Home › Guida ai test genetici white label › Protezione dei dati

Guida ai test genetici white label

Protezione dei dati nei test genetici white label: ruoli, consenso, conservazione

Revisionato da Dr. Daniel Wallerstorfer, biologo molecolare e fondatore di Novogenia · Aggiornato: 13 ottobre 2026 · Tempo di lettura: 13 min

In breve

Ai sensi del GDPR i dati genetici sono una categoria particolare di dati personali (art. 9) – anche nelle analisi lifestyle. In un modello white label più soggetti trattano gli stessi dati: il tuo marchio, il laboratorio e, per le analisi mediche, i medici. Prima del lancio chiarisci chi è titolare, chi responsabile e chi contitolare del trattamento (artt. 4, 26 e 28), raccogli il consenso esplicito, fissa i termini di conservazione e distruzione di campioni e dati e utilizza i dati per la ricerca solo con un consenso separato. In Svizzera si applicano la LPD e la GUMG.

Una staffetta con il DNA: perché conta ogni passaggio del testimone

Che cosa succede ai dati genetici dei tuoi clienti se un’azienda diventa insolvente? Da Novogenia la risposta si trova nelle condizioni generali: tra i principi ripresi nell’informativa privacy sull’analisi genetica c’è la cancellazione dei dati genetici in caso di insolvenza. Domande come questa sembrano teoriche – finché non costruisci un marchio sui dati genetici.

Un test genetico white label è una staffetta. Il tuo marchio riceve l’ordine, il kit viaggia verso il cliente, il campione verso il laboratorio, il risultato nel report e sulla piattaforma; per le analisi mediche un medico corre una frazione. Il testimone sono i dati genetici – e a ogni passaggio deve essere chiaro chi sta correndo e chi risponde di quella frazione.

Il regolamento generale sulla protezione dei dati (GDPR) definisce dati genetici i dati personali relativi alle caratteristiche genetiche ereditarie o acquisite di una persona che forniscono informazioni univoche sulla sua fisiologia o sulla sua salute e che risultano in particolare dall’analisi di un campione biologico (art. 4, punto 13). Il loro trattamento è vietato in linea di principio (art. 9, par. 1), salvo che si applichi un’eccezione dell’art. 9, par. 2 – per i test genetici per consumatori, soprattutto il consenso esplicito. Questo vale per le analisi lifestyle esattamente come per quelle mediche. Le basi per la pratica di consulenza le trovi in Dati genetici e GDPR; qui ci concentriamo su ciò che aggiunge un marchio proprio.

Chi corre quale frazione? I ruoli di marchio e laboratorio

Il GDPR conosce tre ruoli. Il titolare del trattamento è chi, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento (art. 4, punto 7). Il responsabile del trattamento tratta i dati per conto del titolare (art. 4, punto 8). Se due o più titolari determinano congiuntamente finalità e mezzi, sono contitolari del trattamento (art. 26). Chi ha quale ruolo deriva da ciò che accade effettivamente – non dal titolo del contratto. È così che lo descrive il Comitato europeo per la protezione dei dati nelle sue Linee guida 07/2020.

Configurazione	Come riconoscerla	Che cosa predisponi
Marchio come titolare, laboratorio come responsabile del trattamento	Il tuo marchio decide che cosa succede ai dati; il laboratorio tratta i dati solo su tue istruzioni documentate.	Accordo sul trattamento dei dati ai sensi dell’art. 28, par. 3, in forma scritta, anche in formato elettronico (art. 28, par. 9)
Contitolari del trattamento	Marchio e laboratorio determinano insieme finalità e mezzi.	Accordo interno ai sensi dell’art. 26: chi informa, chi risponde alle richieste; il contenuto essenziale è messo a disposizione dell’interessato
Ciascuno responsabile della propria parte	Il laboratorio decide autonomamente finalità e mezzi per una parte del trattamento.	attribuzione chiara di quale trattamento spetta a chi; ciascuno informa sulla propria parte
Analisi mediche in Germania	Il medico responsabile esegue l’esame e incarica il laboratorio (§ 7, comma 2, GenDG); il laboratorio comunica il risultato solo a quel medico (§ 11, comma 2).	Consenso e comunicazione del risultato passano dal medico, non dal tuo marchio

Un accordo sul trattamento dei dati è più di un modulo. Stabilisce, tra l’altro, che il laboratorio tratta i dati solo su tue istruzioni documentate, che le persone coinvolte sono vincolate alla riservatezza, quali misure di sicurezza si applicano, che ulteriori responsabili vengono coinvolti solo con la tua autorizzazione e che al termine tutti i dati vengono cancellati o restituiti a tua scelta (art. 28, par. 2 e 3). E un responsabile che determina autonomamente finalità e mezzi è considerato titolare del trattamento in questione (art. 28, par. 10).

Consiglio pratico: prima del lancio metti per iscritto chi informa il cliente ai sensi dell’art. 13, chi risponde alle richieste di accesso e di cancellazione e chi cancella quali dati e quando. Da Novogenia l’informativa privacy sull’analisi genetica stabilisce chi è responsabile di quale trattamento.

Il consenso: il segnale di partenza per ogni analisi

Senza un consenso esplicito per finalità specifiche, nei test genetici per consumatori non si muove nulla (art. 9, par. 2, lett. a), GDPR). Devi essere in grado di dimostrare il consenso (art. 7, par. 1), e il cliente può revocarlo in qualsiasi momento (art. 7, par. 3). Una casella preselezionata non costituisce consenso (considerando 32).

Il white label aggiunge una questione pratica: il consenso viene dato di solito nel tuo shop o alla registrazione del kit – ma serve anche al laboratorio. Pianifica quindi come la prova del consenso arriva al laboratorio e come vi arriva un’eventuale revoca. Le norme nazionali aggiungono altri requisiti:

Germania, ambito medico: il consenso viene dato in modo esplicito e per iscritto al medico responsabile e comprende anche il trattamento dei dati genetici; il laboratorio incaricato esegue l’analisi solo quando dispone della prova del consenso (§ 8, comma 1, GenDG).
Austria: i dati derivanti da analisi genetiche ai sensi della GTG vanno a persone diverse da quelle elencate nella legge solo con consenso espresso e scritto, revocabile per iscritto in qualsiasi momento (§ 71, comma 2, GTG).
Svizzera: ogni esame genetico richiede un consenso libero ed espresso dopo un’informazione adeguata (art. 5 GUMG).

Chi vede cosa? Solo chi ne ha davvero bisogno

Un marchio proprio porta con sé la tentazione di voler vedere tutto: ogni risultato, ogni report. Il GDPR tira il freno: i dati devono essere limitati a quanto necessario rispetto alla finalità (art. 5, par. 1, lett. c), e per impostazione predefinita vengono trattati solo i dati necessari per ogni specifica finalità (art. 25, par. 2). Chiediti quindi: per che cosa il tuo marchio ha bisogno di accedere ai dati? Per il servizio clienti spesso bastano lo stato dell’ordine e i dati di spedizione. Da Novogenia decidi tu, come partner, se vedere i report dei tuoi clienti.

Datori di lavoro: non possono né richiedere né utilizzare i risultati genetici dei propri dipendenti (§ 19 GenDG, § 67 GTG, art. 37 GUMG). Maggiori informazioni su come strutturare questi programmi: Programmi di salute aziendale.
Assicurazioni: di regola nemmeno loro possono richiedere o utilizzare risultati genetici (§ 18 GenDG, § 67 GTG, art. 37 GUMG) – con eccezioni limitate in Germania e in Austria.
Sicurezza: proteggi i report con misure tecniche e organizzative adeguate (art. 32 GDPR) – un portale sicuro è meglio di un allegato e-mail. Come si presentano report e piattaforma con il tuo marchio lo trovi in Report e piattaforma con il tuo marchio.

Conservare e distruggere: anche i campioni hanno una scadenza

I dati personali possono essere conservati in una forma che consenta l’identificazione solo per il tempo necessario alla finalità (art. 5, par. 1, lett. e), GDPR). Per i campioni e i risultati genetici alcune leggi sono più specifiche:

Ambito	Cosa si applica	Riferimento
Germania, campioni medici	utilizzo solo per lo scopo per cui sono stati prelevati; distruzione senza indugio quando non servono più a tale scopo o quando il consenso viene revocato	§ 13, comma 1, GenDG
Germania, risultati medici	conservazione per dieci anni, poi distruzione; si applica per analogia al laboratorio incaricato	§ 12 GenDG
Svizzera, tutti gli esami	campioni e dati genetici solo finché servono per l’esame, compresa la garanzia della qualità, per un altro utilizzo o per le norme cantonali	art. 11 cpv. 1 GUMG
Svizzera, altri esami	distruzione al più tardi due anni dopo l’esame, a meno che la persona non abbia acconsentito a un altro utilizzo o non si sia opposta all’anonimizzazione	art. 11 cpv. 2 GUMG
Fine del trattamento per conto del titolare	Il laboratorio cancella o restituisce tutti i dati personali – a scelta del titolare del trattamento, salvo che la conservazione sia prevista dalla legge	art. 28, par. 3, lett. g), GDPR

Dove nessuna legge specifica fissa un termine, lo fissi tu – motivandolo con la finalità – e lo riporti nell’informativa privacy e nel contratto. Pensa a entrambi: al campione in laboratorio e ai dati sulla piattaforma.

Ricerca e sviluppo di prodotti: solo con un consenso separato

I dati genetici di molte persone sono preziosi per la ricerca e lo sviluppo di prodotti. Proprio per questo qualsiasi utilizzo che vada oltre la finalità originaria ha bisogno di una propria base solida:

GDPR: un ulteriore trattamento a fini di ricerca scientifica non è considerato incompatibile con la finalità originaria (art. 5, par. 1, lett. b), ma richiede garanzie adeguate come la minimizzazione dei dati e, ove possibile, la pseudonimizzazione (art. 89, par. 1). Per i dati genetici continua ad applicarsi l’art. 9: consenso esplicito (par. 2, lett. a) o una base nel diritto dell’Unione o nazionale (par. 2, lett. j) – in Germania, per esempio, il § 27 della legge federale tedesca sulla protezione dei dati (BDSG) con un bilanciamento degli interessi.
Consenso a settori della ricerca: poiché spesso le finalità di ricerca non possono essere definite completamente al momento della raccolta, gli interessati dovrebbero poter prestare il consenso a determinati settori della ricerca scientifica, nel rispetto delle norme deontologiche riconosciute (considerando 33).
Germania, ambito medico: un campione genetico può essere utilizzato per altri scopi solo se una legge lo consente o se la persona ha dato il proprio consenso espresso e scritto dopo essere stata informata (§ 13, comma 2, GenDG).
Austria: le analisi genetiche a fini scientifici possono essere eseguite solo su campioni de-identificati (§ 66, comma 1, GTG).
Svizzera: in forma non codificata o codificata, campioni e dati genetici possono essere utilizzati per un altro scopo solo con un consenso libero ed espresso dopo un’informazione adeguata; in forma anonimizzata, se la persona è stata informata in anticipo e non si è opposta (art. 12 GUMG).

Per il tuo marchio significa: fai del consenso alla ricerca una decisione separata e volontaria – distinta dall’ordine e revocabile in qualsiasi momento. Come funzionano gli studi con un laboratorio di genotipizzazione lo trovi in Genotipizzazione per la ricerca e gli studi.

Svizzera: la LPD e la GUMG al posto del GDPR

Per i clienti in Svizzera non si applica il GDPR, bensì la legge federale sulla protezione dei dati (LPD; in tedesco DSG), a cui l’art. 10 cpv. 2 GUMG rinvia espressamente per i dati genetici. I concetti di fondo li conosci dal GDPR; i dettagli differiscono:

Dati degni di particolare protezione: i dati genetici sono dati personali degni di particolare protezione (art. 5 lett. c n. 3 LPD); se è richiesto il consenso, deve essere espresso in modo esplicito (art. 6 cpv. 7).
Responsabile del trattamento: il responsabile può trattare i dati solo nel modo in cui saresti autorizzato a farlo tu stesso; ti assicuri che sia in grado di garantire la sicurezza dei dati, e può affidare il trattamento a un terzo solo con la tua autorizzazione preventiva (art. 9 LPD).
Laboratorio in Austria: i dati personali possono essere comunicati a Stati per i quali il Consiglio federale ha constatato una protezione adeguata (art. 16 cpv. 1 LPD); l’Austria e la Germania figurano nell’allegato 1 dell’ordinanza sulla protezione dei dati (OPDa; in tedesco DSV). Comunichi alla persona interessata lo Stato in questione (art. 19 cpv. 4 LPD).
In aggiunta, ai sensi della GUMG: l’informazione scritta indica il laboratorio, eventuali aziende e laboratori all’estero coinvolti e i dati di contatto della persona responsabile del trattamento dei dati (art. 32 GUMG). Chi tratta dati genetici limita l’accesso alle persone che ne hanno bisogno per i propri compiti, registra le fasi del trattamento rilevanti per la tracciabilità e trasmette i dati in modo sicuro (art. 3 cpv. 2 GUMV).
Valutazione d’impatto: in caso di trattamento su vasta scala di dati personali degni di particolare protezione, il titolare del trattamento effettua preventivamente una valutazione d’impatto sulla protezione dei dati (art. 22 LPD).

Checklist: la protezione dei dati per il tuo marchio di test genetici

I ruoli di marchio, laboratorio ed eventualmente medico sono chiariti per iscritto – con un accordo sul trattamento dei dati (art. 28) o un accordo interno ai sensi dell’art. 26.
Il consenso è esplicito, specifico per finalità e dimostrabile; la prova del consenso e un’eventuale revoca arrivano al laboratorio.
L’informativa privacy indica i titolari, le finalità, i destinatari o le categorie di destinatari e il periodo di conservazione (art. 13); in Svizzera anche il laboratorio e lo Stato (art. 32 GUMG, art. 19 LPD).
Il tuo marchio vede solo ciò che gli serve per la sua finalità; datori di lavoro e assicurazioni non ricevono risultati genetici.
Campioni e dati hanno termini fissi di conservazione e distruzione; la fine del contratto è disciplinata (art. 28, par. 3, lett. g).
Ricerca o sviluppo di prodotti con i dati dei clienti solo con un consenso separato e volontario.
Per trattamenti su vasta scala di dati genetici: una valutazione d’impatto sulla protezione dei dati (art. 35, par. 3, lett. b), GDPR, art. 22 LPD).

Come lavoriamo da Novogenia

Come gestiamo i dati genetici da Novogenia:

Analisi in Austria: analizziamo i campioni nel nostro laboratorio a Eugendorf, vicino a Salisburgo (Austria) – nel rispetto della normativa europea sulla protezione dei dati.
Responsabilità chiare: chi è responsabile di quale trattamento dei dati personali e genetici è stabilito nella nostra informativa privacy sull’analisi genetica.
Principi saldi: accesso ai propri dati, limitazione della finalità, utilizzo per altri scopi solo con consenso espresso e scritto e cancellazione dei dati genetici in caso di insolvenza.
Decidi tu cosa vedere: come partner scegli se vedere o meno i report dei tuoi clienti. I report vengono consegnati in formato digitale tramite un portale sicuro e, su richiesta, stampati.
Datori di lavoro e assicurazioni restano fuori: con le analisi lifestyle il datore di lavoro non ha accesso ai risultati genetici; le analisi mediche sono disponibili solo tramite un medico aziendale, e solo questo medico vede i risultati. Nel modello assicurativo l’assicurato riceve i risultati e l’assicurazione solo la fattura.

Domande frequenti

Il titolare del trattamento è il mio marchio o il laboratorio?

Dipende da chi decide effettivamente le finalità e i mezzi del trattamento (art. 4, punti 7 e 8, GDPR). Se il tuo marchio stabilisce che cosa succede ai dati e il laboratorio agisce solo su tue istruzioni, il laboratorio è responsabile del trattamento. Se decidete insieme, siete contitolari del trattamento (art. 26). Nelle sue Linee guida 07/2020 il Comitato europeo per la protezione dei dati sottolinea che contano le attività effettive, non la denominazione nel contratto.

Che cosa deve contenere l’accordo sul trattamento dei dati con il laboratorio?

Materia disciplinata e durata, natura e finalità del trattamento, tipo di dati, categorie di interessati e diritti e obblighi del titolare del trattamento (art. 28, par. 3, GDPR). Prevede inoltre, tra l’altro: trattamento solo su istruzioni documentate, riservatezza, misure di sicurezza ai sensi dell’art. 32, regole per gli ulteriori responsabili e cancellazione o restituzione dei dati al termine. In Svizzera il trattamento da parte di responsabili è disciplinato dall’art. 9 LPD.

Per quanto tempo si possono conservare campioni e dati genetici?

Solo per il tempo necessario alla finalità (art. 5, par. 1, lett. e), GDPR). Per gli esami medici in Germania i campioni devono essere distrutti senza indugio quando non servono più (§ 13 GenDG), e i risultati vengono conservati per dieci anni e poi distrutti (§ 12 GenDG). In Svizzera campioni e dati di altri esami devono essere distrutti al più tardi due anni dopo l’esame, a meno che la persona non abbia acconsentito a un altro utilizzo o non si sia opposta all’anonimizzazione (art. 11 cpv. 2 GUMG).

Posso usare i dati genetici dei miei clienti per la ricerca o per nuovi prodotti?

Solo con una base giuridica separata – per i test genetici per consumatori, di norma un consenso esplicito separato (art. 9, par. 2, lett. a), GDPR). In Germania il § 13, comma 2, GenDG richiede per i campioni medici un consenso espresso e scritto; in Svizzera l’art. 12 GUMG richiede un consenso libero ed espresso. In Austria le analisi genetiche a fini scientifici possono essere eseguite solo su campioni de-identificati (§ 66 GTG).

I dati genetici dalla Svizzera possono essere trattati in un laboratorio austriaco?

Sì. L’Austria figura nell’allegato 1 dell’ordinanza svizzera sulla protezione dei dati tra gli Stati con una protezione adeguata dei dati (art. 16 cpv. 1 LPD). Comunichi al tuo cliente lo Stato (art. 19 cpv. 4 LPD) e il laboratorio (art. 32 GUMG), e l’esame all’estero richiede il suo consenso scritto (artt. 29 e 36 GUMG).

Approfondimenti: Dati genetici e GDPR · Normativa: offrire test genetici in DE, AT e CH · Report e piattaforma con il tuo marchio

Stai pianificando un tuo marchio di test genetici?

Raccontaci del tuo target e del portfolio che preferisci – ti mostreremo come potrebbe essere il tuo lancio.

Richiedi un progetto →Analisi genetiche white label

Nota: questa guida contiene informazioni di carattere generale per aziende e professionisti e non sostituisce una consulenza medica o legale. I tratti genetici determinati in un’analisi genetica sono ben documentati (ogni gene incluso è supportato da almeno tre studi indipendenti); le raccomandazioni che ne derivano sono deduzioni logiche, non scientificamente provate. Le normative possono cambiare; salvo errori e modifiche.