Home › Guida alla nutrigenetica › Dati genetici e GDPR

Dati genetici e GDPR: cosa devi sapere nella tua attività

Revisionato da Dr. Daniel Wallerstorfer, biologo molecolare e fondatore di Novogenia · Aggiornato: 12 ottobre 2026 · Tempo di lettura: 12 min

Una password che non puoi mai cambiare: perché i dati genetici sono speciali

Se ti rubano la password, la cambi. I tuoi geni non puoi cambiarli. Restano con te per tutta la vita – e rivelano qualcosa sui tuoi genitori, fratelli e figli. Per questo la normativa sulla protezione dei dati li tutela con tanta attenzione.

Il regolamento generale sulla protezione dei dati (GDPR) definisce dati genetici i dati personali relativi alle caratteristiche genetiche ereditarie o acquisite di una persona che forniscono informazioni univoche sulla sua fisiologia o sulla sua salute e che risultano in particolare dall’analisi di un campione biologico (art. 4, punto 13). Un campione di saliva per un’analisi nutrizionale vi rientra chiaramente – che l’analisi sia medica o no.

I dati genetici sono una categoria particolare di dati personali. Il loro trattamento è vietato (art. 9, par. 1), salvo che si applichi una delle eccezioni dell’art. 9, par. 2. Per un’analisi genetica nella consulenza nutrizionale, l’opzione principale è il consenso esplicito. Gli Stati membri possono inoltre introdurre ulteriori condizioni per i dati genetici (art. 9, par. 4) – per questo Germania e Austria hanno in parte regole proprie. La Svizzera ha una propria legge; ne parliamo più avanti.

Il consenso: una chiave che il tuo cliente può riprendersi in qualsiasi momento

Il consenso è la chiave che apre la porta al trattamento. Per i dati genetici deve essere esplicito e riferirsi a una o più finalità specifiche (art. 9, par. 2, lett. a). E il tuo cliente può riprendersi la chiave in qualsiasi momento. Cosa conta:

• Esplicito: una dichiarazione chiara e a sé stante. Secondo le Linee guida 05/2020 del Comitato europeo per la protezione dei dati, una dichiarazione scritta e firmata è una via ovvia; online la persona può anche compilare un modulo elettronico, inviare un’e-mail, caricare un documento firmato o usare una firma elettronica. Una casella preselezionata non costituisce consenso (considerando 32).
• Dimostrabile: devi essere in grado di dimostrare che la persona ha prestato il consenso (art. 7, par. 1).
• Revocabile: la persona può revocare il consenso in qualsiasi momento, revocarlo deve essere facile quanto prestarlo, e glielo comunichi in anticipo (art. 7, par. 3).
• Vincolato alla finalità: i dati non possono essere ulteriormente trattati in modo incompatibile con le finalità originarie (art. 5, par. 1, lett. b). Se si aggiunge una nuova finalità, secondo l’EDPB serve un nuovo consenso.

Le norme nazionali aggiungono altri requisiti. Per gli esami genetici a fini medici, la Germania richiede un consenso esplicito e scritto rilasciato al medico responsabile (§ 8 GenDG). In Svizzera ogni esame genetico richiede un consenso libero ed espresso dopo un’informazione adeguata (art. 5 GUMG). In Austria i dati derivanti da analisi genetiche ai sensi della GTG possono essere trasmessi a persone diverse da quelle elencate nella legge solo con il consenso espresso e scritto della persona esaminata (§ 71, comma 2, GTG).

Nessuna sorpresa: cosa devono sapere prima i tuoi clienti

La trasparenza è un obbligo, non una clausola scritta in piccolo. Quando raccogli i dati, nel momento della raccolta comunichi al tuo cliente, tra l’altro (art. 13 GDPR):

• chi è il titolare del trattamento, con i dati di contatto e, se del caso, i dati di contatto del responsabile della protezione dei dati,
• le finalità e la base giuridica del trattamento,
• i destinatari o le categorie di destinatari – come il laboratorio,
• se del caso, l’intenzione di trasferire i dati a un paese terzo,
• per quanto tempo i dati saranno conservati o i criteri utilizzati per determinarlo,
• i suoi diritti, compreso il diritto di revocare il consenso in qualsiasi momento e il diritto di proporre reclamo a un’autorità di controllo.

Le informazioni devono essere fornite in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (art. 12, par. 1). In Svizzera l’art. 32 GUMG aggiunge obblighi di informazione scritta per gli esami non medici, per esempio l’indicazione del laboratorio e di eventuali aziende e laboratori coinvolti all’estero.

Committente o impresa esecutrice? Chi ha quale ruolo tra consulente e laboratorio

In un’analisi genetica sono coinvolti almeno due attori: tu e il laboratorio. Il GDPR chiede: chi decide le finalità e i mezzi del trattamento? È il titolare del trattamento – come il committente di un cantiere, che decide che cosa costruire (art. 4, punto 7). Chi tratta dati per conto del titolare è il responsabile del trattamento – come l’impresa che costruisce secondo il progetto (art. 4, punto 8). Se due parti determinano congiuntamente finalità e mezzi, sono contitolari del trattamento (art. 26).

I ruoli derivano da ciò che accade effettivamente, non dal titolo del contratto: secondo le Linee guida 07/2020 dell’EDPB, i concetti sono funzionali e attribuiscono le responsabilità in base ai ruoli effettivi delle parti.

Consiglio pratico: concorda per iscritto con il tuo laboratorio chi ha quale ruolo e quale obbligo prima di inviare il primo campione – in particolare chi informa i tuoi clienti ai sensi dell’art. 13 e chi risponde alle richieste di accesso o di cancellazione.

Come lo zaino per un’escursione in montagna: porta solo ciò che serve

Prepara i tuoi dati come uno zaino per un’escursione in montagna: ciò che non ti serve resta a casa. Il GDPR lo chiama minimizzazione dei dati – i dati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alla finalità (art. 5, par. 1, lett. c). E possono essere conservati in una forma che consenta l’identificazione solo per il tempo necessario alla finalità (limitazione della conservazione, art. 5, par. 1, lett. e).

• Chiediti onestamente: ti serve il report completo – o bastano i risultati che discuti con il tuo cliente?
• Canali sicuri: proteggi i report con misure tecniche e organizzative adeguate (art. 32) – un portale sicuro è meglio di un allegato e-mail non protetto.
• Protezione dei dati fin dalla progettazione: integra i principi di protezione dei dati nei processi e nelle impostazioni predefinite, per esempio tramite la pseudonimizzazione (art. 25).
• Termine di cancellazione: decidi quando cancellare i documenti – e rispettalo.

Per alcuni casi la legge fissa dei termini. In Germania il medico responsabile conserva i risultati degli esami genetici a fini medici per dieci anni e poi li distrugge (§ 12 GenDG). In Svizzera campioni e dati di altri esami ai sensi dell’art. 31 cpv. 2 GUMG devono essere distrutti al più tardi due anni dopo l’esame, a meno che la persona non abbia acconsentito a un altro utilizzo o non si sia opposta all’anonimizzazione (art. 11 cpv. 2 GUMG).

I diritti dei tuoi clienti

I tuoi clienti mantengono il controllo. I loro diritti principali previsti dal GDPR:

• Accesso ai dati trattati (art. 15) e rettifica dei dati inesatti (art. 16)
• Cancellazione, per esempio dopo la revoca del consenso, se non sussiste altro fondamento giuridico (art. 17)
• Limitazione del trattamento (art. 18) e portabilità dei dati (art. 20)
• Revoca del consenso in qualsiasi momento (art. 7, par. 3)

Rispondi alle richieste senza ingiustificato ritardo e comunque entro un mese; nei casi complessi il termine può essere prorogato di due mesi (art. 12, par. 3). A ciò si aggiunge un diritto che esiste solo nel diritto genetico: il diritto di non sapere. In Svizzera ogni persona ha il diritto di rifiutare, in tutto o in parte, di prendere conoscenza di informazioni sul proprio patrimonio genetico (art. 8 GUMG). In Germania fa parte dell’informazione prevista per gli esami a fini medici (§ 9, comma 2, n. 5, GenDG); in Austria fa parte della consulenza per le analisi dei tipi da 2 a 4 (§ 69, comma 5, GTG).

Programmi di salute aziendale: il datore di lavoro resta fuori

Se offri analisi genetiche nelle aziende, ti serve un muro solido tra i risultati e il datore di lavoro. In tutti e tre i paesi è la legge a costruire questo muro:

• Germania: il datore di lavoro non può né obbligare i dipendenti a sottoporsi a esami o analisi genetici né pretendere la comunicazione dei risultati, riceverli o utilizzarli (§ 19 GenDG).
• Austria: ai datori di lavoro è vietato raccogliere, richiedere, accettare o utilizzare in altro modo i risultati di analisi genetiche di dipendenti o candidati (§ 67, comma 1, GTG).
• Svizzera: i datori di lavoro non possono né esigere esami genetici non medici né chiedere dati genetici non rilevanti dal punto di vista medico, né utilizzare tali dati (art. 37 GUMG).

Struttura quindi un’offerta di questo tipo in modo che la partecipazione resti volontaria, i risultati vadano solo al dipendente e il datore di lavoro non riceva risultati individuali. Il consenso deve essere libero (art. 4, punto 11, GDPR) – in ambito lavorativo presta molta attenzione a questo aspetto.

Svizzera: la LPD al posto del GDPR

La Svizzera non è membro dell’UE. Per il trattamento dei dati genetici, l’art. 10 cpv. 2 GUMG rinvia al diritto federale e cantonale in materia di protezione dei dati. Per i privati – quindi anche per te come consulente – si tratta della legge federale sulla protezione dei dati (LPD; in tedesco DSG) riveduta, in vigore dal 1° settembre 2023 (art. 2 cpv. 1 lett. a LPD). I principi di fondo corrispondono al GDPR; i dettagli differiscono:

• Dati degni di particolare protezione: i dati genetici sono dati personali degni di particolare protezione (art. 5 lett. c n. 3 LPD).
• Consenso esplicito: se è richiesto il consenso, per i dati personali degni di particolare protezione deve essere espresso in modo esplicito (art. 6 cpv. 7) – liberamente, per uno o più trattamenti specifici e dopo debita informazione (art. 6 cpv. 6). Per l’esame in sé, l’art. 5 GUMG richiede comunque un consenso libero ed espresso.
• Dati all’estero: i dati possono essere comunicati a Stati per i quali il Consiglio federale ha constatato una protezione adeguata dei dati (art. 16 cpv. 1 LPD). L’elenco figura nell’allegato 1 dell’ordinanza sulla protezione dei dati (OPDa; in tedesco DSV); vi figurano tutti gli Stati dell’UE, comprese l’Austria e la Germania. Per gli altri Stati servono garanzie adeguate (art. 16 cpv. 2) o un’eccezione, come l’espresso consenso della persona interessata (art. 17 cpv. 1 lett. a).
• Trasparenza: se i dati vengono comunicati all’estero, informi la persona interessata anche sullo Stato destinatario (art. 19 cpv. 4 LPD).
• Valutazione d’impatto: se un trattamento può comportare un rischio elevato, il titolare del trattamento effettua preventivamente una valutazione d’impatto sulla protezione dei dati – in particolare in caso di trattamento su grande scala di dati personali degni di particolare protezione (art. 22 cpv. 1 e 2 LPD).

Checklist: la protezione dei dati nella tua attività

• Ruoli chiariti per iscritto con il laboratorio – con un accordo sul trattamento dei dati (art. 28) o, se necessario, un accordo di contitolarità (art. 26).
• Consenso esplicito per finalità specifiche raccolto e documentato (art. 9, par. 2, lett. a, e art. 7, par. 1).
• Informativa privacy completa e comprensibile ai sensi dell’art. 13 fornita.
• Registro delle attività di trattamento tenuto – l’esenzione per le organizzazioni con meno di 250 dipendenti non si applica se tratti categorie particolari di dati (art. 30, par. 5).
• Report solo tramite canali sicuri, accesso solo per chi ne ha bisogno (art. 32).
• Termini di cancellazione fissati e rispettati (art. 5, par. 1, lett. e).
• Piano per le violazioni dei dati: notifica all’autorità di controllo, ove possibile, entro 72 ore (art. 33).
• Per trattamenti su larga scala di dati genetici: una valutazione d’impatto sulla protezione dei dati (art. 35, par. 3, lett. b) e, se si tratta della tua attività principale, un responsabile della protezione dei dati (art. 37, par. 1, lett. c).

Domande frequenti

Approfondimenti: Chi può offrire test genetici? · Spiegare un report genetico in modo chiaro · Modelli partner e white label

Nota: questa guida contiene informazioni di carattere generale per professionisti e non sostituisce una consulenza medica o legale. I tratti genetici determinati in un’analisi genetica sono ben documentati (ogni gene incluso è supportato da almeno tre studi indipendenti); le raccomandazioni su alimentazione, micronutrienti e stile di vita che ne derivano sono deduzioni logiche, non scientificamente provate. Le normative possono cambiare; salvo errori e modifiche.