Protección de datos en la tienda: cómo tratar correctamente los datos de salud y genéticos

Revisado por el Dr. Daniel Wallerstorfer, biólogo molecular y fundador de Novogenia · Actualizado: 15 de octubre de 2026 · Tiempo de lectura: 12 min

En resumen

Los datos genéticos y los datos relativos a la salud son categorías especiales de datos personales; su tratamiento está prohibido en principio, salvo que tu cliente dé su consentimiento explícito para fines especificados (art. 9, apartados 1 y 2, letra a), del RGPD). Incluso los datos de un pedido pueden ser datos relativos a la salud si permiten extraer conclusiones sobre la salud de una persona (TJUE, C-21/23). Por eso, mantén los datos de la tienda, como pedidos y pagos, separados de los cuestionarios, los análisis y los informes, da a los proveedores de servicios solo lo que necesitan y no utilices nunca información de salud para perfiles publicitarios. Para los clientes en Suiza se aplica la Ley federal suiza de protección de datos: los datos genéticos y de salud son datos personales sensibles, y cualquier consentimiento necesario debe ser expreso (art. 5, letra c, y art. 6, apartado 7, de la DSG).

Dos cajones: lo que puede revelar un pedido

Un nombre, una dirección de entrega, un producto en el carrito — suena inofensivo. El Tribunal de Justicia de la UE lo vio de otro modo en 2024. Un farmacéutico vendía a través de una plataforma online medicamentos de venta exclusiva en farmacias, pero no sujetos a prescripción. La información que los clientes tenían que introducir al hacer el pedido — como el nombre, la dirección de entrega y los datos necesarios para individualizar los medicamentos — son datos relativos a la salud, resolvió el tribunal (sentencia de 4 de octubre de 2024, C-21/23). En la misma sentencia, el tribunal dejó claro que el RGPD no se opone a normas nacionales que permitan a los competidores perseguir ante los tribunales civiles las infracciones de la protección de datos como prácticas comerciales desleales. La protección de datos también es una cuestión de competencia.

Para una tienda que vende análisis genéticos y productos personalizados, el panorama es claro: imagina dos cajones. Uno contiene lo que necesita cualquier tienda — pedido, dirección, pago, envío. El otro está cerrado con llave: cuestionario, información de salud, datos genéticos, informe. Las buenas tiendas mantienen ambos separados y solo abren el segundo cuando realmente tienen que hacerlo. Así se hace. Los fundamentos para profesionales están en Datos genéticos y RGPD, y los roles de la marca y del laboratorio, en Protección de datos en los tests genéticos de marca blanca. Este artículo es una orientación, no un asesoramiento jurídico para tu caso concreto.

Qué datos toca tu tienda

El Reglamento General de Protección de Datos (RGPD) distingue dos mundos. Los datos genéticos son datos relativos a las características genéticas heredadas o adquiridas de una persona que proporcionan una información única sobre su fisiología o su salud (art. 4, punto 13). Los datos relativos a la salud se refieren a la salud física o mental y revelan información sobre el estado de salud de una persona (art. 4, punto 15). Ambos son categorías especiales cuyo tratamiento está prohibido en principio (art. 9, apartado 1).

Cajón	Ejemplos	Qué se aplica
Datos de pedido y de contrato	nombre, dirección, pago, historial de pedidos, estado del envío	tratamiento para la ejecución del contrato (art. 6, apartado 1, letra b)); cuidado si el propio pedido permite extraer conclusiones sobre la salud
Cuestionario e información de salud	objetivos, dolencias, valores sanguíneos, datos sobre el estilo de vida	todo lo que revela el estado de salud: consentimiento explícito (art. 9, apartado 2, letra a))
Datos genéticos e informe	resultados del análisis, informe en el portal	consentimiento explícito; idealmente, no almacenados en el sistema de la tienda
Marketing y tracking	cookies, newsletter, píxeles publicitarios	consentimiento para las cookies no esenciales (Alemania: § 25 de la TDDDG; Austria: § 165, apartado 3, de la TKG 2021); ningún dato de salud en los perfiles publicitarios

Consentimiento explícito: un paso propio en el checkout

En los tests genéticos para consumidores, el consentimiento explícito para uno o más de los fines especificados es la base jurídica central (art. 9, apartado 2, letra a), del RGPD). Para que se sostenga, intégralo en el checkout como un paso propio — no como una cláusula escondida en tus condiciones generales:

Claro y específico: qué datos, para qué fin, quién los trata — y si tú, como socio, ves los informes.
Activo: Una casilla ya marcada no constituye consentimiento (considerando 32).
Demostrable: Debes poder demostrar que tu cliente dio su consentimiento (art. 7, apartado 1).
Revocable: Retirar el consentimiento debe ser tan fácil como darlo, y tu cliente es informado de ello de antemano (art. 7, apartado 3).
A tiempo: El consentimiento va antes de la muestra, no después. Cómo funcionan técnicamente el registro y el consentimiento lo configuras con Novogenia.

Los Estados miembros pueden introducir condiciones adicionales para los datos genéticos y de salud (art. 9, apartado 4). Cuáles se aplican en Alemania, Austria y Suiza se trata en Protección de datos en los tests genéticos de marca blanca.

Mantén separados los datos de la tienda y los datos genéticos

Los datos deben limitarse a lo necesario en relación con los fines (art. 5, apartado 1, letra c), del RGPD), y por defecto solo pueden tratarse los datos necesarios para cada uno de los fines específicos (art. 25, apartado 2). En la práctica, esto significa para tu tienda:

La tienda conoce el pedido, no el resultado: La atención al cliente y el envío necesitan el estado del pedido y los datos de envío. Los resultados genéticos y los informes se quedan en el portal seguro.
Ningún cuestionario en el CRM: La información de salud no tiene cabida en tu herramienta de newsletter, en tu sistema de tickets ni en hojas de cálculo que puede abrir medio equipo.
Acceso por roles: Solo pueden ver una información las personas que la necesitan para su tarea.
Ningún informe como archivo adjunto de correo: Protege los informes con medidas técnicas y organizativas apropiadas (art. 32); un portal seguro está hecho para eso.
Elige tu visibilidad con criterio: En Novogenia, tú, como socio, decides si ves los informes de tus clientes. Si no los necesitas, tu segundo cajón se queda vacío — y tu riesgo, pequeño.

Tus proveedores de servicios: encargados del tratamiento con contrato

Una tienda online rara vez funciona sola: software de tienda, proveedor de pagos, empresa de envíos, herramienta de correo electrónico, chat de atención al cliente. Quien trata datos por tu cuenta debe ofrecer garantías suficientes para aplicar medidas técnicas y organizativas apropiadas (art. 28, apartado 1, del RGPD), y con cada uno de ellos firmas un contrato de encargo del tratamiento (art. 28, apartado 3). Comprueba dónde tratan los datos tus herramientas: las transferencias a países fuera de la UE solo están permitidas en las condiciones del capítulo V (art. 44). Y tu información sobre protección de datos indica los destinatarios o las categorías de destinatarios (art. 13, apartado 1, letra e)).

Qué rol tienes respecto a Novogenia — responsable del tratamiento, encargado del tratamiento o corresponsable del tratamiento (art. 4, puntos 7 y 8, y art. 26) — depende del modelo. Acláralo por escrito antes del lanzamiento; los fundamentos están en Protección de datos en los tests genéticos de marca blanca.

Marketing sin perfil de salud

Las cookies y los píxeles publicitarios requieren el consentimiento de tus visitantes, salvo que sean estrictamente necesarios para el servicio solicitado por el usuario (Alemania: § 25 de la Ley de protección de datos en las telecomunicaciones y los servicios digitales, TDDDG; Austria: § 165, apartado 3, de la Ley de telecomunicaciones, TKG 2021). Con los tests genéticos se aplica un segundo límite: las plataformas en línea no pueden presentar anuncios basados en la elaboración de perfiles que utilice categorías especiales de datos personales (art. 26, apartado 3, del Reglamento de Servicios Digitales, Reglamento (UE) 2022/2065).

De ahí se deriva una regla sencilla para tu marketing: los resultados genéticos, las respuestas del cuestionario y los intereses de salud no van a perfiles publicitarios, listas de retargeting ni cargas de audiencias — salvo que tu cliente haya dado su consentimiento explícito precisamente para eso. Promociona tu oferta con lo que muestra, no con lo que sabes de personas concretas. Qué puedes decir en la publicidad se trata en Marketing de productos personalizados.

Evaluación de impacto y delegado de protección de datos

Dos obligaciones dependen de la escala. En el tratamiento a gran escala de categorías especiales de datos, realizas previamente una evaluación de impacto relativa a la protección de datos (art. 35, apartado 3, letra b), del RGPD). Si las actividades principales de tu empresa consisten en ese tratamiento, necesitas un delegado de protección de datos (art. 37, apartado 1, letra c)). Si tu tienda entra en estos supuestos depende también de cómo la configures: cuanto más firmemente permanezca cerrado el segundo cajón, menos datos de categorías especiales tratas tú mismo. Haz que se evalúe antes del lanzamiento.

Suiza: la DSG en lugar del RGPD

Para los clientes en Suiza se aplica la Ley federal suiza de protección de datos (en alemán, DSG). Sus ideas básicas te resultarán familiares por el RGPD, pero los detalles difieren:

Datos sensibles: Los datos relativos a la salud y los datos genéticos son datos personales sensibles (art. 5, letra c, números 2 y 3, de la DSG). Cuando se requiere el consentimiento, para estos datos debe ser expreso (art. 6, apartado 7).
Información: Como mínimo, facilitas la identidad y los datos de contacto del responsable, la finalidad y, en su caso, los destinatarios; si los datos van al extranjero, también el país (art. 19).
Evaluación de impacto: El tratamiento a gran escala de datos personales sensibles implica un riesgo elevado, por lo que realizas previamente una evaluación de impacto relativa a la protección de datos (art. 22).
Representante en Suiza: Los responsables privados con sede en el extranjero designan un representante en Suiza si tratan datos en relación con la oferta de bienes o servicios a gran escala y de forma periódica, y el tratamiento conlleva un riesgo elevado (art. 14).
Cookies: Suiza no exige un consentimiento previo, pero sí información sobre el tratamiento y su finalidad y la indicación de que los usuarios pueden rechazarlo (art. 45c de la Ley de telecomunicaciones, FMG).

Hay una diferencia que viene antes de la protección de datos: en Suiza no vendes análisis genéticos de estilo de vida como tests para uso doméstico (art. 13 de la GUMG). Qué significa esto para tu tienda se trata en Vender tests genéticos online: DE, AT, CH.

Lista de comprobación: protección de datos en tu tienda

Sabes qué datos trata tu tienda — y cuáles de ellos son datos genéticos o de salud.
El consentimiento explícito es un paso separado y activo antes de la muestra, demostrable y fácil de retirar.
Los datos de la tienda y los datos genéticos se mantienen separados; los informes se quedan en el portal seguro.
Las respuestas del cuestionario no acaban en el CRM, la newsletter ni las herramientas publicitarias.
Hay contratos de encargo del tratamiento con todos los proveedores de servicios; las transferencias al extranjero están comprobadas.
Los roles entre tú y Novogenia están establecidos por escrito.
Consentimiento de cookies conforme al § 25 de la TDDDG o al § 165, apartado 3, de la TKG 2021; para Suiza, información y posibilidad de rechazo conforme al art. 45c de la FMG.
La evaluación de impacto y el delegado de protección de datos están comprobados — según el RGPD y, para Suiza, según la DSG.
Tu información sobre protección de datos indica los responsables, los fines, los destinatarios y el plazo de conservación.

Así lo hacemos en Novogenia

Así tratamos en Novogenia los datos de la tienda y del análisis:

Análisis en Austria: las muestras se analizan en nuestro propio laboratorio de Eugendorf, cerca de Salzburgo.
Información sobre protección de datos antes de la muestra: quién es responsable de cada tratamiento se establece en la información sobre protección de datos del análisis genético, que el cliente recibe antes de enviar la muestra.
Informes en el portal: los informes se entregan en formato digital a través de un portal seguro, impresos si lo deseas.
Tú decides qué ves: como socio, eliges si consultas los informes de tus clientes. Si lo haces, debe quedar claro de antemano y figurar en el consentimiento.
Consultas de consumidores: con el consentimiento expreso dado en el formulario de contacto, remitimos las consultas de consumidores a una empresa asociada adecuada.

Preguntas frecuentes

¿Los datos de un pedido ya son datos relativos a la salud?

Pueden serlo. En 2024, el Tribunal de Justicia de la UE resolvió que la información que introducen los clientes al pedir online medicamentos de venta exclusiva en farmacias — como el nombre, la dirección de entrega y los datos necesarios para individualizar los medicamentos — son datos relativos a la salud, incluso sin receta (C-21/23). En cualquier caso, trata los datos del cuestionario, del análisis y del informe como una categoría especial conforme al art. 9 del RGPD.

¿Basta una casilla en mis condiciones generales para el consentimiento?

No. El consentimiento para el tratamiento de datos genéticos o de salud debe ser explícito y darse para fines especificados (art. 9, apartado 2, letra a), del RGPD). Debes poder demostrarlo (art. 7, apartado 1), retirarlo debe ser tan fácil como darlo (art. 7, apartado 3), y una casilla ya marcada no constituye consentimiento (considerando 32).

¿Puedo dirigir publicidad a los clientes de tests genéticos?

No utilices resultados genéticos, respuestas del cuestionario ni intereses de salud para perfiles publicitarios, retargeting o listas de audiencias, salvo que tu cliente haya dado su consentimiento explícito precisamente para eso. En cualquier caso, las plataformas en línea no pueden presentar anuncios basados en la elaboración de perfiles que utilice categorías especiales de datos personales (art. 26, apartado 3, del Reglamento (UE) 2022/2065).

¿Necesito un delegado de protección de datos?

Según el RGPD, sí, si las actividades principales de tu empresa consisten en el tratamiento a gran escala de categorías especiales de datos (art. 37, apartado 1, letra c)). El tratamiento a gran escala de estos datos exige además una evaluación de impacto relativa a la protección de datos previa (art. 35, apartado 3, letra b)). Cuantos menos datos genéticos acaben en tu tienda, menor es esta cuestión — pero haz que lo comprueben de todos modos.

¿Qué se aplica a los clientes en Suiza?

La Ley federal suiza de protección de datos (DSG): los datos genéticos y de salud son datos personales sensibles (art. 5, letra c), cualquier consentimiento necesario debe ser expreso (art. 6, apartado 7), e informas a las personas sobre el responsable, la finalidad, los destinatarios y, en su caso, el país extranjero (art. 19). En determinadas condiciones, los responsables privados con sede en el extranjero necesitan un representante en Suiza (art. 14). Para las cookies, el art. 45c de la Ley de telecomunicaciones exige información y la posibilidad de rechazarlas.

¿Productos personalizados para tu tienda?

Cuéntanos cómo es tu marca y cuáles son tus canales – te mostraremos qué modelo encaja.

Solicitar un proyecto →Oferta para e-commerce

Nota: Esta guía ofrece información general para empresas y profesionales y no sustituye el asesoramiento médico ni jurídico. Los rasgos genéticos determinados en un análisis genético están bien documentados (cada gen incluido está respaldado por al menos tres estudios independientes); las recomendaciones derivadas de ellos son conclusiones lógicas, no están científicamente demostradas. La normativa puede cambiar; salvo error u omisión y sujeto a modificaciones.