近年来，中国创新药企业加速融入全球医药研发体系，通过国际多中心临床试验、License-out 合作及海外注册申报等方式拓展欧美市场。在此过程中，临床数据跨境传输已成为企业必须面对的合规核心。
在典型的全球多中心临床试验中，境内医院负责受试者招募与数据采集，中国 CRO 承担项目管理，境外合作方则主导统计分析与注册申报。这一流程涉及患者健康状况、诊疗记录及检测结果等敏感数据的出境，其合规要求已超越单纯的业务流程，上升为涵盖个人信息保护、数据安全及行业监管的综合命题。
2026 年 7 月 22 日，国家互联网信息办公室与公安部联合发布《小型个人信息处理者个人信息保护简化措施规定》（以下简称《规定》），将于同年 9 月 1 日起施行。该规定旨在为小规模个人信息处理企业在合规审计、影响评估及告知方式等方面提供简化路径。然而，对于生物医药企业而言，需明确《规定》并未改变我国数据跨境监管的基本框架。鉴于临床数据包含医疗健康、生物识别等敏感信息，即便企业处理规模较小，亦不能简单理解为可降低数据出境的合规标准。
一、临床数据跨境监管体系已经形成
我国数据跨境监管体系建立在《网络安全法》《数据安全法》及《个人信息保护法》基础之上，并非始于此次新规。
《网络安全法》第三十九条规定，关键信息基础设施运营者在境内收集和产生的个人信息及重要数据应当在境内存储；确需向境外提供的，须通过国家网信部门会同有关部门制定的安全评估。
《数据安全法》第三十一条进一步明确，关键信息基础设施运营者的重要数据出境适用《网络安全法》规定，其他数据处理者的重要数据出境管理办法由国家网信部门会同有关部门制定。
对于一般生物医药企业，《个人信息保护法》具有更直接的指导意义。根据其第三十八条，因业务需要向境外提供个人信息，应当通过数据出境安全评估、个人信息保护认证或签署标准合同等方式之一进行。同时，第二十三条规定，向其他处理者提供个人信息时，须向个人告知接收方名称、联系方式、处理目的、方式及种类，并取得单独同意。
从数据性质界定，临床试验数据通常属于敏感个人信息。依据《个人信息保护法》第二十八条，医疗健康信息及生物识别信息均纳入敏感范畴。由于临床数据直接关联患者健康权益，一旦泄露后果严重，因此其监管要求显著高于普通业务数据。
二、临床数据出境首先要判断数据规模和类型
在实际操作中，企业需重点关注向境外提供个人信息的数量级与敏感程度。现行规则设定了明确的触发阈值：
针对一般个人信息，若自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人（不含敏感个人信息），企业通常需通过个人信息出境标准合同备案或个人信息保护认证完成合规；若累计达到 100 万人以上，则必须申报数据出境安全评估，获批后方可出境。
针对敏感个人信息，监管门槛更为严格。累计向境外提供不满 1 万人敏感个人信息的，需通过标准合同或认证方式；一旦累计达到 1 万人以上，即须申报数据出境安全评估。
对生物医药企业而言，临床试验受试者数据多属敏感个人信息。因此，即便受试者数量远低于互联网企业的数据规模，也极易较早触发数据出境的严格合规要求。
三、小型个人信息处理者简化措施不能替代跨境合规义务
《规定》将处理不满 10 万人个人信息的企业定义为“小型个人信息处理者”，允许其在部分事项上采取简化措施，如通过公开规则履行告知义务、采用自查表完成合规审计或使用模板进行影响评估。但这种简化主要针对合规形式，而非实体责任豁免。
生物医药企业的临床数据具有双重特殊性：一是数据总量可能有限，二是数据敏感度极高。例如，一家临床阶段企业可能仅拥有数千名受试者，但数据内容涵盖疾病详情、治疗方案、实验结果及不良反应记录等高敏信息，且需向境外申办方、CRO、统计机构或监管机构传输。因此，企业不能仅以“未达到 10 万人”为由主张适用简化规则。
此外，实践中需严格区分临床试验知情同意书与个人信息跨境同意。前者主要解决受试者参与研究及风险知悉问题，后者则要求企业就个人信息处理的目的、方式、范围及境外接收方情况取得专门授权，两者不可相互替代。
四、生物医药企业应提前设计数据跨境路径
对于推进全球临床试验或海外商业化的中国药企，数据合规不应作为项目后置环节，而应嵌入研发规划与交易设计的初始阶段。
企业首先应建立临床数据流转清单，厘清数据来源、处理主体、境外接收方及最终用途；其次，需在 CRO 协议、临床试验协议及海外合作协议中，预先约定数据处理权限、安全措施及跨境传输责任。
同时，涉及基因检测、人类遗传资源信息的数据，还需进一步遵循相关行业专项监管要求。个人信息保护规则的简化措施，并不改变人类遗传资源管理等特定领域的监管红线。
总体而言，《小型个人信息处理者个人信息保护简化措施规定》虽降低了部分企业的合规操作成本，但对生物医药行业而言，核心挑战仍在于如何在全球研发合作与中国数据监管要求之间，构建稳定、可持续的数据治理体系。未来，临床数据合规能力将成为中国创新药企业开展海外注册、商业合作及提升国际竞争力的关键要素。