Accueil › Guide de la nutrigénétique › Données génétiques et RGPD

Données génétiques et RGPD : ce que vous devez savoir dans votre pratique

Vérifié par Dr Daniel Wallerstorfer, biologiste moléculaire et fondateur de Novogenia · Mis à jour le 12 octobre 2026 · Temps de lecture : 14 min

Un mot de passe que vous ne pourrez jamais changer : pourquoi les données génétiques sont particulières

Si votre mot de passe est volé, vous le changez. Vos gènes, vous ne pouvez pas les changer. Ils vous accompagnent toute votre vie – et révèlent quelque chose de vos parents, de vos frères et sœurs et de vos enfants. C’est pourquoi le droit de la protection des données les protège avec autant de soin.

Le règlement général sur la protection des données (RGPD) définit les données génétiques comme les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d’une personne, qui donnent des informations uniques sur sa physiologie ou son état de santé et qui résultent, notamment, de l’analyse d’un échantillon biologique (art. 4, point 13). Un échantillon de salive destiné à une analyse nutritionnelle en relève clairement – que l’analyse soit médicale ou non.

Les données génétiques constituent une catégorie particulière de données à caractère personnel. Leur traitement est interdit (art. 9, par. 1), sauf si l’une des exceptions prévues à l’art. 9, par. 2, s’applique. Pour une analyse génétique dans le cadre du conseil nutritionnel, la principale option est le consentement explicite. Les États membres peuvent en outre introduire des conditions supplémentaires pour les données génétiques (art. 9, par. 4) – c’est pourquoi l’Allemagne et l’Autriche ont en partie leurs propres règles. La Suisse dispose de sa propre loi ; nous y revenons plus bas.

Le consentement : une clé que votre client peut reprendre à tout moment

Le consentement est la clé qui ouvre la porte au traitement. Pour les données génétiques, il doit être explicite et porter sur une ou plusieurs finalités spécifiques (art. 9, par. 2, point a). Et votre client peut reprendre la clé à tout moment. Ce qui compte :

• Explicite : une déclaration claire et distincte. Selon les lignes directrices 05/2020 du comité européen de la protection des données, une déclaration écrite signée est une solution évidente ; en ligne, la personne peut aussi remplir un formulaire électronique, envoyer un e-mail, téléverser un document signé ou utiliser une signature électronique. Une case cochée par défaut ne constitue pas un consentement (considérant 32).
• Démontrable : vous devez être en mesure de prouver que la personne a donné son consentement (art. 7, par. 1).
• Révocable : la personne peut retirer son consentement à tout moment, il doit être aussi simple de le retirer que de le donner, et vous l’en informez au préalable (art. 7, par. 3).
• Lié à une finalité : les données ne doivent pas être traitées ultérieurement d’une manière incompatible avec les finalités initiales (art. 5, par. 1, point b). Si une nouvelle finalité s’ajoute, il vous faut, selon le CEPD, un nouveau consentement.

Les règles nationales y ajoutent d’autres exigences. Pour les examens génétiques à des fins médicales, l’Allemagne exige un consentement exprès et écrit donné au médecin responsable (§ 8 GenDG). En Suisse, toute analyse génétique requiert un consentement libre et exprès, donné après une information suffisante (art. 5 LAGH). En Autriche, les données issues d’analyses génétiques au sens de la GTG ne peuvent être transmises à d’autres personnes que celles énumérées par la loi qu’avec le consentement exprès et écrit de la personne analysée (§ 71, al. 2, GTG).

Pas de surprises : ce que vos clients doivent savoir d’abord

La transparence est une obligation, et non une affaire de petits caractères. Lorsque vous collectez des données, vous indiquez à votre client à ce moment-là, entre autres (art. 13 du RGPD) :

• l’identité et les coordonnées du responsable du traitement et, le cas échéant, les coordonnées du délégué à la protection des données,
• les finalités et la base juridique du traitement,
• les destinataires ou catégories de destinataires – comme le laboratoire,
• le cas échéant, l’intention de transférer des données vers un pays tiers,
• la durée de conservation des données ou les critères utilisés pour la déterminer,
• ses droits, y compris le droit de retirer son consentement à tout moment et le droit d’introduire une réclamation auprès d’une autorité de contrôle.

Les informations doivent être fournies d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples (art. 12, par. 1). En Suisse, l’art. 32 LAGH ajoute des obligations d’information écrite pour les analyses en dehors du domaine médical, par exemple l’indication du laboratoire ainsi que des entreprises et laboratoires à l’étranger impliqués.

Maître d’ouvrage ou entrepreneur ? Qui joue quel rôle entre conseiller et laboratoire

Une analyse génétique implique au moins deux acteurs : vous et le laboratoire. Le RGPD pose la question : qui décide des finalités et des moyens du traitement ? C’est le responsable du traitement – comme le maître d’ouvrage d’un chantier, qui décide de ce qui est construit (art. 4, point 7). Celui qui traite des données pour le compte du responsable du traitement est un sous-traitant – comme l’entrepreneur qui construit selon les plans (art. 4, point 8). Si deux parties déterminent conjointement les finalités et les moyens, elles sont responsables conjointes du traitement (art. 26).

Les rôles découlent de ce qui se passe réellement, et non de l’intitulé du contrat : selon les lignes directrices 07/2020 du CEPD, les notions sont fonctionnelles et répartissent les responsabilités selon le rôle réel des parties.

Conseil pratique : convenez par écrit avec votre laboratoire de qui a quel rôle et quelle obligation avant l’envoi du premier échantillon – en particulier de qui informe vos clients conformément à l’art. 13 et de qui répond aux demandes d’accès ou d’effacement.

Comme pour une randonnée en montagne : n’emportez que l’essentiel

Préparez vos données comme un sac à dos pour une randonnée en montagne : ce dont vous n’avez pas besoin reste à la maison. Le RGPD appelle cela la minimisation des données – les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité (art. 5, par. 1, point c). Et elles ne peuvent être conservées sous une forme permettant l’identification que pendant la durée nécessaire à la finalité (limitation de la conservation, art. 5, par. 1, point e).

• Posez-vous honnêtement la question : avez-vous besoin du rapport complet – ou les résultats dont vous discutez avec votre client suffisent-ils ?
• Des canaux sécurisés : protégez les rapports par des mesures techniques et organisationnelles appropriées (art. 32) – un portail sécurisé vaut mieux qu’une pièce jointe non protégée.
• Protection des données dès la conception : intégrez les principes de protection des données dans vos processus et vos paramètres par défaut, par exemple au moyen de la pseudonymisation (art. 25).
• Délai d’effacement : décidez quand vous supprimez les dossiers – et respectez ce délai.

Pour certains cas, la loi fixe des délais. En Allemagne, le médecin responsable conserve les résultats des examens génétiques à des fins médicales pendant dix ans, puis les détruit (§ 12 GenDG). En Suisse, les échantillons et les données issus d’autres analyses au sens de l’art. 31, al. 2, LAGH doivent être détruits au plus tard deux ans après la réalisation de l’analyse, à moins que la personne concernée ait consenti à une autre utilisation ou ne se soit pas opposée à une anonymisation (art. 11, al. 2, LAGH).

Les droits de vos clients

Vos clients gardent le contrôle. Leurs principaux droits au titre du RGPD :

• Accès aux données traitées (art. 15) et rectification des données inexactes (art. 16)
• Effacement, par exemple après le retrait du consentement, en l’absence d’autre fondement juridique (art. 17)
• Limitation du traitement (art. 18) et portabilité des données (art. 20)
• Retrait du consentement à tout moment (art. 7, par. 3)

Vous répondez aux demandes dans les meilleurs délais et en tout état de cause dans un délai d’un mois ; pour les cas complexes, ce délai peut être prolongé de deux mois (art. 12, par. 3). S’y ajoute un droit qui n’existe que dans le droit de la génétique : le droit de ne pas savoir. En Suisse, toute personne peut refuser que tout ou partie des informations relatives à son patrimoine génétique lui soit communiquée (art. 8 LAGH). En Allemagne, ce droit fait partie de l’information donnée pour les examens à des fins médicales (§ 9, al. 2, point 5, GenDG) ; en Autriche, il fait partie du conseil pour les analyses de types 2 à 4 (§ 69, al. 5, GTG).

Programmes de santé en entreprise : l’employeur reste à l’écart

Si vous proposez des analyses génétiques en entreprise, il vous faut un mur solide entre les résultats et l’employeur. La loi construit ce mur dans les trois pays :

• Allemagne : l’employeur ne peut ni exiger de ses salariés qu’ils se soumettent à des examens ou analyses génétiques, ni exiger la communication de résultats, ni recevoir ou utiliser de tels résultats (§ 19 GenDG).
• Autriche : il est interdit aux employeurs de recueillir, de demander, d’accepter ou d’utiliser de toute autre manière les résultats d’analyses génétiques de leurs salariés ou de candidats à un emploi (§ 67, al. 1, GTG).
• Suisse : les employeurs ne peuvent ni exiger la réalisation d’analyses génétiques en dehors du domaine médical, ni demander ou utiliser des données génétiques non pertinentes du point de vue médical (art. 37 LAGH).

Concevez donc une telle offre de manière que la participation reste volontaire, que les résultats ne soient remis qu’au salarié et que l’employeur ne reçoive aucun résultat individuel. Le consentement doit être donné librement (art. 4, point 11, du RGPD) – dans un contexte professionnel, ce point mérite une attention particulière.

Suisse : la LPD au lieu du RGPD

La Suisse n’est pas membre de l’UE. Pour le traitement des données génétiques, l’art. 10, al. 2, LAGH renvoie aux dispositions fédérales et cantonales en matière de protection des données. Pour les personnes privées – y compris dans votre activité de conseil – il s’agit de la loi fédérale sur la protection des données (LPD, en allemand DSG) révisée, en vigueur depuis le 1er septembre 2023 (art. 2, al. 1, let. a, LPD). Les idées fondamentales correspondent à celles du RGPD ; les détails diffèrent :

• Données sensibles : les données génétiques sont des données personnelles sensibles (art. 5, let. c, ch. 3, LPD).
• Consentement exprès : lorsque le consentement est requis, il doit être exprès pour les données personnelles sensibles (art. 6, al. 7) – donné librement, pour un ou plusieurs traitements déterminés et après une information appropriée (art. 6, al. 6). Pour l’analyse elle-même, l’art. 5 LAGH exige de toute façon un consentement libre et exprès.
• Données à l’étranger : les données peuvent être communiquées vers des États dont le Conseil fédéral a constaté qu’ils assurent un niveau de protection adéquat (art. 16, al. 1, LPD). La liste figure à l’annexe 1 de l’ordonnance sur la protection des données (OPDo, en allemand DSV) ; tous les États de l’UE, dont l’Autriche et l’Allemagne, y figurent. Pour les autres États, il faut des garanties appropriées (art. 16, al. 2) ou une dérogation, comme le consentement exprès de la personne concernée (art. 17, al. 1, let. a).
• Transparence : si des données sont communiquées à l’étranger, vous indiquez aussi à la personne concernée l’État en question (art. 19, al. 4, LPD).
• Analyse d’impact : lorsque le traitement est susceptible d’entraîner un risque élevé, le responsable du traitement procède au préalable à une analyse d’impact relative à la protection des données personnelles – en particulier en cas de traitement de données sensibles à grande échelle (art. 22, al. 1 et 2, LPD).

Checklist : la protection des données dans votre pratique

• Rôles clarifiés par écrit avec le laboratoire – avec, si nécessaire, un contrat de sous-traitance (art. 28) ou un accord entre responsables conjoints du traitement (art. 26).
• Consentement explicite pour des finalités spécifiques recueilli et documenté (art. 9, par. 2, point a ; art. 7, par. 1).
• Informations complètes et compréhensibles sur la protection des données fournies conformément à l’art. 13.
• Registre des activités de traitement tenu – l’exemption prévue pour les organisations de moins de 250 salariés ne s’applique pas si vous traitez des catégories particulières de données (art. 30, par. 5).
• Rapports uniquement via des canaux sécurisés, accès réservé aux personnes qui en ont besoin (art. 32).
• Délais d’effacement fixés et respectés (art. 5, par. 1, point e).
• Plan en cas de violation de données : notification à l’autorité de contrôle, dans la mesure du possible, dans les 72 heures (art. 33).
• En cas de traitement à grande échelle de données génétiques : analyse d’impact relative à la protection des données (art. 35, par. 3, point b) et, s’il s’agit de votre activité de base, délégué à la protection des données (art. 37, par. 1, point c).

Questions fréquentes

À lire aussi: Qui peut proposer des tests génétiques ? · Expliquer clairement un rapport génétique · Modèles partenaire et marque blanche

Remarque : Ce guide fournit des informations générales destinées aux professionnels et ne remplace pas un avis médical ou juridique. Les caractéristiques génétiques déterminées dans une analyse génétique sont bien documentées (chaque gène inclus est étayé par au moins trois études indépendantes) ; les recommandations sur l’alimentation, les micronutriments et le mode de vie qui en découlent sont des conclusions logiques, non prouvées scientifiquement. La réglementation peut évoluer ; sous réserve d’erreurs et de modifications.