Accueil › Guide des tests génétiques en marque blanche › Protection des données

Guide des tests génétiques en marque blanche

Protection des données pour les tests génétiques en marque blanche : rôles, consentement, conservation

Vérifié par Dr Daniel Wallerstorfer, biologiste moléculaire et fondateur de Novogenia · Mis à jour le 13 octobre 2026 · Temps de lecture : 15 min

En bref

Au sens du RGPD, les données génétiques constituent une catégorie particulière de données à caractère personnel (art. 9) – y compris dans les analyses lifestyle. Dans un modèle en marque blanche, plusieurs acteurs traitent les mêmes données : votre marque, le laboratoire et, pour les analyses médicales, des médecins. Avant le lancement, clarifiez qui est responsable du traitement, qui est sous-traitant et qui est responsable conjoint du traitement (art. 4, 26 et 28), recueillez un consentement explicite, fixez des délais de conservation et de destruction des échantillons et des données, et n’utilisez les données à des fins de recherche qu’avec un consentement distinct. En Suisse, ce sont la LPD et la LAGH qui s’appliquent.

Une course de relais avec de l’ADN : pourquoi chaque passage de témoin compte

Qu’advient-il des données génétiques de vos clients si une entreprise devient insolvable ? Chez Novogenia, la réponse figure dans les conditions générales : parmi les principes repris dans les informations sur la protection des données relatives à l’analyse génétique figure la suppression des données génétiques en cas d’insolvabilité. Ce genre de question semble théorique – jusqu’à ce que vous construisiez une marque sur des données génétiques.

Un test génétique en marque blanche est une course de relais. Votre marque prend la commande, le kit part chez le client, l’échantillon au laboratoire, le résultat dans le rapport et sur la plateforme ; pour les analyses médicales, un médecin court une partie du parcours. Le témoin, ce sont les données génétiques – et à chaque passage, il doit être clair qui court et qui répond de cette partie du parcours.

Le règlement général sur la protection des données (RGPD) définit les données génétiques comme les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d’une personne, qui donnent des informations uniques sur sa physiologie ou son état de santé et qui résultent, notamment, de l’analyse d’un échantillon biologique (art. 4, point 13). Leur traitement est en principe interdit (art. 9, par. 1), sauf si l’une des exceptions prévues à l’art. 9, par. 2, s’applique – pour les tests génétiques grand public, principalement le consentement explicite. Cela vaut tout autant pour les analyses lifestyle que pour les analyses médicales. Les bases pour la pratique du conseil se trouvent dans Données génétiques et RGPD ; nous nous concentrons ici sur ce qu’une marque propre ajoute.

Qui court quelle partie du parcours ? Les rôles de la marque et du laboratoire

Le RGPD connaît trois rôles. Le responsable du traitement est celui qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement (art. 4, point 7). Le sous-traitant traite des données pour le compte du responsable du traitement (art. 4, point 8). Lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens, ils sont responsables conjoints du traitement (art. 26). Le rôle de chacun découle de ce qui se passe réellement – et non de l’intitulé du contrat. C’est ainsi que le décrit le comité européen de la protection des données dans ses lignes directrices 07/2020.

Configuration	Comment la reconnaître	Ce que vous mettez en place
Marque responsable du traitement, laboratoire sous-traitant	Votre marque décide de ce qu’il advient des données ; le laboratoire traite uniquement sur vos instructions documentées.	Contrat de sous-traitance au sens de l’art. 28, par. 3, sous forme écrite, y compris électronique (art. 28, par. 9)
Responsables conjoints du traitement	La marque et le laboratoire déterminent ensemble les finalités et les moyens.	Accord au sens de l’art. 26 : qui informe, qui répond aux demandes ; les grandes lignes de l’accord sont mises à la disposition de la personne concernée
Chacun responsable de sa propre partie	Le laboratoire décide lui-même des finalités et des moyens pour une partie du traitement.	une répartition claire des traitements entre les acteurs ; chacun informe sur sa propre partie
Analyses médicales en Allemagne	Le médecin responsable réalise l’examen et mandate le laboratoire (§ 7, alinéa 2, GenDG) ; le laboratoire ne communique le résultat qu’à ce médecin (§ 11, alinéa 2).	Le consentement et la communication du résultat passent par le médecin, et non par votre marque

Un contrat de sous-traitance est plus qu’un formulaire. Il prévoit notamment que le laboratoire traite uniquement sur vos instructions documentées, que les personnes concernées par le traitement sont tenues à la confidentialité, quelles mesures de sécurité s’appliquent, que d’autres sous-traitants ne sont recrutés qu’avec votre autorisation et qu’au terme de la prestation, toutes les données sont supprimées ou renvoyées, selon votre choix (art. 28, par. 2 et 3). Et un sous-traitant qui détermine lui-même les finalités et les moyens est considéré comme un responsable du traitement pour ce qui concerne ce traitement (art. 28, par. 10).

Conseil pratique : avant le lancement, consignez par écrit qui informe le client conformément à l’art. 13, qui répond aux demandes d’accès et d’effacement, et qui supprime quelles données et à quel moment. Chez Novogenia, les informations sur la protection des données relatives à l’analyse génétique précisent qui est responsable de quel traitement.

Le consentement : le signal de départ de chaque analyse

Sans consentement explicite pour des finalités spécifiques, rien ne bouge dans les tests génétiques grand public (art. 9, par. 2, point a, du RGPD). Vous devez être en mesure de démontrer le consentement (art. 7, par. 1), et le client peut le retirer à tout moment (art. 7, par. 3). Une case cochée par défaut ne constitue pas un consentement (considérant 32).

La marque blanche ajoute une question pratique : le consentement est généralement donné dans votre boutique ou lors de l’enregistrement du kit – mais le laboratoire en a besoin lui aussi. Prévoyez donc comment la preuve du consentement parvient au laboratoire et comment un retrait lui est transmis. Les règles nationales ajoutent d’autres exigences :

Allemagne, domaine médical : le consentement est donné de manière expresse et écrite au médecin responsable et couvre aussi le traitement des données génétiques ; le laboratoire mandaté ne réalise l’analyse qu’une fois en possession de la preuve du consentement (§ 8, alinéa 1, GenDG).
Autriche : les données issues d’analyses génétiques au sens de la GTG ne sont transmises à d’autres personnes que celles énumérées par la loi qu’avec un consentement exprès et écrit, révocable par écrit à tout moment (§ 71, alinéa 2, GTG).
Suisse : toute analyse génétique requiert un consentement libre et exprès, donné après une information suffisante (art. 5 LAGH).

Qui voit quoi ? Uniquement ceux qui en ont réellement besoin

Avoir sa propre marque incite à vouloir tout voir : chaque résultat, chaque rapport. Le RGPD freine cet élan : les données doivent être limitées à ce qui est nécessaire au regard de la finalité (art. 5, par. 1, point c), et par défaut, seules les données nécessaires au regard de chaque finalité spécifique sont traitées (art. 25, par. 2). Posez-vous donc la question : pourquoi votre marque a-t-elle besoin d’un accès ? Pour le service client, l’état des commandes et les données d’expédition suffisent souvent. Chez Novogenia, vous décidez en tant que partenaire si vous consultez les rapports de vos clients.

Employeurs : ils ne peuvent ni demander ni utiliser les résultats génétiques de leurs salariés (§ 19 GenDG, § 67 GTG, art. 37 LAGH). Pour en savoir plus sur la conception de tels programmes : Programmes de santé en entreprise.
Assureurs : en règle générale, ils ne peuvent pas non plus demander ni utiliser des résultats génétiques (§ 18 GenDG, § 67 GTG, art. 37 LAGH) – avec des exceptions étroites en Allemagne et en Autriche.
Sécurité : protégez les rapports par des mesures techniques et organisationnelles appropriées (art. 32 du RGPD) – un portail sécurisé vaut mieux qu’une pièce jointe à un e-mail. L’aspect des rapports et de la plateforme sous votre marque est présenté dans Rapports et plateforme sous votre marque.

Conserver et détruire : les échantillons aussi ont une date d’expiration

Les données à caractère personnel ne peuvent être conservées sous une forme permettant l’identification que pendant la durée nécessaire à la finalité (art. 5, par. 1, point e, du RGPD). Pour les échantillons et les résultats génétiques, certaines lois sont plus précises :

Cadre	Ce qui s’applique	Référence
Allemagne, échantillons médicaux	utilisation uniquement pour la finalité pour laquelle ils ont été obtenus ; destruction sans délai dès qu’ils ne sont plus nécessaires à cette fin ou dès le retrait du consentement	§ 13, alinéa 1, GenDG
Allemagne, résultats médicaux	conservation pendant dix ans, puis destruction ; s’applique par analogie au laboratoire mandaté	§ 12 GenDG
Suisse, toutes les analyses	échantillons et données génétiques uniquement aussi longtemps que l’exigent la réalisation de l’analyse, y compris l’assurance qualité, une utilisation à une autre fin ou des prescriptions cantonales	art. 11, al. 1, LAGH
Suisse, autres analyses	destruction au plus tard deux ans après la réalisation de l’analyse, à moins que la personne ait consenti à une autre utilisation ou ne se soit pas opposée à une anonymisation	art. 11, al. 2, LAGH
Fin de la sous-traitance	Le laboratoire supprime ou renvoie toutes les données à caractère personnel – selon le choix du responsable du traitement, sauf si leur conservation est exigée par la loi	art. 28, par. 3, point g, du RGPD

Lorsqu’aucune loi spécifique ne fixe de délai, vous le fixez vous-même – en le justifiant par la finalité – et l’inscrivez dans les informations sur la protection des données et dans le contrat. Pensez aux deux : l’échantillon au laboratoire et les données sur la plateforme.

Recherche et développement de produits : uniquement avec un consentement distinct

Les données génétiques de nombreuses personnes sont précieuses pour la recherche et le développement de produits. C’est précisément pourquoi toute utilisation dépassant la finalité initiale nécessite une base solide qui lui est propre :

RGPD : le traitement ultérieur à des fins de recherche scientifique n’est pas considéré comme incompatible avec la finalité initiale (art. 5, par. 1, point b), mais il nécessite des garanties appropriées, comme la minimisation des données et, dans la mesure du possible, la pseudonymisation (art. 89, par. 1). Pour les données génétiques, l’art. 9 continue de s’appliquer : consentement explicite (par. 2, point a) ou base dans le droit de l’Union ou d’un État membre (par. 2, point j) – en Allemagne, par exemple, le § 27 de la loi fédérale sur la protection des données (BDSG), avec une mise en balance des intérêts.
Consentement à des domaines de recherche : comme les finalités de recherche ne peuvent souvent pas être entièrement déterminées au moment de la collecte, les personnes concernées devraient pouvoir donner leur consentement en ce qui concerne certains domaines de la recherche scientifique, dans le respect des normes éthiques reconnues (considérant 33).
Allemagne, domaine médical : un échantillon génétique ne peut être utilisé à d’autres fins que si une loi le permet ou si la personne a donné son consentement exprès et écrit après avoir été informée (§ 13, alinéa 2, GenDG).
Autriche : les analyses génétiques à des fins scientifiques ne peuvent être réalisées que sur des échantillons dépersonnalisés (§ 66, alinéa 1, GTG).
Suisse : sous forme codée ou non codée, les échantillons et les données génétiques ne peuvent être utilisés à une autre fin qu’avec un consentement libre et exprès, donné après une information suffisante ; sous forme anonymisée, si la personne en a été informée préalablement et ne s’est pas opposée à leur anonymisation (art. 12 LAGH).

Pour votre marque, cela signifie : faites du consentement à la recherche une décision distincte et volontaire – séparée de la commande et révocable à tout moment. Le fonctionnement des études avec un laboratoire de génotypage est présenté dans Génotypage pour la recherche et les études.

Suisse : la LPD et la LAGH au lieu du RGPD

Pour les clients en Suisse, ce n’est pas le RGPD qui s’applique, mais la loi fédérale sur la protection des données (LPD, en allemand DSG), à laquelle l’art. 10, al. 2, LAGH renvoie expressément pour les données génétiques. Vous connaissez les idées fondamentales grâce au RGPD ; les détails diffèrent :

Données sensibles : les données génétiques sont des données personnelles sensibles (art. 5, let. c, ch. 3, LPD) ; lorsque le consentement est requis, il doit être exprès (art. 6, al. 7).
Sous-traitant : le sous-traitant ne peut effectuer que les traitements que vous seriez vous-même en droit d’effectuer ; vous vous assurez qu’il est en mesure de garantir la sécurité des données, et il ne peut sous-traiter un traitement à un tiers qu’avec votre autorisation préalable (art. 9 LPD).
Laboratoire en Autriche : des données personnelles peuvent être communiquées à des États dont le Conseil fédéral a constaté qu’ils assurent un niveau de protection adéquat (art. 16, al. 1, LPD) ; l’Autriche et l’Allemagne figurent à l’annexe 1 de l’ordonnance sur la protection des données (OPDo, en allemand DSV). Vous communiquez à la personne concernée le nom de l’État concerné (art. 19, al. 4, LPD).
En plus, au titre de la LAGH : l’information écrite mentionne le laboratoire, les éventuels entreprises et laboratoires à l’étranger qui participent à l’analyse et les coordonnées de la personne responsable du traitement des données (art. 32 LAGH). Quiconque traite des données génétiques limite le traitement aux personnes qui ont besoin des données pour accomplir leurs tâches, enregistre les processus de traitement permettant de garantir la traçabilité et transmet les données de manière sécurisée (art. 3, al. 2, OAGH).
Analyse d’impact : en cas de traitement de données sensibles à grande échelle, le responsable du traitement procède au préalable à une analyse d’impact relative à la protection des données personnelles (art. 22 LPD).

Checklist : la protection des données pour votre marque de tests génétiques

Les rôles de la marque, du laboratoire et, le cas échéant, du médecin sont clarifiés par écrit – avec un contrat de sous-traitance (art. 28) ou un accord au sens de l’art. 26.
Le consentement est explicite, lié à des finalités spécifiques et démontrable ; la preuve du consentement et tout retrait parviennent au laboratoire.
Les informations sur la protection des données indiquent les responsables du traitement, les finalités, les destinataires ou catégories de destinataires et la durée de conservation (art. 13) ; en Suisse, également le laboratoire et l’État (art. 32 LAGH, art. 19 LPD).
Votre marque ne voit que ce dont elle a besoin pour sa finalité ; les employeurs et les assureurs ne reçoivent aucun résultat génétique.
Les échantillons et les données sont soumis à des délais fixes de conservation et de destruction ; la fin du contrat est réglée (art. 28, par. 3, point g).
La recherche ou le développement de produits avec des données clients uniquement avec un consentement distinct et volontaire.
En cas de traitement de données génétiques à grande échelle : une analyse d’impact relative à la protection des données (art. 35, par. 3, point b, du RGPD, art. 22 LPD).

Comment nous procédons chez Novogenia

Comment nous traitons les données génétiques chez Novogenia :

Analyse en Autriche : nous analysons les échantillons dans notre propre laboratoire à Eugendorf, près de Salzbourg (Autriche) – dans le cadre du droit européen de la protection des données.
Des responsabilités claires : qui est responsable de quel traitement de données personnelles et génétiques est précisé dans nos informations sur la protection des données relatives à l’analyse génétique.
Des principes fermes : accès à ses propres données, limitation des finalités, utilisation à d’autres fins uniquement avec un consentement exprès et écrit, et suppression des données génétiques en cas d’insolvabilité.
Vous décidez de ce que vous voyez : en tant que partenaire, vous choisissez si vous consultez ou non les rapports de vos clients. Les rapports sont remis sous forme numérique via un portail sécurisé et imprimés sur demande.
Employeurs et assureurs restent à l’écart : pour les analyses lifestyle, l’employeur n’a aucun accès aux résultats génétiques ; les analyses médicales ne sont proposées qu’avec un médecin du travail, et seul ce médecin voit les résultats. Dans le modèle assureur, l’assuré reçoit les résultats et l’assureur uniquement la facture.

Questions fréquentes

Est-ce ma marque ou le laboratoire qui est responsable du traitement ?

Cela dépend de qui décide réellement des finalités et des moyens du traitement (art. 4, points 7 et 8, du RGPD). Si votre marque détermine ce qu’il advient des données et que le laboratoire agit uniquement sur vos instructions, le laboratoire est sous-traitant. Si vous décidez ensemble, vous êtes responsables conjoints du traitement (art. 26). Dans ses lignes directrices 07/2020, le comité européen de la protection des données souligne que ce sont les activités réelles qui comptent, et non l’intitulé du contrat.

Que doit contenir le contrat de sous-traitance avec le laboratoire ?

L’objet et la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes concernées ainsi que les obligations et les droits du responsable du traitement (art. 28, par. 3, du RGPD). Il prévoit en outre, entre autres : un traitement uniquement sur instruction documentée, la confidentialité, les mesures de sécurité au sens de l’art. 32, les règles applicables aux autres sous-traitants, et la suppression ou le renvoi des données au terme de la prestation. En Suisse, l’art. 9 LPD régit le traitement par un sous-traitant.

Combien de temps les échantillons et les données génétiques peuvent-ils être conservés ?

Uniquement aussi longtemps que la finalité l’exige (art. 5, par. 1, point e, du RGPD). Pour les examens médicaux en Allemagne, les échantillons doivent être détruits sans délai dès qu’ils ne sont plus nécessaires (§ 13 GenDG), et les résultats sont conservés pendant dix ans, puis détruits (§ 12 GenDG). En Suisse, les échantillons et les données issus d’autres analyses doivent être détruits au plus tard deux ans après la réalisation de l’analyse, à moins que la personne ait consenti à une autre utilisation ou ne se soit pas opposée à une anonymisation (art. 11, al. 2, LAGH).

Puis-je utiliser les données génétiques de mes clients pour la recherche ou de nouveaux produits ?

Uniquement sur une base juridique distincte – pour les tests génétiques grand public, en général un consentement explicite distinct (art. 9, par. 2, point a, du RGPD). En Allemagne, le § 13, alinéa 2, GenDG exige un consentement exprès et écrit pour les échantillons médicaux ; en Suisse, l’art. 12 LAGH exige un consentement libre et exprès. En Autriche, les analyses génétiques à des fins scientifiques ne peuvent être réalisées que sur des échantillons dépersonnalisés (§ 66 GTG).

Les données génétiques provenant de Suisse peuvent-elles être traitées dans un laboratoire autrichien ?

Oui. L’Autriche figure à l’annexe 1 de l’ordonnance suisse sur la protection des données parmi les États assurant un niveau de protection adéquat (art. 16, al. 1, LPD). Vous indiquez à votre client l’État concerné (art. 19, al. 4, LPD) et le laboratoire (art. 32 LAGH), et l’analyse à l’étranger requiert son accord écrit (art. 29 et 36 LAGH).

Vous envisagez votre propre marque de tests génétiques ?

Parlez-nous de votre public cible et du portefeuille souhaité – nous vous montrerons à quoi pourrait ressembler votre lancement.

Soumettre votre projet →Analyses génétiques en marque blanche

Remarque : Ce guide fournit des informations générales destinées aux entreprises et aux professionnels et ne remplace pas un avis médical ou juridique. Les caractéristiques génétiques déterminées dans une analyse génétique sont bien documentées (chaque gène inclus est étayé par au moins trois études indépendantes) ; les recommandations qui en découlent sont des conclusions logiques, non prouvées scientifiquement. La réglementation peut évoluer ; sous réserve d’erreurs et de modifications.