Početna › Vodič za laboratorijske podatke › Zaštita podataka i uloge

Zaštita podataka i uloge između laboratorije i proizvođača: ko je za šta odgovoran kod genetskih podataka i podataka iz krvi

Stručno proverio dr Daniel Wallerstorfer, molekularni biolog i osnivač kompanije Novogenia · Ažurirano: 13. 10. 2026. · Vreme čitanja: 11 min

Ko režira? Zašto su uloge važne pri razmeni podataka

Laboratorija meri. Proizvođač izračunava i meša. Između njih putuju neki od najličnijih podataka koje osoba ima: njen genom i njeno trenutno zdravstveno stanje. Čim ti podaci promene ruke, propisi o zaštiti podataka postavljaju jednostavno pitanje: ko je za šta odgovoran?

Na filmskom setu jasno je ko režira, ko snima, a ko je koproducent. U razmeni podataka između laboratorije i proizvođača to mora biti jednako jasno – jer obaveze slede ulogu: Ko pribavlja pristanak? Ko informiše kupca? Ko odgovara na zahtev za brisanje?

Zašto su genetski podaci i podaci iz krvi posebno zaštićeni

Opšta uredba o zaštiti podataka (GDPR) koristi dva pojma koji su ključni za laboratorije i vlasnike podataka:

• Genetski podaci: podaci o ličnosti koji se odnose na nasleđene ili stečene genetske osobine pojedinca, koji daju jedinstvenu informaciju o njegovoj fiziologiji ili zdravlju i koji proizlaze naročito iz analize biološkog uzorka (čl. 4(13)).
• Podaci o zdravlju: podaci o ličnosti koji se odnose na fizičko ili mentalno zdravlje i otkrivaju informacije o zdravstvenom stanju osobe (čl. 4(15)). Uvodna izjava 35 izričito obuhvata informacije dobijene testiranjem ili ispitivanjem telesne supstance – drugim rečima, i vrednosti u krvi.

Oba spadaju u posebne vrste podataka o ličnosti. Njihova obrada je zabranjena (čl. 9(1)), osim ako se primenjuje neki od izuzetaka iz čl. 9(2). Za prateći proizvod glavna mogućnost je izričit pristanak. Države članice mogu za genetske podatke i podatke o zdravlju da uvedu i dodatne uslove (čl. 9(4)). Dodatna nacionalna pravila u Nemačkoj i Austriji obrađena su u članku Genetski podaci i GDPR.

Režiser, ekipa, koprodukcija: tri uloge prema GDPR-u

GDPR raspodeljuje odgovornost kroz tri uloge:

• Rukovalac – režiser: samostalno ili zajedno sa drugima odlučuje o svrhama i sredstvima obrade (čl. 4(7)).
• Obrađivač – ekipa na snimanju: obrađuje podatke u ime rukovaoca (čl. 4(8)).
• Zajednički rukovaoci – koprodukcija: zajednički određuju svrhe i sredstva (čl. 26(1)).

Uloga proizlazi iz onoga što se stvarno dešava, a ne iz naslova ugovora, kako naglašava Evropski odbor za zaštitu podataka u svojim Smernicama 07/2020. Obrađivač koji krši GDPR tako što sam određuje svrhe i sredstva smatra se rukovaocem u pogledu te obrade (čl. 28(10)).

Tri tipične konstelacije između laboratorije i proizvođača

Za prateći proizvod zasnovan na laboratorijskim ili genetskim podacima moguća su tri modela, zavisno od toga ko o čemu odlučuje:

Nijedna konstelacija nije sama po sebi ispravna. Uloga mora da odgovara načinu na koji stvarno sarađujete i mora biti utvrđena u pisanom obliku pre nego što podaci počnu da teku. U kompaniji Novogenia uloge za vaš projekat utvrđujemo u ugovoru.

Pravni osnov: izričit pristanak za određenu svrhu

Izričit pristanak mora se odnositi na jednu ili više određenih svrha (čl. 9(2)(a)). Ovo je tipična zamka za vlasnike podataka: ako su podaci prikupljeni za laboratorijsku analizu, prateći proizvod je dodatna svrha. A podaci se ne smeju dalje obrađivati na način koji nije u skladu sa prvobitnom svrhom (čl. 5(1)(b)).

Zato proverite da li vaš pristanak obuhvata prateći proizvod i, po potrebi, pribavite nov pristanak pre prosleđivanja podataka. Važne su četiri tačke:

• Konkretan: Navedite prateći proizvod, korišćene podatke (na primer gene, vrednosti u krvi, upitnik, telesne podatke) i proizvođača kao primaoca. U kompaniji Novogenia receptura se ponovo izračunava za svaku proizvodnu seriju; i to navedite.
• Jasno odvojen: Ako se nalazi u dokumentu koji se odnosi i na druga pitanja, mora biti jasno razlučiv i lako razumljiv (čl. 7(2)).
• Dokaziv: Rukovalac mora biti u stanju da dokaže da je osoba dala pristanak (čl. 7(1)).
• Može se povući: Pristanak se može povući u svakom trenutku, jednako lako kao što je dat (čl. 7(3)). Utvrdite šta se tada dešava sa podacima, pretplatom i otvorenim proizvodnim serijama.

Sopstveni brend, potpune informacije: ko kupcu govori šta?

Vaš brend može biti u prvom planu; obaveštenje o privatnosti ipak nema praznih mesta. Ako podatke prikupljate od svojih kupaca, u trenutku prikupljanja ih obaveštavate, između ostalog, o rukovaocu, svrhama i pravnom osnovu, primaocima ili kategorijama primalaca, roku čuvanja i pravu da u svakom trenutku povuku pristanak (čl. 13(1) i (2)).

Ako proizvođač kao samostalni rukovalac podatke dobija od vas, a ne od kupaca, primenjuje se čl. 14: on ih obaveštava u razumnom roku, najkasnije u roku od mesec dana, odnosno najkasnije pri prvoj komunikaciji sa njima ili pri prvom otkrivanju podataka drugom primaocu (čl. 14(3)). Ako ste zajednički rukovaoci, vaš sporazum utvrđuje ko ispunjava koju obavezu informisanja (čl. 26(1)).

Ugovor, bezbednost, rok čuvanja: šta treba da bude u pisanom obliku

Ako proizvođač radi kao obrađivač, potreban vam je ugovor kojim se utvrđuju predmet i trajanje, priroda i svrha obrade, vrsta podataka i kategorije lica na koja se podaci odnose. U njemu se obrađivač, između ostalog, obavezuje da obrađuje podatke samo prema dokumentovanim uputstvima, da preduzima mere bezbednosti iz čl. 32, da vam pomaže kod zahteva vaših kupaca i da po okončanju usluge, po vašem izboru, izbriše ili vrati sve podatke (čl. 28(3)(a), (c), (e) i (g)).

Bez obzira na ulogu, tri teme spadaju u svaki sporazum. Prvo, rok čuvanja: podaci se smeju čuvati u obliku koji omogućava identifikaciju samo onoliko dugo koliko to svrha zahteva (čl. 5(1)(e)). Pošto se personalizovana receptura ponovo izračunava za svaku proizvodnu seriju, proizvođaču su podaci potrebni dok traje pretplata – utvrdite šta se dešava po njenom završetku, nakon povlačenja pristanka ili po isteku ugovora. Drugo, evidencija radnji obrade: izuzeće za organizacije sa manje od 250 zaposlenih ne važi kada se obrađuju posebne vrste podataka (čl. 30(5)). Treće, procena uticaja na zaštitu podataka o ličnosti: ona je naročito potrebna kod obrade posebnih vrsta podataka u velikom obimu (čl. 35(3)(b)).

Švajcarska: DSG i GUMG umesto GDPR-a

Švajcarska ima sopstvena pravila. Od 1. septembra 2023. primenjuje se revidirani Savezni zakon o zaštiti podataka (Datenschutzgesetz, DSG; engl. FADP). Za genetska ispitivanja dodatno važi Savezni zakon o genetskim ispitivanjima kod ljudi (GUMG); za obradu genetskih podataka on inače upućuje na propise o zaštiti podataka (čl. 10(2) GUMG). Osnovne ideje poznate su vam iz GDPR-a, ali mehanizmi se razlikuju:

• Osetljivi podaci o ličnosti: Podaci o zdravlju i genetski podaci su osetljivi podaci o ličnosti (čl. 5(c)(2) i (3) DSG).
• Drugačija osnovna logika: DSG ne polazi od zabrane kao čl. 9 GDPR-a. Podaci o ličnosti moraju se obrađivati zakonito, savesno i srazmerno (čl. 6). Ali otkrivanje osetljivih podataka o ličnosti trećim licima predstavlja povredu ličnosti (čl. 30(2)(c)). Ono je nezakonito osim ako je opravdano pristankom, pretežnim privatnim ili javnim interesom ili zakonom (čl. 31(1)).
• Pristanak: Tamo gde je pristanak potreban, mora biti dat dobrovoljno, za određenu obradu i nakon odgovarajućeg informisanja, a za osetljive podatke o ličnosti izričito (čl. 6(6) i (7) DSG).
• Uloge: Rukovalac je onaj ko samostalno ili zajedno sa drugima odlučuje o svrsi i sredstvima (čl. 5(j)). Obrađivač sme da obrađuje podatke samo na način na koji biste to i sami smeli i sme da angažuje podizvođača samo uz vaše prethodno odobrenje (čl. 9(1) i (3)). DSG za privatne rukovaoce ne propisuje obavezu zaključivanja sporazuma kao što je onaj iz čl. 26 GDPR-a.
• Informisanje: Rukovalac obaveštava lice na koje se podaci odnose i kada podaci nisu prikupljeni od njega. Navodi primaoce i, ako podaci idu u inostranstvo, zemlju (čl. 19(1), (2) i (4) DSG).

Prema GUMG-u, za vlasnike podataka najvažnija su tri pravila. Informacije iz genetskog ispitivanja smeju se saopštiti drugoj osobi samo ako je testirana osoba dala pristanak (čl. 7(2)). Uzorci i genetski podaci smeju se koristiti u drugu svrhu samo ako je osoba, nakon dovoljnog informisanja, dala slobodan i izričit pristanak (čl. 12(1)) – upravo situacija postojećih genetskih podataka koji se ponovo koriste za prateći proizvod. A za genetska ispitivanja izvan medicinske oblasti pisane informacije moraju da navedu laboratoriju koja sprovodi ispitivanje, kao i kompanije i laboratorije u inostranstvu koje učestvuju u ispitivanju ili obrađuju genetske podatke (čl. 32). Ko u Švajcarskoj sme da pokrene analize ishrane i sporta, objašnjeno je u članku Ko sme da nudi genetske testove?

Kontrolna lista: uloge i zaštita podataka pre prvog zapisa

• Uloge su jasne i odgovaraju načinu na koji stvarno sarađujete.
• Postoji odgovarajući ugovor: prema čl. 28(3), sporazum prema čl. 26 ili pravila o prenosu podataka.
• Pristanak obuhvata prateći proizvod, korišćene podatke i proizvođača kao primaoca; dokaziv je i može se povući.
• Obaveštenje o privatnosti navodi primaoce, svrhe, rok čuvanja i prava – usklađeno među svim stranama.
• Rok čuvanja, brisanje i vraćanje podataka su utvrđeni, uključujući i za kraj pretplate i povlačenje pristanka.
• Za Švajcarsku: opravdanje za otkrivanje podataka, izričit pristanak prema GUMG-u, pisane informacije sa navedenom laboratorijom i navedena zemlja.

Česta pitanja

Povezano: Genetski podaci i GDPR · Ko sme da nudi genetske testove? · Integracija podataka: sirovi podaci, interfejsi, formati

Napomena: Ovaj vodič predstavlja opšte informacije za kompanije i stručnjake i ne zamenjuje lekarski ni pravni savet. Genetske osobine utvrđene genetskom analizom dobro su dokumentovane (svaki uključeni gen potkrepljen je sa najmanje tri nezavisne studije); preporuke izvedene iz njih logični su zaključci i nisu naučno dokazane. Propisi se mogu promeniti; zadržavamo pravo na greške i izmene.