医疗健康数据属于《个人信息保护法》第28条界定的敏感个人信息。医药企业需要准备的合规证据可归为五类：一是数据资产地图与分类分级台账；二是合法性基础与知情同意文件；三是个人信息保护影响评估（PIA）与内部治理记录；四是技术安全措施与全流程操作日志；五是对外提供、委托处理与数据跨境的合同和审批材料。其中，影响评估报告与处理情况记录依《个人信息保护法》第56条须至少保存三年，是监管检查和诉讼中最常被调取的证据。
为什么"证据"比"制度"更重要
多数医药企业并不缺制度文件，缺的是"制度已经落地"的可验证痕迹。《个人信息保护法》第69条规定，处理个人信息侵害个人信息权益造成损害，处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。这意味着举证责任在很大程度上被推给了企业：你不仅要说明自己有制度，还要拿出证据证明在特定的时间点、针对特定的数据、执行了特定的处理动作，并取得了合法授权。
典型场景（示意）：某企业开展真实世界研究，从医院获取了去标识化后的患者诊疗数据。事后有受试者主张未获有效同意。此时企业能否提供单独的知情同意文件、伦理审查批件、数据接收与脱敏记录、访问日志，直接决定抗辩空间的大小。缺少任何一环，都可能被认定为未尽到合规义务。
一、数据资产与分类分级证据
这是所有合规工作的起点，也是检查时第一个被索要的材料。
- 数据资产地图：系统名称、字段清单、数据来源、存储位置、流转路径、责任部门与责任人。
- 分类分级台账：依据《数据安全法》第21条建立数据分类分级保护制度，健康医疗数据可参照国家标准《信息安全技术 健康医疗数据安全指南》（GB/T 39725—2020）确定分级；如落入重要数据目录，还需履行相应备案与风险评估义务。
- 人类遗传资源文件：涉及人类遗传资源采集、保藏、国际合作科学研究的，应留存科技行政部门审批或备案材料，依据是《人类遗传资源管理条例》及其实施细则。
二、合法性基础与知情同意证据
《个人信息保护法》第29条要求处理敏感个人信息取得单独同意；第17条、第30条要求以显著方式、清晰易懂的语言告知处理目的、方式、种类、保存期限及必要性；第31条规定处理不满十四周岁未成年人个人信息须取得监护人同意，并制定专门处理规则。
- 知情同意书原件或可回溯的电子同意记录（含同意时间戳、版本号）。
- 临床试验场景下的伦理委员会批件、知情同意书及修订版本对照（参照《药物临床试验质量管理规范》要求）。
- 同意撤回的受理与执行记录，以及撤回后停止处理、删除数据的证明。
- 无法取得同意时的替代合法性基础说明及依据（如第13条列举的法定情形）。
提示：同意并非"万能钥匙"，但也绝不是可以省略的形式。对医疗健康数据，除落入《个人信息保护法》第13条其他法定情形外，单独同意仍是首选路径；即便依赖其他基础，也应留存必要性论证。
三、个人信息保护影响评估与内部治理证据
《个人信息保护法》第55条明确，处理敏感个人信息、委托处理、向他人提供个人信息、向境外提供个人信息等情形，应当事前进行个人信息保护影响评估并记录处理情况；第56条要求评估报告和处理情况记录至少保存三年。此外，第52条要求达到规定数量的处理者指定个人信息保护负责人并报送相关信息，第54条要求定期开展合规审计。
- PIA报告全文、评估结论、风险处置措施及落实情况。
- 个人信息保护负责人的任命文件、职责说明及报送凭证。
- 合规审计报告、整改清单与闭环记录。
- 员工保密协议、权限审批单、分层分类培训签到与考核记录。
四、技术安全措施与全流程留痕证据
《网络安全法》第21条要求落实网络安全等级保护制度，《数据安全法》第27条、第29条要求建立数据安全管理制度并开展风险监测与事件处置。
- 等级保护备案证明与测评报告。
- 加密、去标识化、假名化方案文档及实施记录。
- 访问、导出、修改、删除日志，并明确日志保存期限。
- 权限矩阵与最小必要授权审批记录。
- 数据安全事件应急预案、演练记录及（如有）事件处置报告。
五、对外提供、委托处理与跨境流动证据
医药企业普遍将数据处理环节外包给CRO、SMO、云服务商或数据中心，这类安排需要完整证据链。
- 委托处理协议：依《个人信息保护法》第21条约定处理目的、期限、方式、保护措施及双方权责。
- 向第三方提供个人信息时，履行第23条告知义务并取得单独同意的记录。
- 数据出境：依第38条选择安全评估、标准合同备案或个人信息保护认证，并留存申报材料与批复文件；同时关注《促进和规范数据跨境流动规定》确立的豁免与便利化安排。
- 合同中应包含审计权、事件通知、删除与返还、再委托限制等条款，并留存履约审计记录。
常见问题
问：我们从未发生数据泄露，也需要准备这些证据吗？
需要。合规证据的作用不止于应对事件，也是应对日常检查、合作方尽调、投融资与IPO尽职调查的基础材料。缺失证据本身就是风险。
问：个人信息保护影响评估报告必须保存多久？
依据《个人信息保护法》第56条，处理情况记录和影响评估报告应至少保存三年；建议按更长的业务周期（如药品上市后研究周期）保存，以覆盖潜在争议时效。
问：把数据完全去标识化后，是否就不受约束？
去标识化可显著降低风险，但不等于脱离监管。若仍可能通过与其他信息结合识别到个人，仍属于个人信息；处理目的变更、再次识别等情形也需重新评估。
建议：把清单变成常态化的台账
建议企业建立"一表一档"机制：以数据资产表为主线，将同意文件、PIA报告、合同、日志、审批单按数据流各环节归口存档，并设定更新与复核周期。在监管问询或争议发生时，能够按时间线快速调取，才是真正意义上的合规。
医疗健康数据合规涉及药监、卫健、网信等多条监管线，具体证据要求会因业务模式（临床试验、真实世界研究、互联网医疗、器械售后数据等）而不同。建议在启动新项目或调整数据处理流程前，尽早咨询专业律师，对证据清单做针对性裁剪与补强。