中国临床数据跨境流动合规新规则：生物医药企业如何应对个人信息保护制度变化
近年来，中国创新药企业加速参与全球医药研发体系。越来越多企业通过国际多中心临床试验、License-out合作、海外注册申报等方式进入欧美市场。在这一过程中，临床数据跨境传输成为企业无法回避的合规问题。
例如，一家中国创新药企业开展全球多中心临床试验，境内医院负责受试者招募和数据采集，中国CRO负责项目管理，而境外合作方负责统计分析和海外注册申报。此时，患者健康状况、治疗记录、检测结果等数据可能需要向境外传输。对于企业而言，数据出境已不仅是研发流程问题，而涉及个人信息保护、数据安全以及行业监管的综合要求。
2026年7月22日，国家互联网信息办公室、公安部联合发布《小型个人信息处理者个人信息保护简化措施规定》（以下简称《规定》），并将于2026年9月1日起施行。《规定》针对处理个人信息规模较小的企业，在合规审计、影响评估、告知方式等方面提供了一定简化措施。
但对于生物医药企业而言，需要明确的是，《规定》并未改变我国数据跨境监管的基本框架。临床数据因涉及医疗健康信息、生物识别信息等敏感个人信息，即使企业处理规模较小，也不能简单理解为可以降低数据出境合规要求。
一、临床数据跨境监管体系已经形成
我国数据跨境监管并非始于此次新规，而是在《网络安全法》、《数据安全法》、《个人信息保护法》基础上逐步形成。
《网络安全法》第三十九条规定，关键信息基础设施运营者在境内运营中收集和产生的个人信息和重要数据，应当在境内存储；确需向境外提供的，应按照国家网信部门会同有关部门制定的办法进行安全评估。
《数据安全法》第三十一条进一步明确，关键信息基础设施运营者的重要数据出境安全管理适用《网络安全法》规定，其他数据处理者的重要数据出境管理由国家网信部门会同有关部门制定具体办法。
对于一般生物医药企业而言，更直接相关的是《个人信息保护法》。
根据《个人信息保护法》第三十八条，个人信息处理者因业务需要向境外提供个人信息，应当通过国家网信部门组织的数据出境安全评估、个人信息保护认证、签署个人信息出境标准合同等方式之一。
同时，根据第二十三条规定，个人信息处理者向其他个人信息处理者提供个人信息，应向个人告知接收方名称、联系方式、处理目的、处理方式以及个人信息种类，并取得个人单独同意。
从数据性质来看，临床试验数据通常属于敏感个人信息。根据《个人信息保护法》第二十八条，医疗健康信息、生物识别信息等均属于敏感个人信息。由于临床数据直接关系患者健康状况，一旦泄露可能对个人权益造成较大影响，因此监管要求明显高于普通业务数据。
二、临床数据出境首先要判断数据规模和类型
在实际操作中，企业需要重点关注向境外提供个人信息的数量和敏感程度。
按照现行数据出境规则，如果企业自当年1月1日起累计向境外提供个人信息达到一定规模，将触发不同合规要求。
对于一般个人信息而言，自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）的，企业通常需要通过个人信息出境标准合同备案或者个人信息保护认证方式完成合规要求。
如果自当年1月1日起累计向境外提供100万人以上个人信息，则需要申报数据出境安全评估，经评估通过后方可开展数据出境活动。
对于敏感个人信息，监管门槛更低。
企业自当年1月1日起累计向境外提供不满1万人敏感个人信息的，需要通过个人信息出境标准合同或者个人信息保护认证方式；累计向境外提供1万人以上敏感个人信息的，则需要申报数据出境安全评估。
对于生物医药企业而言，临床试验受试者数据通常属于敏感个人信息，因此即使受试者数量远低于普通互联网企业的数据规模，也可能较早触发数据出境合规要求。
三、小型个人信息处理者简化措施不能替代跨境合规义务
《规定》将处理不满10万人个人信息的企业定义为“小型个人信息处理者”，并允许其在部分事项上采取简化措施。例如，可以通过公开个人信息处理规则履行部分告知义务，可以采用自查表完成个人信息保护合规审计，也可以按照规定模板完成影响评估。
但这种简化主要针对合规形式，而非实体责任。
对于生物医药企业而言，临床数据存在两个特殊性：一方面，数据数量可能有限；另一方面，数据敏感程度较高。
例如，一家临床阶段企业可能仅有数千名受试者，但数据内容包含疾病信息、治疗方案、实验结果、不良反应记录等敏感信息。同时，数据还可能需要向境外申办方、CRO、统计机构或者监管机构提供。因此，企业不能仅依据“未达到10万人”判断可以适用简化规则。
实践中还需要特别区分临床试验知情同意书与个人信息跨境同意的关系。知情同意书主要解决受试者参与研究及风险知悉问题，而个人信息保护规则要求企业针对个人信息处理目的、方式、范围以及境外接收方情况取得相应授权，两者并不能当然替代。
四、生物医药企业应提前设计数据跨境路径
对于正在推进全球临床试验或者海外商业化的中国药企而言，数据合规不应成为项目后置问题，而应嵌入研发和交易设计阶段。
企业首先需要建立临床数据流转清单，明确数据来源、处理主体、境外接收方以及最终用途；其次，应在CRO协议、临床试验协议以及海外合作协议中提前约定数据处理权限、安全措施和跨境传输责任。
同时，对于涉及基因检测、人类遗传资源信息的数据，应进一步关注相关行业监管要求。个人信息保护规则的简化措施，并不会改变人类遗传资源管理等专项监管要求。
总体而言，《小型个人信息处理者个人信息保护简化措施规定》的出台，为部分企业降低了合规操作成本，但对于生物医药行业而言，真正的挑战仍在于如何在全球研发合作与中国数据监管要求之间建立稳定、可持续的数据治理体系。
未来，临床数据合规能力将不仅影响企业能否顺利开展海外注册和商业合作，也将成为中国创新药企业国际竞争能力的重要组成部分。
请先 登录后发表评论 ~