Das Wichtigste zum Umgang mit genetischen Daten
Wie mit genetischen Daten umzugehen ist (Zustimmung der betroffenen Person, Aufklärung, Aufbewahrung, Vernichtung, Weitergabe), wird im Bundesgesetz über genetische Untersuchungen beim Menschen („GUMG“) geregelt. Enthält das GUMG keine Bestimmungen zum Umgang mit den Daten, so kommt subsidiär das Bundesgesetz über den Datenschutz („DSG“)[2] zur Anwendung.
Was sind genetische Daten gemäss GUMG und DSG?
Genetische Daten sind Informationen über das Erbgut einer Person, die durch eine genetische Untersuchung gewonnen werden (inkl. DNA-Profil).[2] Unter dem DSG gelten genetische Daten als besonders schützenswerte Personendaten.[3] Abhängig von der jeweiligen Kategorisierung im GUMG müssen für die Bearbeitung unterschiedliche Voraussetzungen beachtet werden.
Welche Kategorien an Untersuchungen sind rechtlich zu unterscheiden?
Das GUMG unterscheidet zwischen genetischen und pränatalen Untersuchungen im medizinischen Bereich (bspw. Erbkrankheiten, prädiktive Risikofaktoren für Krankheiten) und genetischen Untersuchungen ausserhalb des medizinischen Bereichs.
Genetische Untersuchungen ausserhalb des medizinischen Bereichs werden weiter unterteilt in genetische Untersuchungen zu besonders schützenswerten Eigenschaften (bspw. Lifestyle-Analysen, Charaktereigenschaften, Ahnenforschung) und in übrige genetische Untersuchungen (bspw. Auskunft über die Grösse, Augen- oder Haarfarbe).
Inwiefern sind datenschutzrechtliche Bestimmungen für die Durchführung von genetischen Untersuchungen relevant?
Genetische Untersuchungen werden nur korrekt durchgeführt, sofern nebst den grundlegenden Voraussetzungen auch die datenschutzrechtlichen Bestimmungen eingehalten werden. Gesetzesverstösse können strafrechtliche Folgen oder Verwaltungsmassnahmen[4] nach sich ziehen. Kommt im internationalen Sachverhalt zusätzlich die Datenschutzgrundverordnung der Europäischen Union zur Anwendung, können unter Umständen auch verwaltungsrechtliche Sanktionen drohen.
So sieht das GUMG unter anderem die Bestrafung vor für die Durchführung, Veranlassung oder die Beauftragung einer genetischen Untersuchung ohne über die Zustimmung der betroffenen Person zu verfügen.[5] Auch die Mitteilung von Informationen über das Erbgut einer Person entgegen ihrem Willen oder die widerrechtliche Weiterverwendung von genetischen Daten[6] können strafrechtliche Sanktionen nach sich ziehen.[7]
Was muss vor der Durchführung von genetischen Untersuchungen beachtet werden?
Bevor die betroffene Person ihre Einwilligung zur gentechnischen Untersuchung gibt, muss diese unter anderem über folgende Punkte aufgeklärt werden (informed consent):
Gibt es für genetische Untersuchungen ausserhalb des medizinischen Bereichs zusätzliche Anforderungen an die vorgängige Aufklärung?
Wird die genetische Untersuchung ausserhalb des medizinischen Bereichs durchgeführt, muss zusätzlich über folgende Punkte informiert werden:
Eine Zustimmung der betroffenen Person ist nur gültig, wenn sie nach entsprechender Aufklärung freiwillig erteilt wurde.
In welcher Form muss die Aufklärung ausserhalb des medizinischen Bereichs erfolgen?
Die Aufklärung muss schriftlich[8] erfolgen und die Kontaktdaten folgender Personen enthalten:
Dürfen Proben und genetische Daten ins Ausland übermittelt werden?
Die Übermittlung von Proben und genetischen Daten ins Ausland ist nur zulässig, wenn die entsprechenden Regeln des allgemeinen Datenschutzrechts eingehalten werden. Zwar enthält das GUMG in Art. 29 Bestimmungen zur Durchführung genetischer Untersuchungen im Ausland. Diese sind jedoch organisatorischer Natur und enthalten Voraussetzungen für die technischen Anforderungen (bspw. geeignetes Qualitätsmanagementsystem, Wissenschaft und Technik).
Sodann dürfen Proben und genetische Daten nur ins Ausland übermittelt werden, solange der betreffende Staat einen angemessenen Schutz der Daten gewährleistet.[9] Willigt die betroffene Person ausdrücklich in die Bekanntgabe ins Ausland ein, müssen die obgenannten Voraussetzungen nicht erfüllt sein.[10]
Was muss beim Beizug von Subunternehmern für die Datenanalyse beachtet werden?
Die Bearbeitung von Personendaten (Proben und genetische Daten) kann vertraglich oder durch die Gesetzgebung einem Auftragsdatenbearbeiter (Subunternehmer) übertragen werden, sofern die Daten auf die Art und Weise bearbeitet werden, wie der Verantwortliche (Auftraggeber) es selbst tun dürfte und keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet.[11] Der Auftraggeber muss zudem sicherzustellen, dass die Subunternehmer in der Lage sind, die Datensicherheit zu jedem Zeitpunkt zu gewährleisten.[12]
Will der Subunternehmer die Bearbeitung der Daten einem Dritten übertragen, ist dies nur mit vorgängiger Genehmigung des Auftraggebers zulässig.[13]
Wie lange dürfen die genetischen Daten aufbewahrt werden?
Proben und genetische Daten dürfen nur so lange aufbewahrt werden, wie dies (i) zur Durchführung der Untersuchung, einschliesslich der Qualitätssicherung, (ii) zur Verwendung zu einem anderen Zweck oder (iii) zur Erfüllung kantonaler Vorschriften, insbesondere betreffend die Führung von Patientendossiers, erforderlich ist.
Handelt es sich um übrige genetische Daten, die im Rahmen einer Untersuchung ausserhalb des medizinischen Bereichs entstanden sind, müssen diese spätestens zwei Jahre nach der Durchführung vernichtet werden, es sei denn die betroffene Person hat der Verwendung zu einem anderen Zweck zugestimmt oder der Anonymisierung nicht widersprochen.
Dürfen die genetischen Daten und Proben für andere Zwecke (z.B. zur technischen Entwicklung von Laborgeräten, Untersuchungsmethoden oder Informatikmitteln) verwendet werden?
Ja, sofern die betroffene Person nach hinreichender Aufklärung der Verwendung ihrer Proben oder genetischen Daten (in unverschlüsselter oder verschlüsselter Form)[14] zu einem anderen Zweck frei und ausdrücklich zugestimmt hat. In anonymisierter Form dürfen sie zu einem anderen Zweck verwendet werden, wenn die betroffene Person vorgängig informiert wurde und der Anonymisierung nicht widersprochen hat.[15]
Unter Beachtung des allgemeinen Gebots der Zweckbindung jeder Datenverarbeitung[16] ist dabei nur die Verwendung zu einem hinreichend bestimmten Zweck, welcher im Aufklärungsgespräch erläutert wurde, zulässig. Auch Informationen über Ort und Dauer der geplanten Weiterverwendung sind anzugeben. Im Übrigen bleibt es den Parteien überlassen, wie detailliert sie den „anderen Zweck“ umschreiben wollen. Eine eng bestimmte einmalige Bearbeitung oder aber auch ein vergleichsweise offener oder abstrakt formulierter Zweck im Sinne eines Generalkonsenses sind vertretbar.[17]
Dürfen sämtliche Untersuchungen ausserhalb des medizinischen Bereichs direkt an Kundinnen und Kunden (DTC) abgegeben werden?
Nein, Untersuchungen besonders schützenswerter Eigenschaften der Persönlichkeit dürfen nicht direkt an Kundinnen und Kunden abgegeben werden.[18] Solche Untersuchungen sind stets durch eine Fachperson zu begleiten. Dadurch soll verhindert werden, dass Dritte besonders schützenswerte Eigenschaften der Persönlichkeit unbemerkt untersuchen können.
Nur Untersuchungen betreffend die übrigen genetischen Eigenschaften dürfen direkt an die betroffene Person abgegeben werden.[19]
Interessiert an unserer Checkliste für DTC-Tests?
[1] Hinweis: Der vorliegende Text verweist ausschliesslich auf das revidierte DSG, welches per 1. September 2023 in Kraft tritt.
[2] Art. 3 lit. k GUMG.
[3] Art. 5 lit. c Ziff. 3 DSG.
[4] Art. 51 DSG.
[5] Art. 56 Abs. 1 lit. a GUMG.
[6] Art. 56 Abs. 2 GUMG.
[7] Art. 56 Abs. 1 lit. b GUMG.
[8] Der Text kann auch elektronisch abgebildet sein (z.B. in E-Mails); Aufgrund der Vielzahl an denkbaren Angebotsformen wird im Gesetzestext bewusst offengelassen, wer die Informationen zur Verfügung stellen muss. Dies kann der Hersteller des Tests, das durchführende Laboratorium oder die veranlassen Person sein (Botschaft zum Bundesgesetz über genetische Untersuchungen beim Menschen vom 15. Juli 2017, BBl 2017, 5703).
[9] Art. 16 Abs. 1 DSG; vgl. Art. 8 Abs. 1 und Anhang I der Datenschutzverordnung (SR 235.11 – Verordnung vom 31. August 2022 über den Datenschutz (Datenschutzverordnung, DSV) (admin.ch)).
[10] Art. 17 Abs. 1 lit. a DSG.
[11] Art. 9 DSG.
[12] Art. 9 Abs. 2 DSG.
[13] Art. 9 Abs. 3 DSG.
[14] Unverschlüsselte Proben oder Daten erlauben einen direkten Rückschluss auf die Person, von der sie stammen. Bei verschlüsselten Proben und Daten hingegen ist deren Herkunft zwar nicht direkt ersichtlich, jedoch kann diese mithilfe eines entsprechenden Schlüssels, der einem ausgewählten Personenkreis bekannt ist, festgestellt werden (Botschaft zum Bundesgesetz über genetische Untersuchungen beim Menschen vom 5. Juli 2017, BBl 2017, 5672).
[15] Art. 12 GUMG.
[16] Vgl. Art. 6 DSG.
[17] Botschaft zum Bundesgesetz über genetische Untersuchungen beim Menschen vom 5. Juli 2017, BBl 2017, 5672.
[18] Art. 34 GUMG.
[19] Art. 13 GUMG.
