Início › Guia de testes genéticos white label › Proteção de dados
Proteção de dados em testes genéticos white label: papéis, consentimento, conservação
Nos termos do RGPD, os dados genéticos são uma categoria especial de dados pessoais (artigo 9.º) – também nas análises de estilo de vida. Num modelo white label, várias partes tratam os mesmos dados: a tua marca, o laboratório e, nas análises médicas, os médicos. Antes do lançamento, esclarece quem é responsável pelo tratamento, quem é subcontratante e quem é responsável conjunto pelo tratamento (artigos 4.º, 26.º e 28.º), obtém um consentimento explícito, define prazos para conservar e destruir amostras e dados e usa os dados para investigação apenas com um consentimento separado. Na Suíça, aplicam-se a lei federal de proteção de dados (DSG) e a GUMG.
Uma estafeta com ADN: porque conta cada passagem de testemunho
O que acontece aos dados genéticos dos teus clientes se uma empresa entrar em insolvência? Na Novogenia, a resposta está nas condições gerais: entre os princípios transpostos para a informação sobre proteção de dados relativa à análise genética está o apagamento dos dados genéticos em caso de insolvência. Perguntas como esta parecem teóricas – até construíres uma marca com base em dados genéticos.
Um teste genético white label é uma estafeta. A tua marca recebe a encomenda, o kit segue para o cliente, a amostra para o laboratório, o resultado para o relatório e para a plataforma; nas análises médicas, um médico corre uma das etapas. O testemunho são os dados genéticos – e, em cada passagem, tem de estar claro quem está a correr e quem responde por essa etapa.
O Regulamento Geral sobre a Proteção de Dados (RGPD) define os dados genéticos como dados pessoais relativos às características genéticas, hereditárias ou adquiridas, de uma pessoa que dão informações únicas sobre a sua fisiologia ou a sua saúde e que resultam, designadamente, da análise de uma amostra biológica (artigo 4.º, ponto 13). O seu tratamento é, em princípio, proibido (artigo 9.º, n.º 1), salvo se se aplicar uma exceção do artigo 9.º, n.º 2 – nos testes genéticos para consumidores, sobretudo o consentimento explícito. Isto aplica-se às análises de estilo de vida tal como às médicas. Os fundamentos para a prática de aconselhamento estão em Dados genéticos e RGPD; aqui centramo-nos no que uma marca própria acrescenta.
Quem corre que etapa? Os papéis da marca e do laboratório
O RGPD conhece três papéis. O responsável pelo tratamento é quem, individualmente ou em conjunto com outras entidades, determina as finalidades e os meios do tratamento (artigo 4.º, ponto 7). O subcontratante trata os dados por conta do responsável pelo tratamento (artigo 4.º, ponto 8). Se dois ou mais responsáveis pelo tratamento determinarem conjuntamente as finalidades e os meios, são responsáveis conjuntos pelo tratamento (artigo 26.º). Quem tem que papel resulta daquilo que efetivamente acontece – não do título do contrato. É assim que o Comité Europeu para a Proteção de Dados o descreve nas suas Diretrizes 07/2020.
| Configuração | Como a reconhecer | O que estabeleces |
|---|---|---|
| Marca como responsável pelo tratamento, laboratório como subcontratante | A tua marca decide o que acontece aos dados; o laboratório trata-os apenas mediante as tuas instruções documentadas. | Contrato de subcontratação nos termos do artigo 28.º, n.º 3, por escrito ou em formato eletrónico (artigo 28.º, n.º 9) |
| Responsáveis conjuntos pelo tratamento | A marca e o laboratório determinam em conjunto as finalidades e os meios. | Acordo nos termos do artigo 26.º: quem informa, quem responde aos pedidos; os aspetos essenciais são disponibilizados ao titular dos dados |
| Cada um responsável pela sua parte | O laboratório decide ele próprio sobre as finalidades e os meios de uma parte do tratamento. | atribuição clara de que tratamento pertence a quem; cada um informa sobre a sua parte |
| Análises médicas na Alemanha | O médico responsável realiza o exame e encarrega o laboratório (§ 7, n.º 2, da GenDG); o laboratório só comunica o resultado a esse médico (§ 11, n.º 2). | O consentimento e a comunicação do resultado passam pelo médico, não pela tua marca |
Um contrato de subcontratação é mais do que um formulário. Especifica, entre outros aspetos, que o laboratório só trata dados mediante as tuas instruções documentadas, que as pessoas envolvidas estão sujeitas a confidencialidade, que medidas de segurança se aplicam, que outros subcontratantes só são contratados com a tua autorização e que, no final, todos os dados são apagados ou devolvidos, conforme a tua escolha (artigo 28.º, n.os 2 e 3). E um subcontratante que determine ele próprio as finalidades e os meios é considerado responsável pelo tratamento no que se refere a esse tratamento (artigo 28.º, n.º 10).
Dica prática: antes do lançamento, regista por escrito quem informa o cliente nos termos do artigo 13.º, quem responde aos pedidos de acesso e de apagamento e quem apaga que dados e quando. Na Novogenia, a informação sobre proteção de dados relativa à análise genética define quem é responsável por que tratamento.
Consentimento: o sinal de partida para cada análise
Sem consentimento explícito para finalidades específicas, nada avança nos testes genéticos para consumidores (artigo 9.º, n.º 2, alínea a), do RGPD). Tens de poder demonstrar o consentimento (artigo 7.º, n.º 1), e o cliente pode retirá-lo a qualquer momento (artigo 7.º, n.º 3). Uma caixa pré-validada não constitui consentimento (considerando 32).
O white label acrescenta uma questão prática: o consentimento é normalmente dado na tua loja ou no registo do kit – mas o laboratório também precisa dele. Por isso, planeia como a prova do consentimento chega ao laboratório e como lá chega uma eventual retirada. As regras nacionais acrescentam mais:
- Alemanha, médico: o consentimento é dado de forma expressa e por escrito ao médico responsável e abrange também o tratamento dos dados genéticos; o laboratório encarregado só analisa depois de dispor de prova do consentimento (§ 8, n.º 1, da GenDG).
- Áustria: os dados de análises genéticas na aceção da GTG só são transmitidos a pessoas diferentes das enumeradas na lei com consentimento expresso por escrito, que pode ser retirado por escrito a qualquer momento (§ 71, n.º 2, da GTG).
- Suíça: qualquer teste genético exige um consentimento livre e expresso, após informação adequada (artigo 5.º da GUMG).
Quem vê o quê? Só quem realmente precisa
Uma marca própria tenta-te a querer ver tudo: cada resultado, cada relatório. O RGPD trava: os dados têm de ser limitados ao necessário para a finalidade (artigo 5.º, n.º 1, alínea c)), e, por defeito, só são tratados os dados necessários para cada finalidade específica (artigo 25.º, n.º 2). Por isso, pergunta-te: para que precisa a tua marca de acesso? Para o apoio ao cliente, o estado da encomenda e os dados de envio bastam muitas vezes. Na Novogenia, decides enquanto parceiro se vês os relatórios dos teus clientes.
- Empregadores: não podem solicitar nem utilizar os resultados genéticos dos seus trabalhadores (§ 19 da GenDG, § 67 da GTG, artigo 37.º da GUMG). Mais sobre a conceção destes programas: Saúde empresarial.
- Seguradoras: em regra, também não podem solicitar nem utilizar resultados genéticos (§ 18 da GenDG, § 67 da GTG, artigo 37.º da GUMG) – com exceções restritas na Alemanha e na Áustria.
- Segurança: protege os relatórios com medidas técnicas e organizativas adequadas (artigo 32.º do RGPD) – um portal seguro é melhor do que um anexo de e-mail. O aspeto dos relatórios e da plataforma com a tua marca é tratado em Relatórios e plataforma com a tua marca.
Conservar e destruir: as amostras também têm prazo de validade
Os dados pessoais só podem ser conservados de forma que permita a identificação durante o período que a finalidade exigir (artigo 5.º, n.º 1, alínea e), do RGPD). Para amostras e resultados genéticos, algumas leis são mais específicas:
| Enquadramento | O que se aplica | Referência |
|---|---|---|
| Alemanha, amostras médicas | utilização apenas para a finalidade para a qual foram obtidas; destruição sem demora logo que deixem de ser necessárias para essa finalidade ou que o consentimento seja retirado | § 13, n.º 1, da GenDG |
| Alemanha, resultados médicos | conservação durante dez anos, seguida de destruição; aplica-se por analogia ao laboratório encarregado | § 12 da GenDG |
| Suíça, todos os testes | amostras e dados genéticos apenas durante o tempo necessário para o teste, incluindo a garantia de qualidade, para outra utilização ou para regras cantonais | artigo 11.º, n.º 1, da GUMG |
| Suíça, outros testes | destruição, o mais tardar, dois anos após o teste, salvo se a pessoa tiver consentido noutra utilização ou não se tiver oposto à anonimização | artigo 11.º, n.º 2, da GUMG |
| Fim do tratamento por conta de outrem | O laboratório apaga ou devolve todos os dados pessoais – conforme a escolha do responsável pelo tratamento, salvo se a conservação for exigida por lei | artigo 28.º, n.º 3, alínea g), do RGPD |
Quando nenhuma lei específica fixa um prazo, defines tu próprio o prazo – justificado pela finalidade – e incluis-o na informação sobre proteção de dados e no contrato. Pensa em ambos: na amostra no laboratório e nos dados na plataforma.
Investigação e desenvolvimento de produtos: só com consentimento separado
Os dados genéticos de muitas pessoas são valiosos para a investigação e o desenvolvimento de produtos. É precisamente por isso que qualquer utilização para além da finalidade original precisa de uma base sólida própria:
- RGPD: o tratamento posterior para fins de investigação científica não é considerado incompatível com a finalidade original (artigo 5.º, n.º 1, alínea b)), mas exige garantias adequadas, como a minimização dos dados e, sempre que possível, a pseudonimização (artigo 89.º, n.º 1). Para os dados genéticos, continua a aplicar-se o artigo 9.º: consentimento explícito (n.º 2, alínea a)) ou uma base no direito da União ou dos Estados-Membros (n.º 2, alínea j)) – na Alemanha, por exemplo, o § 27 da BDSG, com uma ponderação de interesses.
- Consentimento para domínios de investigação: como as finalidades de investigação muitas vezes não podem ser totalmente especificadas no momento da recolha, os titulares dos dados devem poder dar o seu consentimento para determinados domínios de investigação científica, em conformidade com padrões éticos reconhecidos (considerando 33).
- Alemanha, médico: uma amostra genética só pode ser utilizada para outras finalidades se uma lei o permitir ou se a pessoa tiver dado consentimento expresso por escrito depois de ter sido informada (§ 13, n.º 2, da GenDG).
- Áustria: as análises genéticas para fins científicos só podem ser realizadas em amostras desidentificadas (§ 66, n.º 1, da GTG).
- Suíça: em forma não codificada ou codificada, as amostras e os dados genéticos só podem ser utilizados para outra finalidade com consentimento livre e expresso, após informação adequada; em forma anonimizada, se a pessoa tiver sido previamente informada e não se tiver oposto (artigo 12.º da GUMG).
Para a tua marca, isto significa: faz do consentimento para investigação uma decisão separada e voluntária – independente da encomenda e revogável a qualquer momento. O funcionamento de estudos com um laboratório de genotipagem é tratado em Genotipagem para investigação e estudos.
Suíça: a DSG e a GUMG em vez do RGPD
Para os clientes na Suíça, o RGPD não se aplica; aplica-se a Lei Federal sobre a Proteção de Dados (DSG), para a qual o artigo 10.º, n.º 2, da GUMG remete expressamente no caso dos dados genéticos. Conheces as ideias centrais do RGPD; os pormenores diferem:
- Dados sensíveis: os dados genéticos são dados pessoais sensíveis (artigo 5.º, alínea c), ponto 3, da DSG); quando é exigido consentimento, este tem de ser dado de forma explícita (artigo 6.º, n.º 7).
- Subcontratante: o subcontratante só pode tratar os dados da forma que tu próprio estarias autorizado a fazer; asseguras que ele consegue garantir a segurança dos dados, e ele só pode confiar o tratamento a um terceiro com a tua autorização prévia (artigo 9.º da DSG).
- Laboratório na Áustria: podem ser comunicados dados pessoais a Estados relativamente aos quais o Conselho Federal tenha constatado um nível de proteção adequado (artigo 16.º, n.º 1, da DSG); a Áustria e a Alemanha constam do anexo 1 da Portaria sobre a Proteção de Dados (DSV). Indicas ao titular dos dados o Estado em causa (artigo 19.º, n.º 4, da DSG).
- Adicionalmente, nos termos da GUMG: a informação escrita identifica o laboratório, eventuais empresas e laboratórios no estrangeiro que participem e os contactos da pessoa responsável pelo tratamento dos dados (artigo 32.º da GUMG). Quem trata dados genéticos limita o acesso às pessoas que dele precisam para as suas funções, regista as etapas de tratamento relevantes para a rastreabilidade e transmite os dados de forma segura (artigo 3.º, n.º 2, da GUMV).
- Avaliação de impacto: no caso de tratamento extensivo de dados pessoais sensíveis, o responsável pelo tratamento realiza previamente uma avaliação de impacto sobre a proteção de dados (artigo 22.º da DSG).
Checklist: proteção de dados para a tua marca de testes genéticos
- Os papéis da marca, do laboratório e, se for o caso, do médico estão esclarecidos por escrito – com um contrato de subcontratação (artigo 28.º) ou um acordo nos termos do artigo 26.º.
- O consentimento é explícito, específico quanto à finalidade e demonstrável; a prova do consentimento e qualquer retirada chegam ao laboratório.
- A informação sobre proteção de dados indica os responsáveis pelo tratamento, as finalidades, os destinatários ou categorias de destinatários e o prazo de conservação (artigo 13.º); na Suíça, também o laboratório e o Estado (artigo 32.º da GUMG, artigo 19.º da DSG).
- A tua marca só vê o que precisa para a sua finalidade; os empregadores e as seguradoras não recebem resultados genéticos.
- As amostras e os dados têm prazos fixos de conservação e destruição; o fim do contrato está previsto (artigo 28.º, n.º 3, alínea g)).
- Investigação ou desenvolvimento de produtos com dados de clientes apenas com consentimento separado e voluntário.
- Em caso de tratamento extensivo de dados genéticos: uma avaliação de impacto sobre a proteção de dados (artigo 35.º, n.º 3, alínea b), do RGPD, artigo 22.º da DSG).
Perguntas frequentes
O responsável pelo tratamento é a minha marca ou o laboratório?
O que deve conter o contrato de subcontratação com o laboratório?
Durante quanto tempo podem ser conservadas as amostras e os dados genéticos?
Posso usar os dados genéticos dos meus clientes para investigação ou novos produtos?
Os dados genéticos provenientes da Suíça podem ser tratados num laboratório austríaco?
Relacionados: Dados genéticos e RGPD · Direito: oferecer testes genéticos em DE, AT e CH · Relatórios e plataforma com a tua marca
Estás a planear a tua própria marca de testes genéticos?
Fala-nos do teu público-alvo e do portfólio que preferes – mostramos-te como poderia ser o teu lançamento.
Pedir um projeto →Análises genéticas em white labelNota: Este guia contém informação geral para empresas e profissionais e não substitui aconselhamento médico ou jurídico. As características genéticas determinadas numa análise genética estão bem documentadas (cada gene incluído é sustentado por pelo menos três estudos independentes); as recomendações delas derivadas são conclusões lógicas, não estão cientificamente comprovadas. A regulamentação pode mudar; salvo erros e alterações.