Home › Guida alla salute aziendale › Protezione dei dati e riservatezza

Guida alla salute aziendale

Protezione dei dati e riservatezza: i risultati restano alla persona

Revisionato da Dr. Daniel Wallerstorfer, biologo molecolare e fondatore di Novogenia · Aggiornato: 15 ottobre 2026 · Tempo di lettura: 10 min

In breve

Ai sensi del GDPR i dati genetici rientrano nelle categorie particolari di dati personali (art. 9); in Svizzera sono dati personali degni di particolare protezione (art. 5 LPD). Nel rapporto di lavoro, il consenso dato al datore di lavoro è raramente davvero libero – per questo il Comitato europeo per la protezione dei dati lo ritiene problematico. La soluzione più pulita: l’azienda non tratta alcun dato genetico. I dipendenti danno il consenso direttamente al laboratorio o al partner, il report va solo a loro e l’azienda non riceve né risultati individuali né report aggregati. Se il § 26 BDSG regga dopo la sentenza della CGUE del 2023 è una questione aperta – un programma costruito in questo modo non ne ha bisogno per i dati genetici.

Come una cabina elettorale – solo più rigorosa

I dati genetici non sono dati qualsiasi. Il GDPR li descrive come dati relativi alle caratteristiche genetiche ereditarie o acquisite di una persona che forniscono informazioni univoche sulla sua fisiologia o sulla sua salute (art. 4, punto 13, GDPR). Chi conosce i tuoi geni sa qualcosa che porti con te per tutta la vita. Per questo il loro trattamento è vietato in linea di principio – salvo che si applichi un’eccezione (art. 9, parr. 1 e 2).

Un buon programma aziendale funziona quindi come un’elezione. L’azienda mette a disposizione il seggio: la sala, l’orario, l’invito. Nessuno guarda nella cabina. E, a differenza di un’elezione, alla fine per l’azienda non c’è nemmeno un risultato complessivo – i risultati restano alle persone a cui appartengono.

Qui trovi il ragionamento giuridico alla base e le questioni che restano aperte – a complemento della panoramica in Programmi di salute aziendale con analisi genetiche.

Chi vede cosa: i flussi di dati di un programma

Prima di parlare di norme giuridiche, mappa i flussi di dati. Per un’analisi lifestyle, un programma pulito si presenta così:

Dati	Dove vanno	Cosa vede l’azienda
Registrazione e consenso	dal dipendente direttamente al laboratorio o al partner	Nulla
Campione di saliva	direttamente al laboratorio, mai tramite l’azienda	Nulla
Dati genetici e report	dal laboratorio solo alla persona, in formato digitale tramite un portale sicuro	Nulla
Integratori personalizzati (facoltativi)	formula, report e consegna vanno direttamente alla persona	Nulla
Fattura	all’azienda	La fattura – nessun risultato
Feedback sul programma	anonimo, all’azienda o al suo partner per la salute aziendale	Soddisfazione e suggerimenti, mai contenuti genetici

Due punti meritano particolare attenzione. Una formula di integratori personalizzati rivela qualcosa sui geni della persona che la riceve. Quindi, anche se l’azienda la paga, dovrebbe arrivare direttamente alla persona. E la fatturazione: strutturala in modo che l’azienda sappia il meno possibile su chi ha partecipato individualmente. Non è un dettaglio – chi sa chi ha aderito sa anche chi non l’ha fatto.

L’eccezione più ovvia per i dati genetici è il consenso esplicito per finalità specifiche (art. 9, par. 2, lett. a), GDPR). Può essere revocato in qualsiasi momento, e revocarlo deve essere facile quanto darlo (art. 7, par. 3). Il vero problema sul lavoro è un altro: la libertà del consenso.

In presenza di un evidente squilibrio tra le parti, il consenso non costituisce un valido fondamento giuridico se ciò rende improbabile che sia stato espresso liberamente (considerando 43). Il Comitato europeo per la protezione dei dati è esplicito nelle sue Linee guida 05/2020: a causa della dipendenza nel rapporto di lavoro, è improbabile che i dipendenti possano rifiutare la richiesta del datore di lavoro senza temere conseguenze negative. Possono dare un consenso libero solo in circostanze eccezionali – quando dare o non dare il consenso non comporta alcuna conseguenza negativa (punti 21–22).

Ne derivano due regole:

Il consenso va all’indirizzo giusto: al laboratorio o al partner che tratta i dati – non all’azienda. Per le analisi mediche in Germania, la persona dà il proprio consenso esplicito e scritto al medico responsabile (§ 8, comma 1, GenDG).
Il contesto rende facile dire “no”: nessun elenco dei partecipanti presso i responsabili, nessun sollecito da parte dei superiori, nessun vantaggio riservato ai partecipanti. Come invitare senza creare pressione lo mostra Comunicazione interna: partecipazione senza pressioni.

Protezione dei dati dei dipendenti: cosa ha cambiato la sentenza della CGUE del 2023

Per i dati dei dipendenti, l’art. 88 GDPR consente agli Stati membri di adottare norme più specifiche. Queste devono includere misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali, in particolare per quanto riguarda la trasparenza (par. 2). A tal fine la Germania ha introdotto il § 26 della legge federale tedesca sulla protezione dei dati (BDSG). Tra l’altro, prevede che nel valutare il consenso si debba tenere conto della dipendenza insita nel rapporto di lavoro, che il consenso debba essere dato per iscritto o in forma elettronica e che il datore di lavoro informi i dipendenti in forma testuale sulla finalità e sul loro diritto di revoca (comma 2). Per le categorie particolari come i dati genetici, il consenso deve riferirsi espressamente a tali dati (comma 3).

Il 30 marzo 2023 la Corte di giustizia dell’Unione europea ha emesso in materia una sentenza fondamentale (causa C-34/21). Una disposizione nazionale è una “norma più specifica” solo se soddisfa i requisiti dell’art. 88, par. 2; altrimenti deve essere disapplicata, a meno che non costituisca una base giuridica autonoma ai sensi dell’art. 6, par. 3, GDPR. Il caso riguardava insegnanti del Land tedesco dell’Assia e una disposizione regionale strutturata in modo molto simile al § 26, comma 1, BDSG. La Corte ha indicato che una norma che si limita a ribadire che il trattamento deve essere necessario non aggiunge una norma più specifica. Non si è pronunciata sul § 26 BDSG in quanto tale; la disposizione resta invariata nel testo di legge.

Cosa significa per il tuo programma? Meno di quanto si possa pensare – se lo costruisci correttamente. Ai sensi del § 19 GenDG, l’azienda non può in ogni caso ricevere risultati genetici. Se non tratta dati genetici, non ha bisogno di una base giuridica per farlo. I requisiti del § 26, comma 2, restano comunque un buon parametro di riferimento per ogni consenso nel programma: per iscritto o in forma elettronica, con una finalità chiara e un’indicazione sul diritto di revoca.

Anonimo non significa sempre anonimo

“Vogliamo solo vedere le statistiche.” Il desiderio è comprensibile. Il GDPR pone qui un’asticella alta: per stabilire se una persona è identificabile occorre considerare tutti i mezzi di cui si può ragionevolmente fare uso per identificarla direttamente o indirettamente – come l’individuazione. I dati pseudonimizzati restano dati personali; solo le informazioni davvero anonime escono dall’ambito della normativa sulla protezione dei dati (considerando 26).

In un piccolo reparto le statistiche possono essere ricondotte rapidamente a singole persone. Per questo da Novogenia vale la regola: il datore di lavoro non riceve risultati individuali e nemmeno report aggregati. Il programma viene valutato tramite partecipazione, soddisfazione e feedback anonimi – mai tramite i risultati genetici. Come trasformarlo in indicatori significativi lo mostra Misurare benefici ed effetti. Anche i dati sulla partecipazione dovrebbero essere comunicati solo per unità più grandi, non per singoli team piccoli.

Svizzera: la legge sulla protezione dei dati e il Codice delle obbligazioni

In Svizzera, al posto del GDPR si applica la legge federale sulla protezione dei dati (LPD; in tedesco DSG), e il rapporto di lavoro è disciplinato dal Codice delle obbligazioni. La logica è simile; i dettagli differiscono:

Dati degni di particolare protezione: i dati genetici sono dati personali degni di particolare protezione (art. 5 lett. c n. 3 LPD).
Consenso: è valido solo se espresso liberamente, dopo debita informazione, per uno o più trattamenti determinati; per i dati degni di particolare protezione deve essere esplicito (art. 6 cpv. 6 e 7 LPD).
Non più del necessario: i dati personali sono distrutti o resi anonimi non appena non sono più necessari per lo scopo del trattamento (art. 6 cpv. 4 LPD).
Un limite stretto per i datori di lavoro: possono trattare dati sui dipendenti solo nella misura in cui riguardano la loro idoneità o sono necessari per il contratto di lavoro (art. 328b del Codice delle obbligazioni, OR; in italiano CO). I risultati genetici non hanno posto presso il datore di lavoro.
Informazione ed esame all’estero: per le analisi lifestyle, l’informazione scritta riguarda, tra l’altro, il laboratorio ed eventuali aziende e laboratori coinvolti all’estero (art. 32 GUMG). L’esecuzione dell’esame all’estero richiede, tra l’altro, il consenso scritto della persona (art. 36 in combinato disposto con l’art. 29 GUMG).

Ruoli, contratti e valutazione d’impatto

Un programma coinvolge più parti: l’azienda, spesso un partner per la salute aziendale, il laboratorio e, per le analisi mediche, i medici. Chi determina le finalità e i mezzi del trattamento è il titolare del trattamento; chi tratta dati per conto di altri, in qualità di responsabile del trattamento, necessita di un contratto ai sensi dell’art. 28 GDPR. Definisci i ruoli prima che arrivi la prima registrazione – non dopo.

Chi tratta dati genetici su larga scala deve effettuare in anticipo una valutazione d’impatto sulla protezione dei dati (art. 35, par. 3, lett. b), GDPR; in Svizzera art. 22 LPD). In un programma costruito correttamente, questo compito spetta al laboratorio o al partner, non all’azienda. Ciò che alla fine conta per i dipendenti è un’informazione chiara: chi tratta quali dati, chi vede il report – e che l’azienda non lo vede mai. In Germania restano impregiudicati i diritti di partecipazione del consiglio aziendale (§ 26, comma 6, BDSG). Approfondimenti su ruoli e termini di cancellazione in Dati genetici e GDPR.

Checklist sulla protezione dei dati per il tuo programma

I flussi di dati sono mappati; l’azienda non tratta alcun dato genetico.
Il consenso va direttamente al laboratorio o al partner – esplicito, per finalità specifiche e revocabile in qualsiasi momento.
Chi non partecipa non subisce svantaggi di alcun tipo; i responsabili non tengono elenchi.
Report, formula degli integratori e consegna arrivano direttamente alla persona.
La fatturazione rivela all’azienda il meno possibile sui singoli partecipanti.
Nessun report genetico aggregato; dati sulla partecipazione solo per unità più grandi.
Ruoli e contratti sono definiti prima del primo flusso di dati; la valutazione d’impatto spetta alla parte competente.
In Svizzera: informazione scritta ai sensi dell’art. 32 GUMG e consenso scritto all’esecuzione dell’esame all’estero.
Il responsabile della protezione dei dati e il consiglio aziendale sono coinvolti per tempo.

Domande frequenti

Basta che l’azienda riceva solo statistiche anonime?

No, per due motivi. Primo, “anonimo” spesso non è anonimo: secondo il considerando 26 GDPR conta ogni mezzo di cui si può ragionevolmente fare uso per identificare una persona – e nei team piccoli succede in fretta. Secondo, da Novogenia il datore di lavoro non riceve nemmeno report aggregati. Valuta il programma tramite la partecipazione e feedback anonimi, mai tramite i risultati genetici.

Chi è il “titolare del trattamento” ai sensi del GDPR in un programma di questo tipo?

Dipende dall’impostazione – il laboratorio, il partner e, se coinvolti, i medici possono ricoprire ruoli diversi. Da Novogenia definiamo i ruoli insieme nel contratto prima del primo flusso di dati. L’obiettivo di ogni impostazione: l’azienda stessa non tratta alcun dato genetico.

Una dipendente può revocare il proprio consenso?

Sì, in qualsiasi momento – e revocare deve essere facile quanto dare il consenso (art. 7, par. 3, GDPR). Per le analisi mediche in Germania può revocare il consenso in qualsiasi momento, con effetto per il futuro, comunicandolo al medico responsabile (§ 8, comma 2, GenDG).

Il § 26 BDSG è ancora valido?

Resta invariato nel testo di legge. Nel 2023, tuttavia, la CGUE ha stabilito che le norme nazionali sulla protezione dei dati dei dipendenti costituiscono “norme più specifiche” ai sensi dell’art. 88 GDPR solo se rispettano il paragrafo 2 di tale articolo; altrimenti devono essere disapplicate (causa C-34/21). Se il § 26 BDSG soddisfi questo standard, la Corte non lo ha deciso direttamente. Per il tuo programma è una questione secondaria se l’azienda non tratta alcun dato genetico.

Cos’altro devono sapere i dipendenti in Svizzera?

Per le analisi lifestyle devono ricevere un’informazione scritta, tra l’altro, sul laboratorio che esegue l’esame e su eventuali aziende e laboratori coinvolti all’estero, con i recapiti di un professionista e della persona responsabile del trattamento dei dati (art. 32 GUMG). L’esecuzione dell’esame all’estero – il laboratorio di Novogenia si trova in Austria – richiede, tra l’altro, il loro consenso scritto (art. 36 in combinato disposto con l’art. 29 GUMG).

Approfondimenti: Dati genetici e GDPR · Protezione dei dati e ruoli tra laboratorio e produttore · Diritto: cosa possono e non possono fare i datori di lavoro

Un’offerta di salute per il tuo team?

Raccontaci della tua azienda – ti mostreremo come potrebbe essere un’offerta volontaria per i tuoi dipendenti.

Richiedi un progetto →La salute aziendale nella guida alla longevity

Nota: questa guida contiene informazioni di carattere generale per aziende e professionisti e non sostituisce una consulenza medica o legale. I tratti genetici determinati in un’analisi genetica sono ben documentati (ogni gene incluso è supportato da almeno tre studi indipendenti); le raccomandazioni che ne derivano sono deduzioni logiche, non scientificamente provate. Le normative possono cambiare; salvo errori e modifiche.