“现在的监管趋势会导向药企更多的采取分割的业务结构。未来越来越多的中国公司可能会选择将产品中国之外的权益授权给海外公司，由他们主导海外的开发工作。”美国瑞格律所合伙人王凯玲律师表示。

今年上半年，中美先后发布数据跨境传输监管新规。国内由于此前的数据传输的安全评估要求过于保守，新规将相关要求适度放宽，鼓励跨国药企的数据流动。美国的监管趋严，触发审查机制的门槛有待进一步明确。

“新政对于生命科学和医疗服务领域的潜在影响尤为突出，我们在与许多MNC和有跨国业务的本土生物制药公司的合作中也感受到了他们的普遍担忧，担心数据流动受限将给公司项目管线的统一管理、全球运营和国际合作带来阻碍。”美国瑞格律所合伙人王凯玲律师告诉研发客。

她指出，这些担忧不无道理，两国当前采取的管制措施对于医药行业的临床试验、正常的药物警戒安全性数据的交换、上市许可申报、真实世界研究等常规业务均有影响，许多跨境业务要注意的合规要求确实增加了。

“从前中美双报是许多本土药企国际化的重要策略，但现在相关公司需密切关注监管新规的动向，在行动前规划好数据出境业务、评估公司是否有能力应对合规要求及部署好应对措施。”她说。

王凯玲在生命科学领域有超过25年的执业经验，其中她曾担任阿斯利康中国区和亚太区的法律总监共计5年，目前还担任多家跨国生命科学企业的外部法律顾问，就其与跨境临床研究和跨境医疗服务活动相关的法律和监管问题提供法律服务。

不同主体各有侧重

对于药企如何应对新的政策环境，王凯玲表示，药企首先最需关注的是个人信息主要来自哪些国家，个人信息的种类和数量以及个人信息处理者位于哪个国家，这决定了该企业究竟需要重点考虑和适应哪个国家的合规要求。

她举例，对于一家总部在美国的跨国公司直接受美国管辖，而中国又被列入了受关注国家清单，该公司的产品如果在中国申报上市时需要将美国受试者信息汇总到中国，需要侧重于关注美国的法规。

当然，如果在做国际多中心临床的数据分析时，要将中国受试者的信息传输到美国总部，同样需要满足中国的合规要求。目前来看，中国的新规没有增加更多额外审查的规定，这对美国公司今后在美国申报产品上市较为有利。

而中国公司的处境与之相反，需重点关注国内的法规。同时又因其会被美国贴上潜在影响国家安全的标签，所以以中国公司为主体在美国开展临床研究，又要将数据传回中国的挑战则更大了。

她指出，一些国际化布局已经较为深入的中国公司，不论是出于主动还是被动，都需要或者已经在不同程度上调整公司结构，以应对当前的监管趋势。

如其美国子公司和中国公司是关联企业但不相对持股，控股总公司作为最终新药申报的主体，可设置在其他更易满足合规要求的国家，或者将数据分析中心设置在满足类似要求的第三方国家或地区。

“策略的转换取决于公司业务的侧重点和市场销售的重心，及其公司本身的结构有多大弹性，但不论如何，现在的监管趋势会导向药企更多地采取分割的业务结构。未来我们可能会看到越来越多的中国公司选择将产品中国之外的权益授权给海外的公司，由他们主导海外的开发工作。”王凯玲表示。

两国立法目的趋向一致

今年2月，美国总统拜登签署并发布了《防止受关注国家获取美国人士大量敏感个人数据和美国政府相关数据的行政命令》（下称《行政命令》）；美国司法部于同日发布了配套的《立法计划的预先通知》。

其中，中国被列入受关注国家清单，未来达到一定数量级别的人类基因组数据、个人健康数据等美国敏感个人数据将被禁止或限制在美国和列入清单的国家之间交易。

“此前美国管制的重点是技术和资金，对于数据的跨境传输和流动，较中国的管制相对更宽松一些。最新的《行政命令》反映了美国新的立法趋势，和中国的思路类似，即两国的立法目的都是维护国家安全。”王凯玲表示。

值得一提的是，美国此次出台的《行政命令》将透过美国司法部以联邦法规的形式落实，即敏感个人信息的出境的规定对美国各个州都适用。这一点和中国的做法不太一样，中国给予了一些自由贸易试验区一定的灵活度和裁量权。

中国方面，国家互联网信息办公室于今年3月28日发布了《促进和规范数据跨境流动规定》（下称《规定》），并于当日起施行。

单从法规名称来看，相较去年9月的《规范和促进数据跨境流动规定（征求意见稿）》，“促进”二字被前置，释放了一定的减负信号。

从实施细则来看也的确如此。如在原有《数据出境安全评估办法》与《个人信息出境标准合同办法》的基础上，《规定》新增了“豁免”数据跨境流动应符合的前提要件的情形，重新界定了此前触发安全评估、标准合同以及认证条件，这一定程度上降低了企业的合规成本。

“当然，这些调整依然是在充分保障国家安全的前提下进行的。”王凯玲强调。

实施细则完善进度不同

新的《规定》发布后，国内数据跨境传输的路径已比较明确了。相较此前的程序，《规定》中的实施细则一定程度上为数据出境减负，原因和中央最新的政策指向相关，如在今年3月，国务院发布的《扎实推进高水平对外开放更大力度吸引和利用外资行动方案》中就曾提及要“支持外商投资企业与总部的数据流动”。

来源|中伦律师事务所官网

“除了大的政策背景，具体来看，原来的数据传输的安全评估要求过于保守。例如在实践中可以发现此前的安全评估触发门槛过低（2年内向境外提供敏感个人信息数量超过1万），如果药企在持续销售某个药品，其药物警戒工作所涉及的数据量很容易就会超过门槛，这样的话企业需要频繁地申报安全审查，合规的工作量相当大，监管机构的工作量也非常重，但是数据本身的风险其实没有这么高。基于类似的问题，新《规定》进行了优化，将门槛设置为一年小于1万的敏感个人信息）。”王凯玲表示。

整体来看，新《规定》调整了安全评估、标准合同与认证的适用条件，并在此基础上引入了“豁免”机制。

美国的《行政命令》则规定了其行政管控措施也是要进行审查，但目前触发审查机制的门槛还没有明确。

“如关于大量数据的定义，这些数据是指一次性出境还是在某一时间段内的总量，传输主体为单一企业还是所有关联企业都算在内，都需要在未来法案正式出台后进一步详细规定。现阶段美国的草案只能体现其立法思路和趋势，还没能给企业提供很明确的应对指引，需要持续关注后续出台的法案具体内容。”王凯玲表示。

美国是医药大国，如果中国公司要将产品国际化，势必需要在美国上市，需要汇总全世界各个国家受试者的信息。“以前把美国受试者数据传回中国，没有额外的法律法规限制要求，中国药企也不会在美国被贴上特别关注的标签，《行政命令》的发布无疑对中国企业增加了新门槛。”王凯玲表示。

她特别指出，《行政命令》中把人类基因数据和其他类型的个人信息区分开来了，除非另外取得美国司法部的许可，否则基因数据的出境时原则上将被禁止。其他类型的个人信息数据则只要数量没有达到限制上限，理论上可以出境。

“对于个体化精准医疗产品，难以避免会涉及到基因数据。中国公司如果要把这些数据从美国传输到中国来，未来面临的不确定性将提高。中国公司如果要自己主导进军全球市场，让产品去美国上市，自己需承担合规责任。”王凯玲最后表示。