新药境外IND和NDA涉及的医疗数据跨境传输合规
本文首发于《商法》之“生命科学与医疗健康”栏目，
经授权转载
《数据安全法》和《个人信息保护法》在2021年相继生效，加之此前的《网络安全法》，以及陆续出台的《关键信息基础设施安全保护条例》《数据出境安全评估办法（征求意见稿）》和《网络数据安全管理条例（征求意见稿）》。至此，中国的数据安全监管框架已然成型，也对从事数据处理的相关主体提出了全面的合规性要求。
作为医事法领域的执业律师，笔者根据中国药企在跨国申报新药临床研究审批（IND）和新药注册申请（NDA）过程中所涉及的跨境数据传输需求，结合最新数据安全监管趋势，就医疗数据跨境传输的若干问题略做探讨。
跨境数据传输常见场景
IND和NDA中的医疗数据跨境数据传输主要发生在（1）向境外药品监管机构申请IND及药物临床试验和（2）向境外药品监管机构提交NDA之时。
在申请IND时，药企通常需提交药品的临床前试验数据（如动物药理/毒理学研究数据）、药物成分及生产信息、临床研究方案和研究者信息等。如果以国际多中心方式开展药物临床试验，出于对试验数据的统计、分析、监察的统一性要求，需要将各中心采集和生成的数据进行汇总处理，而若试验申办者将统一的数据处理中心设置在境外，就涉及将中国境内临床试验的数据传输至境外的情形。又如，试验中使用了部署在境外服务器上的EDC（electronic data capture）系统的，也会涉及将国内的临床试验数据传输至境外的情形。
在NDA阶段，通常需要向境外监管机构提供药品生产信息、非临床药理和毒理数据、临床试验中产生的人体药代动力学和生物利用度数据、微生物数据、临床数据、安全性数据更新报告、统计学数据、病例报告表、有关专利情况、样品、包装及标签等。
需否申报安全评估？
从个人信息角度
在中国开展新药临床试验，会涉及受试者的基本信息、生理指标、检测结果等医疗健康数据的收集和处理。但按照中国《药物临床试验质量管理规范》《临床试验数据管理工作技术指南》等规范的要求，对受试者个人信息的保护举措在临床试验方案及数据库的设计时就被纳入，包括以受试者鉴认代码代替其姓名（反映不良事件和其他试验数据时均同）。因此，在递交IND和NDA申请时所提交的试验报告和资料中，通常并不包括能够直接识别受试者的个人信息，所涉及的受试者数量也相对有限。
申请资料中也会包含少量申办者、研究者、CRO工作人员的姓名、邮件等普通个人信息，但总体规模十分有限，难以触及《出境评估办法》规定的传输规模（累计传输10万人以上个人信息）；就新药研发企业而言，其在境内处理的个人信息规模通常也不会超过100万人的门槛。因此，除非相关方被认定为关键信息基础设施运营者，否则也不会触发申报数据出境安全评估的义务。
另外，在临床试验数据中还可能包括受试者的人类遗传资源信息。《生物安全法》和《人类遗传资源管理条例》对中国人类遗传资源信息的出境，分不同场景规定了相应的审批或备案备份要求。按特别法优于一般法原则，根据《出境评估办法》第二条“法律、行政法规另有规定的，依照其规定”的安排，笔者理解，此等场景的传输宜以科技部的要求为准。
从重要数据角度
根据《出境评估办法》和《网络数安条例》征求意见稿，只要出境数据包括重要数据，就需申报数据出境安全评估。但重要数据目录及其识别仍有待于地区和行业主管部门判明。
虽有网传某国标征求意见稿在对重要数据进行特征描述时，提及“国家战略安全的药品在药品审批中提交的药品实验数据”系重要数据，但其中也规定了将由各地区各部门明确其行业/领域内重要数据的类别/特征，因此仍然有待主管部门（国家药监局和国家卫健委）所制订的重要数据目录的澄清和指引。
其他合规义务
根据上述新规，新药研发流程中相关方还需要就数据出境活动遵从其他义务，例如：
1
除在受试者的知情同意书中需披露数据出境情形并征得其明确同意之外，如有参与试验的工作人员的个人信息，也需以书面方式披露并获明示同意；
2
机构内部建立一套自评估制度，对所涉跨境数据传输活动进行梳理，根据《个保法》《出境评估办法》等规定要求开展风险自评估，并留存评估报告；
3
完善与IND、临床试验、NDA申报过程中的境外合作方（如临床试验中的外方机构、代理注册的境外中介、境外技术服务机构等）之间的合同约定，对其接收来自中国的数据的安全保护责任义务进行约定；
4
及对相关场景中所涉及的跨境数据传输的日志和记录，留存至少三年以上。
*本文亦需感谢合伙人石钛戈律师从网络安全与数据合规方面给出的建议
特别声明
竞天公诚发表的相关介绍性文章
目的仅为帮助客户及时了解中国或其他
相关司法管辖区法律及实务的最新动态
和发展，仅供参考，不应被视为
任何意义上的法律意见或法律依据。
如您对本期内容有任何问题或建议
请与竞天公诚周晗烁律师联系：
zhou.hanshuo@jingtian.com
医药医疗专栏往期文章
3. Biosafety Law: China’s new, stricter controls
8. Investing in the "beauty economy"
10. Medical Device Tracking System and Key Issues for Listing
11. 中国药品专利纠纷早期解决机制概览
12. Early resolution mechanism for drug patent disputes in China
13. 医疗数据合规三问
14. Three questions on medical data compliance
15. Highlights of New Rules on Medical Devices Regulation
17. Cross-border Use of Medical Products in the Greater Bay Area
18. 细胞治疗监管政策——基础篇
19. 互联网医疗：医疗行业企业之数字化营销——春潮涌动，乘风破浪
22. 互联网医疗：跨境线上诊疗与咨询
26. Highlights of China’s 2019 Drug Administration Law
29. 《人类遗传资源管理条例》亮点初析
30. “药品4+7带量采购”之小白十问
31. 我国医疗行业上市许可持有人(MAH)制度初探（下篇）
32. 重典治乱，监查并举，制度创新——从疫苗管理单独立法说起
33. 我国医疗行业上市许可持有人(MAH)制度初探（上篇）
作者介绍
周律师从事法律工作已超过十五年，服务的客户包括国际500强医疗企业，国内大型药企、创新型医疗器械和医疗服务企业，以及著名私募和风险投资基金。周律师深耕于生命科学和医疗健康领域，不仅对传统医疗药械领域的生产、销售、跨境技术服务等交易经验丰富，近年来还深度参与了诸多新兴领域的项目，如生物技术、细胞治疗、基因检测、医疗大数据、互联网+医疗等。
周律师在“LEGALBAND 中国顶级律师排行榜”上连续两年被列为“医疗和生命科学领域的获推荐律师”。在国际知名财经媒体Euromoney公布的“2020年度亚洲商业法律杰出女律师（Women in Business Law Awards 2020）”评选中，荣膺亚洲区域“Best in Life Science （生命科学领域最佳）” 。
周晗烁等律师往期文章回顾
3. Biosafety Law: China’s new, stricter controls
6. 医疗数据合规三问
7. Three questions on medical data compliance
8. Highlights of New Rules on Medical Devices Regulation
9. 管中窥豹读新《医疗器械监督管理条例》
10. 细胞治疗监管政策——基础篇
11. 互联网医疗：医疗行业企业之数字化营销——春潮涌动，乘风破浪
13. 互联网医疗：跨境线上诊疗与咨询
17. Highlights of China’s 2019 Drug Administration Law
19. 《人类遗传资源管理条例》亮点初析
20. “药品4+7带量采购”之小白十问
21. 我国医疗行业上市许可持有人(MAH)制度初探（下篇）
22. 重典治乱，监查并举，制度创新——从疫苗管理单独立法说起
23. 我国医疗行业上市许可持有人(MAH)制度初探（上篇）
24. 美国出口管制之小白问答