标准规范下载简介
GB／T 41806-2022 信息安全技术 基因识别数据安全要求.pdfICS 35.030 CCSL80
GB/T41806—2022
排烟系统组合风阀应用技术规程.pdf信息安全技术基因识别数据安全要
国家市场监督管理总局 发布 国家标准化管理委员会
GB/T 41806—2022
本文件规定了基因识别数据及关联信息的收集、存储、使用、加工、传输、提供、公开、删除等数据处 理活动的安全要求。 本文件适用于基因识别数据及关联信息的处理者规范数据处理活动，也可为监管部门、第三方评估 机构对基因识别数据处理活动进行监督、管理、评估提供参考
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文 件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单)适用于 本文件。 GB/T25069信息安全技术术语 GB/T35273信息安全技术个人信息安全规范 GB/T37864生物样本库质量和能力通用要求 GB/T37988信息安全技术数据安全能力成熟度模型 GB/T39335信息安全技术个人信息安全影响评估指南 GB/T40660信息安全技术生物特征识别信息保护基本要求 GB/T41479信息安全技术网络数据处理安全要求
3.3 关联信息associatedinformation 描述遗传物质样本及其数据主体的附加信息。 注：该信息包含部分个人敏感信息、其他个人信息及标签信息。常见的个人敏感信息包括姓名、身份证、家*病史、 用药记录等。其他个人信息包括性别、**、**、出生日期等。常见标签信息包括收集时间、收集地点、收集 对象、收集者、收集方式、样本类型、规格、单位、样本保存期限、测序平台信息、芯片信息、测序时间、数据量、数 据类型等。 B.4 知情同意informedconsent 基因识别数据(3.2)处理者和数据主体或数据主体的法定监护人之间关于基因识别数据处理边界 的约定。 注：知情同意由知情权和同意权两个密切相连的权利组成。知情权是同意权得以存在的前提和基础，同意权又是 知情权的价值体现，强调数据主体的知情同意权，主要目的在于通过赋予基因识别数据处理者相应的告知义 务，使数据主体在了解自己将面临的风险、付出的代价和可能取得的收益的基础上自由作出选择，从而维护数 据主体的利益。
关联信息associatedinformation 描述遗传物质样本及其数据主体的附加信息。 注：该信息包含部分个人敏感信息、其他个人信息及标签信息。常见的个人敏感信息包括姓名、身份证、家*病史 用药记录等。其他个人信息包括性别、**、**、出生日期等。常见标签信息包括收集时间、收集地点、收多 对象、收集者、收集方式、样本类型、规格、单位、样本保存期限、测序平台信息、芯片信息、测序时间、数据量、 据类型等。
基因识别数据(3.2)处理者和数据主体或数据主体的法定监护人之间关于基因识别数据处理边界 的约定。 注：知情同意由知情权和同意权两个密切相连的权利组成。知情权是同意权得以存在的前提和基础，同意权又是 知情权的价值体现，强调数据主体的知情同意权，主要目的在于通过赋予基因识别数据处理者相应的告知义 务，使数据主体在了解自己将面临的风险、付出的代价和可能取得的收益的基础上自由作出选择，从而维护数 据主体的利益
基因识别数据及关联信息处理活动如下。 a）数据收集： 1）需求提出：基因识别数据处理者为完成业务活动，对数据主体提出基因识别数据及关联信 息使用需求的活动。 2）知情同意书签订：基因识别数据处理者提出基因识别数据及关联信息的使用需求、数据主 体知情同意后，双方应完成的知情同意书签订的活动。 注1：知情同意书模板见附录B。 3）遗传物质收集：收集生物样本，并从中提取相应遗传物质的活动。生物样本包括血液、唾 液、尿液、粪便、毛发、脑脊液和脱落细胞等。此活动中会产生相应的关联信息，如：收集时 间、收集地点、收集对象、收集者、收集方式、样本类型、规格、单位、样本保存期限等。 4）数据提取：通过测序技术、基因分型技术等手段从人类遗传物质中获得对应的基因识别数 据的活动。此活动中会产生相应的关联信息，如：测序平台信息、芯片信息、测序时间、数 据量、数据类型等。 b）数据存储和传输：在数据主体知情同意或法定使用的情况下，对基因识别数据及关联信息进行 存储和传输的活动。 注2：数据的存储也包括归档及保藏。 c）数据使用和加工：为满足知情同意书约定或维护公共利益的使用需求，对所获取的基因识别数 据及关联信息进行分析、检测、鉴定、评估、研究及开发的活动。此活动中会产生与数据主体直 接相关的、涉及隐私的关联信息，如：遗传疾病、个体特征、用药指南、健康风险等。 d）数据提供：为达到一定的服务目标或科研目标，在数据主体书面的单独同意或法定使用的前提 下，将基因识别数据及关联信息提供给其他基因识别数据处理者的活动。 e) ）数据公开：为科研目的，在向有关部门备案并提交信息备份、数据主体知情同意并经过匿名化 处理后，用于公开发表学术文章或者开放使用的活动。 f 数据删除：不可逆地删除基因识别数据及关联信息的活动。
4.2基因识别数据及关联信息应用场景
GB/T 41806—2022
基因识别数据处理活动中常见的安全风险主要包括数据的滥采、滥用，数据的泄露、损毁，受托方 的未授权处理及未经许可的数据出境等
对基因识别数据处理者的要求如下。 a）应符合GB/T35273、GB/T40660、GB/T41479规定的要求。 b）应符合GB/T37988中数据安全能力成熟度等级3规定的要求。 c）开展基因识别数据处理活动前，根据相关法律法规的要求，取得有关部门的许可。不同场景下 的基因识别数据处理者应符合的要求如下： 1）在医疗服务场景中，应按相关要求取得卫生主管部门的许可，并具备相应的资质，如：二类 医疗技术的准人（备案）资质、临床基因扩增检验实验室资质等； 注1：相关要求见《医疗机构管理条例》医学检验实验室基本标准（试行）X医学检验实验室管理规范（试行）X医疗 机构临床基因扩增检验实验室管理办法《医疗机构临床实验室管理办法（2020修正）》等。 2）在消费级服务场景中，应按相关要求取得卫生主管部门的许可，并具备相应的资质或合格 的质量评估，如：临床基因扩增检验实验室资质、不同类型药物相关基因分型室间质量评 估等； 注2：相关要求见《医疗机构管理条例X医学检验实验室基本标准（试行）X医学检验实验室管理规范（试行）X医疗 机构临床基因扩增检验实验室管理办法》等。 3）在研究开发场景中，应按相关要求具备相关研究开发的能力，包括相应等级的实验室、研 究团队、相关研究经历及成果等，并按照科技管理部门相关的法律法规要求开展基因识别 数据的研究开发活动； 注3：相关要求见《中华人*共和国人类遗传资源管理条例》等。 4）在公共卫生相关活动场景中，应按照相关要求获得资质，如：二级生物安全实验室生物安 全备案、检验人员具有市级以上病原微生物实验室生物安全培训证书、临床基因扩增检验 技术人员上岗证书等，应获得行政许可； 注4：相关要求见《医疗机构管理条例《病原微生物实验室生物安全管理条例》医疗机构临床基因扩增检验实验室 管理办法》等。 5）在遗传信息公共服务场景中，应获得国家有关部门批准的资质，如：采集、保藏、利用、对外 提供等。 d）开展基因识别数据处理活动前，应按照GB/T39335的规定开展个人信息安全影响评估，并形 成评估报告。 e）应设立伦理委员会，按照尊重数据主体选择、处理活动有利于数据主体、确保平等公正无歧视 的原则，负责独立地审查、跟踪审查及复审基因识别数据处理活动的科学性和伦理合理性，对 相关业务活动中基因识别数据滥采、滥用等活动可能造成的社会危害做出评估，同意基因识别 数据处理活动的开展，在本机构组织开展伦理审查培训，保护数据主体的尊严、安全和合法权 益，促进基因识别数据处理活动规范开展。 f) ）应设立数据管理委员会，在伦理委员会的审查和监督下，制定个人信息保护政策、基因识别数 据安全策略，建立数据安全管理机制，形成完整的数据安全与信息安全管理体系，应针对基因 识别数据及关联信息进行数据安全风险评估、数据安全风险监测预警、数据访问控制，保障基 因识别数据及关联信息全生命周期的安全性及数据主体的合法权益。 注5：伦理委员会是指为确保机构围绕人类遗传物质及相关遗传信息开展的业务活动（例如：科学研究、医学研究、
对基因识别数据处理者的要求如下。 a）应根据自身业务的特点，提出需求，制定知情同意书。所需的基因识别数据及关联信息应与相 关业务直接关联西安某区球墨铸铁管给水管道施工组织设计，并明示只收集和使用满足业务需要的最少数据。 b）知情同意书内容应满足的要求包括： 1）告知方应为提出基因识别数据需求的基因识别数据处理者； 2）应与相关业务对基因识别数据及关联信息的需求一致，不应要求超出需求的生物样本、基 因识别数据及关联信息； 3）应列明数据主体拥有的权利及行使权利的方式和程序； 4）应告知遗传物质及所获取数据的种类、用途、安全保护措施、数据应用的潜在风险，生物样 本和数据存储时限以及剩余生物样本的处理方式； 5）应列明业务过程中所涉及的所有基因识别数据处理者； 6）如涉及基因识别数据及关联信息的提供，应描述提供的内容、范围及数据接收方身份； 7）应描述数据主体撤回授权同意的方法。 c）使用需求应得到许可后方可开展相关活动。依据不同的应用场景，相关使用需求应通过伦理 委员会的审查。
对基因识别数据处理者的要求如下： a） 应以显著方式向数据主体展示知情同意书，并进行充分的解释说明，得到数据主体的书面的单 独同意，并签署知情同意书； b) 应针对每一个场景分别进行明确描述、告知，并按每一个场景分别取得数据主体的书面的单独 同意。
对基因识别数据处理者的要求如下： a) 数据主体生物样本及遗传物质的收集应符合GB/T37864的要求； b) 2 收集过程完成后，应对样本进行去标识化处理，去除数据主体样本与关联信息的关联关系； C) 如委托受托方收集生物样本及关联信息，应签订委托协议，确保其在约定的目的和范围内 收集。
对基因识别数据处理者的要求如下： a） 应对基因识别数据和关联信息明确区分，提取的数据格式应支持基因识别数据与关联信息的 分离； b）应符合最小必要原则，按照知情同意书中描述的基因识别数据类型和数量进行提取，不应提取 非直接相关的基因识别数据及关联信息； c） 2 数据提取过程中，应只将基因识别数据与生物样本建立关联，不应与任何个体或*体自然人的 任何信息相关联； d）数据提取过程中，应按照知情同意书中的描述处理生物样本；
数据提取完成并通过质量检测后，剩余样本应按照知情同意书中的描述处理； 如委托提取数据，不应提供关联信息，应与受托方签订委托协议，确保其在约定的目的和范围 内提取基因识别数据，且符合本文件对数据提取的数据安全要求； 如委托提取数据，受托方应使用适用的密码技术，保证数据安全。
对基因识别数据处理者的要求如下： a）应在按照6.2的要求取得数据主体同意后，进行基因识别数据及关联信息的存储； b）应按照实现基因识别数据及关联信息处理目的所需要的最短时间进行存储； 注：医学服务场景部分数据存储时限见附录C。 c) 存储设施应通过伦理委员会及数据管理委员会审查，存储设施的建设和运行应遵循国家相关 安全标准和规范，应采用密码技术等安全措施，保证基因识别数据和关联信息的保密性、可用 性和完整性，并通过相关安全评估； d）数据存储过程中，基因识别数据应经过去标识化处理； e) 数据存储过程中，基因识别数据与关联信息应分开存储，并设置不同的访问和管理权限； D 基因识别数据及关联信息的存储时间达到审查批准或知情同意要求的存储时限且需继续存储 的，应重新进行相关审查登记批准流程，并按照6.2的要求重新取得数据主体同意； g) 广 在取得数据主体书面的单独同意的情况下，对数据进行加密处理后，可委托其他具有基因识别 数据及关联信息存储资质的机构代为存储； h）基因识别数据与关联信息应在中华人*共和国境内存储； 基因识别数据及关联信息应采用适用的密码技术进行传输。
对基因识别数据处理者的要求如下： 获取基因识别数据后，应按照知情同意书中的内容，根据相应场景的使用目的，合理使用基因 识别数据及关联信息； X 基因识别数据使用时，可与符合使用目的的关联信息建立关联，达到使用目的后，应及时解除 关联； 如委托进行数据分析，应满足的数据安全要求包括： 1）数据分析前，应对委托行为进行个人信息安全影响评估； 2）数据分析前，应对受托方数据安全能力提出要求，通过委托协议明确双方的数据安全责任 及数据安全措施，明确数据分析的规范，包括保存期限、删除或返还期限等； 3） 数据分析过程中，应根据分析目的提供最少的关联信息； 4）数据分析过程中枝江市引鲁入城供水-备用水源工程施工组织设计，禁止受托方处理基因识别数据以实现除委托目的之外的其他用途。
对基因识别数据处理者的要求如下。 * 按照6.2的要求取得数据主体同意并通过伦理委员会和数据管理委员会的审核批准后，可 供最小限度的基因识别数据及关联信息；该数据提供应符合知情同意书中明确描述的目的、 收对象、提供内容等。
对基因识别数据处理者的要求如下。 按照6.2的要求取得数据主体同意并通过伦理委员会和数据管理委员会的审核批准后，可 供最小限度的基因识别数据及关联信息；该数据提供应符合知情同意书中明确描述的目的、 收对象、提供内容等。