Protección de datos en los tests genéticos de marca blanca: roles, consentimiento, conservación

Revisado por el Dr. Daniel Wallerstorfer, biólogo molecular y fundador de Novogenia · Actualizado: 13 de octubre de 2026 · Tiempo de lectura: 14 min

En resumen

Según el RGPD, los datos genéticos son una categoría especial de datos personales (art. 9) — también en los análisis de estilo de vida. En un modelo de marca blanca, varias partes tratan los mismos datos: tu marca, el laboratorio y, en los análisis médicos, los médicos. Antes del lanzamiento, aclara quién es el responsable del tratamiento, quién el encargado del tratamiento y quiénes son corresponsables (art. 4, 26 y 28), obtén el consentimiento explícito, fija plazos para conservar y destruir muestras y datos, y utiliza los datos para investigación solo con un consentimiento aparte. En Suiza se aplican la DSG y la GUMG.

Una carrera de relevos con ADN: por qué cuenta cada traspaso

¿Qué ocurre con los datos genéticos de tus clientes si una empresa entra en insolvencia? En Novogenia, la respuesta está en las condiciones generales: entre los principios trasladados a la información sobre protección de datos del análisis genético figura la supresión de los datos genéticos en caso de insolvencia. Preguntas como esta parecen teóricas — hasta que construyes una marca sobre datos genéticos.

Un test genético de marca blanca es una carrera de relevos. Tu marca recibe el pedido, el kit viaja al cliente, la muestra al laboratorio, el resultado al informe y a la plataforma; en los análisis médicos, un médico corre una de las postas. El testigo son los datos genéticos — y en cada traspaso debe estar claro quién corre y quién responde de ese tramo.

El Reglamento General de Protección de Datos (RGPD) define los datos genéticos como los datos personales relativos a las características genéticas heredadas o adquiridas de una persona que proporcionan una información única sobre su fisiología o su salud, obtenidos en particular del análisis de una muestra biológica (art. 4, punto 13). Su tratamiento está prohibido en principio (art. 9, apartado 1), salvo que se aplique una excepción del art. 9, apartado 2 — en los tests genéticos para consumidores, sobre todo el consentimiento explícito. Esto se aplica a los análisis de estilo de vida igual que a los médicos. Los fundamentos para la práctica del asesoramiento están en Datos genéticos y RGPD; aquí nos centramos en lo que añade una marca propia.

¿Quién corre cada tramo? Los roles de la marca y del laboratorio

El RGPD conoce tres roles. El responsable del tratamiento es quien, solo o junto con otros, determina los fines y medios del tratamiento (art. 4, punto 7). El encargado del tratamiento trata datos por cuenta del responsable (art. 4, punto 8). Si dos o más responsables determinan conjuntamente los fines y los medios, son corresponsables del tratamiento (art. 26). Quién tiene qué rol se desprende de lo que ocurre realmente — no del título del contrato. Así lo describe el Comité Europeo de Protección de Datos en sus Directrices 07/2020.

Configuración	Cómo reconocerla	Qué estableces
Marca como responsable, laboratorio como encargado	Tu marca decide qué ocurre con los datos; el laboratorio trata los datos solo siguiendo tus instrucciones documentadas.	Contrato de encargo del tratamiento conforme al art. 28, apartado 3, por escrito o en formato electrónico (art. 28, apartado 9)
Corresponsables del tratamiento	La marca y el laboratorio determinan juntos los fines y los medios.	Acuerdo conforme al art. 26: quién informa, quién responde a las solicitudes; los aspectos esenciales se ponen a disposición del interesado
Cada uno responsable de su parte	El laboratorio decide por sí mismo los fines y los medios de una parte del tratamiento.	asignación clara de qué tratamiento corresponde a quién; cada uno informa sobre su parte
Análisis médicos en Alemania	El médico responsable realiza el estudio y encarga el análisis al laboratorio (§ 7, apartado 2, de la GenDG); el laboratorio solo comunica el resultado a ese médico (§ 11, apartado 2).	El consentimiento y la comunicación del resultado pasan por el médico, no por tu marca

Un contrato de encargo del tratamiento es más que un formulario. Establece, entre otras cosas, que el laboratorio solo trata los datos siguiendo tus instrucciones documentadas, que las personas que intervienen están sujetas a confidencialidad, qué medidas de seguridad se aplican, que solo se recurre a otros encargados con tu autorización y que, al final, todos los datos se suprimen o se devuelven, a tu elección (art. 28, apartados 2 y 3). Y un encargado que determina por sí mismo los fines y los medios se considera responsable del tratamiento con respecto a dicho tratamiento (art. 28, apartado 10).

Consejo práctico: antes del lanzamiento, deja por escrito quién informa al cliente conforme al art. 13, quién responde a las solicitudes de acceso y de supresión y quién suprime qué datos y cuándo. En Novogenia, la información sobre protección de datos del análisis genético establece quién es responsable de cada tratamiento.

Consentimiento: la señal de salida de cada análisis

Sin un consentimiento explícito para fines especificados, nada se mueve en los tests genéticos para consumidores (art. 9, apartado 2, letra a), del RGPD). Debes poder demostrar el consentimiento (art. 7, apartado 1), y el cliente puede retirarlo en cualquier momento (art. 7, apartado 3). Una casilla ya marcada no constituye consentimiento (considerando 32).

La marca blanca añade una cuestión práctica: el consentimiento suele darse en tu tienda o al registrar el kit — pero el laboratorio también lo necesita. Así que planifica cómo llega al laboratorio la prueba del consentimiento y cómo llega allí una retirada. Las normas nacionales añaden más requisitos:

Alemania, ámbito médico: el consentimiento se otorga de forma expresa y por escrito ante el médico responsable y abarca también el tratamiento de los datos genéticos; el laboratorio encargado solo analiza una vez que dispone de la prueba del consentimiento (§ 8, apartado 1, de la GenDG).
Austria: los datos de análisis genéticos en el sentido de la GTG solo se comunican a personas distintas de las enumeradas en la ley con el consentimiento expreso y por escrito, que puede retirarse por escrito en cualquier momento (§ 71, apartado 2, de la GTG).
Suiza: todo análisis genético requiere un consentimiento libre y expreso tras una información adecuada (art. 5 de la GUMG).

¿Quién ve qué? Solo quien realmente lo necesita

Tener una marca propia tienta a querer verlo todo: cada resultado, cada informe. El RGPD pone freno: los datos deben limitarse a lo necesario para la finalidad (art. 5, apartado 1, letra c)), y por defecto solo se tratan los datos necesarios para cada uno de los fines específicos (art. 25, apartado 2). Así que pregúntate: ¿para qué necesita tu marca tener acceso? Para la atención al cliente, a menudo bastan el estado del pedido y los datos de envío. En Novogenia, como socio, decides tú si ves los informes de tus clientes.

Empleadores: no pueden ni solicitar ni utilizar los resultados genéticos de sus empleados (§ 19 de la GenDG, § 67 de la GTG, art. 37 de la GUMG). Más sobre el diseño de este tipo de programas: Salud corporativa.
Aseguradoras: por regla general, tampoco pueden solicitar ni utilizar resultados genéticos (§ 18 de la GenDG, § 67 de la GTG, art. 37 de la GUMG) — con excepciones limitadas en Alemania y Austria.
Seguridad: protege los informes con medidas técnicas y organizativas apropiadas (art. 32 del RGPD) — un portal seguro es mejor que un archivo adjunto por correo electrónico. Cómo son los informes y la plataforma con tu marca lo explicamos en Informes y plataforma con tu marca.

Conservar y destruir: también las muestras tienen fecha de caducidad

Los datos personales solo pueden conservarse de forma que permita identificar a los interesados durante el tiempo que exija la finalidad (art. 5, apartado 1, letra e), del RGPD). Para las muestras y los resultados genéticos, algunas leyes son más concretas:

Marco	Qué se aplica	Referencia
Alemania, muestras médicas	uso solo para la finalidad para la que se obtuvieron; destrucción sin demora en cuanto dejan de ser necesarias para ella o se retira el consentimiento	§ 13, apartado 1, de la GenDG
Alemania, resultados médicos	conservación durante diez años y después destrucción; se aplica por analogía al laboratorio encargado	§ 12 de la GenDG
Suiza, todos los análisis	muestras y datos genéticos solo durante el tiempo necesario para el análisis, incluido el aseguramiento de la calidad, para otro uso o según las normas cantonales	art. 11, apartado 1, de la GUMG
Suiza, otros análisis	destrucción a más tardar dos años después del análisis, salvo que la persona haya consentido otro uso o no se haya opuesto a la anonimización	art. 11, apartado 2, de la GUMG
Fin del encargo del tratamiento	el laboratorio suprime o devuelve todos los datos personales — a elección del responsable, salvo que la ley exija su conservación	art. 28, apartado 3, letra g), del RGPD

Donde ninguna ley específica fija un plazo, lo fijas tú — justificado por la finalidad — y lo recoges en la información sobre protección de datos y en el contrato. Piensa en ambas cosas: la muestra en el laboratorio y los datos en la plataforma.

Investigación y desarrollo de productos: solo con un consentimiento aparte

Los datos genéticos de muchas personas son valiosos para la investigación y el desarrollo de productos. Precisamente por eso, cualquier uso que vaya más allá de la finalidad original necesita una base sólida propia:

RGPD: el tratamiento ulterior con fines de investigación científica no se considera incompatible con la finalidad original (art. 5, apartado 1, letra b)), pero necesita garantías adecuadas, como la minimización de datos y, cuando sea posible, la seudonimización (art. 89, apartado 1). Para los datos genéticos sigue aplicándose el art. 9: consentimiento explícito (apartado 2, letra a)) o una base en el Derecho de la Unión o nacional (apartado 2, letra j)) — en Alemania, por ejemplo, el § 27 de la BDSG, con una ponderación de intereses.
Consentimiento para ámbitos de investigación: como a menudo no es posible determinar totalmente los fines de la investigación en el momento de la recogida, los interesados deben poder dar su consentimiento para determinados ámbitos de investigación científica que respeten las normas éticas reconocidas (considerando 33).
Alemania, ámbito médico: una muestra genética solo puede utilizarse para otros fines si una ley lo permite o si la persona ha dado su consentimiento expreso y por escrito tras haber sido informada (§ 13, apartado 2, de la GenDG).
Austria: los análisis genéticos con fines científicos solo pueden realizarse con muestras desidentificadas (§ 66, apartado 1, de la GTG).
Suiza: en forma no codificada o codificada, las muestras y los datos genéticos solo pueden utilizarse para otra finalidad con un consentimiento libre y expreso tras una información adecuada; en forma anonimizada, si la persona fue informada previamente y no se opuso (art. 12 de la GUMG).

Para tu marca, esto significa: convierte el consentimiento para la investigación en una decisión aparte y voluntaria — separada del pedido y revocable en cualquier momento. Cómo funcionan los estudios con un laboratorio de genotipado lo explicamos en Genotipado para investigación y estudios.

Suiza: la DSG y la GUMG en lugar del RGPD

Para los clientes en Suiza no se aplica el RGPD, sino la Ley federal suiza de protección de datos (DSG), a la que el art. 10, apartado 2, de la GUMG remite expresamente para los datos genéticos. Las ideas básicas ya las conoces por el RGPD; los detalles difieren:

Datos sensibles: los datos genéticos son datos personales sensibles (art. 5, letra c), n.º 3, de la DSG); cuando se requiere el consentimiento, debe otorgarse de forma expresa (art. 6, apartado 7).
Encargado del tratamiento: el encargado solo puede tratar los datos como tú mismo estarías autorizado a hacerlo; tú te aseguras de que pueda garantizar la seguridad de los datos, y solo puede transferir el tratamiento a un tercero con tu autorización previa (art. 9 de la DSG).
Laboratorio en Austria: los datos personales pueden comunicarse a Estados que, según ha constatado el Consejo Federal, ofrecen una protección adecuada (art. 16, apartado 1, de la DSG); Austria y Alemania figuran en el anexo 1 de la Ordenanza sobre protección de datos (DSV). Comunicas a la persona afectada el Estado de que se trate (art. 19, apartado 4, de la DSG).
Además, según la GUMG: la información escrita indica el laboratorio, las empresas y laboratorios extranjeros que intervengan y los datos de contacto de la persona responsable del tratamiento de los datos (art. 32 de la GUMG). Quien trata datos genéticos limita el acceso a las personas que lo necesitan para sus tareas, registra los pasos del tratamiento relevantes para la trazabilidad y transmite los datos de forma segura (art. 3, apartado 2, de la GUMV).
Evaluación de impacto: en caso de tratamiento extenso de datos personales sensibles, el responsable realiza previamente una evaluación de impacto relativa a la protección de datos (art. 22 de la DSG).

Lista de comprobación: protección de datos para tu marca de tests genéticos

Los roles de la marca, del laboratorio y, en su caso, del médico están aclarados por escrito — con un contrato de encargo del tratamiento (art. 28) o un acuerdo conforme al art. 26.
El consentimiento es explícito, específico para la finalidad y demostrable; la prueba del consentimiento y cualquier retirada llegan al laboratorio.
La información sobre protección de datos indica los responsables, los fines, los destinatarios o las categorías de destinatarios y el plazo de conservación (art. 13); en Suiza, también el laboratorio y el Estado (art. 32 de la GUMG, art. 19 de la DSG).
Tu marca solo ve lo que necesita para su finalidad; los empleadores y las aseguradoras no reciben resultados genéticos.
Las muestras y los datos tienen plazos fijos de conservación y destrucción; el fin del contrato está regulado (art. 28, apartado 3, letra g)).
Investigación o desarrollo de productos con datos de clientes solo con un consentimiento aparte y voluntario.
En caso de tratamiento extenso de datos genéticos: una evaluación de impacto relativa a la protección de datos (art. 35, apartado 3, letra b), del RGPD, art. 22 de la DSG).

Así lo hacemos en Novogenia

Así tratamos los datos genéticos en Novogenia:

Análisis en Austria: analizamos las muestras en nuestro propio laboratorio en Eugendorf, cerca de Salzburgo (Austria) — conforme a la legislación europea de protección de datos.
Responsabilidades claras: quién es responsable de cada tratamiento de datos personales y genéticos lo establece nuestra información sobre protección de datos del análisis genético.
Principios firmes: acceso a los propios datos, limitación de la finalidad, uso para otros fines solo con consentimiento expreso y por escrito, y supresión de los datos genéticos en caso de insolvencia.
Tú decides lo que ves: como socio, eliges si ves o no los informes de tus clientes. Los informes se entregan en formato digital a través de un portal seguro y, si se desea, impresos.
Empleadores y aseguradoras se quedan fuera: en los análisis de estilo de vida, el empleador no tiene acceso a los resultados genéticos; los análisis médicos solo están disponibles con un médico de empresa, y solo ese médico ve los resultados. En el modelo con aseguradoras, el asegurado recibe los resultados y la aseguradora, solo la factura.

Preguntas frecuentes

¿Es mi marca la responsable del tratamiento, o lo es el laboratorio?

Depende de quién decide realmente sobre los fines y los medios del tratamiento (art. 4, puntos 7 y 8, del RGPD). Si tu marca determina qué ocurre con los datos y el laboratorio actúa solo siguiendo tus instrucciones, el laboratorio es encargado del tratamiento. Si la marca y el laboratorio deciden conjuntamente, son corresponsables del tratamiento (art. 26). En sus Directrices 07/2020, el Comité Europeo de Protección de Datos subraya que cuentan las actividades reales, no la denominación del contrato.

¿Qué debe contener el contrato de encargo del tratamiento con el laboratorio?

El objeto y la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos, las categorías de interesados y los derechos y obligaciones del responsable (art. 28, apartado 3, del RGPD). Incluye además, entre otras cosas: tratamiento solo siguiendo instrucciones documentadas, confidencialidad, medidas de seguridad conforme al art. 32, normas sobre otros encargados y supresión o devolución de los datos al final. En Suiza, el tratamiento por encargados lo regula el art. 9 de la DSG.

¿Cuánto tiempo pueden conservarse las muestras y los datos genéticos?

Solo el tiempo que exija la finalidad (art. 5, apartado 1, letra e), del RGPD). En los estudios médicos en Alemania, las muestras deben destruirse sin demora en cuanto dejan de ser necesarias (§ 13 de la GenDG), y los resultados se conservan diez años y después se destruyen (§ 12 de la GenDG). En Suiza, las muestras y los datos de otros análisis deben destruirse a más tardar dos años después del análisis, salvo que la persona haya consentido otro uso o no se haya opuesto a la anonimización (art. 11, apartado 2, de la GUMG).

¿Puedo utilizar los datos genéticos de mis clientes para investigación o nuevos productos?

Solo con una base jurídica propia — en los tests genéticos para consumidores, normalmente un consentimiento explícito aparte (art. 9, apartado 2, letra a), del RGPD). En Alemania, el § 13, apartado 2, de la GenDG exige para las muestras médicas un consentimiento expreso y por escrito; en Suiza, el art. 12 de la GUMG exige un consentimiento libre y expreso. En Austria, los análisis genéticos con fines científicos solo pueden realizarse con muestras desidentificadas (§ 66 de la GTG).

¿Pueden tratarse en un laboratorio austríaco datos genéticos procedentes de Suiza?

Sí. Austria figura en el anexo 1 de la Ordenanza suiza sobre protección de datos como Estado con una protección de datos adecuada (art. 16, apartado 1, de la DSG). Comunicas a tu cliente el Estado (art. 19, apartado 4, de la DSG) y el laboratorio (art. 32 de la GUMG), y el análisis en el extranjero requiere su consentimiento por escrito (art. 29 y 36 de la GUMG).

¿Estás planificando tu propia marca de tests genéticos?

Cuéntanos quién es tu público y qué cartera prefieres – te mostraremos cómo podría ser tu lanzamiento.

Solicitar un proyecto →Análisis genéticos de marca blanca

Nota: Esta guía ofrece información general para empresas y profesionales y no sustituye el asesoramiento médico ni jurídico. Los rasgos genéticos determinados en un análisis genético están bien documentados (cada gen incluido está respaldado por al menos tres estudios independientes); las recomendaciones derivadas de ellos son conclusiones lógicas, no están científicamente demostradas. La normativa puede cambiar; salvo error u omisión y sujeto a modificaciones.