医药企业的数据合规应从“数据从哪里来、为何处理、流向谁、保存多久、如何删除”开始。患者健康信息、生物识别、遗传信息及临床试验数据可能涉及敏感个人信息和重要业务资料。企业需区分个人信息处理、科研利用、委托处理、对外提供和跨境传输，并保存能够证明合法性与安全措施的记录。
一、先建立医疗健康数据资产清单
应盘点患者支持、临床试验、药物警戒、市场调研、互联网平台和员工管理系统，记录数据类型、主体、来源、目的、系统位置、共享对象和保存期限，并明确业务及技术责任人。
二、健康信息为什么需要重点保护
疾病、诊疗、生物识别和遗传等信息泄露后可能对个人权益产生较大影响。处理敏感个人信息通常需要具有特定目的和充分必要性，并履行更严格的告知、同意和保护义务。
三、授权同意并非唯一审查事项
企业不应只依赖一份笼统隐私政策。需明确每项处理的合法基础，做到目的具体、范围最小、期限合理，并为查询、更正、撤回和删除等权利提供可执行渠道。
四、临床试验和科研合作如何约定
申办方、研究机构、CRO、中心实验室和技术平台之间应明确各方角色、数据范围、使用目的、安全责任、成果权利、事件通知及项目结束后的返还删除，且与知情同意和伦理审查保持一致。
五、第三方系统和委托处理风险
选择云服务、患者管理、招募或数据分析供应商前，应开展安全与合规尽调。合同需约定处理指令、访问控制、再委托、审计、泄露报告、数据返还删除和责任承担，并持续监督履行。
六、数据出境应提前评估什么
跨国研发、全球药物警戒或集团系统可能产生数据出境。企业应识别数据和主体规模、接收方、目的及安全措施，判断适用的申报、认证、标准合同或其他机制，不能在传输后补做判断。
七、发生泄露或监管询问如何应对
应立即启动预案，控制访问和继续扩散，保全日志，评估影响并按适用规则采取通知、报告和补救措施。对外说明应基于核实事实，技术、业务、法务和管理层需统一协作。
八、常见问题
将患者姓名删除后就一定不是个人信息吗？
不一定。若结合编号、病史、时间或其他信息仍可识别个人，相关数据仍可能属于个人信息；匿名化需要达到无法识别且不能复原的要求。
合作医院提供的数据，医药企业可以直接使用吗？
不能仅因来源于医院就推定合法，应审查提供方权限、原始告知同意、伦理要求、使用目的、数据范围和双方角色。
相关专题：深圳医药企业合规律师。