- Regulation (EU) 2017/746 — IVDR including Article 5(5) for health institutions
- Regulation (EU) 2016/679 — GDPR, Article 9
- Regulation (EU) 2025/327 — European Health Data Space
- National laws on genetic testing
谁必须指定
在欧盟以外为欧盟客户提供服务的实验室和直接面向消费者的检测公司。基因数据属于特殊类别数据，并且在多个成员国受到额外的国家限制，包括医疗监督和咨询的要求。
门槛与豁免
数据义务没有门槛。根据IVDR，市场上销售的测试需要符合性评估，而在医疗机构内进行的测试遵循第5(5)条的条件。
标签上必须载明的内容
对于市场上销售的测试工具：CE标志、通知机构编号、EC REP详细信息、UDI和使用说明，包括限制。对于服务，需提供同意和结果文件。
平台字段
在多个成员国，尤其是法国和德国，直接面向消费者的基因检测受到限制，禁止或刑事化在没有医疗监督的情况下进行检测，因此市场准入是国家性的，而非欧盟范围内的。
必须保存的文件
第30条记录涵盖样本和结果，第27条指定、基因处理的明确同意文件、数据保护影响评估、样本和原始数据的保留和销毁计划，以及转移机制。测试工具的IVDR文档。
标准与检测
对检测的分析和临床性能评估，以及对测试工具的按类别符合性评估路径。
语言要求
同意文件和结果使用个人语言，限制需清晰解释。
何时开始适用
在提供服务之前。必须在市场营销之前检查每个成员国的国家限制。
文件保存期限
样本和原始基因数据仅在必要和同意的情况下保留，销毁需有记录。无限期保留基因组数据是严重的风险。
不合规的后果
GDPR罚款最高可达营业额的4%，在某些成员国，未经医疗监督的基因检测可能面临刑事处罚。涉及基因数据的数据泄露默认被视为高严重性。
由谁执法
数据保护机构、国家卫生和基因机构，以及测试工具的医疗器械机构。
界限在哪里
基因数据涉及亲属以及个人，多个机构已强调这一点，且一个人的同意并不涵盖对家庭成员的推断。国家对直接面向消费者的检测的禁令优先于在该领域提供服务的自由。
常见问题
- 我们可以在欧盟内销售DNA测试吗？
- 不统一。多个成员国限制基因检测必须在医疗监督下进行，并禁止直接面向消费者的销售。
- 我们可以保留基因数据多久？
- 仅在同意的目的所需的时间内。无限期保留基因组用于研究需要有其自身的依据，并受到严格审查。