Inicio › Guía de nutrigenética › Datos genéticos y RGPD

Guía de nutrigenética

Datos genéticos y RGPD: lo que necesitas saber en tu consulta

Revisado por el Dr. Daniel Wallerstorfer, biólogo molecular y fundador de Novogenia · Actualizado: 12 de octubre de 2026 · Tiempo de lectura: 13 min

En resumen

Según el RGPD, los datos genéticos son una categoría especial de datos personales (art. 4, punto 13, y art. 9). Su tratamiento está prohibido en principio — pasa a ser lícito, por ejemplo, con un consentimiento explícito para fines especificados. Antes de empezar, aclara quién es el responsable y quién el encargado del tratamiento, informa plenamente a tus clientes (art. 13), trata solo lo que realmente necesitas y suprime lo que ya no necesites. En Alemania, Austria y Suiza, los empleadores no pueden, en principio, ni solicitar ni utilizar los resultados genéticos de sus empleados.

Una contraseña que nunca puedes cambiar: por qué los datos genéticos son especiales

Si te roban la contraseña, la cambias. Tus genes no puedes cambiarlos. Te acompañan toda la vida — y revelan algo sobre tus padres, hermanos e hijos. Por eso la normativa de protección de datos los protege con tanto cuidado.

El Reglamento General de Protección de Datos (RGPD) define los datos genéticos como datos personales relativos a las características genéticas heredadas o adquiridas de una persona que proporcionan una información única sobre su fisiología o su salud, obtenidos en particular del análisis de una muestra biológica (art. 4, punto 13). Una muestra de saliva para un análisis de nutrición entra claramente en esta definición — sea el análisis médico o no.

Los datos genéticos son una categoría especial de datos personales. Su tratamiento está prohibido (art. 9, apartado 1), salvo que se aplique una de las excepciones del art. 9, apartado 2. Para un análisis genético en el asesoramiento nutricional, la opción principal es el consentimiento explícito. Los Estados miembros pueden además introducir condiciones adicionales para los datos genéticos (art. 9, apartado 4) — por eso Alemania y Austria tienen en parte sus propias normas. Suiza tiene su propia ley; más información a continuación.

El consentimiento es la llave que abre la puerta al tratamiento. En el caso de los datos genéticos, debe ser explícito y referirse a uno o varios fines especificados (art. 9, apartado 2, letra a)). Y tu cliente puede retirar la llave en cualquier momento. Lo que importa:

Explícito: una declaración clara y propia. Según las Directrices 05/2020 del Comité Europeo de Protección de Datos (CEPD), una declaración escrita y firmada es una vía evidente; en línea, la persona también puede rellenar un formulario electrónico, enviar un correo electrónico, cargar un documento firmado o utilizar una firma electrónica. Una casilla premarcada no es consentimiento (considerando 32).
Demostrable: debes poder demostrar que la persona dio su consentimiento (art. 7, apartado 1).
Revocable: la persona puede retirar su consentimiento en cualquier momento, retirarlo debe ser tan fácil como darlo, y se lo comunicas de antemano (art. 7, apartado 3).
Vinculado a una finalidad: los datos no pueden tratarse ulteriormente de manera incompatible con los fines originales (art. 5, apartado 1, letra b)). Si se añade una nueva finalidad, según el CEPD necesitas un nuevo consentimiento.

Las normas nacionales añaden más requisitos. Para los estudios genéticos con fines médicos, Alemania exige un consentimiento expreso y por escrito ante el médico responsable (§ 8 de la GenDG). En Suiza, todo análisis genético requiere un consentimiento libre y expreso tras una información adecuada (art. 5 de la GUMG). En Austria, los datos de análisis genéticos en el sentido de la GTG solo pueden transmitirse a personas distintas de las enumeradas en la ley con el consentimiento expreso y por escrito de la persona analizada (§ 71, apartado 2, de la GTG).

Sin sorpresas: lo que tus clientes deben saber primero

La transparencia es una obligación, no letra pequeña. Cuando recabas datos, informas a tu cliente en ese momento, entre otras cosas, de lo siguiente (art. 13 del RGPD):

la identidad y los datos de contacto del responsable y, en su caso, los datos de contacto del delegado de protección de datos,
los fines y la base jurídica del tratamiento,
los destinatarios o las categorías de destinatarios — como el laboratorio,
en su caso, la intención de transferir datos a un tercer país,
el plazo durante el cual se conservarán los datos o los criterios utilizados para determinarlo,
sus derechos, incluido el derecho a retirar el consentimiento en cualquier momento y el derecho a presentar una reclamación ante una autoridad de control.

La información debe facilitarse de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo (art. 12, apartado 1). En Suiza, el art. 32 de la GUMG añade deberes de información por escrito para los análisis no médicos, como indicar el laboratorio y las empresas y laboratorios extranjeros que intervengan.

¿Promotor o constructor? Qué papel desempeña cada uno entre asesor y laboratorio

En un análisis genético intervienen al menos dos actores: tú y el laboratorio. El RGPD pregunta: ¿quién decide sobre los fines y los medios del tratamiento? Ese es el responsable del tratamiento — como el promotor de una obra, que decide qué se construye (art. 4, punto 7). Quien trata datos por cuenta del responsable es el encargado del tratamiento — como el constructor, que construye según el proyecto (art. 4, punto 8). Si dos partes determinan conjuntamente los fines y los medios, son corresponsables del tratamiento (art. 26).

Los papeles se derivan de lo que ocurre realmente, no del encabezamiento del contrato: según las Directrices 07/2020 del CEPD, los conceptos son funcionales y asignan las responsabilidades según los papeles reales de las partes.

Papel	Cómo reconocerlo	Qué exige el RGPD
Responsable del tratamiento	Decide sobre los fines y los medios del tratamiento (art. 4, punto 7)	Informa a los interesados, garantiza sus derechos, vela por la seguridad y lleva un registro de las actividades de tratamiento (arts. 13, 15–21, 30, 32)
Encargado del tratamiento	Trata datos por cuenta del responsable (art. 4, punto 8)	Contrato que establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados (art. 28, apartado 3); otros encargados solo con autorización (art. 28, apartado 2)
Corresponsables del tratamiento	Determinan conjuntamente los fines y los medios (art. 26, apartado 1)	Acuerdo sobre quién cumple qué obligaciones, en particular en cuanto a los derechos de los interesados y los deberes de información

Consejo práctico: acuerda por escrito con tu laboratorio quién tiene qué papel y qué obligación antes de enviar la primera muestra — sobre todo quién informa a tus clientes según el art. 13 y quién responde a las solicitudes de acceso o de supresión.

Como para una excursión de montaña: lleva solo lo que necesitas

Prepara tus datos como una mochila para una excursión de montaña: lo que no necesitas se queda en casa. El RGPD lo llama minimización de datos — los datos deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines (art. 5, apartado 1, letra c)). Y solo pueden conservarse de forma que permita la identificación durante el tiempo que exija la finalidad (limitación del plazo de conservación, art. 5, apartado 1, letra e)).

Pregúntate con honestidad: ¿necesitas el informe completo — o bastan los resultados que comentas con tu cliente?
Canales seguros: protege los informes con medidas técnicas y organizativas apropiadas (art. 32) — un portal seguro es mejor que un archivo adjunto sin protección en un correo electrónico.
Protección de datos desde el diseño: integra los principios de protección de datos en los procesos y en los ajustes por defecto, por ejemplo mediante la seudonimización (art. 25).
Plazo de supresión: decide cuándo eliminas los registros — y cúmplelo.

Para algunos casos, la ley fija plazos. En Alemania, el médico responsable conserva los resultados de los estudios genéticos con fines médicos durante diez años y después los destruye (§ 12 de la GenDG). En Suiza, las muestras y los datos de otros análisis según el art. 31, apartado 2, de la GUMG deben destruirse a más tardar dos años después del análisis, salvo que la persona haya consentido otro uso o no se haya opuesto a la anonimización (art. 11, apartado 2, de la GUMG).

Los derechos de tus clientes

Tus clientes mantienen el control. Sus derechos clave según el RGPD:

Acceso a los datos tratados (art. 15) y rectificación de los datos inexactos (art. 16)
Supresión, por ejemplo tras la retirada del consentimiento cuando no exista otra base jurídica (art. 17)
Limitación del tratamiento (art. 18) y portabilidad de los datos (art. 20)
Retirada del consentimiento en cualquier momento (art. 7, apartado 3)

Respondes a las solicitudes sin dilación indebida y, en cualquier caso, en el plazo de un mes; en casos complejos, el plazo puede prorrogarse otros dos meses (art. 12, apartado 3). A esto se suma un derecho que solo existe en la legislación genética: el derecho a no saber. En Suiza, toda persona tiene derecho a negarse a conocer información sobre su genoma, total o parcialmente (art. 8 de la GUMG). En Alemania, forma parte de la información que se da en los estudios con fines médicos (§ 9, apartado 2, n.º 5, de la GenDG); en Austria, forma parte del asesoramiento en los análisis de los tipos 2 a 4 (§ 69, apartado 5, de la GTG).

Programas de salud corporativa: el empleador se queda fuera

Si ofreces análisis genéticos en empresas, necesitas un muro sólido entre los resultados y el empleador. La ley levanta ese muro en los tres países:

Alemania: el empleador no puede exigir a los empleados que se sometan a estudios o análisis genéticos, ni exigir que se le comuniquen los resultados, ni recibirlos ni utilizarlos (§ 19 de la GenDG).
Austria: se prohíbe a los empleadores recabar, solicitar, aceptar o utilizar de cualquier otro modo los resultados de análisis genéticos de empleados o de solicitantes de empleo (§ 67, apartado 1, de la GTG).
Suiza: los empleadores no pueden exigir análisis genéticos no médicos ni solicitar datos genéticos sin relevancia médica, ni hacer uso de ellos (art. 37 de la GUMG).

Así que diseña este tipo de oferta de modo que la participación sea voluntaria, los resultados lleguen solo al empleado y el empleador no reciba resultados individuales. El consentimiento debe darse libremente (art. 4, punto 11, del RGPD) — en el entorno laboral, vigílalo de cerca.

Suiza: la DSG en lugar del RGPD

Suiza no es miembro de la UE. Para el tratamiento de datos genéticos, el art. 10, apartado 2, de la GUMG remite a la legislación federal y cantonal de protección de datos. Para los particulares — también para ti como asesor — se trata de la Ley federal suiza de protección de datos (DSG), revisada y en vigor desde el 1 de septiembre de 2023 (art. 2, apartado 1, letra a), de la DSG). Las ideas centrales coinciden con el RGPD; los detalles difieren:

Datos sensibles: los datos genéticos son datos personales sensibles (art. 5, letra c), n.º 3, de la DSG).
Consentimiento expreso: cuando se requiere consentimiento, en el caso de los datos personales sensibles debe darse de forma expresa (art. 6, apartado 7) — de manera voluntaria, para un tratamiento determinado y tras una información adecuada (art. 6, apartado 6). Para el análisis en sí, el art. 5 de la GUMG exige en cualquier caso un consentimiento libre y expreso.
Datos en el extranjero: los datos pueden transferirse a Estados que, según el Consejo Federal, ofrecen una protección adecuada (art. 16, apartado 1, de la DSG). La lista figura en el anexo 1 de la Ordenanza suiza sobre protección de datos (DSV); en ella están todos los Estados de la UE, incluidos Austria y Alemania. Para otros Estados se requieren garantías adecuadas (art. 16, apartado 2) o una excepción, como el consentimiento expreso del interesado (art. 17, apartado 1, letra a)).
Transparencia: si los datos se transfieren al extranjero, comunicas además al interesado el Estado de que se trate (art. 19, apartado 4, de la DSG).
Evaluación de impacto: si es probable que el tratamiento entrañe un riesgo elevado, el responsable realiza previamente una evaluación de impacto relativa a la protección de datos — en particular en caso de tratamiento extensivo de datos personales sensibles (art. 22, apartados 1 y 2, de la DSG).

Lista de comprobación: protección de datos en tu consulta

Papeles aclarados por escrito con el laboratorio — con un contrato de encargo del tratamiento (art. 28) o un acuerdo de corresponsabilidad (art. 26), cuando sea necesario.
Consentimiento explícito para fines especificados obtenido y documentado (art. 9, apartado 2, letra a), y art. 7, apartado 1).
Información sobre privacidad completa y comprensible facilitada según el art. 13.
Registro de las actividades de tratamiento al día — la exención para organizaciones con menos de 250 empleados no se aplica si tratas categorías especiales de datos (art. 30, apartado 5).
Informes solo a través de canales seguros, acceso solo para quien lo necesite (art. 32).
Plazos de supresión fijados y cumplidos (art. 5, apartado 1, letra e)).
Plan para violaciones de la seguridad de los datos: notificar a la autoridad de control, si es posible, en un plazo de 72 horas (art. 33).
Para el tratamiento a gran escala de datos genéticos: una evaluación de impacto relativa a la protección de datos (art. 35, apartado 3, letra b)) y, si es tu actividad principal, un delegado de protección de datos (art. 37, apartado 1, letra c)).

Preguntas frecuentes

¿Son datos genéticos según el RGPD los resultados de un análisis genético de nutrición?

Sí. El RGPD define los datos genéticos como datos personales relativos a las características genéticas heredadas o adquiridas de una persona que proporcionan una información única sobre su fisiología o su salud, obtenidos en particular del análisis de una muestra biológica (art. 4, punto 13). Que el análisis sea médico o no, no supone ninguna diferencia.

¿Basta con una casilla en el formulario de pedido para el consentimiento?

Una casilla premarcada no basta (considerando 32 del RGPD). Los datos genéticos requieren un consentimiento explícito para fines especificados (art. 9, apartado 2, letra a)). Según las Directrices 05/2020 del Comité Europeo de Protección de Datos (CEPD), en línea puede darse, por ejemplo, rellenando un formulario electrónico, enviando un correo electrónico, cargando un documento firmado o utilizando una firma electrónica. Debes poder demostrar el consentimiento (art. 7, apartado 1).

¿Soy responsable o encargado del tratamiento?

Depende de quién decide realmente sobre los fines y los medios del tratamiento (art. 4, puntos 7 y 8, del RGPD). En sus Directrices 07/2020, el CEPD subraya que los papeles se determinan por las actividades reales, no por la denominación del contrato. Aclara los papeles por escrito con tu laboratorio antes de enviar la primera muestra.

¿Tengo que ver los informes genéticos de mis clientes?

El RGPD exige que los datos se limiten a lo necesario para la finalidad (art. 5, apartado 1, letra c)). Que necesites un informe depende de tu asesoramiento. En Novogenia, tú mismo decides si ves los informes de tus clientes.

¿Puede el empleador conocer los resultados en un programa de salud corporativa?

No. En Alemania, el empleador no puede solicitar, recibir ni utilizar resultados de estudios genéticos (§ 19 de la GenDG); en Austria, se prohíbe a los empleadores recabarlos, solicitarlos, aceptarlos o utilizarlos (§ 67 de la GTG); y en Suiza, los empleadores no pueden pedir ni utilizar datos genéticos sin relevancia médica (art. 37 de la GUMG).

¿Quieres ofrecer nutrigenética en tu consulta?

Cuéntanos cómo es tu consulta y quiénes son tus clientes – te mostraremos qué modelo de colaboración encaja contigo.

Conviértete en socio →Oferta para profesionales de la nutrición

Nota: Esta guía ofrece información general para profesionales y no sustituye el asesoramiento médico ni jurídico. Los rasgos genéticos determinados en un análisis genético están bien documentados (cada gen incluido está respaldado por al menos tres estudios independientes); las recomendaciones sobre alimentación, micronutrientes y estilo de vida derivadas de ellos son conclusiones lógicas, no están científicamente demostradas. La normativa puede cambiar; salvo error u omisión y sujeto a modificaciones.