Proteção de dados na loja: tratar corretamente dados de saúde e dados genéticos

Revisto por Dr. Daniel Wallerstorfer, biólogo molecular e fundador da Novogenia · Atualizado: 15 de outubro de 2026 · Tempo de leitura: 12 min

Em resumo

Os dados genéticos e os dados de saúde são categorias especiais de dados pessoais; o seu tratamento é, em princípio, proibido, a menos que o teu cliente dê o seu consentimento explícito para finalidades específicas (artigo 9.º, n.º 1 e n.º 2, alínea a), do RGPD). Até os dados de encomenda podem ser dados de saúde, se permitirem tirar conclusões sobre a saúde de uma pessoa (TJUE, C-21/23). Por isso, mantém os dados da loja, como encomendas e pagamentos, separados dos questionários, das análises e dos relatórios, dá aos prestadores de serviços apenas o que precisam e nunca uses informações de saúde para perfis publicitários. Para clientes na Suíça, aplica-se a Lei Federal sobre a Proteção de Dados: os dados genéticos e de saúde são dados pessoais sensíveis, e qualquer consentimento necessário tem de ser explícito (artigo 5.º, alínea c), e artigo 6.º, n.º 7, da DSG).

Duas gavetas: o que uma encomenda pode revelar

Um nome, uma morada de entrega, um produto no carrinho – parece inofensivo. O Tribunal de Justiça da UE viu-o de outra forma em 2024. Um farmacêutico vendia medicamentos de venda exclusiva em farmácia, mas não sujeitos a receita médica, através de uma plataforma online. As informações que os clientes tinham de introduzir ao encomendar – como o nome, a morada de entrega e os elementos necessários à individualização dos medicamentos – são dados relativos à saúde, decidiu o tribunal (acórdão de 4 de outubro de 2024, C-21/23). No mesmo acórdão, o tribunal deixou claro que o RGPD não se opõe a regras nacionais que permitam aos concorrentes agir nos tribunais cíveis contra violações da proteção de dados, enquanto práticas comerciais desleais. A proteção de dados é também uma questão de concorrência.

Para uma loja que vende análises genéticas e produtos personalizados, o quadro é claro: imagina duas gavetas. Uma contém aquilo de que qualquer loja precisa – encomenda, morada, pagamento, envio. A outra está fechada à chave: questionário, informações de saúde, dados genéticos, relatório. As boas lojas mantêm as duas separadas e só abrem a segunda quando é mesmo necessário. Eis como. As bases para profissionais estão em Dados genéticos e RGPD, e os papéis da marca e do laboratório em Proteção de dados em testes genéticos white label. Este artigo é uma orientação, não aconselhamento jurídico para o teu caso concreto.

Que dados a tua loja toca

O Regulamento Geral sobre a Proteção de Dados (RGPD) distingue dois mundos. Os dados genéticos são dados relativos às características genéticas, hereditárias ou adquiridas, de uma pessoa que dão informações únicas sobre a sua fisiologia ou a sua saúde (artigo 4.º, ponto 13). Os dados relativos à saúde dizem respeito à saúde física ou mental e revelam informações sobre o estado de saúde de uma pessoa (artigo 4.º, ponto 15). Ambos são categorias especiais cujo tratamento é, em princípio, proibido (artigo 9.º, n.º 1).

Gaveta	Exemplos	O que se aplica
Dados de encomenda e de contrato	nome, morada, pagamento, histórico de encomendas, estado do envio	tratamento para a execução do contrato (artigo 6.º, n.º 1, alínea b)); atenção se a própria encomenda permitir conclusões sobre a saúde
Questionário e informações de saúde	objetivos, queixas, valores sanguíneos, dados sobre o estilo de vida	tudo o que revele o estado de saúde: consentimento explícito (artigo 9.º, n.º 2, alínea a))
Dados genéticos e relatório	resultados da análise, relatório no portal	consentimento explícito; idealmente, não armazenados no sistema da loja
Marketing e tracking	cookies, newsletter, píxeis publicitários	consentimento para cookies não essenciais (Alemanha: § 25 da TDDDG; Áustria: § 165, n.º 3, da TKG 2021); nada de dados de saúde em perfis publicitários

Consentimento explícito: um passo próprio no checkout

Nos testes genéticos para consumidores, o consentimento explícito para uma ou mais finalidades específicas é a base jurídica central (artigo 9.º, n.º 2, alínea a), do RGPD). Para que seja sólido, integra-o no checkout como um passo próprio – e não como uma cláusula escondida nas tuas condições gerais:

Claro e específico: que dados, para que finalidade, quem os trata – e se tu, como parceiro, vês os relatórios.
Ativo: uma caixa pré-validada não constitui consentimento (considerando 32).
Demonstrável: tens de poder demonstrar que o teu cliente deu o seu consentimento (artigo 7.º, n.º 1).
Revogável: retirar o consentimento tem de ser tão fácil como dá-lo, e o teu cliente é informado disso de antemão (artigo 7.º, n.º 3).
No momento certo: o consentimento vem antes da amostra, não depois. A forma técnica como o registo e o consentimento funcionam é algo que defines com a Novogenia.

Os Estados-Membros podem introduzir condições adicionais para os dados genéticos e de saúde (artigo 9.º, n.º 4). Quais se aplicam na Alemanha, na Áustria e na Suíça é tratado em Proteção de dados em testes genéticos white label.

Mantém separados os dados da loja e os dados genéticos

Os dados têm de ser limitados ao que é necessário para a finalidade (artigo 5.º, n.º 1, alínea c), do RGPD), e, por defeito, só podem ser tratados os dados necessários para cada finalidade específica (artigo 25.º, n.º 2). Na prática, isto significa para a tua loja:

A loja conhece a encomenda, não o resultado: o apoio ao cliente e a expedição precisam do estado da encomenda e dos dados de envio. Os resultados genéticos e os relatórios ficam no portal seguro.
Nada de questionários no CRM: as informações de saúde não pertencem à tua ferramenta de newsletter, ao sistema de tickets nem a folhas de cálculo que meia equipa pode abrir.
Acesso por função: só quem precisa de uma informação para a sua tarefa a pode ver.
Nada de relatórios como anexo de email: protege os relatórios com medidas técnicas e organizativas adequadas (artigo 32.º); um portal seguro foi feito para isso.
Escolhe conscientemente o que vês: na Novogenia, tu, como parceiro, decides se vês os relatórios dos teus clientes. Se não precisares deles, a tua segunda gaveta fica vazia – e o teu risco fica pequeno.

Os teus prestadores de serviços: subcontratantes com contrato

Uma loja online raramente funciona sozinha: software da loja, prestador de pagamentos, serviço de envio, ferramenta de email, chat de apoio ao cliente. Quem trata dados por tua conta tem de apresentar garantias suficientes de execução de medidas técnicas e organizativas adequadas (artigo 28.º, n.º 1, do RGPD), e celebras com cada um deles um contrato de subcontratação (artigo 28.º, n.º 3). Verifica onde as tuas ferramentas tratam os dados: as transferências para países fora da UE só são permitidas nas condições do capítulo V (artigo 44.º). E a tua informação sobre proteção de dados indica os destinatários ou categorias de destinatários (artigo 13.º, n.º 1, alínea e)).

O papel que tens em relação à Novogenia – responsável pelo tratamento, subcontratante ou responsável conjunto pelo tratamento (artigo 4.º, pontos 7 e 8, artigo 26.º) – depende do modelo. Esclarece-o por escrito antes do lançamento; as bases estão em Proteção de dados em testes genéticos white label.

Marketing sem perfil de saúde

Os cookies e os píxeis publicitários exigem o consentimento dos visitantes, a menos que sejam estritamente necessários para o serviço pedido pelo utilizador (Alemanha: § 25 da TDDDG; Áustria: § 165, n.º 3, da TKG 2021). Nos testes genéticos, aplica-se um segundo limite: as plataformas em linha não podem apresentar anúncios baseados na definição de perfis que utilize categorias especiais de dados pessoais (artigo 26.º, n.º 3, do Regulamento dos Serviços Digitais, Regulamento (UE) 2022/2065).

Daí resulta uma regra simples para o teu marketing: os resultados genéticos, as respostas aos questionários e os interesses de saúde não entram em perfis publicitários, listas de retargeting nem carregamentos de públicos – a menos que o teu cliente tenha consentido explicitamente exatamente nisso. Promove a tua oferta com aquilo que ela mostra, e não com aquilo que sabes sobre pessoas concretas. O que podes dizer na publicidade é tratado em Marketing de produtos personalizados.

Avaliação de impacto e encarregado da proteção de dados

Há duas obrigações que dependem da escala. No tratamento em grande escala de categorias especiais de dados, realizas previamente uma avaliação de impacto sobre a proteção de dados (artigo 35.º, n.º 3, alínea b), do RGPD). Se as atividades principais da tua empresa consistirem nesse tratamento, precisas de um encarregado da proteção de dados (artigo 37.º, n.º 1, alínea c)). Se a tua loja se enquadra nestes casos depende também da forma como a organizas: quanto mais bem fechada ficar a segunda gaveta, menos dados de categorias especiais tratas tu próprio. Manda avaliar isto antes do lançamento.

Suíça: a DSG em vez do RGPD

Para clientes na Suíça, aplica-se a Lei Federal sobre a Proteção de Dados (DSG). Conheces as suas ideias de base do RGPD, mas os pormenores são diferentes:

Dados sensíveis: os dados relativos à saúde e os dados genéticos são dados pessoais sensíveis (artigo 5.º, alínea c), pontos 2 e 3, da DSG). Quando é necessário consentimento, este tem de ser explícito para estes dados (artigo 6.º, n.º 7).
Informação: indicas, no mínimo, a identidade e os contactos do responsável pelo tratamento, a finalidade e, se for caso disso, os destinatários; se os dados forem para o estrangeiro, também o país (artigo 19.º).
Avaliação de impacto: o tratamento em grande escala de dados pessoais sensíveis implica um risco elevado, pelo que realizas previamente uma avaliação de impacto sobre a proteção de dados (artigo 22.º).
Representante na Suíça: os responsáveis privados com sede no estrangeiro designam um representante na Suíça se tratarem dados relacionados com a oferta de bens ou serviços em grande escala e de forma regular, e se o tratamento implicar um risco elevado (artigo 14.º).
Cookies: a Suíça não exige consentimento prévio, mas sim informação sobre o tratamento e a sua finalidade e a indicação de que os utilizadores o podem recusar (artigo 45c da Lei das Telecomunicações, FMG).

Há uma diferença que vem antes da proteção de dados: na Suíça, não vendes análises genéticas de estilo de vida como testes domésticos (artigo 13.º da GUMG). O que isso significa para a tua loja é tratado em Vender testes genéticos online: DE, AT, CH.

Lista de verificação: proteção de dados na tua loja

Sabes que dados a tua loja trata – e quais deles são dados genéticos ou de saúde.
O consentimento explícito é um passo separado e ativo antes da amostra, demonstrável e fácil de retirar.
Os dados da loja e os dados genéticos são mantidos separados; os relatórios ficam no portal seguro.
As respostas aos questionários não vão parar ao CRM, à newsletter nem às ferramentas de publicidade.
Há contratos de subcontratação com todos os prestadores de serviços; as transferências para o estrangeiro foram verificadas.
Os papéis entre ti e a Novogenia estão definidos por escrito.
Consentimento para cookies nos termos do § 25 da TDDDG ou do § 165, n.º 3, da TKG 2021; para a Suíça, informação e possibilidade de recusa nos termos do artigo 45c da FMG.
A avaliação de impacto e o encarregado da proteção de dados foram verificados – nos termos do RGPD e, para a Suíça, da DSG.
A tua informação sobre proteção de dados indica os responsáveis pelo tratamento, as finalidades, os destinatários e o prazo de conservação.

Como fazemos na Novogenia

Como tratamos os dados da loja e da análise na Novogenia:

Análise na Áustria: as amostras são analisadas no nosso próprio laboratório em Eugendorf, perto de Salzburgo.
Informação sobre proteção de dados antes da amostra: quem é responsável por que tratamento consta da informação sobre proteção de dados relativa à análise genética, que o cliente recebe antes de enviar a amostra.
Relatórios no portal: os relatórios são entregues em formato digital num portal seguro, impressos a pedido.
Tu decides o que vês: como parceiro, escolhes se vês os relatórios dos teus clientes. Se for esse o caso, isso deve ficar claro de antemão e constar do consentimento.
Pedidos de consumidores: com o consentimento explícito dado no formulário de contacto, encaminhamos os pedidos de consumidores para uma empresa parceira adequada.

Perguntas frequentes

Os dados de encomenda já são dados de saúde?

Podem ser. Em 2024, o Tribunal de Justiça da UE decidiu que as informações que os clientes introduzem ao encomendar online medicamentos de venda exclusiva em farmácia – como o nome, a morada de entrega e os elementos necessários à individualização dos medicamentos – são dados relativos à saúde, mesmo sem receita médica (C-21/23). Em qualquer caso, trata os dados do questionário, da análise e do relatório como categoria especial nos termos do artigo 9.º do RGPD.

Uma caixa de verificação nas minhas condições gerais basta como consentimento?

Não. O consentimento para o tratamento de dados genéticos ou de saúde tem de ser explícito e dado para finalidades específicas (artigo 9.º, n.º 2, alínea a), do RGPD). Tens de o poder demonstrar (artigo 7.º, n.º 1), retirá-lo tem de ser tão fácil como dá-lo (artigo 7.º, n.º 3), e uma caixa pré-validada não constitui consentimento (considerando 32).

Posso direcionar publicidade aos clientes dos testes genéticos?

Não uses resultados genéticos, respostas a questionários nem interesses de saúde para perfis publicitários, retargeting ou listas de públicos, a menos que o teu cliente tenha consentido explicitamente exatamente nisso. As plataformas em linha não podem, de qualquer forma, apresentar anúncios baseados na definição de perfis que utilize categorias especiais de dados pessoais (artigo 26.º, n.º 3, do Regulamento (UE) 2022/2065).

Preciso de um encarregado da proteção de dados?

Nos termos do RGPD, precisas, se as atividades principais da tua empresa consistirem no tratamento em grande escala de categorias especiais de dados (artigo 37.º, n.º 1, alínea c)). O tratamento em grande escala desses dados exige também uma avaliação de impacto sobre a proteção de dados prévia (artigo 35.º, n.º 3, alínea b)). Quanto menos dados genéticos chegarem à tua loja, menor se torna esta questão – mas manda verificá-la de qualquer forma.

O que se aplica aos clientes na Suíça?

A Lei Federal sobre a Proteção de Dados (DSG): os dados genéticos e de saúde são dados pessoais sensíveis (artigo 5.º, alínea c)), qualquer consentimento necessário tem de ser explícito (artigo 6.º, n.º 7), e informas as pessoas sobre o responsável pelo tratamento, a finalidade, os destinatários e, se for caso disso, o país estrangeiro (artigo 19.º). Os responsáveis privados no estrangeiro precisam, em determinadas condições, de um representante na Suíça (artigo 14.º). Para os cookies, o artigo 45c da Lei das Telecomunicações exige informação e a possibilidade de recusa.

Relacionados: Proteção de dados em testes genéticos white label · Dados genéticos e RGPD · Vender testes genéticos online: DE, AT, CH

Produtos personalizados para a tua loja?

Fala-nos da tua marca e dos teus canais – mostramos-te que modelo se adequa.

Pedir um projeto →Oferta para e-commerce

Nota: Este guia contém informação geral para empresas e profissionais e não substitui aconselhamento médico ou jurídico. As características genéticas determinadas numa análise genética estão bem documentadas (cada gene incluído é sustentado por, pelo menos, três estudos independentes); as recomendações daí derivadas são conclusões lógicas, não estão cientificamente comprovadas. A regulamentação pode mudar; salvo erros e alterações.