Acasă › Ghid pentru date de laborator › Protecția datelor și roluri
Protecția datelor și rolurile dintre laborator și producător: cine răspunde de ce în cazul datelor genetice și sanguine
Conform GDPR, datele genetice și datele privind sănătatea, precum valorile sanguine, fac parte din categoriile speciale de date cu caracter personal (art. 9 alin. (1)). Dacă le transmiți unui producător pentru un produs derivat, ai nevoie de un temei juridic – principala opțiune este consimțământul explicit pentru scopuri specificate (art. 9 alin. (2) lit. (a)) – și de roluri clare: producătorul poate fi persoană împuternicită de operator (art. 28), operator de sine stătător sau operator asociat cu tine (art. 26). Ce rol se potrivește depinde de cine decide efectiv asupra scopurilor și mijloacelor; rolul se stabilește în contract. În Elveția se aplică Legea federală privind protecția datelor (DSG), iar pentru analizele genetice și GUMG.
Cine regizează? De ce contează rolurile în partajarea datelor
Un laborator măsoară. Un producător calculează și amestecă. Între ei circulă unele dintre cele mai personale date pe care le are un om: genomul său și starea sa actuală de sănătate. De îndată ce aceste date schimbă mâna, legislația privind protecția datelor pune o întrebare simplă: cine răspunde de ce?
Pe un platou de filmare este clar cine regizează, cine se ocupă de cameră și cine coproduce. În partajarea datelor dintre laborator și producător trebuie să fie la fel de clar – pentru că obligațiile decurg din rol: cine obține consimțământul? Cine îl informează pe client? Cine răspunde la o cerere de ștergere?
De ce datele genetice și sanguine sunt protejate în mod special
Regulamentul general privind protecția datelor (GDPR) folosește doi termeni esențiali pentru laboratoare și deținătorii de date:
- Date genetice: datele cu caracter personal referitoare la caracteristicile genetice moștenite sau dobândite ale unei persoane, care oferă informații unice privind fiziologia sau sănătatea acesteia și care rezultă în special în urma unei analize a unei probe biologice (art. 4 pct. 13).
- Date privind sănătatea: date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane, care dezvăluie informații despre starea de sănătate a acesteia (art. 4 pct. 15). Considerentul 35 include în mod expres informațiile derivate din testarea sau examinarea unei substanțe corporale – cu alte cuvinte, și valorile sanguine.
Ambele fac parte din categoriile speciale de date cu caracter personal. Prelucrarea lor este interzisă (art. 9 alin. (1)), cu excepția cazului în care se aplică una dintre excepțiile de la art. 9 alin. (2). Pentru un produs derivat, principala opțiune este consimțământul explicit. Statele membre pot introduce și condiții suplimentare pentru datele genetice și datele privind sănătatea (art. 9 alin. (4)). Regulile naționale suplimentare din Germania și Austria sunt tratate în Datele genetice și GDPR.
Regie, echipă de filmare, coproducție: cele trei roluri din GDPR
GDPR împarte responsabilitatea pe trei roluri:
- Operatorul – regizorul: stabilește, singur sau împreună cu alții, scopurile și mijloacele prelucrării (art. 4 pct. 7).
- Persoana împuternicită de operator – echipa de filmare de pe platou: prelucrează date în numele operatorului (art. 4 pct. 8).
- Operatorii asociați – coproducția: stabilesc împreună scopurile și mijloacele (art. 26 alin. (1)).
Rolul decurge din ceea ce se întâmplă efectiv, nu din titlul contractului, așa cum subliniază Comitetul European pentru Protecția Datelor în Ghidurile 07/2020. O persoană împuternicită de operator care încalcă GDPR prin stabilirea ea însăși a scopurilor și mijloacelor este considerată operator în ceea ce privește prelucrarea respectivă (art. 28 alin. (10)).
Trei configurații tipice între laborator și producător
Pentru un produs derivat bazat pe date de laborator sau genetice sunt posibile trei modele, în funcție de cine decide ce:
| Configurație | Când se potrivește | De ce ai nevoie |
|---|---|---|
| Producătorul ca persoană împuternicită de operator | Tu stabilești scopul și mijloacele; producătorul calculează și produce pe baza instrucțiunilor tale documentate. | Contract conform art. 28 alin. (3); alte persoane împuternicite doar cu autorizarea ta prealabilă scrisă (art. 28 alin. (2)) |
| Doi operatori separați | Fiecare parte urmărește propriile scopuri, de exemplu tu analiza de laborator, iar producătorul livrarea către clienții tăi și facturarea acestora. | Temei juridic pentru transfer; fiecare parte își îndeplinește propriile obligații de informare (art. 13 și 14) |
| Operatori asociați | Stabiliți împreună scopurile și mijloacele, de exemplu pentru un produs conceput în comun, pe o bază de date comună. | Acord conform art. 26 privind cine îndeplinește ce obligație; aspectele esențiale ale acestuia sunt puse la dispoziția persoanelor vizate (art. 26 alin. (2)), iar acestea își pot exercita drepturile în raport cu fiecare dintre voi (art. 26 alin. (3)) |
Nicio configurație nu este corectă din oficiu. Rolul trebuie să corespundă modului în care colaborați efectiv și să fie consemnat în scris înainte să circule date. La Novogenia, definim rolurile pentru proiectul tău în contract.
Temeiul juridic: consimțământul explicit pentru un scop specificat
Consimțământul explicit trebuie să se refere la unul sau mai multe scopuri specificate (art. 9 alin. (2) lit. (a)). Aceasta este o capcană tipică pentru deținătorii de date: dacă datele au fost colectate pentru o analiză de laborator, produsul derivat este un scop suplimentar. Iar datele nu pot fi prelucrate ulterior într-un mod incompatibil cu scopul inițial (art. 5 alin. (1) lit. (b)).
Așadar, verifică dacă consimțământul tău acoperă produsul derivat și, dacă este necesar, obține un nou consimțământ înainte de a transmite datele. Patru aspecte contează:
- Specific: menționează produsul derivat, datele folosite (de exemplu gene, valori sanguine, chestionar, date corporale) și producătorul ca destinatar. La Novogenia, formula este recalculată la fiecare serie de producție; include și acest lucru.
- Clar separat: dacă se află într-un document care se referă și la alte aspecte, trebuie să se diferențieze clar de acestea și să fie ușor de înțeles (art. 7 alin. (2)).
- Demonstrabil: operatorul trebuie să poată demonstra că persoana și-a dat consimțământul (art. 7 alin. (1)).
- Revocabil: consimțământul poate fi retras oricând, la fel de simplu cum a fost acordat (art. 7 alin. (3)). Stabilește ce se întâmplă atunci cu datele, cu abonamentul și cu seriile de producție în curs.
Brand propriu, informare completă: cine îi spune clientului ce?
Brandul tău poate fi în centrul atenției; nota de informare privind protecția datelor nu are totuși voie să aibă goluri. Dacă colectezi datele de la clienții tăi, îi informezi în momentul colectării, printre altele, despre operator, scopurile și temeiul juridic, destinatarii sau categoriile de destinatari, perioada de stocare și dreptul de a-și retrage oricând consimțământul (art. 13 alin. (1) și (2)).
Dacă producătorul, ca operator de sine stătător, primește datele de la tine, și nu de la clienți, se aplică art. 14: el îi informează într-un termen rezonabil, cel târziu în termen de o lună, ori cel târziu la prima comunicare cu aceștia sau la prima divulgare către un alt destinatar (art. 14 alin. (3)). Dacă sunteți operatori asociați, acordul vostru stabilește cine îndeplinește ce obligație de informare (art. 26 alin. (1)).
Contract, securitate, perioadă de stocare: ce ar trebui consemnat în scris
Dacă producătorul lucrează ca persoană împuternicită de operator, ai nevoie de un contract care stabilește obiectul și durata, natura și scopul prelucrării, tipul de date și categoriile de persoane vizate. Prin acesta, persoana împuternicită se obligă, printre altele, să prelucreze datele doar pe baza unor instrucțiuni documentate, să ia măsurile de securitate prevăzute la art. 32, să te asiste în soluționarea cererilor clienților tăi și, la încheierea serviciilor, să șteargă sau să returneze toate datele, la alegerea ta (art. 28 alin. (3) lit. (a), (c), (e) și (g)).
Indiferent de rol, trei teme își au locul în orice acord. Prima, perioada de stocare: datele pot fi păstrate într-o formă care permite identificarea doar atât timp cât o impune scopul (art. 5 alin. (1) lit. (e)). Deoarece o formulă personalizată este recalculată la fiecare serie de producție, producătorul are nevoie de date pe durata abonamentului – stabilește ce se întâmplă după încheierea acestuia, după retragerea consimțământului sau la încetarea contractului. A doua, evidența activităților de prelucrare: excepția pentru organizațiile cu mai puțin de 250 de angajați nu se aplică atunci când sunt prelucrate categorii speciale de date (art. 30 alin. (5)). A treia, evaluarea impactului asupra protecției datelor: aceasta este necesară în special în cazul prelucrării pe scară largă a categoriilor speciale de date (art. 35 alin. (3) lit. (b)).
Elveția: DSG și GUMG în loc de GDPR
Elveția are propriile reguli. Din 1 septembrie 2023 se aplică Legea federală privind protecția datelor (DSG) revizuită. Pentru testele genetice se adaugă Legea federală privind analizele genetice umane (GUMG); pentru prelucrarea datelor genetice, aceasta trimite, în rest, la legislația privind protecția datelor (art. 10 alin. (2) GUMG). Ideile de bază le cunoști din GDPR, dar mecanismele diferă:
- Date cu caracter personal sensibile: datele privind sănătatea și datele genetice sunt date cu caracter personal sensibile (art. 5 lit. c pct. 2 și 3 DSG).
- O altă logică de bază: DSG nu pornește de la o interdicție precum art. 9 GDPR. Datele cu caracter personal trebuie prelucrate în mod licit, cu bună-credință și în mod proporțional (art. 6). Însă comunicarea datelor cu caracter personal sensibile către terți constituie o încălcare a personalității (art. 30 alin. (2) lit. c). Aceasta este ilicită, cu excepția cazului în care este justificată prin consimțământ, printr-un interes privat sau public preponderent ori prin lege (art. 31 alin. (1)).
- Consimțământul: acolo unde este necesar consimțământul, acesta trebuie dat în mod liber, pentru o anumită prelucrare, după o informare adecvată, iar pentru datele cu caracter personal sensibile, în mod expres (art. 6 alin. (6) și (7) DSG).
- Roluri: operator este cel care decide, singur sau împreună cu alții, asupra scopului și mijloacelor (art. 5 lit. j). O persoană împuternicită poate prelucra datele doar așa cum ai avea tu însuți voie să o faci și poate subcontracta doar cu autorizarea ta prealabilă (art. 9 alin. (1) și (3)). DSG nu prevede pentru operatorii privați obligația de a încheia un acord precum cel de la art. 26 GDPR.
- Informarea: operatorul informează persoana vizată și atunci când datele nu sunt colectate de la aceasta. El menționează destinatarii și, dacă datele ajung în străinătate, țara (art. 19 alin. (1), (2) și (4) DSG).
În temeiul GUMG, trei reguli contează cel mai mult pentru deținătorii de date. Informațiile dintr-un test genetic pot fi comunicate unei alte persoane doar dacă persoana testată și-a dat consimțământul (art. 7 alin. (2)). Probele și datele genetice pot fi folosite într-un alt scop doar dacă persoana și-a dat consimțământul liber și expres după o informare suficientă (art. 12 alin. (1)) – exact situația datelor genetice existente refolosite pentru un produs derivat. Iar pentru testele genetice din afara domeniului medical, informarea scrisă trebuie să menționeze laboratorul care efectuează testul, precum și companiile și laboratoarele din străinătate implicate în test sau care prelucrează datele genetice (art. 32). Cine poate iniția analize de nutriție și sport în Elveția afli în Cine are voie să ofere teste genetice?
| Temă | UE (GDPR) | Elveția |
|---|---|---|
| Date genetice și date privind sănătatea | categorii speciale, prelucrare interzisă, cu excepția cazului în care se aplică o excepție (art. 9) | date cu caracter personal sensibile (art. 5 lit. c DSG) |
| Consimțământ | explicit, pentru scopuri specificate (art. 9 alin. (2) lit. (a)) | expres, acolo unde este necesar (art. 6 alin. (7) DSG); liber și expres pentru testul genetic și pentru utilizarea într-un alt scop (art. 5 și art. 12 alin. (1) GUMG) |
| Prelucrarea în numele operatorului | contract cu conținut minim (art. 28 alin. (3)) | prin contract sau prin lege, verificarea securității datelor, subcontractare doar cu autorizare prealabilă (art. 9 DSG) |
| Informare | art. 13 și 14 | art. 19 DSG; pentru testele genetice din afara domeniului medical, și art. 32 GUMG |
| Date dincolo de graniță | către Elveția: decizia de adecvare a Comisiei (Decizia 2000/518/CE), în continuare în vigoare conform art. 45 alin. (9) | către Austria și Germania: nivel adecvat de protecție conform anexei 1 la Ordonanța privind protecția datelor (DSV) (art. 16 alin. (1) DSG) |
| Evaluarea impactului | pentru prelucrarea pe scară largă a categoriilor speciale (art. 35 alin. (3) lit. (b)) | pentru prelucrarea extinsă a datelor cu caracter personal sensibile (art. 22 alin. (2) lit. a DSG) |
Listă de verificare: roluri și protecția datelor înainte de prima înregistrare
- Rolurile sunt clare și corespund modului în care colaborați efectiv.
- Există contractul potrivit: conform art. 28 alin. (3), un acord conform art. 26 sau reguli privind transferul de date.
- Consimțământul acoperă produsul derivat, datele folosite și producătorul ca destinatar; este demonstrabil și revocabil.
- Nota de informare privind protecția datelor menționează destinatarii, scopurile, perioada de stocare și drepturile – coordonat între toate părțile.
- Perioada de stocare, ștergerea și returnarea sunt definite, inclusiv pentru încheierea unui abonament și retragerea consimțământului.
- Pentru Elveția: justificarea comunicării, consimțământul expres conform GUMG, informarea scrisă cu menționarea laboratorului și indicarea țării.
Întrebări frecvente
Sunt valorile sanguine date privind sănătatea în sensul GDPR?
Este producătorul automat persoana noastră împuternicită de operator?
Acoperă consimțământul nostru existent și produsul derivat?
Trebuie ca producătorul să apară în nota noastră de informare privind protecția datelor, deși vindem sub propriul brand?
Pot ajunge date din Elveția la un laborator din Austria?
Articole conexe: Datele genetice și GDPR · Cine are voie să ofere teste genetice? · Integrarea datelor: date brute, interfețe, formate
Produse derivate pentru datele tale?
Spune-ne ce date deții și cine sunt clienții tăi – îți arătăm ce produs derivat se potrivește.
Solicită un proiect →Oferta pentru laboratoareNotă: Acest ghid are caracter de informare generală pentru companii și specialiști și nu înlocuiește consultanța medicală sau juridică. Trăsăturile genetice determinate printr-o analiză genetică sunt bine documentate (fiecare genă inclusă este susținută de cel puțin trei studii independente); recomandările derivate din acestea sunt deducții logice, nu sunt dovedite științific. Reglementările se pot modifica; sub rezerva erorilor și a modificărilor.