Protecția datelor în magazinul online: cum gestionezi corect datele privind sănătatea și datele genetice

Verificat de Dr. Daniel Wallerstorfer, biolog molecular și fondator al Novogenia · Actualizat: 15 octombrie 2026 · Timp de citire: 11 min

Pe scurt

Datele genetice și datele privind sănătatea sunt categorii speciale de date cu caracter personal; prelucrarea lor este în principiu interzisă, cu excepția cazului în care clientul tău își dă consimțământul explicit pentru scopuri specificate (art. 9 alin. (1) și (2) lit. (a) GDPR). Chiar și datele comenzii pot fi date privind sănătatea, dacă permit concluzii despre sănătatea unei persoane (CJUE, C-21/23). Așadar, ține datele magazinului, precum comenzile și plățile, separat de chestionare, analize și rapoarte, oferă furnizorilor de servicii doar ce le trebuie și nu folosi niciodată informații despre sănătate pentru profiluri publicitare. Pentru clienții din Elveția se aplică Legea federală elvețiană privind protecția datelor: datele genetice și datele privind sănătatea sunt date personale sensibile, iar orice consimțământ necesar trebuie să fie explicit (art. 5 lit. c și art. 6 alin. (7) DSG).

Două sertare: ce poate dezvălui o comandă

Un nume, o adresă de livrare, un produs în coș – pare inofensiv. Curtea de Justiție a Uniunii Europene a văzut lucrurile altfel în 2024. Un farmacist vindea printr-o platformă online medicamente care se eliberează numai în farmacie, dar fără prescripție medicală. Informațiile pe care clienții trebuiau să le introducă la comandă – precum numele, adresa de livrare și detaliile necesare pentru individualizarea medicamentelor – sunt date privind sănătatea, a hotărât Curtea (hotărârea din 4 octombrie 2024, C-21/23). În aceeași hotărâre, Curtea a precizat că GDPR nu se opune unor norme naționale care permit concurenților să urmărească în instanțele civile încălcările protecției datelor ca practici comerciale neloiale. Protecția datelor este, așadar, și o chestiune de concurență.

Pentru un magazin care vinde analize genetice și produse personalizate, imaginea este clară: imaginează-ți două sertare. Unul conține ce are nevoie orice magazin – comandă, adresă, plată, livrare. Celălalt este încuiat: chestionar, informații despre sănătate, date genetice, raport. Magazinele bune le țin separat și îl deschid pe al doilea doar atunci când chiar trebuie. Iată cum. Bazele pentru practicieni se află în Datele genetice și GDPR, iar rolurile brandului și ale laboratorului în Protecția datelor la testele genetice white label. Acest articol este o orientare, nu un sfat juridic pentru cazul tău concret.

Ce date atinge magazinul tău

Regulamentul general privind protecția datelor (GDPR) distinge două lumi. Datele genetice sunt date cu caracter personal referitoare la caracteristicile genetice moștenite sau dobândite ale unei persoane, care oferă informații unice privind fiziologia sau sănătatea acesteia (art. 4 pct. 13). Datele privind sănătatea sunt legate de sănătatea fizică sau mentală și dezvăluie informații despre starea de sănătate a unei persoane (art. 4 pct. 15). Ambele sunt categorii speciale a căror prelucrare este în principiu interzisă (art. 9 alin. (1)).

Sertarul	Exemple	Ce se aplică
Date de comandă și contractuale	nume, adresă, plată, istoricul comenzilor, stadiul livrării	prelucrare pentru executarea contractului (art. 6 alin. (1) lit. (b)); atenție dacă însăși comanda permite concluzii despre sănătate
Chestionar și informații despre sănătate	obiective, acuze, valori sanguine, detalii despre stilul de viață	tot ce dezvăluie starea de sănătate: consimțământ explicit (art. 9 alin. (2) lit. (a))
Date genetice și raport	rezultatele analizei, raportul din portal	consimțământ explicit; ideal, nu sunt stocate în sistemul magazinului
Marketing și tracking	cookie-uri, newsletter, pixeli publicitari	consimțământ pentru cookie-urile care nu sunt strict necesare (Germania: § 25 TDDDG; Austria: § 165 alin. (3) TKG 2021); fără date privind sănătatea în profilurile publicitare

Consimțământul explicit: un pas separat în checkout

Pentru testele genetice destinate consumatorilor, consimțământul explicit pentru unul sau mai multe scopuri specificate este temeiul juridic central (art. 9 alin. (2) lit. (a) GDPR). Pentru ca acesta să reziste, integrează-l în checkout ca pas separat – nu ca o clauză ascunsă în condițiile generale:

Clar și specific: ce date, în ce scop, cine le prelucrează – și dacă tu, ca partener, vezi rapoartele.
Activ: O căsuță bifată în prealabil nu reprezintă consimțământ (considerentul 32).
Demonstrabil: Trebuie să poți dovedi că clientul tău și-a dat consimțământul (art. 7 alin. (1)).
Revocabil: Retragerea consimțământului trebuie să fie la fel de simplă ca acordarea lui, iar clientul tău este informat despre acest lucru dinainte (art. 7 alin. (3)).
La timp: Consimțământul își are locul înainte de probă, nu după ea. Cum funcționează tehnic înregistrarea și consimțământul stabilești împreună cu Novogenia.

Statele membre pot introduce condiții suplimentare pentru datele genetice și datele privind sănătatea (art. 9 alin. (4)). Care se aplică în Germania, Austria și Elveția este explicat în Protecția datelor la testele genetice white label.

Ține separat datele magazinului de datele genetice

Datele trebuie limitate la ceea ce este necesar în raport cu scopul (art. 5 alin. (1) lit. (c) GDPR), iar în mod implicit sunt prelucrate numai datele necesare pentru fiecare scop specific (art. 25 alin. (2)). În practică, pentru magazinul tău aceasta înseamnă:

Magazinul cunoaște comanda, nu rezultatul: Serviciul de relații cu clienții și livrarea au nevoie de stadiul comenzii și de detaliile de livrare. Rezultatele genetice și rapoartele rămân în portalul securizat.
Niciun chestionar în CRM: Informațiile despre sănătate nu își au locul în instrumentul de newsletter, în sistemul de tichete sau în foi de calcul pe care le poate deschide jumătate din echipă.
Acces în funcție de rol: Doar persoanele care au nevoie de o informație pentru sarcina lor o pot vedea.
Niciun raport ca atașament la e-mail: Protejează rapoartele prin măsuri tehnice și organizatorice adecvate (art. 32); un portal securizat este construit exact pentru asta.
Alege-ți conștient perspectiva: La Novogenia, tu, ca partener, decizi dacă vezi rapoartele clienților tăi. Dacă nu ai nevoie de ele, al doilea sertar rămâne gol – iar riscul tău rămâne mic.

Furnizorii tăi de servicii: persoane împuternicite, pe bază de contract

Un magazin online funcționează rareori singur: software de magazin, furnizor de plăți, serviciu de curierat, instrument de e-mail, chat pentru relații cu clienții. Oricine prelucrează date în numele tău trebuie să ofere garanții suficiente pentru punerea în aplicare a unor măsuri tehnice și organizatorice adecvate (art. 28 alin. (1) GDPR), iar cu fiecare dintre ei încheii un contract de prelucrare a datelor (art. 28 alin. (3)). Verifică unde prelucrează datele instrumentele tale: transferurile către țări din afara UE sunt permise doar în condițiile capitolului V (art. 44). Iar informarea ta privind protecția datelor menționează destinatarii sau categoriile de destinatari (art. 13 alin. (1) lit. (e)).

Ce rol ai în raport cu Novogenia – operator, persoană împuternicită de operator sau operator asociat (art. 4 pct. 7 și 8, art. 26) – depinde de model. Clarifică acest lucru în scris înainte de lansare; bazele se află în Protecția datelor la testele genetice white label.

Marketing fără profil de sănătate

Cookie-urile și pixelii publicitari necesită consimțământul vizitatorilor tăi, cu excepția cazului în care sunt strict necesari pentru serviciul solicitat de utilizator (Germania: § 25 TDDDG; Austria: § 165 alin. (3) TKG 2021). În cazul testelor genetice se aplică o a doua limită: platformele online nu au voie să prezinte reclame bazate pe crearea de profiluri care utilizează categorii speciale de date cu caracter personal (art. 26 alin. (3) din Regulamentul privind serviciile digitale, Regulamentul (UE) 2022/2065).

De aici rezultă o regulă simplă pentru marketingul tău: rezultatele genetice, răspunsurile din chestionar și interesele legate de sănătate nu ajung în profiluri publicitare, liste de retargeting sau încărcări de audiențe – cu excepția cazului în care clientul tău și-a dat consimțământul explicit exact pentru acest lucru. Promovează-ți oferta prin ceea ce arată, nu prin ceea ce știi despre anumite persoane. Ce ai voie să spui în publicitate este explicat în Marketingul produselor personalizate.

Evaluarea impactului și responsabilul cu protecția datelor

Două obligații depind de amploare. În cazul prelucrării pe scară largă a unor categorii speciale de date, efectuezi în prealabil o evaluare a impactului asupra protecției datelor (art. 35 alin. (3) lit. (b) GDPR). Dacă activitățile principale ale companiei tale constau într-o astfel de prelucrare, ai nevoie de un responsabil cu protecția datelor (art. 37 alin. (1) lit. (c)). Dacă magazinul tău intră sub aceste obligații depinde și de modul în care îl configurezi: cu cât al doilea sertar rămâne mai bine închis, cu atât prelucrezi singur mai puține date din categorii speciale. Solicită o evaluare înainte de lansare.

Elveția: DSG în loc de GDPR

Pentru clienții din Elveția se aplică Legea federală privind protecția datelor (DSG). Ideile ei de bază le cunoști din GDPR, dar detaliile diferă:

Date sensibile: Datele privind sănătatea și datele genetice sunt date personale sensibile (art. 5 lit. c pct. 2 și 3 DSG). Acolo unde este necesar consimțământul, pentru aceste date el trebuie să fie explicit (art. 6 alin. (7)).
Informare: Comunici cel puțin identitatea și datele de contact ale operatorului, scopul și, după caz, destinatarii; dacă datele ajung în străinătate, și țara (art. 19).
Evaluarea impactului: Prelucrarea pe scară largă a datelor personale sensibile înseamnă un risc ridicat, așa că efectuezi în prealabil o evaluare a impactului asupra protecției datelor (art. 22).
Reprezentant în Elveția: Operatorii privați cu sediul în străinătate desemnează un reprezentant în Elveția dacă prelucrează date în legătură cu oferirea de bunuri sau servicii pe scară largă și în mod regulat, iar prelucrarea implică un risc ridicat (art. 14).
Cookie-uri: Elveția nu impune consimțământul prealabil, ci informarea despre prelucrare și scopul acesteia, precum și mențiunea că utilizatorii o pot refuza (art. 45c din Legea privind telecomunicațiile, FMG).

O diferență vine înaintea protecției datelor: în Elveția nu vinzi analize genetice de stil de viață ca teste de uz casnic (art. 13 GUMG). Ce înseamnă acest lucru pentru magazinul tău este explicat în Vânzarea online a testelor genetice: DE, AT, CH.

Listă de verificare: protecția datelor în magazinul tău

Știi ce date prelucrează magazinul tău – și care dintre ele sunt date genetice sau date privind sănătatea.
Consimțământul explicit este un pas separat și activ, înainte de probă, demonstrabil și ușor de retras.
Datele magazinului și datele genetice sunt ținute separat; rapoartele rămân în portalul securizat.
Răspunsurile din chestionar nu ajung în CRM, în instrumentul de newsletter sau în instrumentele publicitare.
Există contracte de prelucrare a datelor cu toți furnizorii de servicii; transferurile în străinătate au fost verificate.
Rolurile dintre tine și Novogenia sunt stabilite în scris.
Consimțământul pentru cookie-uri conform § 25 TDDDG sau § 165 alin. (3) TKG 2021; pentru Elveția, informare și posibilitate de refuz conform art. 45c FMG.
Evaluarea impactului și responsabilul cu protecția datelor au fost verificate – conform GDPR și, pentru Elveția, conform DSG.
Informarea ta privind protecția datelor menționează operatorii, scopurile, destinatarii și durata de stocare.

Cum procedăm la Novogenia

Cum gestionăm la Novogenia datele din magazin și din analiză:

Analiza în Austria: Probele sunt analizate în laboratorul propriu din Eugendorf, lângă Salzburg.
Informare privind protecția datelor înainte de probă: Cine răspunde pentru ce prelucrare este stabilit în informarea privind protecția datelor pentru analiza genetică, pe care clientul o primește înainte de a trimite proba.
Rapoarte în portal: Rapoartele sunt livrate în format digital, printr-un portal securizat, tipărite la cerere.
Tu decizi ce vezi: Ca partener, alegi dacă vezi rapoartele clienților tăi. Dacă da, acest lucru trebuie să fie clar dinainte și inclus în consimțământ.
Solicitări ale consumatorilor: Cu consimțământul explicit dat în formularul de contact, transmitem solicitările consumatorilor unei companii partenere potrivite.

Întrebări frecvente

Sunt datele comenzii deja date privind sănătatea?

Pot fi. În 2024, Curtea de Justiție a Uniunii Europene a hotărât că informațiile pe care clienții le introduc atunci când comandă online medicamente care se eliberează numai în farmacie – precum numele, adresa de livrare și detaliile necesare pentru individualizarea medicamentelor – sunt date privind sănătatea, chiar și fără prescripție medicală (C-21/23). În orice caz, tratează datele din chestionar, din analiză și din raport ca o categorie specială în sensul art. 9 GDPR.

Ajunge o căsuță de bifat în condițiile mele generale pentru consimțământ?

Nu. Consimțământul pentru prelucrarea datelor genetice sau a datelor privind sănătatea trebuie să fie explicit și dat pentru scopuri specificate (art. 9 alin. (2) lit. (a) GDPR). Trebuie să îl poți dovedi (art. 7 alin. (1)), retragerea lui trebuie să fie la fel de simplă ca acordarea (art. 7 alin. (3)), iar o căsuță bifată în prealabil nu reprezintă consimțământ (considerentul 32).

Pot direcționa publicitate către clienții testelor genetice?

Nu folosi rezultatele genetice, răspunsurile din chestionar sau interesele legate de sănătate pentru profiluri publicitare, retargeting sau liste de audiență, cu excepția cazului în care clientul tău și-a dat consimțământul explicit exact pentru acest lucru. Platformele online nu au voie, în orice caz, să prezinte reclame bazate pe crearea de profiluri care utilizează categorii speciale de date cu caracter personal (art. 26 alin. (3) din Regulamentul (UE) 2022/2065).

Am nevoie de un responsabil cu protecția datelor?

Conform GDPR, da, dacă activitățile principale ale companiei tale constau în prelucrarea pe scară largă a unor categorii speciale de date (art. 37 alin. (1) lit. (c)). Prelucrarea pe scară largă a unor astfel de date necesită, de asemenea, o evaluare prealabilă a impactului asupra protecției datelor (art. 35 alin. (3) lit. (b)). Cu cât ajung mai puține date genetice în magazinul tău, cu atât această întrebare devine mai mică – dar solicită totuși o verificare.

Ce se aplică clienților din Elveția?

Legea federală elvețiană privind protecția datelor (DSG): datele genetice și datele privind sănătatea sunt date personale sensibile (art. 5 lit. c), orice consimțământ necesar trebuie să fie explicit (art. 6 alin. (7)), iar persoanele trebuie informate despre operator, scop, destinatari și, după caz, țara din străinătate (art. 19). Operatorii privați din străinătate au nevoie, în anumite condiții, de un reprezentant în Elveția (art. 14). Pentru cookie-uri, art. 45c din Legea privind telecomunicațiile impune informarea și posibilitatea de refuz.

Articole conexe: Protecția datelor la testele genetice white label · Datele genetice și GDPR · Vânzarea online a testelor genetice: DE, AT, CH

Produse personalizate pentru magazinul tău?

Spune-ne despre brandul și canalele tale – îți arătăm ce model ți se potrivește.

Solicită un proiect →Oferta pentru e-commerce

Notă: Acest ghid are caracter de informare generală pentru companii și specialiști și nu înlocuiește consultanța medicală sau juridică. Trăsăturile genetice determinate într-o analiză genetică sunt bine documentate (fiecare genă inclusă este susținută de cel puțin trei studii independente); recomandările derivate din acestea sunt deducții logice, nu sunt dovedite științific. Reglementările se pot modifica; sub rezerva erorilor și a modificărilor.