基因数据与 GDPR：您在日常工作中需要了解的内容
根据 GDPR，基因数据属于特殊类别的个人数据（第4条第13款、第9条）。原则上禁止处理此类数据——但例如在获得针对特定目的的明确同意时，处理即属合法。在开始之前，请明确谁是控制者、谁是处理者，充分告知您的客户（第13条），只处理真正需要的数据，并删除不再需要的数据。在德国、奥地利和瑞士，雇主原则上既不得索取也不得使用员工的基因检测结果。
一个永远无法更改的密码：为什么基因数据很特殊
如果您的密码被盗，您可以更改它。但您的基因无法更改。它们伴随您一生——而且还会透露关于您的父母、兄弟姐妹和子女的信息。正因如此，数据保护法对其严加保护。
《通用数据保护条例》（GDPR）将基因数据定义为：与自然人遗传或获得的基因特征相关的个人数据，这些数据提供关于其生理或健康的独特信息，尤其是通过对生物样本的分析获得（第4条第13款）。用于营养分析的唾液样本显然属于这一范畴——无论分析是否属于医学分析。
基因数据属于特殊类别的个人数据。除非适用第9条第2款中的某项例外，否则禁止处理此类数据（第9条第1款）。对于营养咨询中的基因分析，主要的途径是明确同意。成员国还可以对基因数据规定额外的条件（第9条第4款）——这就是德国和奥地利部分拥有本国规定的原因。瑞士有自己的法律；详见下文。
同意：一把客户随时可以收回的钥匙
同意是打开数据处理之门的钥匙。对于基因数据，同意必须是明确的，并且针对一个或多个特定目的（第9条第2款(a)项）。而您的客户随时可以收回这把钥匙。要点如下：
- 明确：一份单独的、清晰的声明。根据欧洲数据保护委员会（EDPB）第05/2020号指南，签署书面声明是一种显而易见的方式；在线上，当事人也可以填写电子表单、发送电子邮件、上传签名文件或使用电子签名。预先勾选的方框不构成同意（序言第32段）。
- 可证明：您必须能够证明当事人已给予同意（第7条第1款）。
- 可撤回：当事人可以随时撤回同意，撤回同意必须与给予同意一样容易，而且您须事先告知其这一点（第7条第3款）。
- 受目的约束：不得以与原始目的不相容的方式对数据进行进一步处理（第5条第1款(b)项）。EDPB 指出，如果增加了新的目的，就需要重新获得同意。
各国规定还有额外要求。对于以医学为目的的基因检查，德国要求向负责医生作出明确的书面同意（GenDG 第8条）。在瑞士，每项基因检测都须在充分告知后获得自由且明示的同意（GUMG 第5条）。在奥地利，GTG 意义上的基因分析数据，只有在受检者明确书面同意的情况下，才能传递给该法所列人员以外的其他人（GTG 第71条第2款）。
不留意外：客户需要事先了解什么
透明度是一项义务，而不是小字条款。收集数据时，您须当即告知客户以下事项（GDPR 第13条）等：
- 控制者的身份及联系方式，以及（如适用）数据保护官的联系方式，
- 处理的目的和法律依据，
- 接收者或接收者类别——例如实验室，
- （如适用）将数据传输至第三国的意图，
- 数据的存储期限，或确定该期限所采用的标准，
- 其各项权利，包括随时撤回同意的权利，以及向监管机构投诉的权利。
这些信息必须简明、透明、易懂且易于获取，并使用清晰平实的语言（第12条第1款）。在瑞士，GUMG 第32条还对非医学检测规定了书面告知义务，例如须注明实验室以及所涉及的任何国外公司和实验室。
委托方还是承包方？顾问与实验室之间谁扮演什么角色
一项基因分析至少涉及两个参与方：您和实验室。GDPR 关注的问题是：谁决定处理的目的和方式？这就是控制者——就像建筑项目中决定建造什么的委托方（第4条第7款）。代表控制者处理数据的一方是处理者——就像按图施工的承包方（第4条第8款）。如果双方共同决定目的和方式，则为共同控制者（第26条）。
角色取决于实际发生的情况，而不是合同的标题：根据 EDPB 的第07/2020号指南，这些概念是功能性的，根据各方的实际角色分配责任。
| 角色 | 如何识别 | GDPR 的要求 |
|---|---|---|
| 控制者 | 决定处理的目的和方式（第4条第7款） | 告知数据主体、保障其权利、确保安全并保存处理活动记录（第13条、第15–21条、第30条、第32条） |
| 处理者 | 代表控制者进行处理（第4条第8款） | 签订合同，规定处理的事项、期限、性质和目的、数据类型以及数据主体类别（第28条第3款）；只有获得授权才能使用其他处理者（第28条第2款） |
| 共同控制者 | 共同决定目的和方式（第26条第1款） | 约定由谁履行哪些义务，尤其是关于数据主体权利和告知义务 |
实用建议：在寄出第一份样本之前，与您的实验室以书面形式约定谁承担哪种角色和义务——尤其是由谁根据第13条告知您的客户，以及由谁答复访问或删除请求。
像准备登山一样打包：只带必需品
像为登山准备背包一样处理您的数据：不需要的东西就留在家里。GDPR 称之为数据最小化——数据必须充分、相关，并仅限于为实现目的所必需的范围（第5条第1款(c)项）。而且，数据只能在目的所需的期限内以可识别的形式保存（存储限制，第5条第1款(e)项）。
- 坦诚地问自己：您需要完整的报告吗——还是您与客户讨论的那些结果就已足够？
- 安全的渠道：以适当的技术和组织措施保护报告（第32条）——安全门户胜过未受保护的电子邮件附件。
- 通过设计实现数据保护：将数据保护原则融入流程和默认设置之中，例如通过假名化（第25条）。
- 删除期限：确定何时删除记录——并严格遵守。
对于某些情况，法律规定了期限。在德国，负责医生须将以医学为目的的基因检查结果保存十年，之后予以销毁（GenDG 第12条）。在瑞士，GUMG 第31条第2款所述其他检测的样本和数据，最迟须在检测后两年内销毁，除非当事人已同意作其他用途，或未反对匿名化处理（GUMG 第11条第2款）。
您客户的权利
您的客户始终掌控自己的数据。GDPR 规定的主要权利：
- 对所处理数据的访问权（第15条）以及对不准确数据的更正权（第16条）
- 删除权，例如在撤回同意且不存在其他法律依据之后（第17条）
- 限制处理权（第18条）和数据可携带权（第20条）
- 随时撤回同意（第7条第3款）
您须在无不当延迟的情况下答复请求，且无论如何不得超过一个月；对于复杂情况，期限可延长两个月（第12条第3款）。此外还有一项只存在于基因法中的权利：不知情权。在瑞士，每个人都有权全部或部分拒绝获知有关其基因组的信息（GUMG 第8条）。在德国，这是以医学为目的的检查中告知内容的一部分（GenDG 第9条第2款第5点）；在奥地利，这是第2类至第4类分析咨询内容的一部分（GTG 第69条第5款）。
企业健康管理项目：雇主置身事外
如果您在企业中提供基因分析，就需要在结果与雇主之间筑起一道坚固的墙。三个国家的法律都筑起了这道墙：
- 德国：雇主既不得要求员工接受基因检查或分析，也不得要求其披露结果、接收此类结果或加以使用（GenDG 第19条）。
- 奥地利：禁止雇主收集、索取、接受或以其他方式使用员工或求职者的基因分析结果（GTG 第67条第1款）。
- 瑞士：雇主既不得要求进行非医学基因检测，也不得索取与医学无关的基因数据，亦不得使用此类数据（GUMG 第37条）。
因此，设计此类服务时，要确保参与是自愿的、结果只交给员工本人，且雇主不会获得任何个人结果。同意必须是自由给予的（GDPR 第4条第11款）——在职场环境中，请对此格外留意。
瑞士：适用 DSG 而非 GDPR
瑞士不是欧盟成员国。对于基因数据的处理，GUMG 第10条第2款援引联邦和州的数据保护法。对于私人（包括作为顾问的您）而言，适用的是修订后的瑞士《联邦数据保护法》（DSG），自2023年9月1日起施行（DSG 第2条第1款(a)项）。其核心理念与 GDPR 一致；细节则有所不同：
- 敏感数据：基因数据属于敏感个人数据（DSG 第5条(c)项第3点）。
- 明确同意：凡需要同意时，对于敏感个人数据，必须明确给予同意（第6条第7款）——须出于自愿、针对特定处理，并以适当的告知为基础（第6条第6款）。就检测本身而言，GUMG 第5条无论如何都要求自由且明示的同意。
- 数据跨境：数据可以传输至联邦委员会认定能提供充分保护的国家（DSG 第16条第1款）。相关名单载于瑞士《数据保护条例》（DSV）附件1；所有欧盟国家，包括奥地利和德国，都在名单之列。向其他国家传输则需要适当的保障措施（第16条第2款）或适用例外情形，例如数据主体的明确同意（第17条第1款(a)项）。
- 透明度：如果数据传输至国外，您还须告知数据主体相关国家（DSG 第19条第4款）。
- 影响评估：如果处理可能导致高风险，控制者须事先进行数据保护影响评估——尤其是在大量处理敏感个人数据时（DSG 第22条第1款和第2款）。
检查清单：您日常工作中的数据保护
- 已与实验室以书面形式明确角色——必要时签订数据处理协议（第28条）或共同控制者协议（第26条）。
- 已获得并记录针对特定目的的明确同意（第9条第2款(a)项、第7条第1款）。
- 已根据第13条提供完整、易懂的隐私信息。
- 已保存处理活动记录——如果您处理特殊类别数据，员工少于 250 人的机构所享有的豁免不适用（第30条第5款）。
- 报告只通过安全渠道传输，只有需要的人才能访问（第32条）。
- 已设定并遵守删除期限（第5条第1款(e)项）。
- 制定数据泄露应对计划：在可行的情况下于 72 小时内通知监管机构（第33条）。
- 大规模处理基因数据时：进行数据保护影响评估（第35条第3款(b)项），如果这是您的核心业务，还须指定数据保护官（第37条第1款(c)项）。
常见问题
营养基因分析的结果属于 GDPR 意义上的基因数据吗？
订购表单中的一个勾选框足以构成同意吗？
我是控制者还是处理者？
我必须查看客户的基因报告吗？
在企业健康管理项目中，雇主可以得知结果吗？
相关内容: 谁可以提供基因检测？ · 清晰讲解基因报告 · 合作伙伴与白标模式
注意：本指南是面向专业人士的一般性信息，不能替代医疗或法律建议。基因分析所测定的基因特征有充分的文献依据（纳入的每个基因都有至少三项独立研究支持）；由此推导出的营养、微量营养素和生活方式建议是合乎逻辑的结论，未经科学证实。法规可能发生变化；错漏及变更除外。