Accueil › Guide du commerce et de l’e-commerce › Protection des données

Guide du commerce et de l’e-commerce

Protection des données dans la boutique en ligne : bien traiter les données de santé et les données génétiques

Vérifié par Dr Daniel Wallerstorfer, biologiste moléculaire et fondateur de Novogenia · Mis à jour le 15 octobre 2026 · Temps de lecture : 13 min

En bref

Les données génétiques et les données concernant la santé font partie des catégories particulières de données à caractère personnel ; leur traitement est en principe interdit, sauf si votre client donne son consentement explicite pour des finalités spécifiques (art. 9, par. 1 et 2, point a, du RGPD). Même des données de commande peuvent être des données concernant la santé si elles permettent de tirer des conclusions sur la santé d’une personne (CJUE, C-21/23). Séparez donc les données de la boutique, comme les commandes et les paiements, des questionnaires, des analyses et des rapports, ne transmettez aux prestataires que ce dont ils ont besoin et n’utilisez jamais d’informations de santé pour des profils publicitaires. Pour les clients en Suisse, la loi fédérale sur la protection des données s’applique : les données génétiques et les données sur la santé sont des données personnelles sensibles, et tout consentement requis doit être exprès (art. 5, let. c, et art. 6, al. 7, LPD).

Deux tiroirs : ce qu’une commande peut révéler

Un nom, une adresse de livraison, un produit dans le panier – cela semble anodin. La Cour de justice de l’Union européenne en a jugé autrement en 2024. Un pharmacien vendait sur une plateforme en ligne des médicaments réservés aux pharmacies, mais non soumis à prescription médicale. Les informations que les clients devaient saisir lors de la commande – comme le nom, l’adresse de livraison et les éléments nécessaires à l’individualisation des médicaments – sont des données concernant la santé, a jugé la Cour (arrêt du 4 octobre 2024, C-21/23). Dans le même arrêt, la Cour a précisé que le RGPD ne s’oppose pas à des règles nationales permettant à des concurrents de poursuivre devant les juridictions civiles des violations de la protection des données en tant que pratiques commerciales déloyales. La protection des données est donc aussi une question de concurrence.

Pour une boutique qui vend des analyses génétiques et des produits personnalisés, l’image est claire : imaginez deux tiroirs. L’un contient ce dont toute boutique a besoin – commande, adresse, paiement, expédition. L’autre est fermé à clé : questionnaire, informations de santé, données génétiques, rapport. Les bonnes boutiques séparent les deux et n’ouvrent le second que lorsque c’est vraiment nécessaire. Voici comment. Les bases pour les praticiens figurent dans Données génétiques et RGPD, et les rôles de la marque et du laboratoire dans Protection des données pour les tests génétiques en marque blanche. Cet article est une orientation, pas un conseil juridique pour votre cas particulier.

Les données que touche votre boutique

Le règlement général sur la protection des données (RGPD) distingue deux mondes. Les données génétiques sont les données relatives aux caractéristiques génétiques héréditaires ou acquises d’une personne qui donnent des informations uniques sur sa physiologie ou son état de santé (art. 4, point 13). Les données concernant la santé sont relatives à la santé physique ou mentale et révèlent des informations sur l’état de santé d’une personne (art. 4, point 15). Les deux font partie des catégories particulières de données dont le traitement est en principe interdit (art. 9, par. 1).

Tiroir	Exemples	Ce qui s’applique
Données de commande et de contrat	nom, adresse, paiement, historique des commandes, statut d’expédition	traitement nécessaire à l’exécution du contrat (art. 6, par. 1, point b) ; prudence si la commande elle-même permet de tirer des conclusions sur la santé
Questionnaire et informations de santé	objectifs, troubles, valeurs sanguines, informations sur le mode de vie	tout ce qui révèle l’état de santé : consentement explicite (art. 9, par. 2, point a)
Données génétiques et rapport	résultats d’analyse, rapport dans le portail	consentement explicite ; idéalement pas de stockage dans le système de la boutique
Marketing et tracking	cookies, newsletter, pixels publicitaires	consentement pour les cookies non essentiels (Allemagne : § 25 TDDDG ; Autriche : § 165, alinéa 3, TKG 2021) ; pas de données de santé dans les profils publicitaires

Le consentement explicite : une étape à part dans le tunnel de commande

Pour les tests génétiques grand public, le consentement explicite pour une ou plusieurs finalités spécifiques est la base juridique centrale (art. 9, par. 2, point a, du RGPD). Pour qu’il soit solide, intégrez-le au tunnel de commande comme une étape à part entière – et non comme une clause enfouie dans vos conditions générales :

Clair et précis : quelles données, pour quelle finalité, qui les traite – et si vous, en tant que partenaire, voyez les rapports.
Actif : Une case cochée par défaut ne vaut pas consentement (considérant 32).
Démontrable : Vous devez être en mesure de démontrer que votre client a donné son consentement (art. 7, par. 1).
Révocable : Il doit être aussi simple de retirer son consentement que de le donner, et votre client en est informé au préalable (art. 7, par. 3).
Au bon moment : Le consentement se place avant le prélèvement, pas après. La mise en œuvre technique de l’enregistrement et du consentement se définit avec Novogenia.

Les États membres peuvent introduire des conditions supplémentaires pour les données génétiques et les données concernant la santé (art. 9, par. 4). Celles qui s’appliquent en Allemagne, en Autriche et en Suisse sont présentées dans Protection des données pour les tests génétiques en marque blanche.

Séparer les données de la boutique et les données génétiques

Les données doivent être limitées à ce qui est nécessaire au regard des finalités (art. 5, par. 1, point c, du RGPD), et par défaut, seules les données nécessaires à chaque finalité spécifique peuvent être traitées (art. 25, par. 2). Concrètement, pour votre boutique :

La boutique connaît la commande, pas le résultat : Le service client et l’expédition ont besoin du statut de la commande et des informations d’expédition. Les résultats génétiques et les rapports restent dans le portail sécurisé.
Pas de questionnaire dans le CRM : Les informations de santé n’ont pas leur place dans votre outil de newsletter, votre système de tickets ou des tableurs que la moitié de l’équipe peut ouvrir.
Accès selon le rôle : Seules les personnes qui ont besoin d’une information pour leur tâche peuvent la consulter.
Pas de rapport en pièce jointe d’un e-mail : Protégez les rapports par des mesures techniques et organisationnelles appropriées (art. 32) ; un portail sécurisé est conçu pour cela.
Choisir sa vue en connaissance de cause : Chez Novogenia, vous décidez, en tant que partenaire, si vous voyez les rapports de vos clients. Si vous n’en avez pas besoin, votre second tiroir reste vide – et votre risque reste faible.

Vos prestataires : des sous-traitants sous contrat

Une boutique en ligne fonctionne rarement seule : logiciel de boutique, prestataire de paiement, service d’expédition, outil d’e-mailing, chat de service client. Quiconque traite des données pour votre compte doit présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées (art. 28, par. 1, du RGPD), et vous concluez avec chacun un contrat de sous-traitance (art. 28, par. 3). Vérifiez où vos outils traitent les données : les transferts vers des pays hors de l’UE ne sont autorisés qu’aux conditions du chapitre V (art. 44). Et votre politique de confidentialité indique les destinataires ou les catégories de destinataires (art. 13, par. 1, point e).

Le rôle que vous avez vis-à-vis de Novogenia – responsable du traitement, sous-traitant ou responsable conjoint du traitement (art. 4, points 7 et 8, art. 26) – dépend du modèle. Clarifiez-le par écrit avant le lancement ; les bases figurent dans Protection des données pour les tests génétiques en marque blanche.

Un marketing sans profil de santé

Les cookies et les pixels publicitaires nécessitent le consentement de vos visiteurs, sauf s’ils sont strictement nécessaires au service demandé par l’utilisateur (Allemagne : § 25 TDDDG, loi sur la protection des données dans les télécommunications et les services numériques ; Autriche : § 165, alinéa 3, TKG 2021, loi sur les télécommunications). Avec les tests génétiques, une seconde limite s’applique : les plateformes en ligne ne peuvent pas présenter de publicités fondées sur un profilage utilisant des catégories particulières de données à caractère personnel (art. 26, par. 3, du règlement sur les services numériques, règlement (UE) 2022/2065).

Il en découle une règle simple pour votre marketing : les résultats génétiques, les réponses au questionnaire et les centres d’intérêt liés à la santé n’entrent pas dans les profils publicitaires, les listes de reciblage ou les audiences importées – sauf si votre client a explicitement consenti à précisément cela. Faites la promotion de votre offre par ce qu’elle montre, pas par ce que vous savez de personnes individuelles. Ce que vous pouvez dire dans la publicité est traité dans Le marketing des produits personnalisés.

Analyse d’impact et délégué à la protection des données

Deux obligations dépendent de l’échelle. Pour un traitement à grande échelle de catégories particulières de données, vous effectuez au préalable une analyse d’impact relative à la protection des données (art. 35, par. 3, point b, du RGPD). Si les activités de base de votre entreprise consistent en un tel traitement, vous avez besoin d’un délégué à la protection des données (art. 37, par. 1, point c). Le fait que votre boutique soit concernée dépend aussi de la manière dont vous l’organisez : plus le second tiroir reste fermé, moins vous traitez vous-même de données relevant des catégories particulières. Faites évaluer ce point avant le lancement.

Suisse : la LPD au lieu du RGPD

Pour les clients en Suisse, la loi fédérale sur la protection des données (LPD, en allemand DSG) s’applique. Vous en connaissez les principes grâce au RGPD, mais les détails diffèrent :

Données sensibles : Les données sur la santé et les données génétiques sont des données personnelles sensibles (art. 5, let. c, ch. 2 et 3, LPD). Lorsque le consentement est requis, il doit être exprès pour ces données (art. 6, al. 7).
Information : Vous communiquez au minimum l’identité et les coordonnées du responsable du traitement, la finalité et, le cas échéant, les destinataires ; si des données sont communiquées à l’étranger, également l’État concerné (art. 19).
Analyse d’impact : Le traitement de données sensibles à grande échelle présente un risque élevé ; vous effectuez donc au préalable une analyse d’impact relative à la protection des données personnelles (art. 22).
Représentant en Suisse : Les responsables du traitement privés établis à l’étranger désignent un représentant en Suisse s’ils traitent des données en lien avec l’offre de biens ou de services, à grande échelle et de manière régulière, et si le traitement présente un risque élevé (art. 14).
Cookies : La Suisse n’exige pas de consentement préalable, mais une information sur le traitement et sa finalité ainsi qu’une indication que les utilisateurs peuvent le refuser (art. 45c de la loi sur les télécommunications, LTC).

Une différence intervient avant même la protection des données : en Suisse, vous ne vendez pas d’analyses génétiques lifestyle sous forme de tests à domicile (art. 13 de la loi fédérale sur l’analyse génétique humaine, LAGH). Ce que cela signifie pour votre boutique est expliqué dans Vendre des tests génétiques en ligne : DE, AT, CH.

Checklist : la protection des données dans votre boutique

Vous savez quelles données votre boutique traite – et lesquelles sont des données génétiques ou des données concernant la santé.
Le consentement explicite est une étape distincte et active avant le prélèvement, démontrable et facile à retirer.
Les données de la boutique et les données génétiques sont séparées ; les rapports restent dans le portail sécurisé.
Les réponses au questionnaire ne se retrouvent ni dans le CRM, ni dans l’outil de newsletter, ni dans les outils publicitaires.
Des contrats de sous-traitance sont conclus avec tous les prestataires ; les transferts vers l’étranger ont été vérifiés.
Les rôles entre vous et Novogenia sont définis par écrit.
Consentement aux cookies selon le § 25 TDDDG ou le § 165, alinéa 3, TKG 2021 ; pour la Suisse, information et possibilité de refus selon l’art. 45c LTC.
L’analyse d’impact et le délégué à la protection des données ont été examinés – selon le RGPD et, pour la Suisse, selon la LPD.
Votre politique de confidentialité indique les responsables du traitement, les finalités, les destinataires et la durée de conservation.

Comment nous procédons chez Novogenia

Comment, chez Novogenia, nous traitons les données de la boutique et de l’analyse :

Analyse en Autriche : les échantillons sont analysés dans notre propre laboratoire à Eugendorf, près de Salzbourg.
Information sur la protection des données avant le prélèvement : qui est responsable de quel traitement est précisé dans l’information sur la protection des données relative à l’analyse génétique, que le client reçoit avant d’envoyer l’échantillon.
Rapports dans le portail : les rapports sont fournis sous forme numérique via un portail sécurisé, imprimés sur demande.
Vous décidez de ce que vous voyez : en tant que partenaire, vous choisissez si vous consultez les rapports de vos clients. Si c’est le cas, cela doit être clair à l’avance et figurer dans le consentement.
Demandes des consommateurs : avec un consentement exprès donné dans le formulaire de contact, nous transmettons les demandes des consommateurs à une entreprise partenaire appropriée.

Questions fréquentes

Les données de commande sont-elles déjà des données de santé ?

Elles peuvent l’être. En 2024, la Cour de justice de l’Union européenne a jugé que les informations saisies par les clients lors de la commande en ligne de médicaments réservés aux pharmacies – comme le nom, l’adresse de livraison et les éléments nécessaires à l’individualisation des médicaments – sont des données concernant la santé, même sans prescription médicale (C-21/23). Traitez en tout cas les données issues du questionnaire, de l’analyse et du rapport comme une catégorie particulière au sens de l’art. 9 du RGPD.

Une case à cocher dans mes conditions générales suffit-elle comme consentement ?

Non. Le consentement au traitement de données génétiques ou de données concernant la santé doit être explicite et donné pour des finalités spécifiques (art. 9, par. 2, point a, du RGPD). Vous devez être en mesure de le démontrer (art. 7, par. 1), il doit être aussi simple de le retirer que de le donner (art. 7, par. 3), et une case cochée par défaut ne vaut pas consentement (considérant 32).

Puis-je cibler des clients de tests génétiques avec de la publicité ?

N’utilisez pas les résultats génétiques, les réponses au questionnaire ou les centres d’intérêt liés à la santé pour des profils publicitaires, du reciblage ou des listes d’audience, sauf si votre client a explicitement consenti à précisément cela. Les plateformes en ligne ne sont de toute façon pas autorisées à présenter des publicités fondées sur un profilage utilisant des catégories particulières de données à caractère personnel (art. 26, par. 3, du règlement (UE) 2022/2065).

Ai-je besoin d’un délégué à la protection des données ?

Selon le RGPD, oui, si les activités de base de votre entreprise consistent en un traitement à grande échelle de catégories particulières de données (art. 37, par. 1, point c). Un traitement à grande échelle de telles données exige aussi une analyse d’impact relative à la protection des données préalable (art. 35, par. 3, point b). Moins il y a de données génétiques dans votre boutique, moins cette question se pose – mais faites-la tout de même vérifier.

Qu’est-ce qui s’applique aux clients en Suisse ?

La loi fédérale sur la protection des données (LPD) : les données génétiques et les données sur la santé sont des données personnelles sensibles (art. 5, let. c), tout consentement requis doit être exprès (art. 6, al. 7), et vous informez les personnes de l’identité du responsable du traitement, de la finalité, des destinataires et, le cas échéant, de l’État étranger concerné (art. 19). Les responsables du traitement privés établis à l’étranger doivent, à certaines conditions, désigner un représentant en Suisse (art. 14). Pour les cookies, l’art. 45c de la loi sur les télécommunications (LTC) exige une information et la possibilité de refuser.

Des produits personnalisés pour votre boutique ?

Parlez-nous de votre marque et de vos canaux – nous vous montrerons quel modèle vous convient.

Soumettre votre projet →Offre pour l’e-commerce

Remarque : Ce guide fournit des informations générales destinées aux entreprises et aux professionnels et ne remplace pas un avis médical ou juridique. Les caractéristiques génétiques déterminées dans une analyse génétique sont bien documentées (chaque gène inclus est étayé par au moins trois études indépendantes) ; les recommandations qui en découlent sont des conclusions logiques, non prouvées scientifiquement. La réglementation peut évoluer ; sous réserve d’erreurs et de modifications.