Protezione dei dati nello shop: gestire correttamente i dati sanitari e genetici

Revisionato da Dr. Daniel Wallerstorfer, biologo molecolare e fondatore di Novogenia · Aggiornato: 15 ottobre 2026 · Tempo di lettura: 11 min

In breve

I dati genetici e i dati relativi alla salute sono categorie particolari di dati personali; il loro trattamento è in linea di principio vietato, a meno che il tuo cliente non presti il proprio consenso esplicito per finalità specifiche (art. 9, par. 1 e par. 2, lett. a), GDPR). Anche i dati degli ordini possono essere dati relativi alla salute, se consentono di trarre conclusioni sullo stato di salute di una persona (CGUE, C-21/23). Tieni quindi i dati dello shop, come ordini e pagamenti, separati da questionari, analisi e report, fornisci ai fornitori di servizi solo ciò di cui hanno bisogno e non usare mai informazioni sulla salute per profili pubblicitari. Per i clienti in Svizzera si applica la legge federale svizzera sulla protezione dei dati (DSG): i dati genetici e i dati sulla salute sono dati personali degni di particolare protezione, e l’eventuale consenso richiesto deve essere esplicito (art. 5 lett. c e art. 6 cpv. 7 DSG).

Due cassetti: che cosa può rivelare un ordine

Un nome, un indirizzo di consegna, un prodotto nel carrello – sembra innocuo. Nel 2024 la Corte di giustizia dell’Unione europea l’ha vista diversamente. Un farmacista vendeva tramite una piattaforma online medicinali venduti solo in farmacia ma non soggetti a prescrizione. Le informazioni che i clienti dovevano inserire al momento dell’ordine – come nome, indirizzo di consegna ed elementi necessari per l’individualizzazione dei medicinali – sono dati relativi alla salute, ha stabilito la Corte (sentenza del 4 ottobre 2024, C-21/23). Nella stessa sentenza, la Corte ha chiarito che il GDPR non osta a norme nazionali che consentono ai concorrenti di far valere dinanzi ai giudici civili le violazioni della protezione dei dati come pratiche commerciali sleali. La protezione dei dati è anche una questione di concorrenza.

Per uno shop che vende analisi genetiche e prodotti personalizzati, il quadro è chiaro: immagina due cassetti. Uno contiene ciò che serve a ogni shop – ordine, indirizzo, pagamento, spedizione. L’altro è chiuso a chiave: questionario, informazioni sulla salute, dati genetici, report. Gli shop ben organizzati tengono separati i due cassetti e aprono il secondo solo quando è davvero necessario. Ecco come. Le basi per i professionisti sono in Dati genetici e GDPR, i ruoli di marchio e laboratorio in Protezione dei dati nei test genetici white label. Questo articolo è un orientamento, non una consulenza legale per il tuo caso specifico.

Quali dati tocca il tuo shop

Il regolamento generale sulla protezione dei dati (GDPR) distingue due mondi. I dati genetici sono dati relativi alle caratteristiche genetiche ereditarie o acquisite di una persona che forniscono informazioni univoche sulla sua fisiologia o sulla sua salute (art. 4, punto 13). I dati relativi alla salute riguardano la salute fisica o mentale e rivelano informazioni sullo stato di salute di una persona (art. 4, punto 15). Entrambi sono categorie particolari, il cui trattamento è in linea di principio vietato (art. 9, par. 1).

Cassetto	Esempi	Che cosa si applica
Dati di ordine e contratto	nome, indirizzo, pagamento, storico degli ordini, stato della spedizione	trattamento per l’esecuzione del contratto (art. 6, par. 1, lett. b)); attenzione se l’ordine stesso consente conclusioni sulla salute
Questionario e informazioni sulla salute	obiettivi, disturbi, valori ematici, dati sullo stile di vita	tutto ciò che rivela lo stato di salute: consenso esplicito (art. 9, par. 2, lett. a))
Dati genetici e report	risultati dell’analisi, report nel portale	consenso esplicito; idealmente non conservati nel sistema dello shop
Marketing e tracking	cookie, newsletter, pixel pubblicitari	consenso per i cookie non essenziali (Germania: § 25 TDDDG; Austria: § 165, comma 3, TKG 2021); nessun dato sulla salute nei profili pubblicitari

Consenso esplicito: un passaggio a sé nel checkout

Per i test genetici per consumatori, il consenso esplicito per una o più finalità specifiche è la base giuridica centrale (art. 9, par. 2, lett. a), GDPR). Perché regga, inseriscilo nel checkout come passaggio a sé – non come clausola nascosta nelle tue condizioni generali:

Chiaro e specifico: quali dati, per quale finalità, chi li tratta – e se tu come partner vedi i report.
Attivo: una casella preselezionata non costituisce consenso (considerando 32).
Dimostrabile: devi essere in grado di dimostrare che il tuo cliente ha prestato il consenso (art. 7, par. 1).
Revocabile: revocare il consenso deve essere facile quanto prestarlo, e il tuo cliente ne viene informato prima (art. 7, par. 3).
Al momento giusto: il consenso va prima del campione, non dopo. Come funzionano tecnicamente registrazione e consenso lo definisci insieme a Novogenia.

Gli Stati membri possono introdurre ulteriori condizioni per i dati genetici e relativi alla salute (art. 9, par. 4). Quali si applicano in Germania, Austria e Svizzera lo spiega Protezione dei dati nei test genetici white label.

Tieni separati i dati dello shop e i dati genetici

I dati devono essere limitati a quanto necessario rispetto alle finalità (art. 5, par. 1, lett. c), GDPR), e per impostazione predefinita possono essere trattati solo i dati necessari per ogni specifica finalità (art. 25, par. 2). In pratica, per il tuo shop significa:

Lo shop conosce l’ordine, non il risultato: servizio clienti e spedizione hanno bisogno dello stato dell’ordine e dei dati di spedizione. Risultati genetici e report restano nel portale sicuro.
Nessun questionario nel CRM: le informazioni sulla salute non vanno nel tuo strumento di newsletter, nel sistema di ticket o in fogli di calcolo che metà del team può aprire.
Accesso per ruoli: solo chi ha bisogno di un’informazione per il proprio compito può vederla.
Nessun report come allegato e-mail: proteggi i report con misure tecniche e organizzative adeguate (art. 32); un portale sicuro è fatto apposta.
Scegli consapevolmente che cosa vedere: da Novogenia sei tu come partner a decidere se vedere i report dei tuoi clienti. Se non ti servono, il tuo secondo cassetto resta vuoto – e il tuo rischio resta basso.

I tuoi fornitori di servizi: responsabili del trattamento con contratto

Uno shop online raramente funziona da solo: software dello shop, fornitore di pagamenti, corriere, strumento di e-mail, chat di assistenza clienti. Chiunque tratti dati per tuo conto deve presentare garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate (art. 28, par. 1, GDPR), e con ciascuno di loro stipuli un accordo sul trattamento dei dati (art. 28, par. 3). Verifica dove i tuoi strumenti trattano i dati: i trasferimenti verso paesi al di fuori dell’UE sono ammessi solo alle condizioni del capo V (art. 44). E la tua informativa privacy indica i destinatari o le categorie di destinatari (art. 13, par. 1, lett. e)).

Quale ruolo hai nei confronti di Novogenia – titolare del trattamento, responsabile del trattamento o contitolare del trattamento (art. 4, punti 7 e 8, art. 26) – dipende dal modello. Chiariscilo per iscritto prima del lancio; le basi sono in Protezione dei dati nei test genetici white label.

Marketing senza profilo sanitario

Cookie e pixel pubblicitari richiedono il consenso dei visitatori, a meno che non siano strettamente necessari per il servizio richiesto dall’utente (Germania: § 25 TDDDG; Austria: § 165, comma 3, TKG 2021). Con i test genetici vale un secondo limite: le piattaforme online non possono presentare pubblicità basate sulla profilazione che utilizza categorie particolari di dati personali (art. 26, par. 3, del regolamento sui servizi digitali, regolamento (UE) 2022/2065).

Ne deriva una regola semplice per il tuo marketing: risultati genetici, risposte ai questionari e interessi legati alla salute non entrano in profili pubblicitari, liste di retargeting o caricamenti di pubblico – a meno che il tuo cliente non abbia acconsentito espressamente proprio a questo. Promuovi la tua offerta con ciò che mostra, non con ciò che sai delle singole persone. Che cosa puoi dire nella pubblicità lo spiega Il marketing dei prodotti personalizzati.

Valutazione d’impatto e responsabile della protezione dei dati

Due obblighi dipendono dalla scala. Per il trattamento su larga scala di categorie particolari di dati effettui in anticipo una valutazione d’impatto sulla protezione dei dati (art. 35, par. 3, lett. b), GDPR). Se le attività principali della tua azienda consistono in un trattamento di questo tipo, ti serve un responsabile della protezione dei dati (art. 37, par. 1, lett. c)). Se il tuo shop rientra in questi casi dipende anche da come lo imposti: quanto più saldamente il secondo cassetto resta chiuso, tanto meno dati di categorie particolari tratti tu stesso. Fallo valutare prima del lancio.

Svizzera: la DSG al posto del GDPR

Per i clienti in Svizzera si applica la legge federale sulla protezione dei dati (DSG; in italiano LPD). I suoi principi di base li conosci dal GDPR, ma i dettagli sono diversi:

Dati degni di particolare protezione: i dati concernenti la salute e i dati genetici sono dati personali degni di particolare protezione (art. 5 lett. c n. 2 e 3 DSG). Se è richiesto il consenso, per questi dati deve essere esplicito (art. 6 cpv. 7).
Informazione: come minimo comunichi l’identità e i dati di contatto del titolare del trattamento, la finalità e, se del caso, i destinatari; se i dati vanno all’estero, anche lo Stato (art. 19).
Valutazione d’impatto: il trattamento esteso di dati personali degni di particolare protezione comporta un rischio elevato, quindi effettui in anticipo una valutazione d’impatto sulla protezione dei dati (art. 22).
Rappresentante in Svizzera: i titolari del trattamento privati con sede all’estero designano un rappresentante in Svizzera se trattano dati in relazione all’offerta di beni o servizi in modo esteso e regolare e il trattamento comporta un rischio elevato (art. 14).
Cookie: la Svizzera non richiede un consenso preventivo, ma un’informazione sul trattamento e sul suo scopo e l’indicazione che gli utenti possono rifiutarlo (art. 45c della legge sulle telecomunicazioni, FMG).

Una differenza viene prima ancora della protezione dei dati: in Svizzera non vendi analisi genetiche lifestyle come test a domicilio (art. 13 GUMG). Che cosa significa per il tuo shop lo spiega Vendere test genetici online: DE, AT, CH.

Checklist: protezione dei dati nel tuo shop

Sai quali dati tratta il tuo shop – e quali di questi sono dati genetici o relativi alla salute.
Il consenso esplicito è un passaggio separato e attivo prima del campione, dimostrabile e facile da revocare.
I dati dello shop e i dati genetici sono tenuti separati; i report restano nel portale sicuro.
Le risposte ai questionari non finiscono in CRM, newsletter o strumenti pubblicitari.
Con tutti i fornitori di servizi sono stati stipulati accordi sul trattamento dei dati; i trasferimenti all’estero sono stati verificati.
I ruoli tra te e Novogenia sono stabiliti per iscritto.
Consenso ai cookie ai sensi del § 25 TDDDG o del § 165, comma 3, TKG 2021; per la Svizzera, informazione e possibilità di rifiuto ai sensi dell’art. 45c FMG.
Valutazione d’impatto e responsabile della protezione dei dati sono stati verificati – secondo il GDPR e, per la Svizzera, secondo la DSG.
La tua informativa privacy indica titolari, finalità, destinatari e periodo di conservazione.

Come lavoriamo da Novogenia

Come gestiamo da Novogenia i dati dello shop e dell’analisi:

Analisi in Austria: i campioni vengono analizzati nel nostro laboratorio di Eugendorf, vicino a Salisburgo.
Informativa privacy prima del campione: chi è responsabile di quale trattamento è stabilito nell’informativa privacy sull’analisi genetica, che il cliente riceve prima di inviare il campione.
Report nel portale: i report vengono forniti in formato digitale tramite un portale sicuro, stampati su richiesta.
Decidi tu che cosa vedi: come partner scegli se visualizzare i report dei tuoi clienti. In tal caso, deve essere chiaro fin dall’inizio e indicato nel consenso.
Richieste dei consumatori: con il consenso esplicito prestato nel modulo di contatto, inoltriamo le richieste dei consumatori a un’azienda partner adatta.

Domande frequenti

I dati degli ordini sono già dati relativi alla salute?

Possono esserlo. Nel 2024 la Corte di giustizia dell’Unione europea ha stabilito che le informazioni che i clienti inseriscono quando ordinano online medicinali venduti solo in farmacia – come nome, indirizzo di consegna ed elementi necessari per l’individualizzazione dei medicinali – sono dati relativi alla salute, anche senza prescrizione medica (C-21/23). In ogni caso, tratta i dati di questionari, analisi e report come categoria particolare ai sensi dell’art. 9 GDPR.

Basta una casella nelle mie condizioni generali per il consenso?

No. Il consenso al trattamento di dati genetici o relativi alla salute deve essere esplicito e prestato per finalità specifiche (art. 9, par. 2, lett. a), GDPR). Devi essere in grado di dimostrarlo (art. 7, par. 1), revocarlo deve essere facile quanto prestarlo (art. 7, par. 3), e una casella preselezionata non costituisce consenso (considerando 32).

Posso indirizzare pubblicità mirata ai clienti dei test genetici?

Non usare risultati genetici, risposte ai questionari o interessi legati alla salute per profili pubblicitari, retargeting o elenchi di pubblico, a meno che il tuo cliente non abbia acconsentito espressamente proprio a questo. Le piattaforme online, in ogni caso, non possono presentare pubblicità basate sulla profilazione che utilizza categorie particolari di dati personali (art. 26, par. 3, del regolamento (UE) 2022/2065).

Mi serve un responsabile della protezione dei dati?

Secondo il GDPR sì, se le attività principali della tua azienda consistono nel trattamento, su larga scala, di categorie particolari di dati (art. 37, par. 1, lett. c)). Il trattamento su larga scala di tali dati richiede inoltre una valutazione d’impatto sulla protezione dei dati preventiva (art. 35, par. 3, lett. b)). Meno dati genetici finiscono nel tuo shop, più questa domanda si ridimensiona – ma falla comunque verificare.

Che cosa vale per i clienti in Svizzera?

La legge federale svizzera sulla protezione dei dati (DSG): i dati genetici e sulla salute sono dati personali degni di particolare protezione (art. 5 lett. c), l’eventuale consenso richiesto deve essere esplicito (art. 6 cpv. 7) e informi le persone su titolare del trattamento, finalità, destinatari e, se del caso, Stato estero (art. 19). In determinate condizioni, i titolari del trattamento privati con sede all’estero necessitano di un rappresentante in Svizzera (art. 14). Per i cookie, l’art. 45c della legge sulle telecomunicazioni richiede un’informazione e la possibilità di rifiutare.

Approfondimenti: Protezione dei dati nei test genetici white label · Dati genetici e GDPR · Vendere test genetici online: DE, AT, CH

Prodotti personalizzati per il tuo shop?

Raccontaci del tuo marchio e dei tuoi canali – ti mostreremo quale modello fa per te.

Richiedi un progetto →Offerta per l’e-commerce

Nota: questa guida contiene informazioni di carattere generale per aziende e professionisti e non sostituisce una consulenza medica o legale. I tratti genetici determinati in un’analisi genetica sono ben documentati (ogni gene incluso è supportato da almeno tre studi indipendenti); le raccomandazioni che ne derivano sono conclusioni logiche, non scientificamente provate. Le normative possono cambiare; salvo errori e modifiche.