医药企业法律顾问与合规领域医疗健康数据合规律师实务

一文读懂：医疗健康数据处理的“同意”与“例外”之争

每一位医药企业法务或合规官，大概都经历过这样的场景：市场部希望与三甲医院合作开展患者随访项目，想要拿一批病历数据做真实世界研究；临床研发团队则要求将某临床试验机构的数据传输至总部服务器。此时，一个基础的合规问题随之浮现——这些医疗健康数据的处理，究竟应该取得患者个人的“知情同意”，还是可以援引其他合法性基础？

在医药企业法律、顾问与合规领域医疗健康数据合规律师实务处理中，这个问题的答案直接决定了项目能否启动、流程如何设计，以及企业可能面临的法律后果。本文以《中华人民共和国个人信息保护法》第十三条为切入点，结合医药企业的典型业务场景，解析数据处理的合法性迷宫。

法条原文

《中华人民共和国个人信息保护法》（2021年11月1日施行）第十三条：
符合下列情形之一的，个人信息处理者方可处理个人信息：
（一）取得个人的同意；
（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
（三）为履行法定职责或者法定义务所必需；
（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
（七）法律、行政法规规定的其他情形。
依据前款规定处理个人信息，应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。

立法背景：从“知情同意”唯一论到多元合法性基础的转向

在《个人信息保护法》出台之前，《网络安全法》和《民法典》对个人信息处理的合法性基础基本围绕“知情同意”展开。然而，对于医疗医药行业而言，这种单一机制遭遇了实践挑战：药物警戒不良反应监测要求药企在无法逐一取得患者同意的情况下向监管机构报告数据；突发公共卫生事件中的患者流调数据须快速共享；临床研究中的去标识化数据再利用也面临宽泛同意的合法性质疑。

立法者意识到，医疗健康数据的流通利用与个人权益保护必须并行推进。第十三条的立法初衷在于，通过构建“同意+例外”的多元合法性基础，为医疗健康数据在合规框架内流通提供制度出口。针对顾问与合规实务而言，理解该条的立法逻辑至关重要——法律并未将所有未获同意的数据处理一棍子打死，但每一种例外都附有精确的目的限制和比例原则约束。

条文释义：逐句拆解与医疗医药合规的连接点

“取得个人的同意”——但何种同意才算有效？
在医药企业场景中，这意味着向患者或受试者告知处理目的、方式、范围时，不能使用含糊的“用于医学研究”。依据《个人信息保护法》第十四条，同意应当由个人在充分知情前提下自愿、明确作出。涉及敏感个人信息（医疗健康数据属于此类）的，还需取得单独同意。

“为订立、履行个人作为一方当事人的合同所必需”——争议的起点
药企在向患者提供用药指导或配送服务时，可主张此款。但病案数据用于药企自身研发，通常难以落入“合同所必需”的范畴。合作协议的约束本身不等于合法处理数据的充分依据。

“突发公共卫生事件”与“紧急情况”
此项在公共卫生事件期间为药企向疾控部门共享数据提供依据，但企业不能自我授权、脱离官方调度而擅自处理数据。若合同、公告或流程中未事先明确此种干预机制，协商环节的缺失将给企业留下巨大的违规漏洞。

“合理的范围内处理已公开信息”
医药企业须审慎判断个人自行公开医疗信息的边界，即便数据已公开，也不意味着可以无限制地用于药企的商业营销或算法推荐。公开不等于放弃控制，更不等于第三方获得任意使用权。

适用场景：协商过程与正式程序的现实脱节

场景一：真实世界研究中的数据协作
药企与医疗机构联合开展真实世界研究，医院端主张已获得患者“泛知情同意”，而申办方药企在接收数据时面临合法性识别困境。此时，医疗健康数据的流转路径若只在科研协议中进行协商约定，而未关注协议之外的法律程序——如伦理审查意见、数据安全评估、患者个人的授权范围核验——则一旦发生纠纷，药企难以证明自身已履行法定的独立合规义务。

场景二：院内药事服务与药品配送
互联网医院场景下，药企通过合作平台获得患者处方数据以提供配送服务。“合同所必需”可作为正当性基础，但超出配送目的的使用（如疾病画像、销售分析）则脱逸合法性边界。

场景三：多中心临床试验中的跨境数据传输
国内采集的生物样本与健康数据需传输至海外总部或合作方。根据《人类遗传资源管理条例》，部分数据出境需事先取得行政审批，而个人信息出境则须通过安全评估、认证或标准合同等路径。此间，协商同意的内容须与正式的国家安全审查程序衔接，顺序颠倒将导致行政违法。

“协商”与“正式程序”的差异化管理策略

药企在与医院或第三方数据提供方协商时，往往侧重于商业条件的达成——数据范围、使用期限、对价与知识产权。然而，医疗医药合规的深层要求在于正式程序要素的同步嵌入：医疗健康数据合规的授权链条是否完整、伦理与行政审批是否先行、患者个体的拒绝权与撤回权通道是否畅通。法务应主动将两类工作流合并管理，避免“合同已签、程序未走”的尴尬局面。

注意事项：药企合规的高频风险点与行动清单

• 区分个人信息与匿名化信息。去标识化后仍可重新识别的健康数据，依然受《个人信息保护法》约束，不得以“匿名化”之名规避合规义务，需完成匿名化程度的技术评定。
• 独立取得单独同意。个人医疗健康数据的处理不得捆绑于一般用户协议中，“单独同意”需与一般条款显著区分，以弹窗或独立签署等形态呈现。
• 书面合作中的数据流向图。在药企与医疗机构签署的框架协议中，应绘制完整的“数据起源—访问—留存—转发—删除”流向图，作为应对监管核查的底稿。
• 全程记录可审计。根据《个人信息保护法》第六十九条，个人信息处理者不能证明自己没有过错的，需承担责任。药企须留存数据处理记录、同意的操作日志，以备行政诉讼或民事诉讼中的举证责任倒置。
• 关注地方监管实践。北京、上海、深圳等地的数据交易所均已上线部分医疗健康数据产品，但各地对数据来源合法性的审查口径存在差异。建议药企在具体属地项目中提前咨询当地网信办关于数据出境及安全评估的最新指引。

关于跨境医疗数据合规的额外提醒

在中国境内收集的医疗健康数据原则上应存储在境内。确需出境的，务必依据《数据出境安全评估办法》履行申报程序，或通过中国网信办发布的《个人信息出境标准合同办法》订立标准合同并完成备案。涉及人类遗传资源数据的，还需另行向科技部申请审批。涉事药企在项目时间规划上须预留充分审批周期。

实务问答：医药企业数据合规中的常见困惑

问：药企从医院获取患者病历开展上市后研究，是否必须取得每位患者的知情同意？
不一定。若研究通过伦理审查且经过去标识化处理，部分情形可适用合法利益或公共利益例外条款。但若涉及可识别患者身份的信息或直接联系患者进行随访，则必须取得个人同意。稳妥做法是通过医院方在诊疗环节签发研究专用的知情同意书，而非依赖旧有的诊疗同意书模糊覆盖。

问：药企与CRO签署数据处理协议时，如何分配法律责任？
《个人信息保护法》第二十一条要求委托处理中明确约定委托目的、期限、处理方式、信息种类和保护措施，并监督受托方。合规要点在于：委托协议中须明确禁止CRO将数据用于约定目的之外的其他活动；在合同终止后要求CRO返还或删除相关数据并提供书面确认；数据泄露事件中，合同须预设通知义务及责任分担机制。药企作为委托方，不能以CRO违规操作为由而主张完全免责。

结语

医疗健康数据的合规模糊地带在可预见的未来仍将存在，但核心线索已然清晰：合意程序的取得与正式法定程序的落地并行，缺一不可。药企在此间既是数据控制者，也是数据安全的法定责任人。每一项新合作启动前，不妨同时问两个问题——商业条件谈妥了吗？法律和伦理程序走通了吗？前者决定合作能否顺畅，后者决定合作是否合法存续。具体项目的风险敞口和行政监管趋势可能持续变化，建议结合自身组织架构和数据流向，咨询具备医药行业经验的执业律师（如吴勇律师团队）开展专项合规审查，以便精细化设计方案。