Home › Gids nutrigenetica › Genetische gegevens en de AVG

Genetische gegevens en de AVG: wat je in je praktijk moet weten

Gecontroleerd door Dr. Daniel Wallerstorfer, moleculair bioloog en oprichter van Novogenia · Bijgewerkt: 12 oktober 2026 · Leestijd: 12 min

Een wachtwoord dat je nooit kunt wijzigen: waarom genetische gegevens bijzonder zijn

Wordt je wachtwoord gestolen, dan wijzig je het. Je genen kun je niet wijzigen. Ze blijven je hele leven bij je – en verraden iets over je ouders, broers en zussen en kinderen. Daarom bewaakt het gegevensbeschermingsrecht ze zo streng.

De algemene verordening gegevensbescherming (AVG) definieert genetische gegevens als persoonsgegevens die verband houden met de overgeërfde of verworven genetische kenmerken van een persoon, die unieke informatie verschaffen over diens fysiologie of gezondheid en die met name voortkomen uit een analyse van een biologisch monster (art. 4, punt 13). Een speekselmonster voor een voedingsanalyse valt daar duidelijk onder – ongeacht of de analyse medisch is of niet.

Genetische gegevens zijn een bijzondere categorie van persoonsgegevens. De verwerking ervan is verboden (art. 9, lid 1), tenzij een van de uitzonderingen van art. 9, lid 2, van toepassing is. Voor een genetische analyse in voedingsadvies is uitdrukkelijke toestemming de belangrijkste mogelijkheid. Lidstaten mogen voor genetische gegevens bovendien aanvullende voorwaarden invoeren (art. 9, lid 4) – daarom hebben Duitsland en Oostenrijk deels eigen regels. Zwitserland heeft een eigen wet; daarover hieronder meer.

Toestemming: een sleutel die je cliënt op elk moment kan terugnemen

Toestemming is de sleutel die de deur naar verwerking opent. Voor genetische gegevens moet ze uitdrukkelijk zijn en betrekking hebben op een of meer welbepaalde doeleinden (art. 9, lid 2, onder a). En je cliënt kan de sleutel op elk moment terugnemen. Waar het om gaat:

• Uitdrukkelijk: een duidelijke, afzonderlijke verklaring. Volgens de Richtsnoeren 05/2020 van het Europees Comité voor gegevensbescherming ligt een ondertekende schriftelijke verklaring voor de hand; online kan de persoon ook een elektronisch formulier invullen, een e-mail sturen, een ondertekend document uploaden of een elektronische handtekening gebruiken. Een vooraf aangevinkt vakje is geen toestemming (overweging 32).
• Aantoonbaar: Je moet kunnen aantonen dat de persoon toestemming heeft gegeven (art. 7, lid 1).
• Intrekbaar: De persoon kan de toestemming op elk moment intrekken, intrekken moet even eenvoudig zijn als toestemming geven, en je informeert de persoon daar vooraf over (art. 7, lid 3).
• Doelgebonden: De gegevens mogen niet verder worden verwerkt op een manier die onverenigbaar is met de oorspronkelijke doeleinden (art. 5, lid 1, onder b). Komt er een nieuw doel bij, dan heb je volgens de EDPB nieuwe toestemming nodig.

Nationale regels voegen daar meer aan toe. Voor genetisch onderzoek voor medische doeleinden vereist Duitsland uitdrukkelijke schriftelijke toestemming tegenover de verantwoordelijke arts (§ 8 GenDG). In Zwitserland vereist elke genetische test vrije en uitdrukkelijke toestemming na voldoende informatie (art. 5 GUMG). In Oostenrijk mogen gegevens uit genetische analyses in de zin van de GTG alleen met uitdrukkelijke schriftelijke toestemming van de geteste persoon worden doorgegeven aan andere personen dan die in de wet worden genoemd (§ 71, lid 2, GTG).

Geen verrassingen: wat je cliënten vooraf moeten weten

Transparantie is een plicht, geen kleine lettertjes. Verzamel je gegevens, dan vertel je je cliënt op dat moment onder meer (art. 13 AVG):

• wie de verwerkingsverantwoordelijke is, met contactgegevens, en in voorkomend geval de contactgegevens van de functionaris voor gegevensbescherming,
• de doeleinden en de rechtsgrond van de verwerking,
• de ontvangers of categorieën van ontvangers – zoals het laboratorium,
• in voorkomend geval het voornemen om gegevens door te geven aan een derde land,
• hoe lang de gegevens worden bewaard of welke criteria worden gebruikt om die termijn te bepalen,
• de rechten van je cliënt, waaronder het recht om de toestemming op elk moment in te trekken en het recht om een klacht in te dienen bij een toezichthoudende autoriteit.

De informatie moet in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal worden verstrekt (art. 12, lid 1). In Zwitserland voegt art. 32 GUMG voor niet-medische tests schriftelijke informatieplichten toe, zoals het noemen van het laboratorium en van eventuele betrokken bedrijven en laboratoria in het buitenland.

Opdrachtgever of aannemer? Wie welke rol speelt tussen adviseur en laboratorium

Bij een genetische analyse zijn ten minste twee partijen betrokken: jij en het laboratorium. De AVG vraagt: wie beslist over de doeleinden en middelen van de verwerking? Dat is de verwerkingsverantwoordelijke – zoals de opdrachtgever van een bouwproject die bepaalt wat er wordt gebouwd (art. 4, punt 7). Wie gegevens ten behoeve van de verwerkingsverantwoordelijke verwerkt, is verwerker – zoals de aannemer die volgens plan bouwt (art. 4, punt 8). Bepalen twee partijen samen de doeleinden en middelen, dan zijn ze gezamenlijke verwerkingsverantwoordelijken (art. 26).

Rollen volgen uit wat er feitelijk gebeurt, niet uit de titel van het contract: volgens de Richtsnoeren 07/2020 van de EDPB zijn de begrippen functioneel en verdelen ze de verantwoordelijkheden volgens de feitelijke rollen van de partijen.

Praktische tip: Leg schriftelijk met je laboratorium vast wie welke rol en plicht heeft voordat het eerste monster wordt verstuurd – vooral wie je cliënten informeert volgens art. 13 en wie verzoeken om inzage of wissing beantwoordt.

Pak in als voor een bergwandeling: neem alleen mee wat je nodig hebt

Pak je gegevens in als een rugzak voor een bergwandeling: wat je niet nodig hebt, blijft thuis. De AVG noemt dit minimale gegevensverwerking – gegevens moeten toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor het doel (art. 5, lid 1, onder c). En ze mogen niet langer in identificeerbare vorm worden bewaard dan het doel vereist (opslagbeperking, art. 5, lid 1, onder e).

• Vraag je eerlijk af: Heb je het volledige rapport nodig – of volstaan de resultaten die je met je cliënt bespreekt?
• Beveiligde kanalen: Bescherm rapporten met passende technische en organisatorische maatregelen (art. 32) – een beveiligd portaal is beter dan een onbeveiligde e-mailbijlage.
• Gegevensbescherming door ontwerp: Verwerk de beginselen van gegevensbescherming in processen en standaardinstellingen, bijvoorbeeld door pseudonimisering (art. 25).
• Verwijdertermijn: Bepaal wanneer je dossiers verwijdert – en houd je daaraan.

Voor sommige gevallen legt de wet termijnen vast. In Duitsland bewaart de verantwoordelijke arts de resultaten van genetisch onderzoek voor medische doeleinden tien jaar en vernietigt ze daarna (§ 12 GenDG). In Zwitserland moeten monsters en gegevens van overige tests volgens art. 31, lid 2, GUMG uiterlijk twee jaar na de test worden vernietigd, tenzij de persoon heeft ingestemd met een ander gebruik of geen bezwaar heeft gemaakt tegen anonimisering (art. 11, lid 2, GUMG).

De rechten van je cliënten

Je cliënten houden de controle. Hun belangrijkste rechten volgens de AVG:

• Inzage in de verwerkte gegevens (art. 15) en rectificatie van onjuiste gegevens (art. 16)
• Wissing, bijvoorbeeld nadat de toestemming is ingetrokken en er geen andere rechtsgrond is (art. 17)
• Beperking van de verwerking (art. 18) en overdraagbaarheid van gegevens (art. 20)
• Intrekking van de toestemming op elk moment (art. 7, lid 3)

Je reageert onverwijld op verzoeken en in ieder geval binnen een maand; bij complexe gevallen kan die termijn met twee maanden worden verlengd (art. 12, lid 3). Daarbij komt een recht dat alleen in het geneticarecht bestaat: het recht op niet-weten. In Zwitserland heeft ieder mens het recht om kennisname van informatie over zijn genoom geheel of gedeeltelijk te weigeren (art. 8 GUMG). In Duitsland maakt het deel uit van de informatie bij onderzoek voor medische doeleinden (§ 9, lid 2, nr. 5, GenDG); in Oostenrijk maakt het deel uit van de counseling bij analyses van type 2 tot en met 4 (§ 69, lid 5, GTG).

Bedrijfsgezondheidsprogramma’s: de werkgever blijft buiten

Bied je genetische analyses aan in bedrijven, dan heb je een stevige muur nodig tussen de resultaten en de werkgever. De wet bouwt die muur in alle drie de landen:

• Duitsland: De werkgever mag werknemers niet verplichten genetisch onderzoek of genetische analyses te ondergaan, noch de bekendmaking van resultaten verlangen, zulke resultaten in ontvangst nemen of gebruiken (§ 19 GenDG).
• Oostenrijk: Werkgevers is het verboden resultaten van genetische analyses van werknemers of sollicitanten te verzamelen, op te vragen, aan te nemen of anderszins te gebruiken (§ 67, lid 1, GTG).
• Zwitserland: Werkgevers mogen geen niet-medische genetische tests verlangen, geen medisch irrelevante genetische gegevens opvragen en zulke gegevens ook niet gebruiken (art. 37 GUMG).

Richt zo’n aanbod dus zo in dat deelname vrijwillig blijft, resultaten alleen naar de werknemer gaan en de werkgever geen individuele resultaten ontvangt. Toestemming moet vrijelijk worden gegeven (art. 4, punt 11, AVG) – let daar op het werk scherp op.

Zwitserland: de DSG in plaats van de AVG

Zwitserland is geen EU-lidstaat. Voor de verwerking van genetische gegevens verwijst art. 10, lid 2, GUMG naar het federale en kantonale gegevensbeschermingsrecht. Voor privépersonen – ook voor jou als adviseur – is dat de herziene federale wet betreffende gegevensbescherming (Datenschutzgesetz, DSG), van kracht sinds 1 september 2023 (art. 2, lid 1, onder a, DSG). De kernideeën komen overeen met de AVG; de details verschillen:

• Gevoelige gegevens: Genetische gegevens zijn gevoelige persoonsgegevens (art. 5, onder c, punt 3, DSG).
• Uitdrukkelijke toestemming: Waar toestemming vereist is, moet ze voor gevoelige persoonsgegevens uitdrukkelijk worden gegeven (art. 6, lid 7) – vrijwillig, voor een bepaalde verwerking en op basis van passende informatie (art. 6, lid 6). Voor de test zelf vereist art. 5 GUMG sowieso vrije en uitdrukkelijke toestemming.
• Gegevens naar het buitenland: Gegevens mogen worden doorgegeven aan staten waarvan de Bondsraad heeft vastgesteld dat ze een passend beschermingsniveau bieden (art. 16, lid 1, DSG). De lijst staat in bijlage 1 bij de verordening betreffende gegevensbescherming (Datenschutzverordnung, DSV); alle EU-lidstaten, waaronder Oostenrijk en Duitsland, staan erop. Voor andere staten zijn passende waarborgen nodig (art. 16, lid 2) of een uitzondering, zoals de uitdrukkelijke toestemming van de betrokkene (art. 17, lid 1, onder a).
• Transparantie: Gaan gegevens naar het buitenland, dan vermeld je de betrokkene ook de betreffende staat (art. 19, lid 4, DSG).
• Effectbeoordeling: Brengt een verwerking waarschijnlijk een hoog risico met zich mee, dan voert de verwerkingsverantwoordelijke vooraf een gegevensbeschermingseffectbeoordeling uit – in het bijzonder bij omvangrijke verwerking van gevoelige persoonsgegevens (art. 22, leden 1 en 2, DSG).

Checklist: gegevensbescherming in je praktijk

• Rollen schriftelijk met het laboratorium verduidelijkt – waar nodig met een verwerkersovereenkomst (art. 28) of een regeling voor gezamenlijke verwerkingsverantwoordelijken (art. 26).
• Uitdrukkelijke toestemming voor welbepaalde doeleinden verkregen en gedocumenteerd (art. 9, lid 2, onder a, en art. 7, lid 1).
• Volledige, begrijpelijke privacyinformatie volgens art. 13 verstrekt.
• Register van de verwerkingsactiviteiten bijgehouden – de uitzondering voor organisaties met minder dan 250 werknemers geldt niet als je bijzondere categorieën van gegevens verwerkt (art. 30, lid 5).
• Rapporten alleen via beveiligde kanalen, toegang alleen voor wie die nodig heeft (art. 32).
• Verwijdertermijnen vastgelegd en nageleefd (art. 5, lid 1, onder e).
• Plan voor datalekken: de toezichthoudende autoriteit zo mogelijk binnen 72 uur in kennis stellen (art. 33).
• Bij grootschalige verwerking van genetische gegevens: een gegevensbeschermingseffectbeoordeling (art. 35, lid 3, onder b) en, als dit je kernactiviteit is, een functionaris voor gegevensbescherming (art. 37, lid 1, onder c).

Veelgestelde vragen

Gerelateerd: Wie mag genetische tests aanbieden? · Een genetisch rapport helder uitleggen · Partner- en white-labelmodellen

Let op: Deze gids bevat algemene informatie voor professionals en vervangt geen medisch of juridisch advies. De genetische eigenschappen die in een genetische analyse worden vastgesteld, zijn goed gedocumenteerd (elk opgenomen gen wordt onderbouwd door ten minste drie onafhankelijke studies); de daaruit afgeleide aanbevelingen over voeding, micronutriënten en leefstijl zijn logische conclusies, niet wetenschappelijk bewezen. Regelgeving kan veranderen; fouten en wijzigingen voorbehouden.