Home › Gids white-label genetische tests › Gegevensbescherming

Gegevensbescherming bij white-label genetische tests: rollen, toestemming, bewaring

Gecontroleerd door Dr. Daniel Wallerstorfer, moleculair bioloog en oprichter van Novogenia · Bijgewerkt: 13 oktober 2026 · Leestijd: 12 min

Een estafette met DNA: waarom elke wissel telt

Wat gebeurt er met de genetische gegevens van je klanten als een bedrijf failliet gaat? Bij Novogenia staat het antwoord in de algemene voorwaarden: tot de principes die in de privacyinformatie over de genetische analyse zijn overgenomen, behoort de wissing van genetische gegevens bij faillissement. Zulke vragen klinken theoretisch – tot je een merk op genetische gegevens bouwt.

Een white-label genetische test is een estafette. Je merk neemt de bestelling aan, de set reist naar de klant, het monster naar het laboratorium, het resultaat naar het rapport en het platform; bij medische analyses loopt een arts een etappe. Het stokje zijn de genetische gegevens – en bij elke wissel moet duidelijk zijn wie er loopt en wie voor die etappe instaat.

De algemene verordening gegevensbescherming (AVG) definieert genetische gegevens als persoonsgegevens die verband houden met de overgeërfde of verworven genetische kenmerken van een persoon die unieke informatie verschaffen over zijn fysiologie of gezondheid en die met name voortkomen uit een analyse van een biologisch monster (art. 4, punt 13). De verwerking ervan is in beginsel verboden (art. 9, lid 1), tenzij een uitzondering van art. 9, lid 2, van toepassing is – bij genetische consumententests vooral uitdrukkelijke toestemming. Dat geldt voor lifestyle-analyses net zo goed als voor medische. De basis voor de adviespraktijk vind je in Genetische gegevens en de AVG; hier gaat het om wat een eigen merk daaraan toevoegt.

Wie loopt welke etappe? De rollen van merk en laboratorium

De AVG kent drie rollen. Verwerkingsverantwoordelijke is wie, alleen of samen met anderen, het doel van en de middelen voor de verwerking vaststelt (art. 4, punt 7). De verwerker verwerkt gegevens ten behoeve van de verwerkingsverantwoordelijke (art. 4, punt 8). Stellen twee of meer verwerkingsverantwoordelijken samen de doeleinden en middelen vast, dan zijn ze gezamenlijke verwerkingsverantwoordelijken (art. 26). Wie welke rol heeft, volgt uit wat er feitelijk gebeurt – niet uit de titel van het contract. Zo beschrijft het Europees Comité voor gegevensbescherming het in zijn Richtsnoeren 07/2020.

Een verwerkersovereenkomst is meer dan een formulier. Ze legt onder meer vast dat het laboratorium uitsluitend op basis van jouw schriftelijke instructies verwerkt, dat de betrokken personen tot geheimhouding verplicht zijn, welke beveiligingsmaatregelen gelden, dat verdere verwerkers alleen met jouw toestemming worden ingeschakeld en dat aan het eind, naar jouw keuze, alle gegevens worden gewist of teruggegeven (art. 28, leden 2 en 3). En een verwerker die zelf doeleinden en middelen bepaalt, wordt met betrekking tot die verwerking als verwerkingsverantwoordelijke beschouwd (art. 28, lid 10).

Praktische tip: leg vóór de lancering vast wie de klant volgens art. 13 informeert, wie verzoeken om inzage en wissing beantwoordt en wie welke gegevens wanneer wist. Bij Novogenia staat in de privacyinformatie over de genetische analyse wie voor welke verwerking verantwoordelijk is.

Toestemming: het startsein voor elke analyse

Zonder uitdrukkelijke toestemming voor welbepaalde doeleinden beweegt er bij genetische consumententests niets (art. 9, lid 2, onder a, AVG). Je moet de toestemming kunnen aantonen (art. 7, lid 1), en de klant kan haar te allen tijde intrekken (art. 7, lid 3). Een vooraf aangekruist vakje is geen toestemming (overweging 32).

White label voegt een praktische vraag toe: de toestemming wordt meestal gegeven in je shop of bij de registratie van de set – maar het laboratorium heeft haar ook nodig. Plan dus hoe het bewijs van toestemming bij het laboratorium komt en hoe een intrekking daar aankomt. Nationale regels voegen nog meer toe:

• Duitsland, medisch: de toestemming wordt uitdrukkelijk en schriftelijk gegeven aan de verantwoordelijke arts en omvat ook de verwerking van de genetische gegevens; het ingeschakelde laboratorium analyseert pas als het over een bewijs van de toestemming beschikt (§ 8, lid 1, GenDG).
• Oostenrijk: gegevens uit genetische analyses in de zin van de GTG gaan alleen met uitdrukkelijke schriftelijke toestemming naar andere personen dan de in de wet genoemde; die toestemming kan te allen tijde schriftelijk worden ingetrokken (§ 71, lid 2, GTG).
• Zwitserland: voor elke genetische test is een vrije en uitdrukkelijke toestemming na voldoende voorlichting vereist (art. 5 GUMG).

Wie ziet wat? Alleen wie het echt nodig heeft

Een eigen merk verleidt je om alles te willen zien: elk resultaat, elk rapport. De AVG trapt op de rem: gegevens moeten beperkt blijven tot wat noodzakelijk is voor het doel (art. 5, lid 1, onder c), en in beginsel worden alleen de gegevens verwerkt die noodzakelijk zijn voor elk specifiek doel (art. 25, lid 2). Vraag je dus af: waarvoor heeft je merk inzage nodig? Voor de klantenservice volstaan vaak de bestelstatus en de verzendgegevens. Bij Novogenia bepaal je als partner of je de rapporten van je klanten inziet.

• Werkgevers: zij mogen de genetische resultaten van hun werknemers niet opvragen en niet gebruiken (§ 19 GenDG, § 67 GTG, art. 37 GUMG). Meer over het inrichten van zulke programma’s: Bedrijfsgezondheidsprogramma’s.
• Verzekeraars: ook zij mogen in de regel genetische resultaten niet opvragen en niet gebruiken (§ 18 GenDG, § 67 GTG, art. 37 GUMG) – met nauwe uitzonderingen in Duitsland en Oostenrijk.
• Beveiliging: bescherm rapporten met passende technische en organisatorische maatregelen (art. 32 AVG) – een beveiligd portaal is beter dan een e-mailbijlage. Hoe rapporten en platform er onder je merk uitzien, lees je in Rapporten en platform onder je eigen merk.

Bewaren en vernietigen: ook monsters hebben een houdbaarheidsdatum

Persoonsgegevens mogen in identificeerbare vorm alleen zo lang worden bewaard als het doel vereist (art. 5, lid 1, onder e, AVG). Voor genetische monsters en resultaten worden sommige wetten concreter:

Waar geen specifieke wet een termijn vastlegt, leg je die zelf vast – onderbouwd vanuit het doel – en neem je haar op in de privacyverklaring en het contract. Denk aan beide: het monster in het laboratorium en de gegevens op het platform.

Onderzoek en productontwikkeling: alleen met aparte toestemming

De genetische gegevens van veel mensen zijn waardevol voor onderzoek en productontwikkeling. Juist daarom heeft elk gebruik dat verder gaat dan het oorspronkelijke doel een eigen, solide basis nodig:

• AVG: verdere verwerking met het oog op wetenschappelijk onderzoek wordt niet als onverenigbaar met het oorspronkelijke doel beschouwd (art. 5, lid 1, onder b), maar vereist passende waarborgen zoals minimale gegevensverwerking en, waar mogelijk, pseudonimisering (art. 89, lid 1). Voor genetische gegevens blijft art. 9 van toepassing: uitdrukkelijke toestemming (lid 2, onder a) of een grondslag in het Unierecht of het lidstatelijke recht (lid 2, onder j) – in Duitsland bijvoorbeeld § 27 BDSG met een belangenafweging.
• Toestemming voor onderzoeksterreinen: omdat onderzoeksdoeleinden bij de verzameling vaak niet volledig kunnen worden omschreven, moeten betrokkenen hun toestemming kunnen geven voor bepaalde terreinen van wetenschappelijk onderzoek, met inachtneming van erkende ethische normen (overweging 33).
• Duitsland, medisch: een genetisch monster mag alleen voor andere doeleinden worden gebruikt als een wet dat toestaat of de betrokkene na voorlichting uitdrukkelijk schriftelijk toestemming heeft gegeven (§ 13, lid 2, GenDG).
• Oostenrijk: genetische analyses voor wetenschappelijke doeleinden mogen alleen op gedeïdentificeerde monsters worden uitgevoerd (§ 66, lid 1, GTG).
• Zwitserland: in ongecodeerde of gecodeerde vorm mogen monsters en genetische gegevens alleen voor een ander doel worden gebruikt met vrije en uitdrukkelijke toestemming na voldoende voorlichting; in geanonimiseerde vorm als de betrokkene vooraf is geïnformeerd en geen bezwaar heeft gemaakt (art. 12 GUMG).

Voor je merk betekent dit: maak van toestemming voor onderzoek een aparte, vrijwillige beslissing – los van de bestelling en te allen tijde herroepbaar. Hoe studies met een genotyperingslaboratorium werken, lees je in Genotypering voor onderzoek en studies.

Zwitserland: de DSG en de GUMG in plaats van de AVG

Voor klanten in Zwitserland geldt niet de AVG, maar de federale wet betreffende gegevensbescherming (Datenschutzgesetz, DSG), en art. 10, lid 2, GUMG verwijst voor genetische gegevens uitdrukkelijk daarnaar. De kerngedachten ken je uit de AVG; de details verschillen:

• Gevoelige gegevens: genetische gegevens zijn gevoelige persoonsgegevens (art. 5, onder c, punt 3, DSG); waar toestemming vereist is, moet ze uitdrukkelijk worden gegeven (art. 6, lid 7).
• Verwerker: de verwerker mag gegevens alleen verwerken zoals jij dat zelf zou mogen; jij zorgt ervoor dat hij de gegevensbeveiliging kan waarborgen, en hij mag de verwerking alleen met jouw voorafgaande toestemming aan een derde overdragen (art. 9 DSG).
• Laboratorium in Oostenrijk: persoonsgegevens mogen worden doorgegeven aan staten waarvan de Bondsraad heeft vastgesteld dat ze een passend beschermingsniveau bieden (art. 16, lid 1, DSG); Oostenrijk en Duitsland staan in bijlage 1 bij de verordening betreffende gegevensbescherming (Datenschutzverordnung, DSV). Je vermeldt de betrokken staat tegenover de betrokkene (art. 19, lid 4, DSG).
• Aanvullend volgens de GUMG: de schriftelijke informatie noemt het laboratorium, eventuele betrokken bedrijven en laboratoria in het buitenland en de contactgegevens van de persoon die verantwoordelijk is voor de gegevensverwerking (art. 32 GUMG). Wie genetische gegevens verwerkt, beperkt de toegang tot de mensen die ze voor hun taken nodig hebben, legt de voor de traceerbaarheid relevante verwerkingsstappen vast en verstuurt gegevens veilig (art. 3, lid 2, GUMV).
• Effectbeoordeling: bij omvangrijke verwerking van gevoelige persoonsgegevens voert de verwerkingsverantwoordelijke vooraf een gegevensbeschermingseffectbeoordeling uit (art. 22 DSG).

Checklist: gegevensbescherming voor je merk voor genetische tests

• De rollen van merk, laboratorium en eventueel arts zijn schriftelijk vastgelegd – met een verwerkersovereenkomst (art. 28) of een regeling volgens art. 26.
• De toestemming is uitdrukkelijk, doelgebonden en aantoonbaar; bewijs van toestemming en een eventuele intrekking bereiken het laboratorium.
• De privacyverklaring noemt de verwerkingsverantwoordelijken, doeleinden, ontvangers of categorieën van ontvangers en de opslagperiode (art. 13); in Zwitserland ook het laboratorium en de staat (art. 32 GUMG, art. 19 DSG).
• Je merk ziet alleen wat het voor zijn doel nodig heeft; werkgevers en verzekeraars ontvangen geen genetische resultaten.
• Voor monsters en gegevens zijn vaste termijnen voor bewaring en vernietiging vastgelegd; het einde van het contract is geregeld (art. 28, lid 3, onder g).
• Onderzoek of productontwikkeling met klantgegevens alleen met aparte, vrijwillige toestemming.
• Bij omvangrijke verwerking van genetische gegevens: een gegevensbeschermingseffectbeoordeling (art. 35, lid 3, onder b, AVG, art. 22 DSG).

Veelgestelde vragen

Gerelateerd: Genetische gegevens en de AVG · Wetgeving: genetische tests aanbieden in DE, AT en CH · Rapporten en platform onder je eigen merk

Let op: Deze gids bevat algemene informatie voor bedrijven en professionals en vervangt geen medisch of juridisch advies. De genetische eigenschappen die in een genetische analyse worden vastgesteld, zijn goed gedocumenteerd (elk opgenomen gen wordt onderbouwd door ten minste drie onafhankelijke studies); de daaruit afgeleide aanbevelingen zijn logische conclusies, niet wetenschappelijk bewezen. Regelgeving kan veranderen; fouten en wijzigingen voorbehouden.