实验室与生产商之间的数据保护与角色分工：基因和血液数据由谁负责什么
根据 GDPR，基因数据以及血液检测值等健康数据属于特殊类别的个人数据（第9条第1款）。如果您将这些数据传递给生产商用于后续产品，就需要一个法律依据——主要选项是针对特定目的的明确同意（第9条第2款(a)项）——以及清晰的角色分工：生产商可以是处理者（第28条）、独立的控制者，或与您一起作为共同控制者（第26条）。哪种角色合适，取决于实际上由谁决定处理的目的和方式；这一点在合同中确定。在瑞士，适用《联邦数据保护法》（DSG），对于基因分析还适用 GUMG。
谁是导演？为什么角色在数据共享中至关重要
实验室负责测量。生产商负责计算和调配。在两者之间流转的，是一个人最私密的一些数据：其基因组和当前的健康状况。一旦这些数据易手，数据保护法就会提出一个简单的问题：谁负责什么？
在电影片场，谁当导演、谁掌镜、谁联合制片，一清二楚。在实验室与生产商之间的数据共享中，也必须同样清楚——因为义务随角色而定：谁取得同意？谁告知客户？谁答复删除请求？
为什么基因数据和血液数据受到特殊保护
《通用数据保护条例》（GDPR）使用了两个对实验室和数据拥有方至关重要的概念：
- 基因数据：与一个人遗传或获得的基因特征相关、能提供关于其生理或健康的独特信息、尤其是通过对生物样本进行分析而获得的个人数据（第4条第13点）。
- 健康数据：与身体或心理健康相关、揭示一个人健康状况信息的个人数据（第4条第15点）。序言第35段明确包括通过对身体物质进行检测或检查而获得的信息——换言之，也包括血液检测值。
两者都属于特殊类别的个人数据。原则上禁止处理此类数据（第9条第1款），除非适用第9条第2款中的某项例外。对于后续产品，主要选项是明确同意。成员国还可以针对基因数据和健康数据引入进一步的条件（第9条第4款）。德国和奥地利的其他国内规定，详见基因数据与 GDPR。
导演、剧组、联合制片：GDPR 的三种角色
GDPR 按照三种角色分配责任：
- 控制者——导演：单独或与他人共同决定处理的目的和方式（第4条第7点）。
- 处理者——片场剧组：代表控制者处理数据（第4条第8点）。
- 共同控制者——联合制片：共同确定处理的目的和方式（第26条第1款）。
正如欧洲数据保护委员会在其第07/2020号指南中所强调的，角色取决于实际发生的情况，而不是合同中的标题。违反 GDPR、自行决定处理目的和方式的处理者，就该处理而言被视为控制者（第28条第10款）。
实验室与生产商之间的三种典型架构
对于基于实验室数据或基因数据的后续产品，视由谁决定什么，有三种可能的模式：
| 架构 | 何时适用 | 您需要什么 |
|---|---|---|
| 生产商作为处理者 | 由您确定目的和方式；生产商按照您有记录的指示进行计算和生产。 | 依据第28条第3款订立的合同；其他处理者须事先获得您的书面授权（第28条第2款） |
| 两个独立的控制者 | 双方各自追求自己的目的，例如您负责实验室分析，生产商负责向您的客户配送并结算。 | 传输的法律依据；双方各自履行自己的告知义务（第13条和第14条） |
| 共同控制者 | 您与生产商共同确定目的和方式，例如针对一款基于共享数据基础、共同设计的产品。 | 依据第26条就谁履行哪项义务作出安排；安排的要点须向数据主体提供（第26条第2款），数据主体可以针对您和生产商中的任何一方行使其权利（第26条第3款） |
没有哪种架构天然就是正确的。角色必须与您实际的合作方式相符，并在数据流转之前以书面形式确定。在 Novogenia，我们会在合同中确定您项目中的角色。
法律依据：针对特定目的的明确同意
明确同意必须与一个或多个特定目的相关（第9条第2款(a)项）。这是数据拥有方的一个典型陷阱：如果数据是为实验室分析而收集的，那么后续产品就是一个额外的目的。而且，数据不得以与原始目的不相容的方式进一步处理（第5条第1款(b)项）。
因此，请核查您的同意是否涵盖后续产品，必要时在传递数据之前取得新的同意。有四点很重要：
- 具体：列明后续产品、所使用的数据（例如基因、血液检测值、问卷、身体数据）以及作为接收者的生产商。在 Novogenia，每次生产都会重新计算配方；这一点也请写明。
- 明确区分：如果同意包含在一份涉及其他事项的文件中，则必须清晰可辨、易于理解（第7条第2款）。
- 可证明：控制者必须能够证明当事人已表示同意（第7条第1款）。
- 可撤回：同意可以随时撤回，撤回应与给予同意一样容易（第7条第3款）。请确定届时数据、订阅以及尚未完成的生产将如何处理。
自有品牌，完整告知：由谁告知客户什么？
您的品牌可以站在舞台中央；但隐私声明仍然不能留有空白。如果您从客户处收集数据，您须在收集时告知他们以下事项，包括：控制者、目的和法律依据、接收者或接收者类别、存储期限，以及随时撤回同意的权利（第13条第1款和第2款）。
如果生产商作为独立的控制者从您而非客户处获得数据，则适用第14条：生产商须在合理期限内告知客户，最迟不超过一个月，或在首次与客户沟通时、或在首次向其他接收者披露时告知（第14条第3款）。如果您与生产商是共同控制者，则由双方的安排确定谁履行哪项告知义务（第26条第1款）。
合同、安全、存储期限：哪些内容应形成书面文件
如果生产商作为处理者开展工作，您需要一份合同，其中规定处理的主题和期限、处理的性质和目的、数据类型以及数据主体的类别。在合同中，处理者承诺：仅按照有记录的指示进行处理、采取第32条规定的安全措施、协助您处理客户提出的请求，以及在服务结束时按您的选择删除或返还全部数据等（第28条第3款(a)、(c)、(e)和(g)项）。
无论角色如何，每份协议都应包含三个主题。第一是存储期限：数据只能在目的所需的期限内以可识别的形式保存（第5条第1款(e)项）。由于个性化配方在每次生产时都会重新计算，生产商在订阅期间需要这些数据——请确定订阅结束后、撤回同意后或合同终止时会发生什么。第二是处理活动记录：员工少于 250 人的组织所享有的豁免，在处理特殊类别数据时不适用（第30条第5款）。第三是数据保护影响评估：尤其是在大规模处理特殊类别数据时，必须进行此项评估（第35条第3款(b)项）。
瑞士：以 DSG 和 GUMG 取代 GDPR
瑞士有自己的规则。自2023年9月1日起，修订后的《联邦数据保护法》（DSG，英文简称 FADP）开始适用。对于基因检测，还要加上《人类基因检测联邦法》（GUMG）；对于基因数据的处理，该法在其他方面援引数据保护法（GUMG 第10条第2款）。基本理念您在 GDPR 中已经熟悉，但具体机制有所不同：
- 敏感个人数据：健康数据和基因数据属于敏感个人数据（DSG 第5条(c)项第2点和第3点）。
- 不同的基本逻辑：DSG 并不像 GDPR 第9条那样以禁止为出发点。个人数据必须合法、诚信且合比例地处理（第6条）。但向第三方披露敏感个人数据构成对人格权的侵犯（第30条第2款(c)项）。除非有同意、优先的私人或公共利益或法律作为正当理由，否则此类披露属于违法（第31条第1款）。
- 同意：在需要取得同意的情况下，同意必须在充分告知后、针对特定处理自愿作出，对于敏感个人数据还必须明确作出（DSG 第6条第6款和第7款）。
- 角色：控制者是单独或与他人共同决定处理目的和方式的一方（第5条(j)项）。处理者只能以您本人被允许的方式处理数据，并且只有事先获得您的授权才能分包（第9条第1款和第3款）。DSG 并未规定私人控制者有义务订立类似 GDPR 第26条那样的安排。
- 告知：即使数据并非从数据主体处收集，控制者也须告知数据主体。告知内容须列明接收者；如果数据传往境外，还须列明相关国家（DSG 第19条第1款、第2款和第4款）。
根据 GUMG，对数据拥有方而言最重要的有三条规则。基因检测所得的信息，只有在受检者同意的情况下才能告知他人（第7条第2款）。样本和基因数据只有在当事人经充分告知后给予自由且明确的同意时，才能用于其他目的（第12条第1款）——这正是将现有基因数据再用于后续产品的情形。此外，对于医学领域以外的基因检测，书面信息必须列明执行检测的实验室，以及参与检测或处理基因数据的境外公司和实验室（第32条）。在瑞士谁可以发起营养和运动分析，详见谁可以提供基因检测？
| 主题 | 欧盟（GDPR） | 瑞士 |
|---|---|---|
| 基因数据和健康数据 | 特殊类别，原则上禁止处理，除非适用例外（第9条） | 敏感个人数据（DSG 第5条(c)项） |
| 同意 | 明确同意，针对特定目的（第9条第2款(a)项） | 在需要时须明确作出（DSG 第6条第7款）；对于基因检测以及用于其他目的，须自由且明确地作出（GUMG 第5条和第12条第1款） |
| 委托处理 | 订立包含最低内容的合同（第28条第3款） | 通过合同或法律，核查数据安全，分包须事先获得授权（DSG 第9条） |
| 告知 | 第13条和第14条 | DSG 第19条；对于医学领域以外的基因检测，另有 GUMG 第32条 |
| 跨境数据 | 传往瑞士：欧盟委员会的充分性认定（第2000/518/EC号决定），根据第45条第9款继续有效 | 传往奥地利和德国：根据《数据保护条例》（DSV，英文简称 DPO）附件1，具有充分保护（DSG 第16条第1款） |
| 影响评估 | 大规模处理特殊类别数据时（第35条第3款(b)项） | 大量处理敏感个人数据时（DSG 第22条第2款(a)项） |
核对清单：在第一条记录之前明确角色与数据保护
- 角色清晰，并与您实际的合作方式相符。
- 已订立合适的合同：依据第28条第3款的合同、依据第26条的安排，或关于数据传输的约定。
- 同意涵盖后续产品、所使用的数据以及作为接收者的生产商；同意可证明、可撤回。
- 隐私声明列明接收者、目的、存储期限和权利——并已在各方之间协调一致。
- 存储期限、删除和返还均已确定，包括订阅结束和撤回同意的情形。
- 针对瑞士：披露的正当理由、依据 GUMG 的明确同意、列明实验室的书面信息，以及列明的国家。
常见问题
根据 GDPR，血液检测值属于健康数据吗？
生产商自动就是我们的处理者吗？
我们现有的同意是否也涵盖后续产品？
即使我们以自有品牌销售，生产商也必须出现在我们的隐私声明中吗？
来自瑞士的数据可以传往奥地利的实验室吗？
相关内容: 基因数据与 GDPR · 谁可以提供基因检测？ · 数据集成：原始数据、接口与格式
注意：本指南是面向企业和专业人士的一般性信息，不能替代医疗或法律建议。基因分析所测定的基因特征有充分的文献记载（纳入的每个基因都有至少三项独立研究支持）；由此得出的建议是合乎逻辑的结论，未经科学证实。法规可能发生变化；错漏及变更除外。