深圳医药企业法律顾问：法律规定与最新司法实践

新闻背景：深圳医药企业为何频频被"数据合规"绊倒

深圳是医药研发、医疗器械和互联网医疗的高密度城市，南山区、坪山区的生物医药企业尤其集中。近两年，监管部门对医疗健康数据合规的检查明显加密，深圳法院受理的涉患者信息、涉人类遗传资源纠纷也在增加。许多企业的第一反应仍是找法律顾问"摆平"，但现实中，真正的风险点往往在业务启动的那一天就已埋下。

下面三个误区，是深圳医药企业法律顾问与合规实务中最常见的反例。

误区一：患者签了知情同意书，就等于拿到了数据授权

很多企业把临床试验或院内随访的知情同意书，直接当作后续数据分析、二次利用、商业推广的授权依据。这是典型的"一纸通用"思维。

《个人信息保护法》第28条明确规定，医疗健康信息属于敏感个人信息；第29条要求处理敏感个人信息必须取得个人的单独同意；第55条进一步要求，处理敏感个人信息前应当进行个人信息保护影响评估（PIA）并留存记录至少三年。知情同意书只能证明你履行了告知义务，不能替代单独同意，更不能覆盖"目的之外"的使用。

反例：某企业把患者随访数据用于训练AI辅助诊断模型，授权范围却只写了"疾病随访"。这类目的变更属于重新处理，需重新取得同意，否则可能触及《刑法》第253条之一侵犯公民个人信息罪的红线。

误区二：研发数据出境"先传再说，回头补手续"

深圳医药企业大量与境外总部、境外CRO、境外检测机构合作，数据跨境几乎是日常动作。问题在于，人类遗传资源和健康数据不是普通数据。

• 人类遗传资源信息：《人类遗传资源管理条例》要求，向外国组织或个人及其实际控制的机构提供或开放使用相关信息的，应当事先备案并提交信息备份；国际合作科学研究通常还涉及审批。
• 数据出境：2024年3月22日发布施行的《促进和规范数据跨境流动规定》，对医药、学术合作等场景设定了豁免或简化通道，但"符合豁免"需要逐项比对条件，不能自行推定。
• 本地法规：《深圳经济特区数据条例》自2022年1月1日起施行，是深圳本地数据合规的基础性依据，对数据处理者的安全义务有更细的要求。

"先传后补"一旦被认定为未经批准的对外提供，后果可能不只是行政处罚，还可能触发刑事风险。

误区三：法律顾问只在被约谈之后才出现

最贵的法律顾问，是事后被请来的那一位。实务中，企业的数据合规漏洞往往出现在三个节点：立项时没有做数据分类分级、上线前没做PIA、出问题时才发现日志和授权记录不完整。

从深圳知识产权法庭、深圳国际仲裁院近年处理的涉数据争议，以及公开行政处罚信息看，监管与司法机关越来越关注企业是否建立了可验证的合规制度，而不是事后的一纸说明。制度留痕、评估报告、数据清单、授权记录，正在成为责任认定的重要参考。这也是"深圳医药企业法律顾问"角色发生转变的根本原因——从合同审查者，变成嵌入研发、营销与临床试验全流程的合规设计者。

问答：深圳医药企业最常问的两个合规问题

问题一：患者数据用于科研，一定要做个人信息保护影响评估吗？

结论：只要涉及敏感个人信息处理，原则上应当做。依据是《个人信息保护法》第55条。适用条件是处理敏感个人信息、自动化决策、委托处理、向他人提供、出境等情形；操作上建议形成书面评估报告，内容包括处理目的、必要性、风险与防护措施，并保存不少于三年。

问题二：把研发数据传给境外合作方，需要办哪些手续？

结论：先判断数据属性，再判断路径。若涉及人类遗传资源信息，按《人类遗传资源管理条例》履行审批或备案；若构成数据出境，按《促进和规范数据跨境流动规定》判断是否属于豁免情形，必要时完成安全评估或标准合同备案。建议在签署国际合作合同前，由法律顾问完成路径梳理并留痕。

应对建议：医药企业法律顾问与合规的四步动作

• 建数据清单：把患者信息、基因数据、临床试验数据、员工数据分类分级，明确哪些是敏感个人信息。
• 补授权链条：核查知情同意书的授权范围是否覆盖实际使用场景，目的变更即重新取得同意。
• 做评估留痕：PIA报告、出境评估、安全评估材料形成台账，至少保存三年。
• 设前置审核：新项目立项、新合同签署、新系统上线前，由法律顾问出具合规意见，而不是事后补救。

专家观点：数据合规不是成本，而是医药企业能否持续拿到临床试验、能否顺利开展国际合作的前置门槛。深圳的产业节奏快，越是快，越需要法律顾问在项目启动那一刻就介入。

每家企业的业务模式、数据来源和合作方结构不同，具体判断仍需结合自身情况寻求专业法律意见，必要时可咨询吴勇律师团队。相关阅读可参考本站医疗医药合规与经营合规栏目。