挪威Datatilsynet反对刑事案件生物材料用于法医研究：主张研究须取得积极同意，方法开发与质量保证方可采保留机制

【总体立场】

Datatilsynet 对一项拟允许将**刑事案件中采集的生物材料**用于**法医方法开发、质量保证与研究**的提案持批评态度。监管机关明确表示：「**我们支持该目的，但认为该提案严重低估了对个人隐私的后果**。」

【报告与起草方】

司法与应急准备部（Justis- og beredskapsdepartementet）已将一份关于使用刑事案件中采集的生物材料的报告**送交听证**。该报告由一个**工作组**撰写，工作组负责拟订新的**法律依据（lovhjemmel）**，成员来自：总检察长办公室（Riksadvokaten）、国家刑事调查局（Kripos）、斯塔万格大学医院（SUS）、奥斯陆大学医院（OUS）以及卫生总局（Helsedirektoratet）。

【核心分歧：积极同意 vs 异议退出】

Datatilsynet 的关键主张是同意机制的设计：

①**提案的做法**：仅规定数据主体可以**保留（reservere seg）**——即「不反对即视为可用」的**异议退出（opt-out）**模式——反对其生物材料被用于研究；

②**Datatilsynet 的主张**：不认为上述机制充分，**研究用途应当以「积极同意」（aktivt samtykke）为要求**；

③**让步空间**：在**法医方法开发（metodeutvikling）与质量保证（kvalitetssikring）**两类用途上，则可以允许采用**异议退出（保留）机制**。

这一区分的逻辑是：「方法开发」与「质量保证」属于对既有数据的**内部技术与质量管理用途**，对个人的可预见性相对较高；而**研究**会产生新的知识目的，风险与不确定性更高，因此需要更强的同意基础。

【官方表述】

Datatilsynet 的法律专业主管（juridisk fagdirektør）表示：「**自决权与充分的信息告知，对于维持对法医机构处理敏感个人数据的信任至关重要。**」

【制度背景】

刑事案件的生物材料（如 DNA 样本、为侦查目的采集的生物检材）属于 GDPR **第9条与第10条**双重敏感的范畴（特殊类别数据 + 犯罪相关数据）。在欧盟与挪威法下，将该类材料**二次利用于研究**需要专门的国内法依据，这正是本次立法报告所要解决的问题。挪威虽非欧盟成员国，但通过欧洲经济区（EEA）协定适用 GDPR，并在国内法上作了对应衔接。

【对出海企业的实务含义】

①**「二次利用」的同意标准正在被系统性收紧**：本次意见的价值在于确立了一条**分层规则**——**目的越远离原始收集场景，同意要求越强**。这对生命科学、医疗器械、AI 医疗算法训练等领域的中国企业有直接参考意义：若产品涉及对既有临床或生物样本数据的再利用，应优先采用**积极同意 + 细粒度目的授权**，而非依赖「默认纳入、事后退出」；

②**挪威监管风格：以听证意见前置影响立法**：Datatilsynet 通过**正式听证程序**在立法阶段介入，而非等法律通过后执法。这意味着在挪威开展敏感数据业务的企业**应关注听证程序**，立法前的意见窗口是影响规则的实际通道；

③**「方法开发与质量保证」可采退出机制，是有价值的合规设计样板**：对中国企业内部的数据治理而言，可以据此把**质量保证类用途**（如模型回归测试、标注质量抽检）与**研究类用途**（如新模型训练、新结论推导）在授权层级上分开，前者可采告知—退出，后者需事前明确授权；

④**敏感数据的「信任」是被明确点出的政策目标**：监管机关把自决权与信息告知与「**对法医机构处理敏感数据的信任**」挂钩，说明其判断不仅基于法条也基于公共服务信任度。这一论述方式在欧洲监管文件中反复出现，提示企业在产品设计阶段就应把**透明度与用户控制感**作为合规要素，而非仅视为法律文本义务。