Acasă › Ghid de nutrigenetică › Datele genetice și GDPR

Datele genetice și GDPR: ce trebuie să știi în cabinetul tău

Verificat de Dr. Daniel Wallerstorfer, biolog molecular și fondator al Novogenia · Actualizat: 12 octombrie 2026 · Timp de citire: 12 min

O parolă pe care nu o poți schimba niciodată: de ce datele genetice sunt speciale

Dacă îți este furată parola, o schimbi. Genele nu ți le poți schimba. Ele rămân cu tine toată viața – și dezvăluie ceva despre părinții, frații și copiii tăi. De aceea, legislația privind protecția datelor le păzește atât de atent.

Regulamentul general privind protecția datelor (GDPR) definește datele genetice ca fiind datele cu caracter personal referitoare la caracteristicile genetice moștenite sau dobândite ale unei persoane, care oferă informații unice privind fiziologia sau sănătatea acesteia și care rezultă în special în urma unei analize a unei probe biologice (art. 4 pct. 13). O probă de salivă pentru o analiză de nutriție intră clar sub incidența acestei definiții – indiferent dacă analiza este medicală sau nu.

Datele genetice sunt o categorie specială de date cu caracter personal. Prelucrarea lor este interzisă (art. 9 alin. (1)), cu excepția cazului în care se aplică una dintre excepțiile de la art. 9 alin. (2). Pentru o analiză genetică în consilierea nutrițională, principala opțiune este consimțământul explicit. Statele membre pot introduce și condiții suplimentare pentru datele genetice (art. 9 alin. (4)) – de aceea Germania și Austria au, parțial, propriile reguli. Elveția are propria lege; mai multe despre asta mai jos.

Consimțământul: o cheie pe care clientul tău o poate lua înapoi oricând

Consimțământul este cheia care deschide ușa prelucrării. Pentru datele genetice, el trebuie să fie explicit și să se refere la unul sau mai multe scopuri specificate (art. 9 alin. (2) lit. (a)). Iar clientul tău poate lua cheia înapoi oricând. Ce contează:

• Explicit: o declarație clară, separată. Conform Ghidurilor 05/2020 ale Comitetului European pentru Protecția Datelor, o declarație scrisă semnată este o cale evidentă; online, persoana poate și să completeze un formular electronic, să trimită un e-mail, să încarce un document semnat sau să folosească o semnătură electronică. O căsuță bifată în prealabil nu reprezintă consimțământ (considerentul 32).
• Demonstrabil: trebuie să poți arăta că persoana și-a dat consimțământul (art. 7 alin. (1)).
• Revocabil: persoana își poate retrage consimțământul oricând, retragerea trebuie să fie la fel de simplă ca acordarea lui, iar tu o informezi despre acest lucru dinainte (art. 7 alin. (3)).
• Legat de scop: datele nu trebuie prelucrate ulterior într-un mod incompatibil cu scopurile inițiale (art. 5 alin. (1) lit. (b)). Dacă se adaugă un scop nou, EDPB spune că ai nevoie de un nou consimțământ.

Regulile naționale adaugă și altele. Pentru examinările genetice în scop medical, Germania impune un consimțământ explicit, scris, acordat medicului responsabil (§ 8 GenDG). În Elveția, orice test genetic necesită un consimțământ liber și expres, exprimat după o informare adecvată (art. 5 GUMG). În Austria, datele provenite din analize genetice în sensul GTG pot fi transmise altor persoane decât cele enumerate în lege doar cu consimțământul expres, scris, al persoanei testate (§ 71 alin. (2) GTG).

Fără surprize: ce trebuie să știe clienții tăi de la început

Transparența este o obligație, nu o notă de subsol. Atunci când colectezi date, îl informezi pe clientul tău chiar în acel moment, printre altele, despre (art. 13 GDPR):

• cine este operatorul, cu datele de contact, și, dacă este cazul, datele de contact ale responsabilului cu protecția datelor,
• scopurile și temeiul juridic al prelucrării,
• destinatarii sau categoriile de destinatari – de exemplu laboratorul,
• dacă este cazul, intenția de a transfera date către o țară terță,
• cât timp vor fi stocate datele sau criteriile folosite pentru a stabili această perioadă,
• drepturile sale, inclusiv dreptul de a-și retrage oricând consimțământul și dreptul de a depune o plângere la o autoritate de supraveghere.

Informațiile trebuie furnizate într-o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu (art. 12 alin. (1)). În Elveția, art. 32 GUMG adaugă pentru testele nemedicale obligații de informare scrisă, de exemplu numirea laboratorului și a eventualelor companii și laboratoare din străinătate implicate.

Beneficiar sau antreprenor? Cine ce rol are între consultant și laborator

O analiză genetică implică cel puțin doi actori: tu și laboratorul. GDPR întreabă: cine decide asupra scopurilor și mijloacelor prelucrării? Acela este operatorul – ca beneficiarul unui proiect de construcție, care decide ce se construiește (art. 4 pct. 7). Cine prelucrează date în numele operatorului este persoana împuternicită de operator – ca antreprenorul care construiește după plan (art. 4 pct. 8). Dacă două părți stabilesc împreună scopurile și mijloacele, ele sunt operatori asociați (art. 26).

Rolurile decurg din ceea ce se întâmplă efectiv, nu din titlul contractului: conform Ghidurilor 07/2020 ale EDPB, conceptele sunt funcționale și repartizează responsabilitățile în funcție de rolurile reale ale părților.

Sfat practic: convine în scris cu laboratorul tău cine ce rol și ce obligație are, înainte de trimiterea primei probe – în special cine îți informează clienții conform art. 13 și cine răspunde la cererile de acces sau de ștergere.

Fă bagajul ca pentru o drumeție montană: ia doar ce îți trebuie

Fă-ți bagajul de date ca pe un rucsac pentru o drumeție montană: ce nu îți trebuie rămâne acasă. GDPR numește acest principiu reducerea la minimum a datelor – datele trebuie să fie adecvate, relevante și limitate la ceea ce este necesar pentru scop (art. 5 alin. (1) lit. (c)). Iar ele pot fi păstrate într-o formă care permite identificarea doar atât timp cât o impune scopul (limitarea legată de stocare, art. 5 alin. (1) lit. (e)).

• Întreabă-te sincer: ai nevoie de raportul complet – sau sunt suficiente rezultatele pe care le discuți cu clientul tău?
• Canale securizate: protejează rapoartele prin măsuri tehnice și organizatorice adecvate (art. 32) – un portal securizat este mai bun decât un atașament de e-mail neprotejat.
• Protecția datelor începând cu momentul conceperii: integrează principiile de protecție a datelor în procese și în setările implicite, de exemplu prin pseudonimizare (art. 25).
• Termenul de ștergere: stabilește când ștergi documentele – și respectă termenul.

Pentru unele cazuri, legea stabilește termene. În Germania, medicul responsabil păstrează rezultatele examinărilor genetice în scop medical timp de zece ani, iar apoi le distruge (§ 12 GenDG). În Elveția, probele și datele provenite din alte teste conform art. 31 alin. (2) GUMG trebuie distruse cel târziu la doi ani după testare, cu excepția cazului în care persoana și-a dat consimțământul pentru o altă utilizare sau nu s-a opus anonimizării (art. 11 alin. (2) GUMG).

Drepturile clienților tăi

Clienții tăi păstrează controlul. Drepturile lor esențiale conform GDPR:

• Accesul la datele prelucrate (art. 15) și rectificarea datelor inexacte (art. 16)
• Ștergerea, de exemplu după retragerea consimțământului, atunci când nu există un alt temei juridic (art. 17)
• Restricționarea prelucrării (art. 18) și portabilitatea datelor (art. 20)
• Retragerea consimțământului oricând (art. 7 alin. (3))

Răspunzi la cereri fără întârzieri nejustificate și în orice caz în termen de o lună; pentru cazurile complexe, termenul poate fi prelungit cu două luni (art. 12 alin. (3)). La acestea se adaugă un drept care există doar în legislația genetică: dreptul de a nu ști. În Elveția, orice persoană are dreptul de a refuza să ia cunoștință, integral sau parțial, de informațiile despre genomul său (art. 8 GUMG). În Germania, acesta face parte din informarea pentru examinările în scop medical (§ 9 alin. (2) pct. 5 GenDG); în Austria, face parte din consilierea pentru analizele de tipul 2 până la 4 (§ 69 alin. (5) GTG).

Programe de sănătate corporativă: angajatorul rămâne în afară

Dacă oferi analize genetice în companii, ai nevoie de un zid solid între rezultate și angajator. Legea construiește acest zid în toate cele trei țări:

• Germania: angajatorul nu are voie nici să le impună angajaților examinări sau analize genetice, nici să ceară comunicarea rezultatelor, să primească astfel de rezultate sau să le utilizeze (§ 19 GenDG).
• Austria: angajatorilor le este interzis să colecteze, să solicite, să accepte sau să utilizeze în alt mod rezultatele analizelor genetice ale angajaților sau ale candidaților la un loc de muncă (§ 67 alin. (1) GTG).
• Elveția: angajatorii nu au voie nici să impună teste genetice nemedicale, nici să solicite date genetice irelevante din punct de vedere medical, nici să utilizeze astfel de date (art. 37 GUMG).

Așadar, concepe o astfel de ofertă astfel încât participarea să rămână voluntară, rezultatele să ajungă doar la angajat, iar angajatorul să nu primească rezultate individuale. Consimțământul trebuie să fie liber exprimat (art. 4 pct. 11 GDPR) – la locul de muncă, urmărește atent acest aspect.

Elveția: DSG în locul GDPR

Elveția nu este membră a UE. Pentru prelucrarea datelor genetice, art. 10 alin. (2) GUMG trimite la legislația federală și cantonală privind protecția datelor. Pentru persoanele private – inclusiv pentru tine ca consultant – aceasta este Legea federală elvețiană revizuită privind protecția datelor (DSG), în vigoare din 1 septembrie 2023 (art. 2 alin. (1) lit. a DSG). Ideile de bază corespund GDPR; detaliile diferă:

• Date sensibile: datele genetice sunt date cu caracter personal sensibile (art. 5 lit. c pct. 3 DSG).
• Consimțământ explicit: acolo unde este necesar consimțământul, pentru datele cu caracter personal sensibile acesta trebuie dat în mod explicit (art. 6 alin. (7)) – voluntar, pentru o prelucrare determinată și pe baza unei informări adecvate (art. 6 alin. (6)). Pentru testul propriu-zis, art. 5 GUMG impune oricum un consimțământ liber și expres.
• Date în străinătate: datele pot fi transmise către state despre care Consiliul Federal a constatat că asigură o protecție adecvată (art. 16 alin. (1) DSG). Lista se află în anexa 1 la Ordonanța elvețiană privind protecția datelor (DSV); toate statele UE, inclusiv Austria și Germania, figurează pe ea. Pentru alte state sunt necesare garanții adecvate (art. 16 alin. (2)) sau o excepție, cum ar fi consimțământul explicit al persoanei vizate (art. 17 alin. (1) lit. a).
• Transparență: dacă datele sunt transmise în străinătate, îi comunici persoanei vizate și statul în cauză (art. 19 alin. (4) DSG).
• Evaluarea impactului: dacă prelucrarea poate genera un risc ridicat, operatorul efectuează în prealabil o evaluare a impactului asupra protecției datelor – în special în cazul prelucrării extinse a datelor cu caracter personal sensibile (art. 22 alin. (1) și (2) DSG).

Listă de verificare: protecția datelor în cabinetul tău

• Rolurile sunt clarificate în scris cu laboratorul – cu un contract de prelucrare a datelor (art. 28) sau, dacă este necesar, un acord între operatori asociați (art. 26).
• Consimțământul explicit pentru scopuri specificate este obținut și documentat (art. 9 alin. (2) lit. (a), art. 7 alin. (1)).
• Informarea completă și ușor de înțeles privind protecția datelor conform art. 13 este furnizată.
• Evidența activităților de prelucrare este ținută – scutirea pentru organizațiile cu mai puțin de 250 de angajați nu se aplică dacă prelucrezi categorii speciale de date (art. 30 alin. (5)).
• Rapoartele circulă doar prin canale securizate, accesul îl au doar cei care au nevoie de el (art. 32).
• Termenele de ștergere sunt stabilite și respectate (art. 5 alin. (1) lit. (e)).
• Plan pentru încălcările securității datelor: notificarea autorității de supraveghere, dacă este posibil, în termen de 72 de ore (art. 33).
• Pentru prelucrarea pe scară largă a datelor genetice: o evaluare a impactului asupra protecției datelor (art. 35 alin. (3) lit. (b)) și, dacă aceasta este activitatea ta principală, un responsabil cu protecția datelor (art. 37 alin. (1) lit. (c)).

Întrebări frecvente

Articole conexe: Cine are voie să ofere teste genetice? · Cum explici clar un raport genetic · Modele de parteneriat și white label

Notă: Acest ghid are caracter de informare generală pentru specialiști și nu înlocuiește consultanța medicală sau juridică. Trăsăturile genetice determinate într-o analiză genetică sunt bine documentate (fiecare genă inclusă este susținută de cel puțin trei studii independente); recomandările privind nutriția, micronutrienții și stilul de viață derivate din acestea sunt deducții logice, nu sunt dovedite științific. Reglementările se pot modifica; sub rezerva erorilor și a modificărilor.