核心结论：医疗健康数据合规的难点往往不在“要不要做”，而在“找谁办、什么时候办”。同一批医疗健康数据可能同时落入网信、卫健、药监、科技等多条监管线，出境评估、标准合同备案、人类遗传资源审批各有法定时限，错报管辖或逾期申报都可能触发高额罚款与项目停摆。本文以程序时限与管辖选择为切口，梳理五个高频问题。
对医药企业法律顾问与合规团队而言，医疗健康数据合规实务操作最容易踩坑的不是实体规则，而是“程序走了、管辖报错了、时限过了”。以下这份指南围绕五个问题展开，供医药企业在经营合规体系中落地参考。
Q1：医疗健康数据合规由哪些部门管辖？该向谁申报？
医疗健康数据具有多重属性，管辖呈“多头并管”格局：涉及个人信息处理与数据出境的，由网信部门主管；涉及医疗机构诊疗数据、人口健康信息的，由卫生健康部门主管；涉及药物临床试验、药品追溯、医疗器械数据的，由药品监管部门主管；涉及人类遗传资源的，由科技部门主管。
依据《个人信息保护法》《数据安全法》及《人口健康信息管理办法（试行）》，企业应先做“数据分类—场景归类—主管部门对应”的三步判断，再决定申报路径。以深圳为例，《深圳经济特区数据条例》作为全国首部数据领域综合性立法，对数据处理者的告知同意、数据交易等提出更具体要求，深圳医药企业往往还需与市卫生健康部门、市数据主管部门对接，管辖判断错误的代价是程序重走、时效白白流失。
Q2：数据出境有三条路径，时限和适用条件怎么把握？
依据《个人信息保护法》第三十八条，数据出境可走安全评估、标准合同、专业认证三条路径。《数据出境安全评估办法》（2022年9月1日施行）确立的流程是：省级网信部门完成完备性查验后报国家网信部门，国家网信部门受理后一般在45个工作日内完成评估，情况复杂可延长15个工作日，评估结果有效期2年。《个人信息出境标准合同办法》（2023年6月1日施行）要求，标准合同签订之日起10个工作日内向省级网信部门备案，且备案前须完成个人信息保护影响评估。
2024年3月22日施行的《促进和规范数据跨境流动规定》进一步明确了若干免予申报的情形，门槛判断成为合规实务操作的第一道关口。建议企业在启动跨境多中心研究、境外申办方数据回传前，先做一次可核验的出境场景清点，再确定路径；具体时限以最新规定为准，建议核验官方最新版本。
Q3：涉及人类遗传资源的审批与备案，时限如何计算？
《人类遗传资源管理条例》及2023年7月1日施行的《人类遗传资源管理条例实施细则》形成了“审批+备案”双轨制：采集、保藏、国际合作科学研究等事项需审批，信息对外提供或开放使用一般走备案。审批类事项，主管部门自受理之日起一般在20个工作日内作出决定