Početna › Vodič za nutrigenetiku › Genetski podaci i GDPR

Vodič za nutrigenetiku

Genetski podaci i GDPR: šta treba da znate u svojoj praksi

Stručno proverio dr Daniel Wallerstorfer, molekularni biolog i osnivač kompanije Novogenia · Ažurirano: 12. 10. 2026. · Vreme čitanja: 11 min

Ukratko

Prema GDPR-u genetski podaci spadaju u posebne vrste podataka o ličnosti (čl. 4(13), čl. 9). Njihova obrada je u načelu zabranjena – zakonita postaje, na primer, uz izričit pristanak za određene svrhe. Pre nego što počnete, razjasnite ko je rukovalac, a ko obrađivač, potpuno informišite svoje klijente (čl. 13), obrađujte samo ono što vam je zaista potrebno i brišite ono što vam više nije potrebno. U Nemačkoj, Austriji i Švajcarskoj poslodavci u načelu ne smeju ni da traže ni da koriste genetske rezultate svojih zaposlenih.

Lozinka koju nikada ne možete promeniti: zašto su genetski podaci posebni

Ako vam neko ukrade lozinku, promenite je. Svoje gene ne možete da promenite. Oni ostaju sa vama celog života – i otkrivaju nešto o vašim roditeljima, braći i sestrama i deci. Zato ih propisi o zaštiti podataka tako pažljivo čuvaju.

Opšta uredba o zaštiti podataka (GDPR) definiše genetske podatke kao podatke o ličnosti koji se odnose na nasleđene ili stečene genetske osobine pojedinca, koji daju jedinstvenu informaciju o njegovoj fiziologiji ili zdravlju i koji proizlaze naročito iz analize biološkog uzorka (čl. 4(13)). Uzorak pljuvačke za analizu ishrane jasno potpada pod to – bez obzira na to da li je analiza medicinska ili ne.

Genetski podaci spadaju u posebne vrste podataka o ličnosti. Njihova obrada je zabranjena (čl. 9(1)), osim ako se primenjuje neki od izuzetaka iz čl. 9(2). Za genetsku analizu u nutritivnom savetovanju glavna mogućnost je izričit pristanak. Države članice mogu za genetske podatke da uvedu i dodatne uslove (čl. 9(4)) – zbog toga Nemačka i Austrija delimično imaju sopstvena pravila. Švajcarska ima sopstveni zakon; više o tome u nastavku.

Pristanak je ključ koji otvara vrata obradi. Kod genetskih podataka on mora biti izričit i odnositi se na jednu ili više određenih svrha (čl. 9(2)(a)). A vaš klijent može ključ da uzme nazad u svakom trenutku. Važno je sledeće:

Izričit: jasna, zasebna izjava. Prema Smernicama 05/2020 Evropskog odbora za zaštitu podataka (EDPB), potpisana pisana izjava je očigledan način; onlajn osoba može i da popuni elektronski obrazac, pošalje e-poruku, otpremi potpisani dokument ili koristi elektronski potpis. Unapred označeno polje nije pristanak (uvodna izjava 32).
Dokaziv: Morate biti u stanju da pokažete da je osoba dala pristanak (čl. 7(1)).
Može se povući: Osoba može u svakom trenutku da povuče pristanak, povlačenje mora biti jednako jednostavno kao davanje pristanka, a vi je o tome obaveštavate unapred (čl. 7(3)).
Vezan za svrhu: Podaci se ne smeju dalje obrađivati na način koji nije u skladu sa prvobitnim svrhama (čl. 5(1)(b)). Ako se doda nova svrha, prema EDPB vam je potreban novi pristanak.

Nacionalna pravila dodaju još toga. Za genetska ispitivanja u medicinske svrhe Nemačka zahteva izričit pismeni pristanak dat nadležnom lekaru (§ 8 GenDG). U Švajcarskoj svaki genetski test zahteva slobodan i izričit pristanak nakon odgovarajućeg informisanja (čl. 5 GUMG). U Austriji podaci iz genetskih analiza u smislu GTG smeju se proslediti licima koja nisu navedena u zakonu samo uz izričit pismeni pristanak testirane osobe (§ 71(2) GTG).

Bez iznenađenja: šta vaši klijenti prvo treba da znaju

Transparentnost je obaveza, a ne sitna slova. Kada prikupljate podatke, u tom trenutku klijenta, između ostalog, obaveštavate o sledećem (čl. 13 GDPR-a):

ko je rukovalac, sa kontakt podacima, i po potrebi kontakt podaci lica za zaštitu podataka o ličnosti,
svrhe i pravni osnov obrade,
primaoci ili kategorije primalaca – na primer laboratorija,
po potrebi, namera da se podaci prenesu u treću zemlju,
koliko dugo će se podaci čuvati ili kriterijumi za određivanje tog roka,
njegova prava, uključujući pravo da u svakom trenutku povuče pristanak i pravo da podnese pritužbu nadzornom organu.

Informacije moraju biti sažete, transparentne, razumljive i lako dostupne, uz upotrebu jasnog i jednostavnog jezika (čl. 12(1)). U Švajcarskoj čl. 32 GUMG za nemedicinske testove dodaje obaveze pisanog informisanja, na primer navođenje laboratorije i svih uključenih kompanija i laboratorija u inostranstvu.

Naručilac ili izvođač? Ko ima koju ulogu između savetnika i laboratorije

U genetskoj analizi učestvuju najmanje dva aktera: vi i laboratorija. GDPR pita: ko odlučuje o svrhama i sredstvima obrade? To je rukovalac – kao investitor građevinskog projekta koji odlučuje šta će se graditi (čl. 4(7)). Ko obrađuje podatke u ime rukovaoca, jeste obrađivač – kao izvođač koji gradi prema planu (čl. 4(8)). Ako dve strane zajednički određuju svrhe i sredstva, one su zajednički rukovaoci (čl. 26).

Uloge proizlaze iz onoga što se stvarno dešava, a ne iz naslova ugovora: prema Smernicama 07/2020 EDPB, pojmovi su funkcionalni i raspodeljuju odgovornosti prema stvarnim ulogama strana.

Uloga	Kako je prepoznati	Šta GDPR zahteva
Rukovalac	Odlučuje o svrhama i sredstvima obrade (čl. 4(7))	Informiše lica na koja se podaci odnose, štiti njihova prava, obezbeđuje bezbednost i vodi evidenciju radnji obrade (čl. 13, 15–21, 30, 32)
Obrađivač	Obrađuje podatke u ime rukovaoca (čl. 4(8))	Ugovor kojim se utvrđuju predmet, trajanje, priroda i svrha obrade, vrsta podataka i kategorije lica na koja se podaci odnose (čl. 28(3)); dodatni obrađivači samo uz ovlašćenje (čl. 28(2))
Zajednički rukovaoci	Zajednički određuju svrhe i sredstva (čl. 26(1))	Sporazum o tome ko ispunjava koje obaveze, posebno u vezi sa pravima lica na koja se podaci odnose i obavezama informisanja

Praktičan savet: Sa svojom laboratorijom u pisanom obliku dogovorite ko ima koju ulogu i obavezu pre slanja prvog uzorka – posebno ko informiše vaše klijente prema čl. 13 i ko odgovara na zahteve za pristup ili brisanje.

Pakujte kao za planinarenje: ponesite samo ono što vam je potrebno

Pakujte svoje podatke kao ranac za planinarenje: sve što vam nije potrebno ostaje kod kuće. GDPR to naziva minimizacijom podataka – podaci moraju biti primereni, relevantni i ograničeni na ono što je neophodno za svrhu (čl. 5(1)(c)). I smeju se čuvati u obliku koji omogućava identifikaciju samo onoliko dugo koliko to svrha zahteva (ograničenje čuvanja, čl. 5(1)(e)).

Iskreno se zapitajte: Da li vam je potreban ceo izveštaj – ili su dovoljni rezultati o kojima razgovarate sa klijentom?
Bezbedni kanali: Zaštitite izveštaje odgovarajućim tehničkim i organizacionim merama (čl. 32) – zaštićeni portal je bolji od nezaštićenog priloga u e-poruci.
Ugrađena zaštita podataka: Ugradite načela zaštite podataka u procese i podrazumevana podešavanja, na primer pseudonimizacijom (čl. 25).
Rok za brisanje: Odlučite kada brišete evidencije – i pridržavajte se toga.

Za neke slučajeve zakon propisuje rokove. U Nemačkoj nadležni lekar čuva rezultate genetskih ispitivanja u medicinske svrhe deset godina, a zatim ih uništava (§ 12 GenDG). U Švajcarskoj uzorci i podaci iz ostalih testova u smislu čl. 31(2) GUMG moraju se uništiti najkasnije dve godine nakon testiranja, osim ako je osoba pristala na drugu upotrebu ili se nije protivila anonimizaciji (čl. 11(2) GUMG).

Prava vaših klijenata

Vaši klijenti zadržavaju kontrolu. Njihova ključna prava prema GDPR-u:

Pristup podacima koji se obrađuju (čl. 15) i ispravka netačnih podataka (čl. 16)
Brisanje, na primer nakon povlačenja pristanka ako ne postoji drugi pravni osnov (čl. 17)
Ograničenje obrade (čl. 18) i prenosivost podataka (čl. 20)
Povlačenje pristanka u svakom trenutku (čl. 7(3))

Na zahteve odgovarate bez nepotrebnog odlaganja, a u svakom slučaju u roku od mesec dana; u složenim slučajevima rok se može produžiti za dva meseca (čl. 12(3)). Uz to postoji i pravo koje postoji samo u propisima o genetici: pravo da se ne zna. U Švajcarskoj svako ima pravo da odbije da se upozna sa informacijama o svom genomu, u celini ili delimično (čl. 8 GUMG). U Nemačkoj je to deo informisanja kod ispitivanja u medicinske svrhe (§ 9(2) tač. 5 GenDG); u Austriji je deo savetovanja kod analiza tipa 2 do 4 (§ 69(5) GTG).

Programi za zdravlje zaposlenih: poslodavac ostaje napolju

Ako nudite genetske analize u kompanijama, potreban vam je čvrst zid između rezultata i poslodavca. Zakon taj zid gradi u sve tri zemlje:

Nemačka: Poslodavac ne sme od zaposlenih da zahteva da se podvrgnu genetskim ispitivanjima ili analizama, niti da zahteva otkrivanje rezultata, da prima takve rezultate ili da ih koristi (§ 19 GenDG).
Austrija: Poslodavcima je zabranjeno da prikupljaju, traže, prihvataju ili na drugi način koriste rezultate genetskih analiza zaposlenih ili kandidata za posao (§ 67(1) GTG).
Švajcarska: Poslodavci ne smeju ni da zahtevaju nemedicinsko genetsko testiranje ni da traže genetske podatke koji nisu medicinski relevantni, niti da takve podatke koriste (čl. 37 GUMG).

Zato takvu ponudu osmislite tako da učešće ostane dobrovoljno, da rezultati idu samo zaposlenom i da poslodavac ne dobija pojedinačne rezultate. Pristanak mora biti slobodno dat (čl. 4(11) GDPR-a) – na radnom mestu na to pažljivo pazite.

Švajcarska: DSG umesto GDPR-a

Švajcarska nije članica EU. Za obradu genetskih podataka čl. 10(2) GUMG upućuje na savezne i kantonalne propise o zaštiti podataka. Za privatna lica – uključujući i vas kao savetnika – to je revidirani Savezni zakon o zaštiti podataka (Datenschutzgesetz, DSG; engl. FADP), na snazi od 1. septembra 2023. (čl. 2(1)(a) DSG). Osnovne ideje odgovaraju GDPR-u; detalji se razlikuju:

Osetljivi podaci: Genetski podaci su osetljivi podaci o ličnosti (čl. 5(c)(3) DSG).
Izričit pristanak: Tamo gde je pristanak potreban, za osetljive podatke o ličnosti mora biti dat izričito (čl. 6(7)) – dobrovoljno, za određenu obradu i na osnovu odgovarajućih informacija (čl. 6(6)). Za sam test čl. 5 GUMG ionako zahteva slobodan i izričit pristanak.
Podaci u inostranstvu: Podaci smeju da se prenose u države za koje je Savezno veće utvrdilo da pružaju odgovarajuću zaštitu (čl. 16(1) DSG). Lista se nalazi u Prilogu 1 Uredbe o zaštiti podataka (Datenschutzverordnung, DSV); na njoj su sve države EU, uključujući Austriju i Nemačku. Za druge države potrebne su odgovarajuće mere zaštite (čl. 16(2)) ili izuzetak, kao što je izričit pristanak lica na koje se podaci odnose (čl. 17(1)(a)).
Transparentnost: Ako se podaci prenose u inostranstvo, licu na koje se podaci odnose navodite i o kojoj je državi reč (čl. 19(4) DSG).
Procena uticaja: Ako obrada verovatno može da prouzrokuje visok rizik, rukovalac unapred sprovodi procenu uticaja na zaštitu podataka o ličnosti – naročito kod obimne obrade osetljivih podataka o ličnosti (čl. 22(1) i (2) DSG).

Kontrolna lista: zaštita podataka u vašoj praksi

Uloge su razjašnjene sa laboratorijom u pisanom obliku – po potrebi ugovorom o obradi podataka (čl. 28) ili sporazumom zajedničkih rukovalaca (čl. 26).
Izričit pristanak za određene svrhe pribavljen je i dokumentovan (čl. 9(2)(a), čl. 7(1)).
Pružene su potpune, razumljive informacije o privatnosti prema čl. 13.
Vodi se evidencija radnji obrade – izuzetak za organizacije sa manje od 250 zaposlenih ne važi ako obrađujete posebne vrste podataka (čl. 30(5)).
Izveštaji samo preko bezbednih kanala, pristup samo za one kojima je potreban (čl. 32).
Rokovi za brisanje su utvrđeni i poštuju se (čl. 5(1)(e)).
Plan za povrede podataka: obaveštavanje nadzornog organa, ako je izvodljivo, u roku od 72 sata (čl. 33).
Kod obrade genetskih podataka u velikom obimu: procena uticaja na zaštitu podataka o ličnosti (čl. 35(3)(b)) i, ako je to vaša osnovna delatnost, lice za zaštitu podataka o ličnosti (čl. 37(1)(c)).

Česta pitanja

Da li su rezultati genetske analize ishrane genetski podaci u smislu GDPR-a?

Da. GDPR definiše genetske podatke kao podatke o ličnosti koji se odnose na nasleđene ili stečene genetske osobine pojedinca, koji daju jedinstvenu informaciju o njegovoj fiziologiji ili zdravlju i koji proizlaze naročito iz analize biološkog uzorka (čl. 4(13)). Nije bitno da li je analiza medicinska ili ne.

Da li je polje za potvrdu u obrascu porudžbine dovoljno za pristanak?

Unapred označeno polje nije dovoljno (uvodna izjava 32 GDPR-a). Genetski podaci zahtevaju izričit pristanak za određene svrhe (čl. 9(2)(a)). Prema Smernicama EDPB 05/2020, onlajn se to može učiniti, na primer, popunjavanjem elektronskog obrasca, slanjem e-poruke, otpremanjem potpisanog dokumenta ili elektronskim potpisom. Pristanak morate biti u stanju da dokažete (čl. 7(1)).

Da li sam rukovalac ili obrađivač?

To zavisi od toga ko stvarno odlučuje o svrhama i sredstvima obrade (čl. 4(7) i (8) GDPR-a). U Smernicama 07/2020 EDPB naglašava da se uloge određuju prema stvarnim aktivnostima, a ne prema nazivu u ugovoru. Razjasnite uloge sa svojom laboratorijom u pisanom obliku pre slanja prvog uzorka.

Da li moram da vidim genetske izveštaje svojih klijenata?

GDPR zahteva da podaci budu ograničeni na ono što je neophodno za svrhu (čl. 5(1)(c)). Da li vam je izveštaj potreban, zavisi od vašeg savetovanja. U kompaniji Novogenia sami odlučujete da li ćete videti izveštaje svojih klijenata.

Sme li poslodavac da sazna rezultate u programu za zdravlje zaposlenih?

Ne. U Nemačkoj poslodavac ne sme da traži, prima niti koristi rezultate genetskih ispitivanja (§ 19 GenDG); u Austriji je poslodavcima zabranjeno da ih prikupljaju, traže, prihvataju ili koriste (§ 67 GTG); a u Švajcarskoj poslodavci ne smeju da traže niti da koriste genetske podatke koji nisu medicinski relevantni (čl. 37 GUMG).

Povezano: Ko sme da nudi genetske testove? · Kako jasno objasniti genetski izveštaj · Partnerski i white label modeli

Želite da nudite nutrigenetiku u svojoj praksi?

Ispričajte nam nešto o svojoj praksi i svojim klijentima – pokazaćemo vam koji partnerski model vam odgovara.

Postanite partner →Ponuda za stručnjake za ishranu

Napomena: Ovaj vodič predstavlja opšte informacije za stručnjake i ne zamenjuje lekarski ni pravni savet. Genetske osobine utvrđene genetskom analizom dobro su dokumentovane (svaki uključeni gen potkrepljen je sa najmanje tri nezavisne studije); preporuke o ishrani, mikronutrijentima i načinu života izvedene iz njih logični su zaključci i nisu naučno dokazane. Propisi se mogu promeniti; zadržavamo pravo na greške i izmene.