医疗健康数据属于《个人信息保护法》第28条明定的敏感个人信息。医药企业处理此类数据，须取得个人单独同意、事前开展个人信息保护影响评估，并在临床试验、人类遗传资源、数据出境等环节履行审批或备案义务。违反者依《个人信息保护法》第66条，最高可处5000万元或上一年度营业额5%的罚款，直接责任人还可能触犯《刑法》第253条之一的侵犯公民个人信息罪。合规的核心逻辑是：先做数据分类分级，再落实"最小必要＋单独同意＋全程留痕"。
一、法律定性：为什么医疗健康数据是高危资产
《个人信息保护法》第28条第1款将"医疗健康"与生物识别、金融账户并列为敏感个人信息。《民法典》第1034条、第1226条亦明确，医疗机构及其人员泄露患者隐私或个人信息造成损害的，应承担侵权责任。《数据安全法》第21条要求建立数据分类分级保护制度，国家标准《健康医疗数据安全指南》（GB/T 39725-2020）则把健康医疗数据按敏感程度分为多级，逐级对应不同的访问、传输与存储控制要求。
换言之，医药企业持有的受试者病历、患者随访记录、真实世界研究数据、不良反应报告、基因测序结果，都不是普通商业数据。一旦泄露或被违规使用，损失不仅是罚款，更包括产品注册受阻、临床试验数据不被采纳、品牌声誉受损。
二、实务中最常见的五类风险
- 概括同意代替单独同意。在入组知情同意书、App隐私政策中"打包"授权后续所有研究用途，违反第29条。
- 超范围使用。为某项研究采集的数据，未经重新授权用于商业推广、精准营销或转售给第三方。
- 第三方管理失控。CRO、SMO、数据存储服务商、云平台接触数据却未签署数据处理协议、未做安全评估。
- 数据出境未申报。将受试者数据传至境外母公司或境外统计方，未依《个人信息保护法》第38条、第39条履行路径义务。
- 记录缺失。未依第55条、第56条开展个人信息保护影响评估，或评估报告与处理记录未保存至少三年。
可以设想这样一类场景：某企业的真实世界研究数据库由外部供应商托管，供应商为优化算法将去标识化数据用于模型训练——即便已"去标识"，若仍可结合其他信息重新识别到个人，仍属处理个人信息，双方均可能被追责。实务中此类纠纷往往在数据泄露事件后才被发现。
三、影响评估与留痕：被忽视的合规义务
《个人信息保护法》第55条规定，处理敏感个人信息、向他人提供个人信息、委托处理或向境外提供数据等情形，均应事前进行个人信息保护影响评估并记录处理情况；第56条要求评估报告与处理记录至少保存三年。原国家卫健委《医疗卫生机构网络安全管理办法》也强调数据全生命周期的安全管理与责任到人。
建议企业建立一份可核查的"数据台账"：数据来源、字段清单、法律依据、同意形式、存储位置、访问权限、共享对象、留存期限、销毁记录。这份台账在监管检查、数据出境申报或诉讼举证时，往往是决定性的证据。
四、临床试验与人类遗传资源的特别门槛
《药物临床试验质量管理规范》要求保护受试者隐私，《人类遗传资源管理条例》及2023年施行的《人类遗传资源管理条例实施细则》进一步规定：外方单位不得在境内采集、保藏我国人类遗传资源；涉及外方单位的国际合作科学研究须经审批或备案，采集、保藏、对外提供人类遗传资源材料或信息均需依法办理手续。
实务中的高频失误是：将临床试验中产生的基因数据一并交给境外申办方或统计方，却只办了伦理批件，未办人类遗传资源行政审批。这类情形可能同时构成行政违法与刑事风险。
五、常见问题（FAQ）
问1：已经"去标识化"或"匿名化"的数据，还需要遵守《个人信息保护法》吗？
去标识化数据仍属于个人信息，处理者仍须履行告知、同意、安全保护义务。只有经技术处理达到"无法识别且不能复原"的匿名化程度，才不属于个人信息；但匿名化是否彻底，实践中争议很大，企业应保留技术验证与再识别风险评估记录。
问2：患者授权后，企业能把数据用于新研发项目吗？
不能自动延伸。原授权范围内的用途可以使用，超出部分属于新处理目的，应重新告知并取得单独同意；如涉及向第三方提供或出境，还需另行告知接收方信息、处理目的方式及个人行权途径，并单独取得同意。
六、风险防范操作建议
- 建立数据分类分级清单，把患者身份信息、基因数据、影像数据标记为最高级别。
- 统一知情同意模板，将研究用途、保存期限、共享范围、退出机制拆分为可勾选的单独同意项。
- 对所有数据处理方签署数据处理协议，明确安全措施、审计权、违约与删除义务。
- 每年至少开展一次个人信息保护影响评估，报告留存三年以上。
- 数据出境前判断适用路径（安全评估、标准合同、认证或豁免情形），并保留申报材料。
- 建立72小时内部应急响应机制，明确泄露事件的报告、止损与对外沟通流程。
医疗健康数据合规不是一次性的文件工作，而是贯穿研发、注册、上市后监测的产品全生命周期义务。建议企业在项目立项阶段即引入专业律师与数据合规顾问，同步设计法律路径，避免在数据已采集后才被动补救。
如需针对具体数据流、合作模式或出境场景判断合规路径，建议委托具备医药与数据合规经验的执业律师出具专项法律意见。