurt met de gegevens, het abonnement en lopende productierondes.

Eigen merk, volledige informatie: wie vertelt de klant wat?

Je merk mag op de voorgrond staan; de privacyverklaring heeft toch geen blinde vlekken. Verzamel je de gegevens bij je klanten, dan informeer je hen op het moment van de verkrijging onder meer over de verwerkingsverantwoordelijke, de doeleinden en de rechtsgrond, de ontvangers of categorieën van ontvangers, de bewaartermijn en het recht om de toestemming te allen tijde in te trekken (art. 13, leden 1 en 2).

Ontvangt de producent als zelfstandig verwerkingsverantwoordelijke de gegevens van jou en niet van de klanten, dan geldt art. 14: hij informeert hen binnen een redelijke termijn, maar uiterlijk binnen één maand, of bij het eerste contact met hen of de eerste verstrekking aan een andere ontvanger (art. 14, lid 3). Zijn jullie gezamenlijk verwerkingsverantwoordelijke, dan bepaalt jullie regeling wie welke informatieplicht nakomt (art. 26, lid 1).

Contract, beveiliging, bewaartermijn: wat er op papier moet

Werkt de producent als verwerker, dan heb je een verwerkersovereenkomst nodig waarin het onderwerp en de duur, de aard en het doel van de verwerking, het soort gegevens en de categorieën van betrokkenen zijn vastgelegd. Daarin verbindt de verwerker zich onder meer om alleen op basis van schriftelijke instructies te verwerken, de beveiligingsmaatregelen van art. 32 te treffen, je te helpen bij verzoeken van je klanten en aan het einde van de dienstverlening naar jouw keuze alle gegevens te wissen of terug te bezorgen (art. 28, lid 3, onder a, c, e en g).

Ongeacht de rol horen drie onderwerpen in elke overeenkomst. Ten eerste de bewaartermijn: gegevens mogen in identificeerbare vorm alleen worden bewaard zolang het doel dat vereist (art. 5, lid 1, onder e). Omdat een gepersonaliseerde receptuur bij elke productieronde opnieuw wordt berekend, heeft de producent de gegevens nodig zolang het abonnement loopt – leg vast wat er gebeurt na het einde ervan, na intrekking van de toestemming of bij het einde van het contract. Ten tweede het register van de verwerkingsactiviteiten: de uitzondering voor organisaties met minder dan 250 werknemers geldt niet wanneer bijzondere categorieën van gegevens worden verwerkt (art. 30, lid 5). Ten derde de gegevensbeschermingseffectbeoordeling: die is met name vereist bij grootschalige verwerking van bijzondere categorieën van gegevens (art. 35, lid 3, onder b).

Zwitserland: DSG en GUMG in plaats van de AVG

Zwitserland heeft eigen regels. Sinds 1 september 2023 geldt de herziene federale wet betreffende gegevensbescherming (Datenschutzgesetz, DSG). Voor genetisch onderzoek komt daar de federale wet op genetisch onderzoek bij mensen (GUMG) bij; voor de verwerking van genetische gegevens verwijst die verder naar het gegevensbeschermingsrecht (art. 10, lid 2, GUMG). De grondgedachten ken je van de AVG, maar de mechanica verschilt:

• Gevoelige persoonsgegevens: Gegevens over de gezondheid en genetische gegevens zijn gevoelige persoonsgegevens (art. 5, onder c, punten 2 en 3, DSG).
• Andere basislogica: De DSG begint niet met een verbod zoals art. 9 AVG. Persoonsgegevens moeten rechtmatig, te goeder trouw en evenredig worden verwerkt (art. 6). Maar het bekendmaken van gevoelige persoonsgegevens aan derden is een inbreuk op de persoonlijkheid (art. 30, lid 2, onder c). Die is onrechtmatig, tenzij ze wordt gerechtvaardigd door toestemming, een zwaarder wegend privaat of openbaar belang, of de wet (art. 31, lid 1).
• Toestemming: Waar toestemming vereist is, moet die vrijwillig worden gegeven voor een of meer bepaalde verwerkingen na passende informatie, en uitdrukkelijk voor gevoelige persoonsgegevens (art. 6, leden 6 en 7, DSG).
• Rollen: Verwerkingsverantwoordelijke is wie, alleen of samen met anderen, over het doel en de middelen beslist (art. 5, onder j). Een verwerker mag de gegevens alleen verwerken zoals jij dat zelf zou mogen, en mag alleen met jouw voorafgaande toestemming uitbesteden (art. 9, leden 1 en 3). De DSG kent voor private verwerkingsverantwoordelijken geen plicht om een regeling te treffen zoals die van art. 26 AVG.
• Informatie: De verwerkingsverantwoordelijke informeert de betrokkene ook wanneer de gegevens niet bij die persoon worden verzameld. Hij vermeldt de ontvangers en, als gegevens naar het buitenland gaan, het land (art. 19, lid 1, lid 2 en lid 4, DSG).

Onder de GUMG zijn drie regels het belangrijkst voor data-eigenaren. Informatie uit een genetisch onderzoek mag alleen aan een andere persoon worden meegedeeld als de geteste persoon daarmee heeft ingestemd (art. 7, lid 2). Monsters en genetische gegevens mogen alleen voor een ander doel worden gebruikt als de persoon na voldoende informatie vrij en uitdrukkelijk toestemming heeft gegeven (art. 12, lid 1) – precies de situatie van bestaande genetische gegevens die voor een vervolgproduct worden hergebruikt. En bij genetisch onderzoek buiten het medische domein moet de schriftelijke informatie het laboratorium noemen dat het onderzoek uitvoert, evenals bedrijven en laboratoria in het buitenland die bij het onderzoek betrokken zijn of de genetische gegevens verwerken (art. 32). Wie in Zwitserland voedings- en sportanalyses mag laten uitvoeren, lees je in Wie mag genetische tests aanbieden?

Checklist: rollen en gegevensbescherming vóór het eerste record

• De rollen zijn duidelijk en passen bij hoe jullie werkelijk samenwerken.
• Het juiste contract ligt er: een overeenkomst volgens art. 28, lid 3, een regeling volgens art. 26 of afspraken over de doorgifte van gegevens.
• De toestemming dekt het vervolgproduct, de gebruikte gegevens en de producent als ontvanger; ze is aantoonbaar en intrekbaar.
• De privacyverklaring vermeldt ontvangers, doeleinden, bewaartermijn en rechten – afgestemd tussen alle partijen.
• Bewaartermijn, wissing en teruggave zijn vastgelegd, ook voor het einde van een abonnement en de intrekking van toestemming.
• Voor Zwitserland: rechtvaardiging voor de bekendmaking, uitdrukkelijke toestemming volgens de GUMG, schriftelijke informatie met vermelding van het laboratorium, en het land vermeld.

Veelgestelde vragen

Gerelateerd: Genetische gegevens en de AVG · Wie mag genetische tests aanbieden? · Data-integratie: ruwe data, interfaces, formaten

Let op: Deze gids bevat algemene informatie voor bedrijven en professionals en vervangt geen medisch of juridisch advies. De genetische eigenschappen die in een genetische analyse worden vastgesteld, zijn goed gedocumenteerd (elk opgenomen gen wordt ondersteund door ten minste drie onafhankelijke studies); aanbevelingen die daaruit worden afgeleid, zijn logische conclusies, niet wetenschappelijk bewezen. Regelgeving kan veranderen; fouten en wijzigingen voorbehouden.