本文作者：许哲媛、王祺

一、引言：医药行业数据出境的"三轨并行"时代

2026年1月1日，《个人信息出境认证办法》（以下简称"《认证办法》"）正式施行。至此，《个人信息保护法》（以下简称"《个保法》"）第三十八条确立的数据出境三条法定路径——安全评估、标准合同备案、个人信息保护认证——全部完成制度落地，中国数据出境监管体系正式进入"三轨并行"的成熟运行阶段。

医药行业是数据出境最为密集的领域之一。从国际多中心临床试验（MRCT）中受试者个人信息的跨境传输，到药物警戒活动中个例安全性报告（ICSR）的全球汇集，再到药品许可交易（License-in/out）中伴随数据包的跨境交割，数据在境内外的流转贯穿了药品从研发、注册到上市后监管的全生命周期。近两年来，随着《促进和规范数据跨境流动规定》（2024年3月）、《人类遗传资源管理条例实施细则（征求意见稿）》（2026年5月）、《小型个人信息处理者个人信息保护简化措施规定》（2026年7月）等一系列法规文件的陆续出台，医药数据出境的合规图景正变得日益清晰，但也更为复杂。

对于医药企业而言，数据出境已不再是单纯的信息技术问题或法务合规议题，而是牵涉临床运营、注册申报、药物警戒、商务拓展等多个业务条线的系统性工程。本文将以医药行业典型数据出境场景为主线，梳理现行法规框架下的合规路径选择逻辑，并结合最新立法动态为企业提供可落地的实务建议。

二、医药数据出境的典型业务场景

理解医药数据出境问题，首先需要识别哪些业务活动中会"触发出境"。从医药企业日常运营和项目运作的角度，可将数据出境场景归纳为以下六大类别。

（一）国际多中心临床试验（Multi-Regional Clinical Trial，简称“MRCT”）

国际多中心临床试验是医药数据出境最为高频、也最为复杂的场景。在MRCT模式下，申办方通常需要将中国境内研究中心采集的受试者数据——包括人口学信息、病史记录、实验室检查结果、影像学资料、基因组学数据等——传输至境外中心实验室或数据中心，以进行统一的统计分析和注册申报。这些数据通常经过编码（coding）或假名化（pseudonymization）处理，但并未达到《个保法》所要求的"匿名化"标准——即处理后无法识别特定自然人且不能复原——因此在法律性质上仍属于个人信息，且因涉及健康生理信息而构成敏感个人信息。

值得特别关注的是，临床试验数据中的编码受试者信息虽然表面上不直接显示受试者姓名和身份证号，但通过临床试验机构留存的源数据（source data）仍可还原受试者身份。2024年以来，各地网信部门在数据出境安全评估和标准合同备案过程中，已明确将此类编码数据纳入个人信息监管范畴，要求企业履行告知和单独同意义务。

（二）药物警戒与个例安全性报告（ICSR）

跨国药企作为药品上市许可持有人（MAH），需根据中国《药物警戒质量管理规范》（GVP）以及境外主要药政监管机构（如美国FDA、欧盟EMA、日本PMDA）的要求，建立覆盖全球的药物警戒体系。在这一体系下，中国境内发生的疑似不良反应信息需按照ICH E2B(R3)标准，以结构化XML格式向集团总部或区域药物警戒中心传输，并由后者汇总分析后向相应境外监管机构提交ICSR和定期安全性更新报告（PSUR）。

此类数据传输的合规难点在于：一方面，ICSR中通常包含患者的年龄、性别、病史和用药信息，以及报告者（如医师、药师）的姓名和联系方式，这些信息在去标识化处理后仍属于个人信息甚至敏感个人信息；另一方面，向境外监管机构报告安全性信息属于药品上市许可持有人的法定义务，而《促进和规范数据跨境流动规定》第五条第一项设置了"为订立、履行个人作为一方当事人的合同确需"的豁免情形，此处的"合同必需"与持有人"法定义务"之间的关系尚不明确——《小型个人信息处理者简化措施规定》第十条第四项虽新增了"为履行法定职责或法定义务"的豁免情形，但该条款能否涵盖向境外监管机构报送ICSR的场景，目前尚无公开官方解释。

（三）药品许可交易（License-in/out）

在创新药的跨境许可交易中，许可方通常需向被许可方提供涵盖非临床研究、临床试验、CMC（化学、制造和控制）等模块的完整数据包（data package），以支持被许可方在境外开展后续研发、注册申报和商业化活动。数据包中可能包含受试者的个人敏感信息、研究人员信息，以及可能构成重要数据的前沿生物技术研发数据。

与MRCT和药物警戒场景不同的是，许可交易中的数据出境通常为一次性或阶段性的批量传输，而非持续性、系统化的数据流转。但许可交易的合规风险不容忽视：境外合作方的法律顾问通常会在交易文件中设置严格的合规陈述与保证条款，以及因数据合规违规导致的违约责任，一旦出现合规漏洞，可能引发跨境合同争议甚至交易终止。

（四）AI药物研发与跨境科研合作

随着人工智能技术在药物研发领域的深入应用，越来越多的医药企业选择与境外AI平台公司、科研机构开展合作研发，共享化合物库数据、靶点信息、蛋白质结构数据和临床前研究数据等。此类合作中的数据跨境共享不仅涉及个人信息保护问题，还可能触及重要数据的监管边界——根据《数据安全技术 数据分类分级规则》（GB/T 43697-2024），一定规模以上的基因数据、蛋白质组学数据、代谢组学数据等可能被认定为重要数据。

（五）医学问询与产品投诉

跨国药企通常依托全球医学专家网络，为各国医疗卫生专业人士和公众提供医学问询服务。当中国境内的问询请求被转交至境外医学专家答复时，即涉及问询人的个人信息（包括职业信息和问询内容）出境。产品投诉场景下的投诉人信息和投诉记录传输也面临类似问题。不过，这两类场景下的数据出境规模通常较小，且数据处理不具有持续性，在合规路径选择上可优先考虑豁免或简化路径。

（六）人类遗传资源相关

人类遗传资源（以下简称"人遗"）管理是医药数据出境中一个特殊且高度敏感的领域。2026年5月，国家卫健委发布《人类遗传资源管理条例实施细则（征求意见稿）》（以下简称"《人遗细则征求意见稿》"），首次引入"信息出境"概念，并对国际合作临床试验的人遗监管程序进行了系统性简化。根据现行制度和《人遗细则征求意见稿》，不涉及人遗材料出境的国际合作临床试验备案申请，国家卫健委原则上应在收到申请的工作日予以确认——这一"同日确认"机制如最终落地，将显著提升MRCT项目的启动效率。

但需特别强调的是，人遗管理和数据出境管理是两套平行的合规体系：人遗审批/备案/事先报告由国家卫健委主管，数据出境安全评估/标准合同备案/认证由国家网信部门主管。两者不存在相互替代关系。当同一项目既涉及人遗信息对外提供，又涉及个人信息或重要数据出境时，企业需"两条线"并行推进，缺一不可。

三、法规框架与路径选择逻辑

（一）"3+1"法规体系

当前中国数据出境管理的法规体系可概括为"3+1"结构：三部上位法律（《网络安全法》《数据安全法》《个人信息保护法》）、一部行政法规（《网络数据安全管理条例》）、若干部部门规章和规范性文件（其中核心四部为《数据出境安全评估办法》《个人信息出境标准合同办法》《个人信息出境认证办法》和《促进和规范数据跨境流动规定》）。

这一体系下的数据出境监管适用"分层筛选"逻辑：

第一层，判断数据是否构成"重要数据"或"个人信息"。如两者均不构成，则属一般数据，可自由出境，无需履行任何前置程序。《促进和规范数据跨境流动规定》第三条明确，国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的不包含个人信息或重要数据的数据，免予申报数据出境安全评估、订立标准合同或通过保护认证。对于医药企业而言，这意味着在药物研发合作中传输的不含有个人信息和重要数据的纯粹实验数据、化合物结构数据等，可自由跨境流动。

第二层，判断是否存在豁免情形。即便构成个人信息，如满足《促进和规范数据跨境流动规定》第五条规定的四项豁免条件之一——合同必需、跨境人力资源管理、紧急情况、不满十万人个人信息（不含敏感个人信息）——仍可免予申报。其中"不满十万人"的量化门槛对于大多数小型生物科技企业而言是重要的合规"安全港"。

第三层，在不符合豁免条件时，根据数据性质和处理者身份选择合规路径。

（二）三条合规路径的适用门槛

需要特别指出的是，对于医药行业而言，"敏感个人信息"的认定是合规路径选择的分水岭。临床试验受试者的医疗健康信息、人类遗传资源信息等均属于敏感个人信息，因此即便是中小规模的医药企业，一旦涉及受试者数据出境，往往无法适用"不满十万人个人信息"的一般豁免，而需至少进入标准合同或认证路径。对于年出境受试者信息超过一万人次的企业，则须申报安全评估。

（三）自贸区负面清单的便利化通道

自贸试验区数据出境负面清单制度是医药企业值得重点关注的合规便利化通道。《促进和规范数据跨境流动规定》第六条授权各自贸区自行制定负面清单，负面清单外的数据可免予前置审批程序。截至2025年底，北京、天津、上海、浙江、海南等地自贸区已发布涵盖医药领域的负面清单。

以北京市"两区"负面清单（2025版）为例，清单覆盖了医药和医疗器械等九个行业领域，共六十七个业务场景、六百一十二个字段。在临床试验和药物研发场景下，受试者个人信息安全评估门槛从通用标准的一万人提升至五万人——这一调整对于多数处于临床一期、二期的中小型创新药企而言具有显著的实际意义。此外，临港新片区发布的一般数据清单涵盖临床试验、药物警戒、医学问询、产品投诉和商业合作伙伴管理等五大场景、三十项数据类别，备案完成后清单内数据可自由出境。

四、分场景的合规应对策略

（一）临床试验场景：ICF重构与PIA先行

对于开展MRCT的医药企业，合规工作的起点应当前置于知情同意书（ICF）设计阶段。现行法规要求，向境外提供个人信息前，处理者须向个人告知境外接收方的名称、联系方式、处理目的和方式、个人信息种类，以及个人向境外接收方行使权利的方式和程序，并取得单独同意。这意味着传统ICF中仅以概括性语言提及"数据可能传输至境外用于研究目的"的做法已不能满足合规要求，须在ICF中嵌入专门的数据出境告知章节，并设置独立的勾选框或签署栏位以获取单独同意。

与此同时，个人信息保护影响评估（PIA）是出境合规的另一前置要件。评估内容至少应涵盖：出境的合法性、正当性和必要性；出境个人信息的规模、范围、种类和敏感程度；境外接收方的数据安全保障能力；出境后对个人信息主体权益可能产生的风险；境外接收方所在国家或地区的法律环境对合同履行的影响等。实务中，我们建议企业在MRCT项目启动前（最迟在首例受试者入组前）完成PIA初稿，并在后续出境规模或接收方情况发生变化时及时更新。

（二）药物警戒场景：利用豁免空间与控制合规成本

对于药物警戒场景下的数据出境，企业应首先判断是否存在适用的豁免情形。由于个例安全性报告中的数据通常已经过去标识化处理，且不包含患者真实姓名和联系方式，在部分自贸区（如临港新片区）的数据分类标准下，此类数据已被纳入一般数据范畴。同时，《促进和规范数据跨境流动规定》第五条第四项规定的"不满十万人"豁免门槛，在纯粹药物警戒场景中通常不会触发——多数企业的年度药物警戒数据出境人数远低于十万。

然而，上述分析的前提是企业已对数据进行了充分的去标识化处理。如果药物警戒数据库中仍保留患者姓名、身份证号、电话号码等直接标识符，则此类数据的出境仍须纳入标准合同或认证路径。此外，如果药物警戒活动涉及"为履行法定职责或法定义务"的数据出境，《小型个人信息处理者简化措施规定》第十条第四项可能提供额外的豁免依据，但该条款的适用范围目前尚待监管部门进一步明确，企业在援引时应审慎评估，并建议在援引前向主管网信部门进行政策咨询。

（三）许可交易场景：在交易结构中嵌入合规安排

在药品许可交易的框架设计阶段，即应将数据出境合规作为交易的前提条件之一纳入考量。具体操作层面，建议企业：

第一，在许可协议谈判启动时即开展数据盘点（data mapping），明确交易中将向境外传输的数据类型、规模和性质，识别是否涉及个人信息、敏感个人信息或重要数据。

第二，根据数据分类结果确定适用的合规路径。如涉及重要数据或大规模敏感个人信息出境，时间安排上应为安全评估申报预留充足周期——安全评估审查流程通常需要数个工作日至数个月不等。

第三，在许可协议中明确定义"数据合规完成"作为交割先决条件（condition precedent），并将数据出境安全评估通过或标准合同备案完成作为对应的履约节点。

第四，对于交易完成后持续性数据共享的安排，应在协议中明确各方在数据处理中的角色（独立处理者还是受托处理者），这对后续个人信息数量统计和合规路径选择有直接影响。

（四）人遗场景：双重合规的协同管理

人遗项目的数据出境面临卫健委和网信部门的双重监管，两项程序并行推进、互不替代。企业的合规管理要点包括：

第一，在项目规划阶段即明确区分"人遗材料出境""人遗信息对外提供/开放使用"和"个人信息/重要数据出境"三个不同的法律概念及其对应的监管程序。三者的主管部门、申请条件和法律后果各不相同。

第二，对于EDC（电子数据采集）系统的管理需格外审慎。根据现行监管口径，若EDC系统供应商属于外方单位且能够访问系统中的数据——无论服务器部署在境内还是境外——均构成人遗信息对外提供，须履行事先报告和备份义务。同时，若境外申办方或CRO可通过EDC系统远程查询、下载临床数据，则该等访问行为在网信部门的监管框架下亦构成数据出境。

第三，关注《人遗细则征求意见稿》中"同日确认"机制的最终落地情况。如该机制以当前版本通过，将为不涉及人遗信息出境的国际合作临床试验提供前所未有的效率提升，但在制度正式落地前，企业仍应按照现行程序进行合规安排。

五、行动路线图：医药企业数据出境合规的四步推进法

综合以上分析，我们为医药企业归纳了数据出境合规推进的四个步骤：

第一步：盘点与分类。对企业全部业务条线中涉及数据出境的活动进行全面盘点，逐项识别出境数据的类型（是否为个人信息、敏感个人信息、重要数据或人遗信息）、规模（年度累计出境人数）、流向（境外接收方所在国家或地区）和处理目的。建议以表格化方式呈现盘点结果，形成企业"数据出境图谱"，作为后续合规路径选择的依据。

第二步：路径匹配。基于盘点结果，为每一类数据出境活动匹配相应的合规路径。需特别留意的是，同一企业可能同时涉及多条合规路径：例如，临床试验受试者数据出境需申报安全评估，而医学问询场景下的少量个人信息出境则可援引豁免。企业不应试图用"一刀切"的方式统一处理所有出境需求。

第三步：落地执行。根据匹配的合规路径，逐项推进：需申报安全评估的，准备申报书、自评估报告和法律文件；需备案标准合同的，与境外接收方谈判签署标准合同并提交备案；需要通过认证的，对接专业认证机构并准备认证材料。同时，完成PIA、更新ICF和隐私政策、建立出境数据台账等配套工作。

第四步：持续监测。数据出境合规不是一次性工作。企业应建立常态化监测机制：追踪年度累计出境个人信息规模，在接近阈值时预警并进行路径升级；关注境外接收方所在国法律环境变化，判断是否触发安全评估重新申报；跟进人遗、药物警戒等领域的最新立法和监管动态，及时调整合规策略。

六、结语

医药数据出境的合规管理，本质上是在全球医药创新合作与中国数据安全法治之间寻求动态平衡。随着《个人信息出境认证办法》的施行，中国数据出境制度框架已基本成型，但这并不意味着医药企业的合规之路变得简单——恰恰相反，在多个自贸区负面清单并存、人遗监管规则持续演进、豁免条款适用范围有待明确的当下，精准识别自身所处场景、正确选择合规路径，比以往任何时候都更需要专业判断。

对医药企业而言，数据出境合规不应被视为业务发展的障碍，而应被定位为企业治理能力和风险管理水平的有机组成部分。在全球化药物研发和商业化不可逆转的趋势下，合规不是成本，是竞争力——这一命题在数据出境领域表现得尤为真切。

特别声明
Special Declaration
以上文章仅代表作者本人观点，不代表北京市中伦文德律师事务所或其律师出具的任何形式之法律意见或建议。如需转载或引用该等文章的任何内容，请私信沟通授权事宜。如您有意就相关议题进一步交流或探讨，欢迎与本所联系。