数据保护与保密：让结果只留在本人手中
根据 GDPR，基因数据属于受特殊保护的类别（第9条）；在瑞士，基因数据属于敏感个人数据（DSG 第5条）。在雇佣关系中，向雇主给予的同意很少是真正自愿的——正因如此，欧洲数据保护委员会认为这种同意是有问题的。最干净的解决方案是：公司完全不处理任何基因数据。员工直接向实验室或合作伙伴给予同意，报告只交给员工本人，公司既不会收到个人结果，也不会收到汇总报告。在欧盟法院 2023 年作出裁决之后，BDSG 第26条是否还站得住脚，目前尚无定论——按这种方式搭建的项目，在基因数据方面根本不需要依赖这一条款。
就像投票间——只是更严格
基因数据不是普通数据。GDPR 将其描述为关于一个人遗传或后天获得的基因特征、能够提供关于其生理或健康的独特信息的数据（GDPR 第4条第13款）。知道您基因的人，就知道了您一生都携带着的某些东西。正因如此，原则上禁止处理基因数据——除非适用某项例外（第9条第1款和第2款）。
因此，一个好的企业项目就像一场选举。公司提供投票站：场地、时间和邀请。没有人往投票间里看。而且与选举不同，最后甚至不会有一个面向公司的总体结果——结果只属于它们所属的人。
在这里，您会看到这背后的法律依据，以及哪些问题仍悬而未决——作为对结合基因分析的企业健康管理项目中概述的补充。
谁能看到什么：项目中的数据流
在讨论法律条款之前，先梳理清楚数据流。对于生活方式分析，一个干净的项目是这样的：
| 数据 | 流向何处 | 公司能看到什么 |
|---|---|---|
| 注册和同意 | 由员工直接提交给实验室或合作伙伴 | 什么也看不到 |
| 唾液样本 | 直接寄往实验室，绝不经过公司 | 什么也看不到 |
| 基因数据和报告 | 由实验室只交给本人，通过安全门户以数字形式提供 | 什么也看不到 |
| 个性化营养补充剂（可选） | 配方、报告和配送直接交给本人 | 什么也看不到 |
| 账单 | 交给公司 | 账单——没有结果 |
| 项目反馈 | 以匿名方式交给公司或其职场健康合作伙伴 | 满意度和建议，绝不涉及基因内容 |
有两点值得特别注意。个性化营养补充剂的配方会透露收到它的人的基因信息。因此，即使由公司付费，配方也应直接交给本人。其次是结算：请将其设计为让公司尽可能少地了解具体是谁参加了。这不是小细节——知道谁参加了的人，也就知道了谁没有参加。
同意：自愿意味着没有任何不利后果
对于基因数据，显而易见的例外是针对特定目的的明确同意（GDPR 第9条第2款(a)项）。同意可以随时撤回，而且撤回必须与给予同意一样容易（第7条第3款）。职场中真正的问题在别处：自愿性。
如果双方之间存在明显的不平衡，而同意因此不太可能是自由给予的，那么同意就不构成有效的法律依据（序言第43段）。欧洲数据保护委员会在其第05/2020号指南中明确指出：由于雇佣关系中的依赖性，员工不太可能在不担心不利影响的情况下拒绝雇主的请求。员工只有在例外情况下才能自由地给予同意——即无论是否同意，都完全不会产生任何不利后果（第21–22段）。
由此得出两条规则：
- 同意要交给正确的对象：交给处理数据的实验室或合作伙伴——而不是公司。对于在德国进行的医学分析，当事人须以书面形式向负责的医生给予明确同意（GenDG 第8条第1款）。
- 环境要让人容易说“不”：管理人员手中没有参加者名单，上级不发提醒，也没有只留给参加者的福利。如何在不制造压力的情况下发出邀请，详见内部沟通：无压力参与。
员工数据保护：欧盟法院 2023 年的裁决改变了什么
对于员工数据，GDPR 第88条允许成员国制定更具体的规定。这些规定必须包含适当且具体的措施，以保障人的尊严、正当利益和基本权利，尤其是在透明度方面（第2款）。德国为此制定了《联邦数据保护法》（BDSG）第26条。该条除其他内容外规定：在给予同意时，必须考虑雇佣关系中固有的依赖性；同意必须以书面或电子形式作出；雇主须以文本形式告知员工处理目的及其撤回同意的权利（第2款）。对于基因数据等特殊类别的数据，同意必须明确提及这些数据（第3款）。
2023年3月30日，欧盟法院就此作出了一项具有里程碑意义的裁决（C-34/21 号案）。只有当一项国家规定符合第88条第2款的要求时，它才属于“更具体的规定”；否则必须不予适用，除非它根据 GDPR 第6条第3款本身构成一项法律依据。该案涉及德国黑森州的教师，以及一项结构与 BDSG 第26条第1款非常相似的州法规定。法院指出，一项仅仅重申处理必须是必要的规定，并没有增加更具体的规则。法院并未就 BDSG 第26条本身作出裁决；该条在法律文本中保持不变。
这对您的项目意味着什么？比您想象的要少——前提是您正确地搭建项目。根据 GenDG 第19条，公司无论如何都不得接收基因结果。如果公司不处理任何基因数据，它就不需要为此提供法律依据。尽管如此，第26条第2款的要求仍然是项目中每一项同意的良好参照：以书面或电子形式作出，目的明确，并附有关于撤回权的说明。
匿名并不总是匿名
“我们只想看看统计数据。”这个愿望可以理解。GDPR 在这里设定了很高的门槛：一个人是否可识别，取决于所有合理可能用于直接或间接识别此人的手段——例如“挑出”。假名化数据仍然是个人数据；只有真正匿名的信息才不受数据保护法的约束（序言第26段）。
在一个小部门中，统计数据很快就能追溯到具体的个人。正因如此，Novogenia 的规则是：雇主既不会收到个人结果，也不会收到汇总报告。项目通过参与度、满意度和匿名反馈进行评估——绝不通过基因结果。如何将其转化为有意义的指标，详见衡量益处与效果。即使是参与人数，也只应针对较大的单位报告，而不应针对单个小团队报告。
瑞士：《联邦数据保护法》与《债务法》
在瑞士，适用的是《联邦数据保护法》（DSG）而不是 GDPR，雇佣关系则由《债务法》规范。逻辑相似，细节有所不同：
- 敏感数据：基因数据属于敏感个人数据（DSG 第5条(c)项第3点）。
- 同意：只有在充分告知之后，针对一项或多项特定处理活动自愿给予的同意才有效；对于敏感数据，同意必须是明确的（DSG 第6条第6款和第7款）。
- 保存不超过必要期限：个人数据一旦不再为实现目的所需，就应予以销毁或匿名化（DSG 第6条第4款）。
- 对雇主的严格限制：雇主只能在涉及员工是否胜任工作或履行雇佣合同所必需的范围内处理员工数据（《债务法》（OR）第328b条）。基因结果不应出现在雇主那里。
- 告知与国外检测：对于生活方式分析，书面信息除其他内容外，还须涵盖实验室以及所涉及的任何国外公司和实验室（GUMG 第32条）。在国外进行检测，除其他条件外，还需要当事人的书面同意（GUMG 第36条结合第29条）。
角色、合同与影响评估
一个项目涉及多方：公司，通常还有一个职场健康合作伙伴、实验室，以及在医学分析中的医生。决定处理目的和方式的一方是控制者；代表他人进行处理的一方需要依据 GDPR 第28条签订合同。请在第一份注册到来之前确定各方角色——而不是事后再定。
大规模处理基因数据的任何人，都必须事先进行数据保护影响评估（GDPR 第35条第3款(b)项；在瑞士为 DSG 第22条）。在一个搭建得当的项目中，这项任务由实验室或合作伙伴承担，而不是公司。对员工而言，最终重要的是清晰的信息：谁处理哪些数据，谁能看到报告——以及公司永远看不到报告。在德国，职工委员会的参与权不受影响（BDSG 第26条第6款）。关于角色和删除期限的更多内容，详见基因数据与 GDPR。
您项目的数据保护检查清单
- 数据流已梳理清楚；公司不处理任何基因数据。
- 同意直接交给实验室或合作伙伴——明确的、针对特定目的的，并且可随时撤回。
- 不参加的人不会受到任何形式的不利对待；管理人员不保留任何名单。
- 报告、营养补充剂配方和配送直接交给本人。
- 结算尽可能少地向公司透露个别参加者的信息。
- 不提供汇总的基因报告；参与人数只针对较大的单位报告。
- 角色和合同在第一次数据流转之前已明确；影响评估由负责方承担。
- 在瑞士：提供符合 GUMG 第32条的书面信息，并取得在国外进行检测的书面同意。
- 数据保护官和职工委员会已尽早参与。
常见问题
如果公司只收到匿名统计数据，这样够吗？
在这样的项目中，谁是 GDPR 意义上的“控制者”？
员工可以撤回同意吗？
BDSG 第26条仍然有效吗？
瑞士的员工还需要了解什么？
相关内容: 基因数据与 GDPR · 实验室与生产商之间的数据保护与角色分工 · 法律：雇主可以做什么、不可以做什么
注意：本指南是面向企业和专业人士的一般性信息，不能替代医疗或法律建议。基因分析所测定的基因特征有充分的文献记载（纳入的每个基因都有至少三项独立研究支持）；由此得出的建议是合乎逻辑的结论，未经科学证实。法规可能发生变化；错漏及变更除外。