Início › Guia de dados laboratoriais › Proteção de dados e papéis

Proteção de dados e papéis entre laboratório e fabricante: quem é responsável pelo quê nos dados genéticos e sanguíneos

Revisto por Dr. Daniel Wallerstorfer, biólogo molecular e fundador da Novogenia · Atualizado: 13 de outubro de 2026 · Tempo de leitura: 14 min

Quem é o realizador? Porque é que os papéis contam na partilha de dados

Um laboratório mede. Um fabricante calcula e mistura. Entre os dois circulam alguns dos dados mais pessoais que uma pessoa tem: o seu genoma e o seu estado de saúde atual. Assim que estes dados mudam de mãos, a legislação de proteção de dados faz uma pergunta simples: quem é responsável pelo quê?

Num set de filmagem, é claro quem realiza, quem opera a câmara e quem coproduz. Na partilha de dados entre laboratório e fabricante, tem de ser igualmente claro – porque os deveres seguem o papel: quem obtém o consentimento? Quem informa o cliente? Quem responde a um pedido de apagamento?

Porque é que os dados genéticos e sanguíneos estão especialmente protegidos

O Regulamento Geral sobre a Proteção de Dados (RGPD) utiliza dois conceitos centrais para laboratórios e detentores de dados:

• Dados genéticos: dados pessoais relativos às características genéticas, hereditárias ou adquiridas, de uma pessoa que deem informações únicas sobre a sua fisiologia ou a sua saúde e que resultem, designadamente, de uma análise de uma amostra biológica (artigo 4.º, ponto 13).
• Dados relativos à saúde: dados pessoais relacionados com a saúde física ou mental que revelem informações sobre o estado de saúde de uma pessoa (artigo 4.º, ponto 15). O considerando 35 inclui expressamente as informações obtidas a partir de análises ou exames de uma substância corporal – ou seja, também os valores sanguíneos.

Ambos pertencem às categorias especiais de dados pessoais. O seu tratamento é proibido (artigo 9.º, n.º 1), a menos que se aplique uma das exceções do artigo 9.º, n.º 2. Para um produto complementar, a principal opção é o consentimento explícito. Os Estados-Membros podem ainda impor condições adicionais para os dados genéticos e os dados relativos à saúde (artigo 9.º, n.º 4). As regras nacionais adicionais na Alemanha e na Áustria são tratadas em Dados genéticos e RGPD.

Realização, equipa técnica, coprodução: os três papéis do RGPD

O RGPD distribui a responsabilidade por três papéis:

• Responsável pelo tratamento – o realizador: determina, individualmente ou em conjunto com outros, as finalidades e os meios do tratamento (artigo 4.º, ponto 7).
• Subcontratante – a equipa técnica no set: trata os dados por conta do responsável pelo tratamento (artigo 4.º, ponto 8).
• Responsáveis conjuntos pelo tratamento – a coprodução: determinam conjuntamente as finalidades e os meios (artigo 26.º, n.º 1).

O papel resulta daquilo que efetivamente acontece, e não do título do contrato, como sublinha o Comité Europeu para a Proteção de Dados nas suas Diretrizes 07/2020. Um subcontratante que viole o RGPD ao determinar ele próprio as finalidades e os meios é considerado responsável pelo tratamento no que respeita a esse tratamento (artigo 28.º, n.º 10).

Três configurações típicas entre laboratório e fabricante

Para um produto complementar baseado em dados laboratoriais ou genéticos, são possíveis três modelos, consoante quem decide o quê:

Nenhuma configuração é a correta por defeito. O papel tem de corresponder à forma como efetivamente trabalham em conjunto e estar por escrito antes de os dados circularem. Na Novogenia, definimos os papéis do teu projeto no contrato.

O fundamento jurídico: consentimento explícito para uma finalidade específica

O consentimento explícito tem de se referir a uma ou mais finalidades específicas (artigo 9.º, n.º 2, alínea a), do RGPD). Esta é uma armadilha típica para os detentores de dados: se os dados foram recolhidos para uma análise laboratorial, o produto complementar é uma finalidade adicional. E os dados não podem ser tratados posteriormente de uma forma incompatível com a finalidade original (artigo 5.º, n.º 1, alínea b), do RGPD).

Por isso, verifica se o teu consentimento abrange o produto complementar e, se necessário, obtém um novo consentimento antes de transmitir dados. Há quatro pontos importantes:

• Específico: indica o produto complementar, os dados utilizados (por exemplo, genes, valores sanguíneos, questionário, dados corporais) e o fabricante como destinatário. Na Novogenia, a fórmula é recalculada em cada ciclo de produção; inclui também isso.
• Claramente separado: se constar de um documento que abranja outros assuntos, tem de ser claramente distinguível e de fácil compreensão (artigo 7.º, n.º 2).
• Demonstrável: o responsável pelo tratamento tem de poder demonstrar que a pessoa deu o seu consentimento (artigo 7.º, n.º 1).
• Revogável: o consentimento pode ser retirado a qualquer momento, de forma tão fácil como foi dado (artigo 7.º, n.º 3). Define o que acontece então aos dados, à subscrição e aos ciclos de produção em curso.

Marca própria, informação completa: quem diz o quê ao cliente?

A tua marca pode ocupar o centro do palco; a política de privacidade não pode, ainda assim, ter lacunas. Se recolhes os dados junto dos teus clientes, informa-los no momento da recolha sobre, entre outros aspetos, o responsável pelo tratamento, as finalidades e o fundamento jurídico, os destinatários ou categorias de destinatários, o prazo de conservação e o direito de retirar o consentimento a qualquer momento (artigo 13.º, n.os 1 e 2).

Se o fabricante, enquanto responsável pelo tratamento por direito próprio, receber os dados de ti e não dos clientes, aplica-se o artigo 14.º: informa-os num prazo razoável, o mais tardar no prazo de um mês, ou aquando da primeira comunicação com eles ou da primeira divulgação a outro destinatário (artigo 14.º, n.º 3). Se forem responsáveis conjuntos, o vosso acordo define quem cumpre que dever de informação (artigo 26.º, n.º 1).

Contrato, segurança, prazo de conservação: o que deve ficar por escrito

Se o fabricante trabalhar como subcontratante, precisas de um contrato que estabeleça o objeto e a duração, a natureza e a finalidade do tratamento, o tipo de dados e as categorias de titulares dos dados. Nele, o subcontratante compromete-se, entre outras coisas, a tratar os dados apenas mediante instruções documentadas, a adotar as medidas de segurança previstas no artigo 32.º, a prestar-te assistência nos pedidos dos teus clientes e, no fim da prestação de serviços, a apagar ou devolver todos os dados, consoante a tua escolha (artigo 28.º, n.º 3, alíneas a), c), e) e g), do RGPD).

Seja qual for o papel, há três temas que fazem parte de qualquer acordo. Primeiro, o prazo de conservação: os dados só podem ser conservados de forma que permita a identificação durante o período necessário para a finalidade (artigo 5.º, n.º 1, alínea e), do RGPD). Como uma fórmula personalizada é recalculada em cada ciclo de produção, o fabricante precisa dos dados enquanto a subscrição estiver ativa – define o que acontece depois de terminar, depois da retirada do consentimento ou no fim do contrato. Segundo, o registo das atividades de tratamento: a isenção para organizações com menos de 250 trabalhadores não se aplica quando são tratadas categorias especiais de dados (artigo 30.º, n.º 5). Terceiro, a avaliação de impacto sobre a proteção de dados: é exigida, em especial, no caso de tratamento em grande escala de categorias especiais de dados (artigo 35.º, n.º 3, alínea b), do RGPD).

Suíça: DSG e GUMG em vez do RGPD

A Suíça tem regras próprias. Desde 1 de setembro de 2023, aplica-se a Lei Federal sobre a Proteção de Dados (DSG) revista. Para os testes genéticos, acresce a Lei Federal sobre Análises Genéticas em Seres Humanos (GUMG); quanto ao tratamento de dados genéticos, esta remete, de resto, para a legislação de proteção de dados (artigo 10.º, n.º 2, da GUMG). Conheces as ideias de base do RGPD, mas a mecânica é diferente:

• Dados pessoais sensíveis: os dados relativos à saúde e os dados genéticos são dados pessoais sensíveis (artigo 5.º, alínea c), pontos 2 e 3, da DSG).
• Lógica de base diferente: a DSG não parte de uma proibição como o artigo 9.º do RGPD. Os dados pessoais têm de ser tratados de forma lícita, de boa-fé e de forma proporcional (artigo 6.º). Mas a comunicação de dados pessoais sensíveis a terceiros constitui uma violação da personalidade (artigo 30.º, n.º 2, alínea c), da DSG). É ilícita, a menos que seja justificada pelo consentimento, por um interesse privado ou público preponderante ou pela lei (artigo 31.º, n.º 1).
• Consentimento: quando o consentimento é necessário, tem de ser dado livremente para um tratamento específico, após informação adequada, e de forma explícita no caso de dados pessoais sensíveis (artigo 6.º, n.os 6 e 7, da DSG).
• Papéis: o responsável pelo tratamento é quem decide, individualmente ou em conjunto com outros, sobre a finalidade e os meios (artigo 5.º, alínea j), da DSG). Um subcontratante só pode tratar os dados da forma como tu próprio estarias autorizado a fazê-lo e só pode subcontratar com a tua autorização prévia (artigo 9.º, n.os 1 e 3). A DSG não impõe aos responsáveis privados o dever de celebrar um acordo como o do artigo 26.º do RGPD.
• Informação: o responsável pelo tratamento informa o titular dos dados também quando os dados não são recolhidos junto dele. Indica os destinatários e, se os dados forem para o estrangeiro, o país (artigo 19.º, n.os 1 e 2, bem como n.º 4, da DSG).

Nos termos da GUMG, há três regras particularmente importantes para os detentores de dados. As informações resultantes de um teste genético só podem ser comunicadas a outra pessoa se a pessoa testada tiver dado o seu consentimento (artigo 7.º, n.º 2). As amostras e os dados genéticos só podem ser utilizados para outra finalidade se a pessoa tiver dado o seu consentimento livre e explícito, após informação suficiente (artigo 12.º, n.º 1) – exatamente a situação de dados genéticos existentes reutilizados para um produto complementar. E, para os testes genéticos fora do domínio médico, a informação escrita tem de indicar o laboratório que realiza o teste, bem como as empresas e os laboratórios no estrangeiro que participam no teste ou tratam os dados genéticos (artigo 32.º). Quem pode requisitar análises de nutrição e de desporto na Suíça é explicado em Quem pode oferecer testes genéticos?

Lista de verificação: papéis e proteção de dados antes do primeiro registo

• Os papéis estão claros e correspondem à forma como efetivamente trabalham em conjunto.
• O contrato certo está celebrado: nos termos do artigo 28.º, n.º 3, um acordo nos termos do artigo 26.º ou regras sobre a transmissão de dados.
• O consentimento abrange o produto complementar, os dados utilizados e o fabricante como destinatário; é demonstrável e revogável.
• A política de privacidade indica os destinatários, as finalidades, o prazo de conservação e os direitos – coordenada entre todas as partes.
• O prazo de conservação, o apagamento e a devolução estão definidos, incluindo para o fim de uma subscrição e para a retirada do consentimento.
• Para a Suíça: justificação para a comunicação, consentimento explícito nos termos da GUMG, informação escrita que indique o laboratório e indicação do país.

Perguntas frequentes

Relacionados: Dados genéticos e RGPD · Quem pode oferecer testes genéticos? · Integração de dados: dados brutos, interfaces, formatos

Nota: Este guia contém informação geral para empresas e profissionais e não substitui aconselhamento médico ou jurídico. As características genéticas determinadas numa análise genética estão bem documentadas (cada gene incluído é sustentado por, pelo menos, três estudos independentes); as recomendações delas derivadas são conclusões lógicas, não estão cientificamente comprovadas. A regulamentação pode mudar; salvo erros e alterações.