北京某基因检测公司将“匿名化”基因数据用于商业产品开发且未获单独同意案（北京市网信办+科技部，2024年5月）

【案件背景】
某基因检测公司（以下简称“涉案公司”）是国内头部直接面向消费者（DTC）的基因检测服务商，提供祖源分析、健康风险评估、药物反应预测等基因检测服务，累计检测用户超过500万。涉案公司在《知情同意书》中向用户承诺“您的基因数据将以匿名化形式用于群体遗传学和疾病关联性研究，研究结果不会与您个人关联”。但2024年1月，科技部人类遗传资源管理办公室在专项检查中发现，涉案公司将声称“匿名化”的基因数据用于了商业产品开发——包括与保险公司合作开发差异化健康险定价模型、与药企合作进行药物靶点筛选和临床试验受试者招募。北京市网信办随后介入调查。

【违法事实】
经调查查明：
（1）涉案公司对基因数据的“匿名化处理”仅删除了姓名、手机号和身份证号，代之以随机ID。但基因数据本身具有本质上的身份唯一性——每个人的DNA序列是独一无二的（同卵双胞胎除外），基因数据本身即是最高强度的标识符。因此，删除附加身份信息并不能使基因数据变成“匿名化”数据，基因序列本身就是个人信息（而且是敏感个人信息）。
（2）涉案公司与保险公司合作的差异化健康险定价模型中，虽然涉案公司声称仅提供了群体的统计结果而非个人基因数据，但保险公司的精算模型需要将基因风险评分与具体的投保人关联才能发挥作用。调查发现，涉案公司实际上通过哈希ID将基因风险评分与保险公司提供的投保人手机号进行了匹配——这构成了实质上的个人信息处理和共享。
（3）涉案公司与药企合作的药物靶点筛选项目中，涉及中国人群特有的遗传多态性数据。涉案公司将超过300万用户的基因变异频率统计数据和部分个体级别的全基因组测序数据提供给外资药企。由于中国人群的基因数据属于“人类遗传资源信息”，根据《人类遗传资源管理条例》，向境外组织提供中国人类遗传资源信息须经科技部审批。但涉案公司未就上述合作履行审批程序。
（4）涉案公司对基因数据的安全保护措施严重不足：全基因组原始数据（FASTQ文件）和变异调用结果（VCF文件）存储于公有云服务器上，访问权限管理混乱；基因数据的备份和归档策略缺失。
（5）涉案公司在更新隐私政策时，单方面扩大了基因数据的用途范围——从“群体遗传学研究”扩展到“商业产品开发和合作研究”，但未以显著方式告知用户，更未获得用户新的同意。

【处罚决定】
北京市互联网信息办公室依据《个人信息保护法》第六十六条，作出以下行政处罚：
（一）责令改正违法行为，暂停所有基因数据商业利用活动；
（二）处人民币120万元罚款；
（三）对直接负责的CEO和首席科学官各处人民币12万元罚款。
科技部人类遗传资源管理办公室依据《人类遗传资源管理条例》对涉案公司另处人民币500万元罚款，因其未经审批向境外组织提供中国人类遗传资源信息。

【典型意义】
本案是基因数据领域因“匿名化”主张不成立而受到高额处罚的代表性案例，其核心启示在于：
第一，基因数据因具有本质上的唯一性和不可更改性，永远无法实现法律意义上的匿名化。任何承诺将基因数据“匿名化”的企业，实际上是在作出一个技术上不可能实现的承诺。企业的正确做法不是承诺“匿名化”，而是承认数据的敏感性并建立严格的保护和合规控制。
第二，遗传数据还受《人类遗传资源管理条例》的特殊监管，存在双重合规要求。DTC基因检测公司不仅要遵守《个人信息保护法》，还要遵守遗传资源管理、生物安全等领域的法规。
第三，基因数据的商业价值巨大，但使用限制也极为严格。保险公司使用基因信息进行歧视性定价在多个国家被法律禁止（如美国的GINA法案），中国虽尚未有专门的基因歧视立法，但《个人信息保护法》对敏感个人信息的处理已提出了严格的限制。
第四，本案警示所有DTC检测类企业：用户授权的“科研目的”不等同于“商业目的”，从科研利用转向商业利用必须获得新的、单独的同意。