本文件规定了基因识别数据及关联信息的收集、存储、使用、加工、传输、提供、公开、删除等数据处理活动的安全要求。 本文件适用于基因识别数据及关联信息的处理者规范数据处理活动，也可为监管部门、第三方评估机构对基因识别数据处理活动进行监督、管理、评估提供参考。

ICS35.030
CCS L 80
中华人民共和国国家标准
GB/T41806—2022
信息安全技术
基因识别数据安全要求
Information security technology-Security requirements of genetic recognition data2022-10-12发布
国家市场监督管理总局
国家标准化管理委员会
2023-05-01实施bZxz.net
GB/T41806—2022
规范性引用文件
3术语和定义
基因识别数据及关联信息处理活动基因识别数据及关联信息应用场景安全风险
基本安全要求
数据收集
需求提出
知情同意书签订
遗传物质收集
数据提取
数据存储和传输
数据使用和加工
数据提供和公开
数据删除·
各场景的安全要求·
个体服务场景安全要求
研究开发场景安全要求
其他场景安全要求
附录A（资料性）基因识别典型数据格式附录B（资料性）
附录C（资料性）
参考文献
知情同意书模板示例
医学服务类数据存储时限
GB/T41806—2022
本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。本文件起草单位：深圳华大基因科技有限公司、中国电子技术标准化研究院、神州网信技术有限公司、深圳华大法医科技有限公司、上海赴源科技服务有限公司、深圳华大基因股份有限公司、杭州普链数安科技有限责任公司、深圳市早知道科技有限公司、全知科技（杭州）有限责任公司、山西医科大学、西安交通大学、粤港澳大湾区精准医学研究院（广州）、广州市妇女儿童医疗中心、阿里巴巴（北京）软件服务有限公司、北京天融信网络安全技术有限公司、海信集团控股股份有限公司、中国信息通信研究院本文件主要起草人：郭小森、张建军、郝春亮、叶明芝、丁国徽、肖棉文、李潇、陈钢、上官晓丽、朱丽地孜·叶尔欣、李鹰翔、唐川、郭云峰、魏凤玲、高升杰、胡影、沈悦生、姜先华、严江伟、赖江华、邱、黄铭曦、吴吴、顾斐、李建彬、姜华艳、卢旗、许晓耕、许四虎、高雪松、傅山、王姣、甘俊杰、尹烨I
1范围
信息安全技术基因识别数据安全要求GB/T41806—2022
本文件规定了基因识别数据及关联信息的收集、存储、使用、加工、传输、提供、公开、删除等数据处理活动的安全要求
本文件适用于基因识别数据及关联信息的处理者规范数据处理活动，也可为监管部门、第三方评估机构对基因识别数据处理活动进行监督、管理、评估提供参考规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T25069
GB/T35273
GB/T37864
GB/T37988
GB/T39335
GB/T40660
GB/T41479
术语和定义
信息安全技术术语
信息安全技术个人信息安全规范生物样本库质量和能力通用要求信息安全技术数据安全能力成熟度模型信息安全技术个人信息安全影响评估指南信息安全技术生物特征识别信息保护基本要求信息安全技术网络数据处理安全要求GB/T25069、GB/T35273GB/T37864、GB/T37988GB/T40660和GB/T41479界定的以及下列术语和定义适用于本文件。
geneticrecognitiondatasubject基因识别数据主体
基因识别数据所标识或者关联的自然人。注：简称\数据主体”。
基因识别数据
geneticrecognitiondata
使用技术手段，从人类遗传物质中提取的表征个体或群体遗传信息的数据，该数据可以直接或间接识别到人类个体或群体。
注1：基因识别数据指的是基因数据，主要包括基因组核酸序列数据、功能基因组数据以及提取过程中生成的原始数据和中间数据
注2：基因组核酸序列数据是指在基因组层面，利用各类测序技术（如：Sanger测序技术、高通量测序技术、质谱技术等）或基因分型技术（如：基因芯片技术、聚合酶链式反应技术等）获得的描述核酸排列顺序的数据以及各类遗传变异的数据［如：单核苷酸多态性（SingleNucleotidePolymorphism，SNP）、插人缺失（InsertionsandDele-tions，INDEL）突变、短串联重复序列（ShortTandemRepeat，STR）、拷贝数变异（CopyNumberVariation，CNV)及基因组结构变异（StructuralVariation，SV)等]：功能基因组数据是指遗传物质中除基因组核酸序列1
GB/T41806—2022
数据外的表观遗传数据以及基因空间位置数据等。典型基因识别数据格式见附录A，3.3
关联信息
associatedinformation
描述遗传物质样本及其数据主体的附加信息。注：该信息包含部分个人敏感信息、其他个人信息及标签信息。常见的个人敏感信息包括姓名、身份证、家族病史、用药记录等。其他个人信息包括性别、籍费、民族、出生日期等。常见标签信息包括收集时间、收集地点、收集对象、收集者、收集方式、样本类型、规格、单位、样本保存期限、测序平台信息、芯片信息、测序时间、数据量、数据类型等。
知情同意informedconsent
基因识别数据（3.2）处理者和数据主体或数据主体的法定监护人之间关于基因识别数据处理边界的约定。
注：知情同意由知情权和同意权两个密切相连的权利组成。知情权是同意权得以存在的前提和基础，同意权又是知情权的价值体现，强调数据主体的知情同意权，主要目的在于通过赋予基因识别数据处理者相应的告知义务，使数据主体在了解自已将面临的风险、付出的代价和可能取得的收益的基础上自由作出选择，从而维护数据主体的利益。
4概述
基因识别数据及关联信息处理活动基因识别数据及关联信息处理活动如下。数据收集：
1）需求提出：基因识别数据处理者为完成业务活动，对数据主体提出基因识别数据及关联信息使用需求的活动，
知情同意书签订：基因识别数据处理者提出基因识别数据及关联信息的使用需求、数据主2）
体知情同意后，双方应完成的知情同意书签订的活动。注1：知情同意书模板见附录B
3）遗传物质收集：收集生物样本，并从中提取相应遗传物质的活动。生物样本包括血液、睡液、尿液、粪便、毛发、脑脊液和脱落细胞等。此活动中会产生相应的关联信息，如：收集时间、收集地点、收集对象、收集者、收集方式、样本类型、规格、单位、样本保存期限等。数据提取：通过测序技术、基因分型技术等手段从人类遗传物质中获得对应的基因识别数4
据的活动。此活动中会产生相应的关联信息，如：测序平台信息、芯片信息、测序时间、数据量、数据类型等。
b）数据存储和传输：在数据主体知情同意或法定使用的情况下，对基因识别数据及关联信息进行存储和传输的活动。
注2：数据的存储也包括归档及保藏c）数据使用和加工：为满足知情同意书约定或维护公共利益的使用需求，对所获取的基因识别数据及关联信息进行分析、检测、鉴定、评估、研究及开发的活动。此活动中会产生与数据主体直接相关的、涉及隐私的关联信息，如：遗传疾病、个体特征、用药指南、健康风险等。数据提供：为达到一定的服务目标或科研目标，在数据主体书面的单独同意或法定使用的前提d
下，将基因识别数据及关联信息提供给其他基因识别数据处理者的活动，数据公开：为科研目的，在向有关部门备案并提交信息备份、数据主体知情同意并经过匿名化e）
处理后，用于公开发表学术文章或者开放使用的活动。f
数据删除：不可逆地删除基因识别数据及关联信息的活动。2
4.2基因识别数据及关联信息应用场景基因识别数据及关联信息应用场景如下：GB/T41806—2022
a）个体服务场景：针对数据主体，提取并使用基因识别数据及关联信息，得到结果，达到服务目标的场景。其特点为在服务目标确定的情况下，所需的基因识别数据及关联信息种类和数量固定，使用方式、手段、流程相对固定。相关服务业务的开展一般需要经过相应的行政审批或许可。典型服务场景包括：
1）医疗服务场景：医疗服务机构使用基因识别数据及关联信息为数据主体进行辅助诊断、治疗，预后、护理等的服务场景。此场景中，部分机构具备完成4.1中所有活动的能力。部分机构会根据自身的情况，委托受托方完成全部或部分遗传物质收集、数据提取（如：医学检测机构）、数据使用、数据存储等活动。法庭科学生物样本基因信息鉴定服务场景：以人类生物样本（如：体液、组织、毛发等）为对2）
象，运用科学技术（如：聚合酶链式反应、毛细管电泳、高通量测序等）和专门知识（如：遗传学、法医学等）对案、事件中涉及的专门性问题（如：个体识别、亲子鉴定、性别鉴定、种族和种属认定等）进行鉴别和判断并提供鉴定意见的服务场景。此场景描述仅为体现基因识别数据应用场景的完整性，产生的基因识别数据及关联信息的安全应遵循司法部门的要求，不在本文件要求范围内。
消费级服务场景：消费者通过广告、电商、线下门店等途径认知且直接购买基因检测服务3）
的服务场景。该服务场景不涉及医疗服务机构的体外诊断。消费级服务机构直接向个人提供基因检测服务，结合已发表文献或其他研究结果，对个人的基因检测结果进行解读，如：营养健康服务、运动能力评估、遗传缺陷分析、溯源分析等。此场景中，部分机构具备完成4.1中所有活动的能力；部分机构会根据自身的情况，委托受托方完成全部或部分活动。
研究开发场景：利用基因识别数据及关联信息，以发现新知识、开发新技术或产品、改良现有技b
术或产品等为目标进行的科学研究或者技术开发等活动的场景。此场景中，基因识别数据的提取方式、使用方式、手段及流程等往往不固定。此场景涉及的基因识别数据处理者为高等学校、医疗机构、科研机构、企业、非营利机构等多种组织。此场景会存在不同个体、团队和组织之间的数据提供情况。常见的研究开发场景包括：1）科学研究场景：以发现新知识为主要目的的场景，主要包括基础生物学研究、人类遗传学研究、医学遗传学研究、药物药理研究以及其他涉及人类遗传信息的研究等。科学研究成果一般会以文章、专利等形式公开发表，其中会涉及部分基因识别数据及关联信息。技术开发场景：以开发新技术或升级已有技术为目的的场景，主要包括计算技术开发（如：2）
算法、分析流程等)和实验技术开发（如：测序技术、临床实验方法等)两大类3）产品研发或升级场景：以研发或升级应用产品为目的的场景（多以盈利或实现具体落地功能为目的），主要包括临床检测类、药物研发、消费级服务等。c）其他场景包括：
1）公共卫生相关活动场景：般股为国家或地方公共卫生主管部门发起的活动场景，这些活动场景均会有一定的配套法律法规和行政授权，并由被授权的组织机构完成，如：流行病调查、疾病筛查等；
遗传信息公共服务场景：在有关部门的行政授权下，提供对基因识别数据及关联信息的存2）
储、使用和提供等服务。此类服务常用于支持相关领域的科学研究和产业发展，支撑国家或地方重大项自和工程的实施等。此类基因识别数据及关联信息通常来自数据主体的捐赠。
GB/T41806—2022
4.3安全风险
基因识别数据处理活动中常见的安全风险主要包括数据的滥采、滥用，数据的泄露、损毁，受托方对数据的未授权处理及未经许可的数据出境等。5基本安全要求
对基因识别数据处理者的要求如下。a）应符合GB/T35273、GB/T40660、GB/T41479规定的要求，b）应符合GB/T37988中数据安全能力成熟度等级3规定的要求。开展基因识别数据处理活动前，根据相关法律法规的要求，取得有关部门的许可。不同场景下c
的基因识别数据处理者应符合的要求如下：1）在医疗服务场景中，应按相关要求取得卫生主管部门的许可，并具备相应的资质，如：二类医疗技术的准人（备案)资质、临床基因扩增检验实验室资质等；注1：相关要求见《医疗机构管理条例》《医学检验实验室基本标准（试行）》医学检验实验室管理规范（试行）》医疗机构临床基因扩增检验实验室管理办法》《医疗机构临床实验室管理办法（2020修正）》等2）在消费级服务场景中，应按相关要求取得卫生主管部门的许可，并具备相应的资质或合格的质量评估，如：临床基因扩增检验实验室资质、不同类型药物相关基因分型室间质量评估等；
注2：相关要求见《医疗机构管理条例》《医学检验实验室基本标准（试行）》《医学检验实验室管理规范（试行）》《医疗机构临床基因扩增检验实验室管理办法》等3）在研究开发场景中，应按相关要求具备相关研究开发的能力，包括相应等级的实验室、研究团队、相关研究经历及成果等，并按照科技管理部门相关的法律法规要求开展基因识别数据的研究开发活动；
注3：相关要求见《中华人民共和国人类遗传资源管理条例》等。4）在公共卫生相关活动场景中，应按照相关要求获得资质，如：二级生物安全实验室生物安全备案、检验人员具有市级以上病原微生物实验室生物安全培训证书、临床基因扩增检验技术人员上岗证书等，应获得行政许可；注4：相关要求见《医疗机构管理条例》《病原微生物实验室生物安全管理条例》《医疗机构临床基因扩增检验实验室管理办法》等。
5）在遗传信息公共服务场景中，应获得国家有关部门批准的资质，如：采集、保藏、利用、对外提供等。
d）开展基因识别数据处理活动前，应按照GB/T39335的规定开展个人信息安全影响评估，并形成评估报告。
应设立伦理委员会，按照尊重数据主体选择、处理活动有利于数据主体、确保平等公正无歧视e）
的原则，负责独立地审查、跟踪审查及复审基因识别数据处理活动的科学性和伦理合理性，对相关业务活动中基因识别数据滥采、滥用等活动可能造成的社会危害做出评估，同意基因识别数据处理活动的开展，在本机构组织开展伦理审查培训，保护数据主体的尊严、安全和合法权益，促进基因识别数据处理活动规范开展。应设立数据管理委员会，在伦理委员会的审查和监督下，制定个人信息保护政策、基因识别数f
据安全策略，建立数据安全管理机制，形成完整的数据安全与信息安全管理体系，应针对基因识别数据及关联信息进行数据安全风险评估、数据安全风险监测预警、数据访问控制，保障基因识别数据及关联信息全生命周期的安全性及数据主体的合法权益。注5：伦理委员会是指为确保机构围绕人类遗传物质及相关遗传信息开展的业务活动（例如：科学研究、医学研究4
GB/T41806—2022
商业服务等）符合基本社会伦理道德和行为规范的要求，由具有生物医学、伦理学、法学、社会学、生物信息学等专业背景和其他背景的人员组成的专业机构。在审查相关活动时，该机构至少包括内外各一位生物医学数据安全领域专家，参与评估数据风险和收益。注6：数据管理委员会是指为确保基因识别数据处理者业务运转的连续性，保障基因识别数据及关联信息的保密性、完整性、可用性，在基因识别数据处理者内部设立的专业机构。该机构负责制定各项数据管理制度，实施数据安全技术防护，开展业务活动过程中的数据安全风险评估和合规审计，制定数据安全事件应急预案，及时处置安全事件，组织数据安全教育及培训等，确保开展业务活动过程中的数据安全、个人信息隐私得到保护。g）基因识别数据处理活动中应关注如下风险点，并根据风险评估结果和风险控制策略，采取如下安全措施。
1）个体服务场景中，机构在业务开展前，应对基因识别数据的规模及内容等进行预判，分析数据的机密性、完整性及可用性遭受破坏后，对数据主体个人权益、社会以及国家的影响2）
研究开发场景中，机构应开展项目级别和机构级别的基因识别数据风险分析和评估。在项目级别，应根据研究过程分析数据滥采、用的风险；在机构级别，应从项目管理、数据存储和归档、研究成果评审及发布、研究成果利用等方面分析数据泄露、毁损及滥用等安全风险。
3）其他场景中，机构可根据业务的实际情况，对所涉及基因识别数据的规模、内容等进行预判，分析数据的机密性、完整性及可用性遭受破坏后，对数据主体个人权益、社会以及国家的影响。
机构还应建立相关的工作机制，随时跟踪有关法律、法规、标准，并根据自身业务情况，梳理风险点，对风险进行全面的监控和管理。针对基因识别数据及关联信息的信息系统，应采取相关网络安全技术保障数据安全。在个体h)
服务和研究开发场景中，存储达到1方人份及以上的基因识别数据及关联信息的信息系统，或遗传信息公共服务场景中提供基因识别数据服务的信息系统，应至少满足三级等级保护要求；存储达到10万人份及以上的基因识别数据及关联信息的信息系统，应采用更高级别的安全保护措施。公共卫生相关活动场景依据国家的法律法规执行。应针对基因识别数据相关的特有设备（如：测序仪、质谱仪、生物计算服务器等）和业务特点，制定和实施相关的安全管理制度和技术措施，如：网络隔离措施、访问控制措施、入侵防范措施等。
i）当发生基因识别数据及关联信息被窃取、篡改、丢失、泄露、毁损等安全事件时，应按照规定向相关部门报告，及时采取应急处置及补救措施。应按照规定通过邮件、信函、电话、推送通知等方式及时告知数据主体，难以逐一告知数据主体时，应采取合理、有效的方式公开发布警示信息。
应建立数据主体撤回授权、投诉及跟踪处理机制，并在承诺时限内对数据主体的相关请求进行k）
响应。
凡涉及采用密码技术解决保密性、完整性、真实性、不可否认性需求的应遵循密码相关国家标1）
准和行业标准。
m）基因识别数据及其关联信息出境应按照国家有关规定执行。不应基于基因识别数据产生对数据主体（个体或群体）的歧视行为（如：使用基因识别数据进行n)
歧视性保险核保和歧视性雇佣行为等）。o）
处理1方人份及以上的基因识别数据及关联信息，应进行重要数据安全风险评估，并根据评估结果加强保护。
GB/T41806—2022
6数据收集
需求提出
对基因识别数据处理者的要求如下。a)
应根据自身业务的特点，提出需求，制定知情同意书。所需的基因识别数据及关联信息应与相关业务直接关联，并明示只收集和使用满足业务需要的最少数据。b)
知情同意书内容应满足的要求包括：1）
告知方应为提出基因识别数据需求的基因识别数据处理者：2）
应与相关业务对基因识别数据及关联信息的需求一致，不应要求超出需求的生物样本、基因识别数据及关联信息；
应列明数据主体拥有的权利及行使权利的方式和程序：4）
应告知遗传物质及所获取数据的种类、用途、安全保护措施、数据应用的潜在风险，生物样本和数据存储时限以及剩余生物样本的处理方式：5）
应列明业务过程中所涉及的所有基因识别数据处理者；如涉及基因识别数据及关联信息的提供，应描述提供的内容、范围及数据接收方身份；6）
应描述数据主体撤回授权同意的方法。7）
使用需求应得到许可后方可开展相关活动。依据不同的应用场景，相关使用需求应通过伦理委员会的审查。
知情同意书签订
对基因识别数据处理者的要求如下：a）
应以显著方式向数据主体展示知情同意书，并进行充分的解释说明，得到数据主体的书面的单独同意，并签署知情同意书；
应针对每一个场景分别进行明确描述、告知，并按每一个场景分别取得数据主体的书面的单独同意。
3遗传物质收集
对基因识别数据处理者的要求如下：数据主体生物样本及遗传物质的收集应符合GB/T37864的要求；a)
收集过程完成后，应对样本进行去标识化处理，去除数据主体样本与关联信息的关联关系；c
如委托受托方收集生物样本及关联信息，应签订委托协议，确保其在约定的目的和范围内收集。
数据提取
对基因识别数据处理者的要求如下：a
应对基因识别数据和关联信息明确区分，提取的数据格式应支持基因识别数据与关联信息的分离；
应符合最小必要原则，按照知情同意书中描述的基因识别数据类型和数量进行提取，不应提取b)
非直接相关的基因识别数据及关联信息；数据提取过程中，应只将基因识别数据与生物样本建立关联，不应与任何个体或群体自然人的c）
任何信息相关联；
数据提取过程中，应按照知情同意书中的描述处理生物样本；d)
GB/T41806—2022
数据提取完成并通过质量检测后，剩余样本应按照知情同意书中的描述处理；e)
如委托提取数据，不应提供关联信息，应与受托方签订委托协议，确保其在约定的目的和范围内提取基因识别数据，且符合本文件对数据提取的数据安全要求；如委托提取数据，受托方应使用适用的密码技术，保证数据安全。g）
7数据存储和传输
对基因识别数据处理者的要求如下：应在按照6.2的要求取得数据主体同意后，进行基因识别数据及关联信息的存储；a)
应按照实现基因识别数据及关联信息处理目的所需要的最短时间进行存储：注：医学服务场景部分数据存储时限见附录C。）
存储设施应通过伦理委员会及数据管理委员会审查，存储设施的建设和运行应遵循国家相关安全标准和规范，应采用密码技术等安全措施，保证基因识别数据和关联信息的保密性、可用性和完整性，并通过相关安全评估；数据存储过程中，基因识别数据应经过去标识化处理；d)
数据存储过程中，基因识别数据与关联信息应分开存储，并设置不同的访问和管理权限；基因识别数据及关联信息的存储时间达到审查批准或知情同意要求的存储时限且需继续存储的，应重新进行相关审查登记批准流程，并按照6.2的要求重新取得数据主体同意；g)
在取得数据主体书面的单独同意的情况下，对数据进行加密处理后，可委托其他具有基因识别数据及关联信息存储资质的机构代为存储；基因识别数据与关联信息应在中华人民共和国境内存储；h
基因识别数据及关联信息应采用适用的密码技术进行传输数据使用和加工
对基因识别数据处理者的要求如下：a)
获取基因识别数据后，应按照知情同意书中的内容，根据相应场景的使用目的，合理使用基因识别数据及关联信息；
基因识别数据使用时，可与符合使用自的的关联信息建立关联，达到使用自的后，应及时解除关联；
如委托进行数据分析，应满足的数据安全要求包括：c)
数据分析前，应对委托行为进行个人信息安全影响评估；数据分析前，应对受托方数据安全能力提出要求，通过委托协议明确双方的数据安全责任2）
及数据安全措施，明确数据分析的规范，包括保存期限、删除或返还期限等；数据分析过程中，应根据分析目的提供最少的关联信息；3）
数据分析过程中，禁止受托方处理基因识别数据以实现除委托目的之外的其他用途。4
数据提供和公开
对基因识别数据处理者的要求如下a）
按照6.2的要求取得数据主体同意并通过伦理委员会和数据管理委员会的审核批准后，可提供最小限度的基因识别数据及关联信息；该数据提供应符合知情同意书中明确描述的目的、接收对象、提供内容等。
GB/T41806—2022
应与接收方签署协议，应确认接收方的数据应用场景，确认接收方应承担的数据保护责任并约b)
定违约条款。
接收方应将所接收的数据仅用于提供方所约定的目的，不应用于其他目的，不应提供给其他接收方。
因业务目的确需扩展提供数据的范围和内容，且超出原知情同意书要求的，应单独向数据主体d)
告知新的提供目的、涉及的数据类型、数据接收方的具体身份，并按照6.2的要求重新取得数据主体的同意并重新取得伦理委员会或数据管理委员会的批准。e）不应出于转让的目的提供基因识别数据及其关联信息，基因识别数据处理者发生收购、兼并、重组和破产时除外；当基因识别数据处理者发生收购、兼并、重组和破产等情况时，应告知数据主体有关情况，并按照6.2的要求重新取得数据主体的同意，变更后的基因识别数据处理者应继续履行原基因识别数据处理者的责任和义务。f）不应公开基因识别数据及关联信息，科学研究场景中，在向有关部门备案并提交信息备份、取得数据主体知情同意并经过匿名化处理后，用于公开发表学术文章或者开放使用的除外。10数据删除
有下列情形之一的，基因识别数据及关联信息处理者应删除基因识别数据及关联信息、中间数据及分析结果：
数据主体撤回授权或明示停止使用的，进行公共卫生相关的分析或科学研究发表的数据除外；b）存储时间达到授权存储期限且无新的存储授权的；e
处理目的已实现的，如数据已通过物理介质完成传输、数据分析受托方已完成结果交付的；d)
因机构吊销执照、取消资质、破产等原因无法开展相关业务，且存储的基因识别数据及关联信息无接收方的
各场景的安全要求
11.1概述
各场景除满足第6章第10章中的安全要求外，还应满足以下安全要求。11.2个体服务场景安全要求
对基因识别数据处理者的要求如下：a)
基因识别数据及关联信息的分析、解读结果，应仅提供给数据主体及其授权的人员：b）不应基于分析结果进行商品或服务推荐等活动，数据主体同意的除外；c
不应对分析结果进行多个数据主体的统计分析，数据主体同意的除外；d)E
医疗服务场景中，单个产品基因检测位点数不应超过批准的服务产品中所需的位点数；e)
消费级服务场景中，单个产品基因检测位点数不应超过官方产品描述中的位点数11.3研究开发场景安全要求
对基因识别数据处理者的要求如下。a）
应制定科学的研究方案或计划，明确说明前期工作基础、研究目的、意义、必要性、相关实验设计、研究过程中可能涉及的合作及相关数据提供需求，如：提供的数据类型、格式及必要性等，并依照最小必要原则，制定采样数量、基因识别数据及关联信息的提取方法等b）研究方案或计划应通过科学性审查、科研诚信调查、伦理委员会及数据管理委员会审批。8
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。