网店数据保护：正确处理健康数据与基因数据
基因数据和健康数据属于特殊类别的个人数据；原则上禁止处理这类数据，除非您的客户为特定目的给予明确同意（GDPR 第9条第1款和第2款(a)项）。即使是订单数据，如果能够推断出某人的健康状况，也可能构成健康数据（欧盟法院，C-21/23 号案）。因此，请将订单和支付等网店数据与问卷、分析和报告分开，只向服务商提供其所需的数据，并且绝不将健康信息用于广告画像。对于瑞士客户，适用瑞士《联邦数据保护法》：基因数据和健康数据属于敏感个人数据，凡是需要同意的，都必须是明确同意（DSG 第5条(c)项和第6条第7款）。
两个抽屉：一份订单能透露什么
一个姓名、一个收货地址、购物车里的一件产品——听起来无伤大雅。但欧盟法院在 2024 年得出了不同的结论。一名药剂师通过一个在线平台销售仅限药房销售但无需处方的药品。法院裁定，客户在下单时必须输入的信息——例如姓名、收货地址以及为确定具体药品所需的信息——属于健康数据（2024年10月4日判决，C-21/23 号案）。在同一判决中，法院还明确指出，GDPR 并不排斥允许竞争对手将数据保护违规行为作为不正当商业行为向民事法院提起诉讼的国内法规定。数据保护同样是一个竞争问题。
对于销售基因分析和个性化产品的网店来说，情况很清楚：设想有两个抽屉。一个抽屉里装的是每个网店都需要的东西——订单、地址、支付、发货。另一个抽屉是上了锁的：问卷、健康信息、基因数据、报告。好的网店会把两者分开，只有在确实必要时才打开第二个抽屉。下面说明具体做法。面向从业者的基础知识见基因数据与 GDPR，品牌与实验室的角色见白标基因检测的数据保护。本文仅供参考，不构成针对您具体情况的法律建议。
您的网店会接触哪些数据
《通用数据保护条例》（GDPR）区分了两个领域。基因数据是指与个人遗传或获得的基因特征有关、能够提供关于其生理或健康的独特信息的数据（第4条第13点）。健康数据涉及身体或心理健康，并揭示个人健康状况的信息（第4条第15点）。两者均属于特殊类别，原则上禁止处理（第9条第1款）。
| 抽屉 | 示例 | 适用规定 |
|---|---|---|
| 订单与合同数据 | 姓名、地址、支付、订单历史、发货状态 | 为履行合同而处理（第6条第1款(b)项）；如果订单本身能推断出健康状况，请格外注意 |
| 问卷与健康信息 | 目标、不适症状、血液检测值、生活方式信息 | 凡是揭示健康状况的信息：明确同意（第9条第2款(a)项） |
| 基因数据与报告 | 分析结果、门户中的报告 | 明确同意；最好不存储在网店系统中 |
| 营销与追踪 | Cookie、新闻简报、广告像素 | 非必要 Cookie 须获得同意（德国：TDDDG 第25条；奥地利：TKG 2021 第165条第3款）；广告画像中不得包含健康数据 |
明确同意：结账流程中的独立步骤
对于面向消费者的基因检测，为一个或多个特定目的给予的明确同意是核心法律依据（GDPR 第9条第2款(a)项）。为了让同意站得住脚，请将其作为结账流程中的一个独立步骤——而不是埋在条款中的一项条款：
- 清晰具体：哪些数据、用于什么目的、由谁处理——以及您作为合作伙伴是否能看到报告。
- 主动作出：预先勾选的复选框不构成同意（序言第32段）。
- 可以证明：您必须能够证明客户已给予同意（第7条第1款）。
- 可以撤回：撤回同意必须与给予同意一样容易，并且须事先告知客户（第7条第3款）。
- 时机恰当：同意应在采样之前，而不是之后。注册与同意在技术上如何实现，由您与 Novogenia 共同设定。
成员国可以为基因数据和健康数据规定进一步的条件（第9条第4款）。德国、奥地利和瑞士适用哪些条件，详见白标基因检测的数据保护。
将网店数据与基因数据分开
数据必须限于实现目的所必需的范围（GDPR 第5条第1款(c)项），而且默认情况下只能处理每个特定目的所需的数据（第25条第2款）。在实践中，这对您的网店意味着：
- 网店知道订单，不知道结果：客服和发货需要的是订单状态和发货信息。基因结果和报告留在安全门户中。
- CRM 中不放问卷：健康信息不应出现在您的新闻简报工具、工单系统或半个团队都能打开的电子表格中。
- 按角色授权访问：只有为完成工作而需要某项信息的人，才能看到该信息。
- 报告不作为电子邮件附件发送：请以适当的技术和组织措施保护报告（第32条）；安全门户正是为此而设计的。
- 审慎选择查看权限：在 Novogenia，您作为合作伙伴可以决定是否查看客户的报告。如果您不需要，第二个抽屉就保持空着——您的风险也就保持在低水平。
您的服务商：签订合同的处理者
网店很少单独运营：网店软件、支付服务商、物流服务商、电子邮件工具、客服聊天。凡是代表您处理数据的人，都必须为适当的技术和组织措施提供充分保证（GDPR 第28条第1款），您须与他们每一方签订数据处理协议（第28条第3款）。请核查您的工具在何处处理数据：只有在满足第五章规定的条件下，才允许向欧盟以外的国家传输数据（第44条）。此外，您的隐私声明须写明接收方或接收方类别（第13条第1款(e)项）。
您相对于 Novogenia 承担何种角色——控制者、处理者还是共同控制者（第4条第7点和第8点、第26条）——取决于所采用的模式。请在上线前以书面形式厘清；基础知识见白标基因检测的数据保护。
不建立健康画像的营销
Cookie 和广告像素须获得访客的同意，除非它们对于提供用户所请求的服务是绝对必要的（德国：TDDDG 第25条；奥地利：TKG 2021 第165条第3款）。对于基因检测，还有第二道界限：在线平台不得基于使用特殊类别个人数据的画像来展示广告（《数字服务法》（第(EU) 2022/2065号条例）第26条第3款）。
由此为您的营销得出一条简单的规则：基因结果、问卷答案和健康兴趣不得进入广告画像、再营销列表或受众上传——除非您的客户恰恰对此给予了明确同意。请用您的服务能显示什么来推广它，而不是用您对个人的了解。广告中可以说什么，详见个性化产品的营销。
影响评估与数据保护官
有两项义务取决于规模。对于大规模处理特殊类别数据的情形，您须事先进行数据保护影响评估（GDPR 第35条第3款(b)项）。如果贵公司的核心活动包括此类处理，您就需要一名数据保护官（第37条第1款(c)项）。您的网店是否属于这种情况，也取决于您如何设置：第二个抽屉关得越紧，您自己处理的特殊类别数据就越少。请在上线前对此进行评估。
瑞士：以 DSG 取代 GDPR
对于瑞士客户，适用瑞士《联邦数据保护法》（英文简称 FADP，德文简称 DSG）。其基本理念您已从 GDPR 中有所了解，但细节有所不同：
- 敏感数据：健康数据和基因数据属于敏感个人数据（DSG 第5条(c)项第2点和第3点）。凡是需要同意的，对于这些数据都必须是明确同意（第6条第7款）。
- 告知：您至少须提供控制者的身份和联系方式、目的以及（如适用）接收方；如果数据传输至境外，还须告知相关国家（第19条）。
- 影响评估：大规模处理敏感个人数据意味着高风险，因此您须事先进行数据保护影响评估（第22条）。
- 在瑞士的代表：位于境外的私人控制者，如果在提供商品或服务时大规模、经常地处理数据，且该处理涉及高风险，则须在瑞士指定一名代表（第14条）。
- Cookie：瑞士不要求事先同意，但要求提供关于处理及其目的的信息，并提示用户可以拒绝（瑞士《电信法》（FMG）第45c条）。
在数据保护之前还有一个区别：在瑞士，您不得以居家检测的形式销售生活方式基因分析（GUMG 第13条）。这对您的网店意味着什么，详见在线销售基因检测：德国、奥地利、瑞士。
检查清单：您网店中的数据保护
- 您知道您的网店处理哪些数据——以及其中哪些属于基因数据或健康数据。
- 明确同意是采样前一个单独的、主动的步骤，可以证明，并且易于撤回。
- 网店数据与基因数据分开管理；报告留在安全门户中。
- 问卷答案不会进入 CRM、新闻简报或广告工具。
- 已与所有服务商签订数据处理协议；向境外的数据传输已经核查。
- 您与 Novogenia 之间的角色已以书面形式确定。
- 依据 TDDDG 第25条或 TKG 2021 第165条第3款获取 Cookie 同意；针对瑞士，依据 FMG 第45c条提供信息和拒绝选项。
- 影响评估和数据保护官事宜已经核查——依据 GDPR 以及（针对瑞士）DSG。
- 您的隐私声明写明了控制者、目的、接收方和存储期限。
常见问题
订单数据本身就是健康数据吗？
在我的条款中设置一个复选框就足以构成同意吗？
我可以针对基因检测客户投放定向广告吗？
我需要数据保护官吗？
瑞士客户适用哪些规定？
相关内容: 白标基因检测的数据保护 · 基因数据与 GDPR · 在线销售基因检测：德国、奥地利、瑞士
注意：本指南是面向企业和专业人士的一般性信息，不能替代医疗或法律建议。基因分析所测定的基因特征有充分的文献记载（纳入的每个基因都有至少三项独立研究支持）；由此得出的建议是合乎逻辑的结论，未经科学证实。法规可能发生变化；错漏及变更除外。