La raccolta e il trattamento dei dati genetici può avvenire esclusivamente con il consenso informato dell'interessato manifestato previamente e per iscritto. Si può derogare all'obbligo del previo consenso per far valere o difendere un proprio diritto in sede giudiziaria, ma solo nel caso in cui l'accertamento sia indispensabile e venga svolto rispettando le regole fissate dal Garante per la protezione dei dati personali. 

Il Garante per la protezione dei dati personali il 27.11.2008 ha emesso un interessante provvedimento stabilendo che il test di paternità effettuato senza il consenso del figlio è possibile in sede giudiziaria solo se indispensabile e svolto nel rispetto delle regole. Il caso riguarda un genitore che in vista di promuovere una causa di  disconoscimento di paternità aveva effettuato un'analisi genetica ad insaputa del figlio maggiorenne per verificare la reale consanguineità con lo stesso. In particolare, il legale del genitore aveva incaricato  un'agenzia di investigazioni che  nell'ambito delle indagini era riuscita a raccogliere due mozziconi di sigaretta fumati e gettati per terra dal figlio ignaro di essere osservato attentamente in ogni minimo gesto anche il più banale. Lo stesso, venuto a conoscenza del fatto soltanto al momento della domanda di disconoscimento della paternità promossa dal padre, si è rivolto al Garante per la protezione dei dati personali presentando reclamo concernente il trattamento di dati personali genetici che lo riguardano. Innanzitutto, il reclamante ha rappresentato che a sua insaputa è stato svolto un test immunoematologico al fine di accertare la compatibilità genetica ( c.d. test sulla variabilità individuale) e dall'esito del quale è emerso che i due soggetti non appartenevano alla linea maschile di una stessa famiglia e che, quindi, i sospetti dell'attore erano fondati. Sulla base di questi fatti il reclamante richiedeva al Garante di accertare l'illiceità della raccolta e del trattamento dei dati suddetti e di adottare ogni opportuna iniziativa intesa alla declaratoria di inutilizzabilità dei dati genetici all'interno del giudizio pendente e di ogni ulteriore attività di trattamento dei dati da parte del padre, dell'agenzia investigativa e dell'avvocato che aveva incaricato tale attività e che disponga altresì la distruzione dei campioni biologici. I reclamati, invece, nei propri atti difensivi hanno rilevato che i trattamenti effettuati erano conformi al Codice in materia ed alle autorizzazioni del Garante e che all'epoca dei fatti, ossia nell'anno 2004 non vi era una disposizione specifica tale da condizionare lo svolgimento di test immunoematologici al consenso informato dell'interessato applicando il presupposto che permette di prescindere dall'obbligo di acquisire detto consenso in caso di trattamento di dati sensibili effettuato per far valere o difendere un diritto in sede giudiziaria ( art.26, comma 4, lett.c del Codice del Garante). Per la risoluzione del caso, occorre tenere presente la disciplina per la tutela dei dati genetici, ai quali, pur rientrando nella più ampia disciplina del trattamento dei dati sensibili, il legislatore ha riservato particolare attenzione per la natura delicata delle informazioni, tale da giustificare un regime differenziato e soprattutto più attento alle peculiari implicazioni che si possono porre rispetto alla tutela degli interessati. Fino al 30 marzo 2007 trovava applicazione l'autorizzazione generale n.2/2002 del Garante al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale, integralmente confermata dalle successive autorizzazioni n.2/2004 e n.2/2005 e a partire dal 1° aprile 2007, l'autorizzazione generale al trattamento dei dati genetici rilasciata dal Garante il 22 febbraio 2007 e prevista dall'art. 90 del Codice. Nello specifico, l'autorizzazione del 2002 disponeva che “il trattamento dei dati genetici da chiunque effettuato è consentito nei soli casi previsti da apposita autorizzazione”, dettando alcune disposizioni che consentivano di ritenere autorizzato per finalità probatorie in sede giudiziaria il solo trattamento dei dati genetici dei quali fosse già stato effettuato lecitamente, sulla base dell'informativa e del consenso, un trattamento per fini di prevenzione, diagnosi o terapia nei confronti dell'interessato, ovvero per finalità scientifica. Occorre sottolineare che neppure nell'ambito del giudizio di disconoscimento della paternità poteva essere effettuato da parte dell'autorità giudiziaria un test genetico, volto a definire un rapporto di consaguineità, su campioni biologici prelevati all'interessato senza il suo consenso. Del pari, l'autorizzazione del 2007 subordina il trattamento dei dati genetici all'informativa che va resa all'interessato e che deve contenere elementi ulteriori a quelli previsti dall'art.13 del Codice ovvero informazioni aggiuntive laddove il trattamento consista nel test sulla variabilità individuale volto ad accertare la paternità o la maternità. Per questi delicati trattamenti è necessario, quindi, acquisire il consenso informato dell'interessato manifestato previamente e per iscritto, tranne il caso in cui il predetto trattamento risulti indispensabile per far valere o difendere un diritto in sede giudiziaria, imponendo anche il rispetto delle autorizzazioni generali n.4 e 6 /2005 sul trattamento di dati da parte di liberi professionisti e di investigatori privati. Quest'ultima situazione non ricorre nel caso esaminato in quanto l'indagine sulla compatibilità genetica avviata prima dell'inizio del processo non aveva una valenza determinante come confermato dal Tribunale nell'aver disposto una consulenza tecnica volta all'accertamento della paternità. In conclusione, sulla base di tali discipline normative il trattamento dei dati personali genetici in epoca sia precedente e sia successiva alla data del 30 marzo 2007 non può essere considerato lecito per il Garante.