Zaštita podataka u prodavnici: pravilno postupanje sa zdravstvenim i genetskim podacima

Stručno proverio dr Daniel Wallerstorfer, molekularni biolog i osnivač kompanije Novogenia · Ažurirano: 15. 10. 2026. · Vreme čitanja: 9 min

Ukratko

Genetski i zdravstveni podaci spadaju u posebne vrste podataka o ličnosti; njihova obrada je u načelu zabranjena, osim ako vaš kupac da izričit pristanak za određene svrhe (čl. 9(1) i (2)(a) GDPR-a). Čak i podaci o porudžbini mogu biti zdravstveni podaci ako omogućavaju zaključke o zdravlju osobe (Sud pravde EU, C-21/23). Zato podatke iz prodavnice, kao što su porudžbine i plaćanja, držite odvojeno od upitnika, analiza i izveštaja, pružaocima usluga dajte samo ono što im je potrebno i nikada ne koristite zdravstvene informacije za reklamne profile. Za kupce u Švajcarskoj važi švajcarski Savezni zakon o zaštiti podataka: genetski i zdravstveni podaci su osetljivi podaci o ličnosti, a svaki potreban pristanak mora biti izričit (čl. 5(c) i čl. 6(7) DSG).

Dve fioke: šta porudžbina može da otkrije

Ime, adresa za isporuku, proizvod u korpi – zvuči bezazleno. Sud pravde EU je 2024. godine to video drugačije. Jedan farmaceut je preko onlajn platforme prodavao lekove koji se izdaju isključivo u apotekama, ali bez recepta. Podaci koje su kupci morali da unesu pri naručivanju – kao što su ime, adresa za isporuku i podaci potrebni za individualizaciju lekova – jesu zdravstveni podaci, presudio je sud (presuda od 4. oktobra 2024., C-21/23). U istoj presudi sud je pojasnio da GDPR ne isključuje nacionalna pravila koja konkurentima omogućavaju da povrede zaštite podataka gone pred građanskim sudovima kao nepoštenu poslovnu praksu. Zaštita podataka je i pitanje konkurencije.

Za prodavnicu koja prodaje genetske analize i personalizovane proizvode slika je jasna: zamislite dve fioke. U jednoj je ono što je potrebno svakoj prodavnici – porudžbina, adresa, plaćanje, otprema. Druga je zaključana: upitnik, zdravstvene informacije, genetski podaci, izveštaj. Dobre prodavnice drže ih odvojeno i drugu otvaraju samo kada zaista moraju. Evo kako. Osnove za stručnjake iz prakse nalaze se u članku Genetski podaci i GDPR, a uloge brenda i laboratorije u članku Zaštita podataka kod white label genetskih testova. Ovaj članak je orijentacija, a ne pravni savet za vaš konkretan slučaj.

Kojih podataka se dotiče vaša prodavnica

Opšta uredba o zaštiti podataka (GDPR) razlikuje dva sveta. Genetski podaci su podaci o nasleđenim ili stečenim genetskim karakteristikama osobe koji daju jedinstvenu informaciju o njenoj fiziologiji ili zdravlju (čl. 4(13)). Podaci o zdravlju odnose se na fizičko ili mentalno zdravlje i otkrivaju informacije o zdravstvenom stanju osobe (čl. 4(15)). I jedni i drugi spadaju u posebne vrste podataka čija je obrada u načelu zabranjena (čl. 9(1)).

Fioka	Primeri	Šta važi
Podaci o porudžbini i ugovoru	ime, adresa, plaćanje, istorija porudžbina, status otpreme	obrada radi izvršenja ugovora (čl. 6(1)(b)); oprez ako sama porudžbina omogućava zaključke o zdravlju
Upitnik i zdravstvene informacije	ciljevi, tegobe, vrednosti u krvi, podaci o načinu života	sve što otkriva zdravstveno stanje: izričit pristanak (čl. 9(2)(a))
Genetski podaci i izveštaj	rezultati analize, izveštaj na portalu	izričit pristanak; po mogućstvu se ne čuvaju u sistemu prodavnice
Marketing i praćenje	kolačići, bilten, reklamni pikseli	pristanak za kolačiće koji nisu neophodni (Nemačka: § 25 TDDDG; Austrija: § 165(3) TKG 2021); bez zdravstvenih podataka u reklamnim profilima

Izričit pristanak: poseban korak u postupku kupovine

Za potrošačke genetske testove izričit pristanak za jednu ili više određenih svrha centralni je pravni osnov (čl. 9(2)(a) GDPR-a). Da bi bio održiv, ugradite ga u postupak kupovine kao poseban korak – a ne kao odredbu skrivenu u vašim uslovima:

Jasno i konkretno: koji podaci, u koju svrhu, ko ih obrađuje – i da li vi kao partner vidite izveštaje.
Aktivno: Unapred označeno polje nije pristanak (uvodna izjava 32).
Dokazivo: Morate moći da pokažete da je vaš kupac dao pristanak (čl. 7(1)).
Opozivo: Povlačenje pristanka mora biti jednako jednostavno kao njegovo davanje, a vaš kupac se o tome obaveštava unapred (čl. 7(3)).
Na vreme: Pristanak dolazi pre uzorka, a ne posle njega. Kako registracija i pristanak tehnički funkcionišu, uređujete zajedno sa kompanijom Novogenia.

Države članice mogu da uvedu dodatne uslove za genetske i zdravstvene podatke (čl. 9(4)). Koji od njih važe u Nemačkoj, Austriji i Švajcarskoj, obrađeno je u članku Zaštita podataka kod white label genetskih testova.

Držite podatke iz prodavnice i genetske podatke odvojeno

Podaci moraju biti ograničeni na ono što je neophodno za svrhu (čl. 5(1)(c) GDPR-a), a podrazumevano se smeju obrađivati samo podaci neophodni za svaku konkretnu svrhu (čl. 25(2)). U praksi to za vašu prodavnicu znači:

Prodavnica zna porudžbinu, a ne rezultat: Korisničkoj podršci i otpremi potrebni su status porudžbine i podaci o otpremi. Genetski rezultati i izveštaji ostaju na zaštićenom portalu.
Bez upitnika u CRM-u: Zdravstvene informacije ne spadaju u vaš alat za bilten, sistem za tikete ili tabele koje može da otvori pola tima.
Pristup prema ulozi: Određenu informaciju mogu da vide samo oni kojima je potrebna za njihov zadatak.
Bez izveštaja kao priloga e-pošti: Zaštitite izveštaje odgovarajućim tehničkim i organizacionim merama (čl. 32); zaštićeni portal napravljen je upravo za to.
Svesno izaberite šta vidite: U kompaniji Novogenia vi kao partner odlučujete da li vidite izveštaje svojih kupaca. Ako vam nisu potrebni, vaša druga fioka ostaje prazna – a vaš rizik mali.

Vaši pružaoci usluga: obrađivači po ugovoru

Onlajn prodavnica retko radi sama: softver prodavnice, pružalac usluga plaćanja, kurirska služba, alat za e-poštu, čet korisničke podrške. Svako ko obrađuje podatke u vaše ime mora da pruži dovoljne garancije za odgovarajuće tehničke i organizacione mere (čl. 28(1) GDPR-a), a sa svakim od njih zaključujete ugovor o obradi podataka (čl. 28(3)). Proverite gde vaši alati obrađuju podatke: prenos u zemlje izvan EU dozvoljen je samo pod uslovima iz poglavlja V (čl. 44). A vaše obaveštenje o privatnosti navodi primaoce ili kategorije primalaca (čl. 13(1)(e)).

Koju ulogu imate u odnosu na kompaniju Novogenia – rukovalac, obrađivač ili zajednički rukovalac (čl. 4(7) i (8), čl. 26) – zavisi od modela. Razjasnite to pismeno pre lansiranja; osnove se nalaze u članku Zaštita podataka kod white label genetskih testova.

Marketing bez zdravstvenog profila

Kolačići i reklamni pikseli zahtevaju pristanak vaših posetilaca, osim ako su strogo neophodni za uslugu koju je korisnik zatražio (Nemačka: § 25 TDDDG; Austrija: § 165(3) TKG 2021). Kod genetskih testova važi i druga granica: onlajn platforme ne smeju da prikazuju reklame zasnovane na profilisanju koje koristi posebne vrste podataka o ličnosti (čl. 26(3) Akta o digitalnim uslugama, Uredbe (EU) 2022/2065).

Iz toga proizlazi jednostavno pravilo za vaš marketing: genetski rezultati, odgovori iz upitnika i zdravstvena interesovanja ne ulaze u reklamne profile, liste za retargeting ili otpremanje ciljne publike – osim ako je vaš kupac izričito pristao upravo na to. Promovišite svoju ponudu onim što ona pokazuje, a ne onim što znate o pojedinačnim ljudima. Šta smete da kažete u reklamiranju, obrađeno je u članku Marketing personalizovanih proizvoda.

Procena uticaja i lice za zaštitu podataka o ličnosti

Dve obaveze zavise od obima. Kod obrade posebnih vrsta podataka u velikom obimu unapred sprovodite procenu uticaja na zaštitu podataka o ličnosti (čl. 35(3)(b) GDPR-a). Ako se osnovne delatnosti vaše kompanije sastoje od takve obrade, potrebno vam je lice za zaštitu podataka o ličnosti (čl. 37(1)(c)). Da li vaša prodavnica ispunjava te uslove zavisi i od toga kako je postavite: što čvršće druga fioka ostaje zatvorena, to manje podataka posebne vrste sami obrađujete. Dajte da se to proceni pre lansiranja.

Švajcarska: DSG umesto GDPR-a

Za kupce u Švajcarskoj važi Savezni zakon o zaštiti podataka (DSG; engl. FADP). Njegove osnovne ideje poznajete iz GDPR-a, ali se detalji razlikuju:

Osetljivi podaci: Podaci o zdravlju i genetski podaci su osetljivi podaci o ličnosti (čl. 5(c)(2) i (3) DSG). Kada je potreban pristanak, za ove podatke on mora biti izričit (čl. 6(7)).
Informisanje: Navodite najmanje identitet i kontakt-podatke rukovaoca, svrhu i, po potrebi, primaoce; ako podaci idu u inostranstvo, i zemlju (čl. 19).
Procena uticaja: Obrada osetljivih podataka o ličnosti u velikom obimu znači visok rizik, pa unapred sprovodite procenu uticaja na zaštitu podataka (čl. 22).
Predstavnik u Švajcarskoj: Privatni rukovaoci sa sedištem u inostranstvu određuju predstavnika u Švajcarskoj ako podatke obrađuju u vezi sa ponudom robe ili usluga u velikom obimu i redovno, a obrada nosi visok rizik (čl. 14).
Kolačići: Švajcarska ne zahteva prethodni pristanak, ali zahteva informisanje o obradi i njenoj svrsi i napomenu da korisnici mogu da je odbiju (čl. 45c Zakona o telekomunikacijama, FMG).

Jedna razlika dolazi pre zaštite podataka: u Švajcarskoj lifestyle genetske analize ne prodajete kao kućne testove (čl. 13 GUMG). Šta to znači za vašu prodavnicu, obrađeno je u članku Onlajn prodaja genetskih testova: DE, AT, CH.

Kontrolna lista: zaštita podataka u vašoj prodavnici

Znate koje podatke vaša prodavnica obrađuje – i koji su od njih genetski ili zdravstveni podaci.
Izričit pristanak je poseban, aktivan korak pre uzorka, dokaziv i lako se može povući.
Podaci iz prodavnice i genetski podaci drže se odvojeno; izveštaji ostaju na zaštićenom portalu.
Odgovori iz upitnika ne završavaju u CRM-u, alatu za bilten ili reklamnim alatima.
Sa svim pružaocima usluga zaključeni su ugovori o obradi podataka; prenosi u inostranstvo su provereni.
Uloge između vas i kompanije Novogenia utvrđene su pismeno.
Pristanak za kolačiće prema § 25 TDDDG ili § 165(3) TKG 2021; za Švajcarsku informisanje i mogućnost odbijanja prema čl. 45c FMG.
Procena uticaja i lice za zaštitu podataka o ličnosti su provereni – prema GDPR-u i, za Švajcarsku, prema DSG.
Vaše obaveštenje o privatnosti navodi rukovaoce, svrhe, primaoce i rok čuvanja.

Česta pitanja

Da li su podaci o porudžbini već zdravstveni podaci?

Mogu da budu. Sud pravde EU je 2024. godine presudio da su podaci koje kupci unose pri onlajn naručivanju lekova koji se izdaju isključivo u apotekama – kao što su ime, adresa za isporuku i podaci potrebni za individualizaciju lekova – zdravstveni podaci, čak i kada recept nije potreban (C-21/23). U svakom slučaju, podatke iz upitnika, analize i izveštaja tretirajte kao posebnu vrstu podataka u smislu čl. 9 GDPR-a.

Da li je polje za potvrdu u mojim uslovima dovoljno za pristanak?

Ne. Pristanak na obradu genetskih ili zdravstvenih podataka mora biti izričit i dat za određene svrhe (čl. 9(2)(a) GDPR-a). Morate moći da ga dokažete (čl. 7(1)), povlačenje mora biti jednako jednostavno kao davanje (čl. 7(3)), a unapred označeno polje nije pristanak (uvodna izjava 32).

Smem li kupcima genetskih testova da upućujem ciljane reklame?

Ne koristite genetske rezultate, odgovore iz upitnika ili zdravstvena interesovanja za reklamne profile, retargeting ili liste ciljne publike, osim ako je vaš kupac izričito pristao upravo na to. Onlajn platforme ionako ne smeju da prikazuju reklame zasnovane na profilisanju koje koristi posebne vrste podataka o ličnosti (čl. 26(3) Uredbe (EU) 2022/2065).

Da li mi je potrebno lice za zaštitu podataka o ličnosti?

Prema GDPR-u jeste, ako se osnovne delatnosti vaše kompanije sastoje od obrade posebnih vrsta podataka u velikom obimu (čl. 37(1)(c)). Obrada takvih podataka u velikom obimu zahteva i prethodnu procenu uticaja na zaštitu podataka o ličnosti (čl. 35(3)(b)). Što manje genetskih podataka završi u vašoj prodavnici, to je ovo pitanje manje važno – ali ipak dajte da se proveri.

Šta važi za kupce u Švajcarskoj?

Švajcarski Savezni zakon o zaštiti podataka (DSG): genetski i zdravstveni podaci su osetljivi podaci o ličnosti (čl. 5(c)), svaki potreban pristanak mora biti izričit (čl. 6(7)), a ljude obaveštavate o rukovaocu, svrsi, primaocima i, po potrebi, o zemlji u inostranstvu (čl. 19). Privatni rukovaoci iz inostranstva pod određenim uslovima moraju da imaju predstavnika u Švajcarskoj (čl. 14). Za kolačiće čl. 45c Zakona o telekomunikacijama zahteva informisanje i mogućnost odbijanja.

Povezano: Zaštita podataka kod white label genetskih testova · Genetski podaci i GDPR · Onlajn prodaja genetskih testova: DE, AT, CH

Personalizovani proizvodi za vašu prodavnicu?

Ispričajte nam nešto o svom brendu i svojim kanalima prodaje – pokazaćemo vam koji model vam odgovara.

Pošaljite upit za projekat →Ponuda za e-trgovinu

Napomena: Ovaj vodič predstavlja opšte informacije za kompanije i stručnjake i ne zamenjuje lekarski ni pravni savet. Genetske osobine utvrđene genetskom analizom dobro su dokumentovane (svaki uključeni gen potkrepljen je sa najmanje tri nezavisne studije); preporuke izvedene iz njih logični su zaključci i nisu naučno dokazane. Propisi se mogu promeniti; zadržavamo pravo na greške i izmene.