Domů › Průvodce nutrigenetikou › Genetické údaje a GDPR

Průvodce nutrigenetikou

Genetické údaje a GDPR: co potřebujete vědět pro svou praxi

Zkontroloval Dr. Daniel Wallerstorfer, molekulární biolog a zakladatel společnosti Novogenia · Aktualizováno: 12. října 2026 · Doba čtení: 10 min

Stručně

Podle GDPR jsou genetické údaje zvláštní kategorií osobních údajů (čl. 4 bod 13, čl. 9). Jejich zpracování je v zásadě zakázáno – přípustným se stává například na základě výslovného souhlasu pro stanovené účely. Než začnete, vyjasněte si, kdo je správce a kdo zpracovatel, informujte své klienty úplně (čl. 13), zpracovávejte jen to, co skutečně potřebujete, a vymažte, co už nepotřebujete. V Německu, Rakousku a Švýcarsku nesmějí zaměstnavatelé genetické výsledky svých zaměstnanců v zásadě ani požadovat, ani používat.

Heslo, které nikdy nezměníte: proč jsou genetické údaje zvláštní

Když vám někdo ukradne heslo, změníte ho. Své geny změnit nemůžete. Zůstávají s vámi celý život – a prozrazují něco i o vašich rodičích, sourozencích a dětech. Proto je právo na ochranu osobních údajů střeží tak pečlivě.

Obecné nařízení o ochraně osobních údajů (GDPR) definuje genetické údaje jako osobní údaje týkající se zděděných nebo získaných genetických znaků osoby, které poskytují jedinečné informace o její fyziologii či zdraví a které vyplývají zejména z analýzy biologického vzorku (čl. 4 bod 13). Vzorek slin pro analýzu výživy sem jednoznačně spadá – ať je analýza lékařská, nebo ne.

Genetické údaje jsou zvláštní kategorií osobních údajů. Jejich zpracování je zakázáno (čl. 9 odst. 1), pokud se neuplatní některá z výjimek podle čl. 9 odst. 2. Pro genetickou analýzu ve výživovém poradenství přichází v úvahu především výslovný souhlas. Členské státy mohou pro genetické údaje zavést i další podmínky (čl. 9 odst. 4) – proto mají Německo a Rakousko zčásti vlastní pravidla. Švýcarsko má vlastní zákon; více o tom níže.

Souhlas je klíč, který zpracování otevírá dveře. U genetických údajů musí být výslovný a musí se vztahovat k jednomu nebo více stanoveným účelům (čl. 9 odst. 2 písm. a)). A váš klient si klíč může kdykoli vzít zpět. Na čem záleží:

Výslovný: jasné, samostatné prohlášení. Podle pokynů Evropského sboru pro ochranu osobních údajů 05/2020 je zřejmou cestou podepsané písemné prohlášení; online může osoba také vyplnit elektronický formulář, poslat e-mail, nahrát podepsaný dokument nebo použít elektronický podpis. Předem zaškrtnuté políčko souhlasem není (bod 32 odůvodnění).
Doložitelný: Musíte být schopni prokázat, že osoba souhlas udělila (čl. 7 odst. 1).
Odvolatelný: Osoba může souhlas kdykoli odvolat, odvolání musí být stejně snadné jako jeho udělení a vy ji o tom předem informujete (čl. 7 odst. 3).
Vázaný na účel: Údaje nesmějí být dále zpracovávány způsobem, který je s původními účely neslučitelný (čl. 5 odst. 1 písm. b)). Přibude-li nový účel, potřebujete podle EDPB nový souhlas.

Vnitrostátní pravidla přidávají další požadavky. U genetických vyšetření pro lékařské účely vyžaduje Německo výslovný písemný souhlas udělený odpovědnému lékaři (§ 8 GenDG). Ve Švýcarsku vyžaduje každý genetický test svobodný a výslovný souhlas po náležitém poučení (čl. 5 GUMG). V Rakousku smějí být údaje z genetických analýz ve smyslu GTG předány jiným osobám než těm, které zákon uvádí, jen s výslovným písemným souhlasem testované osoby (§ 71 odst. 2 GTG).

Žádná překvapení: co musí vaši klienti vědět předem

Transparentnost je povinnost, ne drobné písmo. Když údaje získáváte, sdělíte svému klientovi v tu chvíli mimo jiné (čl. 13 GDPR):

kdo je správce, včetně kontaktních údajů, a případně kontaktní údaje pověřence pro ochranu osobních údajů,
účely a právní základ zpracování,
příjemce nebo kategorie příjemců – například laboratoř,
případně úmysl předat údaje do třetí země,
jak dlouho budou údaje uloženy, nebo kritéria pro určení této doby,
jeho práva, včetně práva kdykoli odvolat souhlas a práva podat stížnost u dozorového úřadu.

Informace musí být stručné, transparentní, srozumitelné a snadno přístupné, za použití jasných a jednoduchých jazykových prostředků (čl. 12 odst. 1). Ve Švýcarsku přidává čl. 32 GUMG u nelékařských testů písemné informační povinnosti, například uvést laboratoř a případné zapojené společnosti a laboratoře v zahraničí.

Stavebník, nebo zhotovitel? Kdo hraje jakou roli mezi poradcem a laboratoří

Na genetické analýze se podílejí nejméně dva aktéři: vy a laboratoř. GDPR se ptá: kdo rozhoduje o účelech a prostředcích zpracování? To je správce – jako stavebník, který rozhoduje, co se bude stavět (čl. 4 bod 7). Kdo zpracovává údaje pro správce, je zpracovatel – jako zhotovitel, který staví podle plánu (čl. 4 bod 8). Pokud dvě strany určují účely a prostředky společně, jsou společnými správci (čl. 26).

Role vyplývají z toho, co se skutečně děje, nikoli z nadpisu smlouvy: podle pokynů EDPB 07/2020 jsou pojmy funkční a rozdělují odpovědnost podle skutečných rolí stran.

Role	Jak ji poznáte	Co GDPR vyžaduje
Správce	Rozhoduje o účelech a prostředcích zpracování (čl. 4 bod 7)	Informuje subjekty údajů, zajišťuje jejich práva, zajišťuje bezpečnost a vede záznamy o činnostech zpracování (čl. 13, 15–21, 30, 32)
Zpracovatel	Zpracovává pro správce (čl. 4 bod 8)	Smlouva, která stanoví předmět, dobu trvání, povahu a účel zpracování, typ údajů a kategorie subjektů údajů (čl. 28 odst. 3); další zpracovatelé jen s povolením (čl. 28 odst. 2)
Společní správci	Společně určují účely a prostředky (čl. 26 odst. 1)	Ujednání o tom, kdo plní které povinnosti, zejména pokud jde o práva subjektů údajů a informační povinnosti

Praktický tip: Dohodněte se se svou laboratoří písemně, kdo má jakou roli a povinnost, dříve, než odešlete první vzorek – zejména kdo informuje vaše klienty podle čl. 13 a kdo odpovídá na žádosti o přístup nebo výmaz.

Balte jako na horskou túru: berte jen to, co potřebujete

Balte své údaje jako batoh na horskou túru: co nepotřebujete, zůstane doma. GDPR tomu říká minimalizace údajů – údaje musí být přiměřené, relevantní a omezené na to, co je nezbytné pro daný účel (čl. 5 odst. 1 písm. c)). A v podobě umožňující identifikaci se smějí uchovávat jen tak dlouho, jak to účel vyžaduje (omezení uložení, čl. 5 odst. 1 písm. e)).

Zeptejte se sami sebe upřímně: Potřebujete celou zprávu – nebo stačí výsledky, které se svým klientem probíráte?
Zabezpečené kanály: Chraňte zprávy vhodnými technickými a organizačními opatřeními (čl. 32) – zabezpečený portál je lepší než nechráněná příloha e-mailu.
Záměrná ochrana osobních údajů: Zabudujte zásady ochrany osobních údajů do procesů a výchozích nastavení, například pomocí pseudonymizace (čl. 25).
Lhůta pro výmaz: Rozhodněte, kdy záznamy vymažete – a dodržujte to.

Pro některé případy stanoví lhůty zákon. V Německu uchovává odpovědný lékař výsledky genetických vyšetření pro lékařské účely deset let a poté je zničí (§ 12 GenDG). Ve Švýcarsku musí být vzorky a údaje z ostatních testů podle čl. 31 odst. 2 GUMG zničeny nejpozději dva roky po testu, pokud osoba nesouhlasila s jiným použitím nebo nevznesla námitku proti anonymizaci (čl. 11 odst. 2 GUMG).

Práva vašich klientů

Vaši klienti si zachovávají kontrolu. Jejich klíčová práva podle GDPR:

Přístup ke zpracovávaným údajům (čl. 15) a oprava nepřesných údajů (čl. 16)
Výmaz, například po odvolání souhlasu, pokud neexistuje jiný právní základ (čl. 17)
Omezení zpracování (čl. 18) a přenositelnost údajů (čl. 20)
Odvolání souhlasu kdykoli (čl. 7 odst. 3)

Na žádosti odpovídáte bez zbytečného odkladu a v každém případě do jednoho měsíce; ve složitých případech lze lhůtu prodloužit o další dva měsíce (čl. 12 odst. 3). K tomu přistupuje právo, které existuje jen v genetickém právu: právo nevědět. Ve Švýcarsku má každá osoba právo odmítnout seznámit se s informacemi o svém genomu, zcela nebo zčásti (čl. 8 GUMG). V Německu je součástí poučení u vyšetření pro lékařské účely (§ 9 odst. 2 bod 5 GenDG); v Rakousku je součástí poradenství u analýz typu 2 až 4 (§ 69 odst. 5 GTG).

Programy firemního zdraví: zaměstnavatel zůstává venku

Pokud nabízíte genetické analýzy ve firmách, potřebujete pevnou zeď mezi výsledky a zaměstnavatelem. Zákon tuto zeď staví ve všech třech zemích:

Německo: Zaměstnavatel nesmí od zaměstnanců vyžadovat, aby se podrobili genetickým vyšetřením nebo analýzám, ani vyžadovat sdělení výsledků, takové výsledky přijímat nebo je používat (§ 19 GenDG).
Rakousko: Zaměstnavatelům je zakázáno zjišťovat, vyžadovat, přijímat nebo jinak používat výsledky genetických analýz zaměstnanců nebo uchazečů o zaměstnání (§ 67 odst. 1 GTG).
Švýcarsko: Zaměstnavatelé nesmějí vyžadovat nelékařské genetické testy ani požadovat lékařsky irelevantní genetické údaje, ani takové údaje používat (čl. 37 GUMG).

Takovou nabídku proto navrhněte tak, aby účast zůstala dobrovolná, výsledky šly pouze zaměstnanci a zaměstnavatel nedostával žádné individuální výsledky. Souhlas musí být svobodný (čl. 4 bod 11 GDPR) – v pracovním prostředí na to pečlivě dbejte.

Švýcarsko: DSG místo GDPR

Švýcarsko není členem EU. U zpracování genetických údajů odkazuje čl. 10 odst. 2 GUMG na spolkové a kantonální právo na ochranu osobních údajů. Pro soukromé osoby – včetně vás jako poradce – je to revidovaný spolkový zákon o ochraně osobních údajů (DSG), účinný od 1. září 2023 (čl. 2 odst. 1 písm. a) DSG). Základní myšlenky odpovídají GDPR; podrobnosti se liší:

Citlivé údaje: Genetické údaje jsou citlivými osobními údaji (čl. 5 písm. c) bod 3 DSG).
Výslovný souhlas: Pokud je souhlas vyžadován, musí být u citlivých osobních údajů udělen výslovně (čl. 6 odst. 7) – dobrovolně, pro konkrétní zpracování a na základě náležitých informací (čl. 6 odst. 6). Pro samotný test vyžaduje čl. 5 GUMG svobodný a výslovný souhlas tak jako tak.
Údaje v zahraničí: Údaje smějí být předány do států, u nichž Spolková rada shledala odpovídající úroveň ochrany (čl. 16 odst. 1 DSG). Seznam je uveden v příloze 1 nařízení o ochraně osobních údajů (DSV); jsou na něm všechny státy EU, včetně Rakouska a Německa. Ostatní státy vyžadují vhodné záruky (čl. 16 odst. 2) nebo výjimku, například výslovný souhlas subjektu údajů (čl. 17 odst. 1 písm. a)).
Transparentnost: Pokud údaje putují do zahraničí, sdělíte subjektu údajů také dotčený stát (čl. 19 odst. 4 DSG).
Posouzení vlivu: Pokud zpracování pravděpodobně povede k vysokému riziku, provede správce předem posouzení vlivu na ochranu osobních údajů – zejména při rozsáhlém zpracování citlivých osobních údajů (čl. 22 odst. 1 a 2 DSG).

Kontrolní seznam: ochrana osobních údajů ve vaší praxi

Role s laboratoří jsou písemně vyjasněny – v případě potřeby se smlouvou o zpracování osobních údajů (čl. 28) nebo ujednáním společných správců (čl. 26).
Výslovný souhlas pro stanovené účely je získán a zdokumentován (čl. 9 odst. 2 písm. a), čl. 7 odst. 1).
Úplné, srozumitelné informace o zpracování osobních údajů podle čl. 13 byly poskytnuty.
Záznamy o činnostech zpracování jsou vedeny – výjimka pro organizace s méně než 250 zaměstnanci neplatí, pokud zpracováváte zvláštní kategorie údajů (čl. 30 odst. 5).
Zprávy jen přes zabezpečené kanály, přístup jen pro ty, kdo ho potřebují (čl. 32).
Lhůty pro výmaz jsou stanoveny a dodržovány (čl. 5 odst. 1 písm. e)).
Plán pro případ porušení zabezpečení: ohlásit dozorovému úřadu, je-li to možné, do 72 hodin (čl. 33).
Při rozsáhlém zpracování genetických údajů: posouzení vlivu na ochranu osobních údajů (čl. 35 odst. 3 písm. b)) a, je-li to vaší hlavní činností, pověřenec pro ochranu osobních údajů (čl. 37 odst. 1 písm. c)).

Časté dotazy

Jsou výsledky genetické analýzy výživy genetickými údaji podle GDPR?

Ano. GDPR definuje genetické údaje jako osobní údaje týkající se zděděných nebo získaných genetických znaků osoby, které poskytují jedinečné informace o její fyziologii či zdraví a které vyplývají zejména z analýzy biologického vzorku (čl. 4 bod 13). Zda je analýza lékařská, nebo ne, na tom nic nemění.

Stačí jako souhlas zaškrtávací políčko v objednávkovém formuláři?

Předem zaškrtnuté políčko nestačí (bod 32 odůvodnění GDPR). Genetické údaje vyžadují výslovný souhlas pro stanovené účely (čl. 9 odst. 2 písm. a)). Podle pokynů EDPB 05/2020 ho lze online udělit například vyplněním elektronického formuláře, odesláním e-mailu, nahráním podepsaného dokumentu nebo elektronickým podpisem. Souhlas musíte být schopni doložit (čl. 7 odst. 1).

Jsem správce, nebo zpracovatel?

To závisí na tom, kdo skutečně rozhoduje o účelech a prostředcích zpracování (čl. 4 body 7 a 8 GDPR). EDPB ve svých pokynech 07/2020 zdůrazňuje, že role se určují podle skutečné činnosti, nikoli podle označení ve smlouvě. Vyjasněte si role se svou laboratoří písemně dříve, než odešlete první vzorek.

Musím vidět genetické zprávy svých klientů?

GDPR vyžaduje, aby byly údaje omezeny na to, co je nezbytné pro daný účel (čl. 5 odst. 1 písm. c)). Zda zprávu potřebujete, závisí na vašem poradenství. Ve společnosti Novogenia sami rozhodujete, zda zprávy svých klientů uvidíte.

Smí se zaměstnavatel v programu firemního zdraví dozvědět výsledky?

Ne. V Německu nesmí zaměstnavatel výsledky genetických vyšetření požadovat, přijímat ani používat (§ 19 GenDG); v Rakousku je zaměstnavatelům zakázáno je zjišťovat, vyžadovat, přijímat nebo používat (§ 67 GTG); a ve Švýcarsku se zaměstnavatelé nesmějí ptát na lékařsky irelevantní genetické údaje ani je používat (čl. 37 GUMG).

Související: Kdo smí nabízet genetické testy? · Jak srozumitelně vysvětlit genetickou zprávu · Partnerské a white-label modely

Chcete nabízet nutrigenetiku ve své praxi?

Řekněte nám o své praxi a svých klientech – ukážeme vám, který partnerský model se k vám hodí.

Stát se partnerem →Nabídka pro odborníky na výživu

Upozornění: Tento průvodce slouží jako obecná informace pro odborníky a nenahrazuje lékařské ani právní poradenství. Genetické vlastnosti zjištěné genetickou analýzou jsou dobře zdokumentované (každý zahrnutý gen je podložen nejméně třemi nezávislými studiemi); doporučení týkající se výživy, mikroživin a životního stylu z nich odvozená jsou logické závěry, nikoli vědecky prokázané skutečnosti. Předpisy se mohou měnit; chyby a změny vyhrazeny.