摘 要

BD交易中向境外合作方提供临床数据，或者把试验数据用于新的研究，企业首先要判断这些数据是去标识化的个人信息，还是已经匿名化的数据。这一判断决定了是否需要取得患者同意、是否需要办理出境手续，以及交易文件中关于数据的陈述能否成立，实践中却常常没有经过论证。2026年的两起海外执法案例，否定了一家跨国CRO旗下两家子公司的“匿名”主张，所涉数据的来源和用途在国内同样常见。本文从中国法对去标识化与匿名化的区分出发，以两案为参照，梳理企业在与医疗机构合作、采购外部数据、再利用临床试验数据以及BD交易和数据出境中需要重新审视的问题，并提出企业现在需要做的事。

一、“脱敏”不等于匿名

一笔BD交易进入尽职调查，境外合作方要求查看患者层面的临床试验数据，企业以数据已经脱敏为由，没有办理出境手续，这样做站得住吗？交易文件中写明“数据已匿名化”，几年后被监管认定为个人信息，责任由谁承担？往前追溯，问题还会更多。医院提供的研究数据去掉了姓名和身份证号，算不算匿名数据？数据服务商保证数据已经脱敏，企业拿来做研究，还需不需要患者同意？受试者编码后的临床试验数据，能不能直接用于新的研究？合作协议约定由医院或研究机构负责告知患者，出了问题，企业能否置身事外？

在不少项目里，企业对这些问题给出的都是对自己有利的回答。2026年的两起海外执法案例，对类似做法作出了相反的认定。回答这些问题，需要先回到中国法对去标识化和匿名化的区分。

《个人信息保护法》对两者有明确区分。去标识化，是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程；匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程（第七十三条）。两者的法律后果截然不同。匿名化处理后的信息不再属于个人信息（第四条）；去标识化的信息仍是个人信息，法律只是把去标识化列为一项安全技术措施（第五十一条）。

实践中的说法远没有这么清楚。“脱敏数据”“编码数据”“去隐私化数据”经常混用。合同写的是“提供方保证数据已经匿名化”，交付的往往只是去掉了姓名、身份证号和联系方式的数据。法律上并没有“脱敏”这一类别，一份数据要么仍是个人信息，要么已经匿名化。

对生物医药企业而言，这一区分的分量比其他行业更重。医疗健康信息属于敏感个人信息（第二十八条），处理需要取得个人的单独同意（第二十九条）；向其他个人信息处理者提供，还要告知接收方的情况并另行取得单独同意（第二十三条）。与GDPR不同，《个人信息保护法》第十三条没有把科学研究单列为处理个人信息的合法性基础。企业利用医疗数据开展研究，实践中主要依靠两条路径：取得患者的单独同意，或者主张数据已经匿名化。伦理审查也有相应安排。《涉及人的生命科学和医学研究伦理审查办法》第三十二条允许使用匿名化的信息数据开展的研究免除伦理审查，但前提是不对人体造成伤害、不涉及敏感个人信息或者商业利益。企业主导的研究能否适用这一条，本身就值得推敲。

因此，在不少项目里，整个合规安排都以“数据已经匿名化”为前提。如果这一判断不成立，同意、告知、伦理审查和数据出境等方面的问题可能同时出现。

标准层面也在推进。在个人信息去标识化指南和去标识化效果评估指南两项国家标准之后，全国网络安全标准化技术委员会于2025年8月就个人信息匿名化的指南及评估方法公开征求意见[1]。匿名化不再只是一个结论，而是需要评估和证明的事项。至于如何评估、由谁证明、评估结论能否得到监管认可，国内公开的执法和司法案例中还很少有具体的审查。2026年欧盟的两起案件，恰好可以作为观察监管如何检验“匿名”的参照。

二、海外监管怎样检验“匿名”

这两起案件发生在欧洲，与国内药企的距离却比看上去近。案件中的公司采集诊疗数据，建成可以长期追踪患者的数据库，再为制药企业开展研究，国内同样有不少类似的安排。中国法对去标识化和匿名化的区分，与欧盟的思路基本一致。欧盟监管怎样检验“匿名”，对判断国内的做法有现实的参考价值。企业通过BD交易与设在欧盟的药企合作的，合作方会按欧盟的标准看待企业提供的数据。企业在欧盟开展临床试验或者设立机构的，欧盟规则还可能直接适用于企业自身。

两案的被处罚方，是同一家全球主要的合同研究组织（CRO）和健康数据服务商在法国和意大利设立的子公司。2026年5月和9月，法国国家信息与自由委员会（CNIL）和意大利个人数据保护局先后作出处罚决定[2][3]。两案的数据来源不同，争议的焦点却高度一致。

法国案涉及两个健康数据仓库。一个仓库的数据来自约14,000家合作药房。药房管理软件中集成的插件在售药时提取数据；在约10,000家药房，插件还附带一个由国家健康标识符转换生成的患者识别码，用于跨药房长期追踪同一患者的诊疗路径。这些数据经两家可信第三方再次转换后入库。另一个仓库的数据来自医生使用的诊疗软件。意大利案涉及约800名全科医生。意大利子公司曾在医生的诊疗管理软件中安装插件，把100多万名患者的诊断、处方、检查等数据持续传入自有数据库，用于为制药企业开展观察性研究；作为交换，由该子公司为医生支付软件费用。

两家公司都主张，收到的数据已经匿名化，至少对自己而言不是个人数据。这一主张有新的依据。欧盟法院2025年9月在SRB案中认为，假名化数据并非对任何人、在任何情况下都构成个人数据，要看接收方是否掌握合理可能用于识别的手段[4]。两家公司也都提交了再识别风险的分析或评估，意大利子公司还表示其做法符合市场通行标准。

两国监管机构都没有接受。从两份决定看，监管关注的是假名化由谁设计和决定，数据中有没有能长期追踪同一个人的固定标识，信息是否丰富到可以把某个人单独挑出来。只要接收方具备以合理手段再识别的能力，无论其是否有意这样做，数据都会被认定为个人数据[5]。监管还会追到源头，看数据是怎样采集的、患者被告知了什么、采集工具在默认状态下会传出哪些数据。企业自己的再识别风险评估，监管会审查，但不会直接采信。意大利的决定还明确援引了法国的决定，两国监管的思路一致。欧洲数据保护委员会（EDPB）也在2025年和2026年先后就假名化和匿名化发布指南征求意见，其中匿名化指南的意见征集截至2026年10月30日[6]。

两案还有一点值得注意。法国案起因于2021年一档电视节目和随后的投诉，处罚在近五年后作出；意大利案所涉的处理活动从2015年就已开始。监管审查的是多年积累下来的做法，而不是某一个时点的单次操作。

三、与医院合作的研究数据

企业与医院合作开展真实世界研究，常见的安排是企业出资或提供平台、工具，医院建立专病数据库，再向企业提供“脱敏”后的数据。按照《个人信息保护法》，判断各方角色的标准是谁自主决定处理目的和处理方式（第七十三条）。医院向企业提供个人信息，需要告知患者并取得单独同意（第二十三条）。双方共同决定处理目的和处理方式的，应当约定各自的权利义务，侵害个人信息权益造成损害的，依法承担连带责任（第二十条）。

意大利案提供了一个直接的参照。意大利子公司主张自己只是技术和财务上的合作方，数据由全科医生处理。监管认为，该公司决定了数据如何提取、用于什么目的，从收集数据时起就是控制者。与医生签订的合同不能作为处理患者数据的依据，因为患者并不是合同当事人。合同范本虽然要求医生告知患者，但这不能视为该公司履行了自己的告知义务，告知的内容也不完整。监管还认为，医生在所谓的匿名化操作中没有任何决策空间，不能被当作决定处理方式的一方；该公司本应把医生作为处理者，与其订立相应的协议[7]。

对照国内的合作模式，企业需要回答这样一些问题。研究目的、数据字段和去标识化规则是谁定的？如果是企业，企业在法律上很可能就是个人信息处理者，而不只是“数据使用方”。医院向企业提供数据，依据的是患者的单独同意，还是数据已经匿名化？如果是后者，这些数据在企业手中是否真的无法识别、不能复原？合作协议约定由医院负责告知和取得同意，在共同处理的情形下，能否让企业免于承担责任？研究是否以使用匿名化数据为由免除了伦理审查，企业主导的研究是否满足不涉及商业利益的前提？企业为医院提供平台、软件或资金，同时取得数据，这种安排除了数据合规，还会不会引起医药领域对向医疗机构提供利益的审视？

企业需要回到项目设计本身，重新确定自己在每个项目中的角色，并据此审视同意、告知和伦理审查的安排。

四、外部采购的数据

越来越多的企业从数据服务商、医疗大数据平台或数据交易场所取得外部数据，用于流行病学研究、市场准入和研发决策。《数据安全法》要求收集数据应当采取合法、正当的方式（第三十二条），从事数据交易中介服务的机构应当要求数据提供方说明数据来源（第三十三条）。《个人信息保护法》禁止非法买卖、提供个人信息（第十条）。服务商通常会告诉企业，数据已经脱敏，言下之意是数据不再属于个人信息。

两案中，被处罚的公司本身就是数据服务商，其数据库主要用于为制药企业开展研究。监管并没有停留在数据库这一层，而是一直追溯到数据怎样从药房和诊所的软件中采集出来。法国监管认定，药房软件中的插件是软件开发商按法国子公司的规格开发的，即使药剂师拒绝参与，插件仍会把患者数据传给第一家可信第三方，责任由法国子公司承担[8]。意大利案中，医生在病历的自由文本字段里录入了患者的身份信息，插件没有过滤，3,000多名患者的可识别数据由此传给意大利子公司，又被转给了合作的学术团体[9]。

企业作为数据的购买方和使用方，需要追问这样一些问题。所取得的“脱敏数据”，源头是怎样采集的，患者是否知情、是否同意？服务商出具的匿名化说明或评估，企业是否核实过？如果数据在企业手中仍能识别到个人，企业能否证明自己取得的不是个人信息？如果不能，企业面临的就不只是合同纠纷。病历文本、检查报告这类非结构化数据，是否会带出姓名、证件号、电话？基于这些数据完成的研究、论文和注册申报资料，如果数据来源被认定不合法，后续如何处理？合同中的数据来源保证和赔偿条款，在监管调查中能起多大作用？

企业需要把数据来源纳入供应商尽职调查和合同管理，对照《数据安全法》和《个人信息保护法》的要求，重新审视已经在用的外部数据。

五、临床试验数据的再利用

临床试验数据是在知情同意的范围内，为特定试验收集的。企业希望把这些数据用于新的适应症、汇总分析、外部对照或模型训练时，《个人信息保护法》要求，处理目的、处理方式发生变更的，应当重新取得个人同意（第十四条）；接收方变更原先的处理目的、处理方式的，同样应当重新取得同意（第二十三条）。涉及基因、基因组数据的，还要符合人类遗传资源管理的规定。实践中，不少企业以受试者编码作为去标识化手段，认为编码后的数据在申办方手中已不再是个人信息。

两案对这一判断提出了挑战。意大利监管在整改要求中写明，接收方不得决定假名化的方式，对哪些信息进行假名化、采用什么编码机制，应由提供数据的医生自主确定[10]。可以理解为，设计编码规则的一方离识别更近。法国监管认定，即使数据仓库本身获得了授权，法国子公司利用其中的数据为自己开展研究，仍需另行取得授权或者符合参考方法；由于患者没有被告知，该子公司也无法援引参考方法[11]。法国监管还认定，告知患者虽然约定由药剂师在药房完成，但告知义务属于控制者，药剂师没有做到的，后果由该子公司承担[12]。

对照临床试验的实践，企业可以问自己这样一些问题。受试者编码规则和病例报告表由谁设计？企业手中的试验数据，结合研究机构以外的信息，能否识别到具体的人？罕见病和小样本试验尤其需要回答这个问题。原知情同意书对数据的后续使用写到了什么程度，新的用途是否超出了原来的范围？研究机构没有按要求告知受试者，或者告知内容不完整，申办方能否以合同约定为由置身事外？新的研究是否另行经过伦理审查？

企业需要对照原知情同意的范围和《个人信息保护法》关于目的变更的规定，重新审视临床试验数据的后续使用，以及与研究机构之间告知和同意义务的分配。

六、BD交易与数据出境

去标识化的信息仍是个人信息，向境外提供需要满足《个人信息保护法》第三十八条规定的条件，并取得个人的单独同意（第三十九条），还要结合《促进和规范数据跨境流动规定》等配套规定确定适用的出境路径。涉及人类遗传资源信息的，另有对外提供的专门要求。真正匿名化的数据不受上述个人信息跨境提供规则的限制。在对外授权、合作开发等BD交易中，从尽职调查到交割后的合作，企业常常需要向境外合作方提供患者层面的临床数据，国际多中心试验也是如此。“数据已去标识化”有时会被当作不办理出境手续的理由。

欧盟法院的相对标准，对企业来说是双向的。同一份数据在企业手中也许无法识别，到了掌握更多数据的合作方手中，就可能重新变得可识别。意大利监管在整改要求中写明，意大利子公司如果把数据再传给第三方，须遵守与最初提供数据的医生相同的要求[13]。对出海企业而言，反方向的数据流同样面临这个问题：欧盟研究机构、合作伙伴或子公司的数据传回中国总部，数据在总部手中能否被识别，直接关系到欧盟法下的传输安排。欧盟层面正在讨论是否把相对标准写入GDPR对个人数据的定义，EDPB和欧洲数据保护监督员明确反对，修法前景尚不明朗[14]。

两案还有一点对集团化经营的企业格外重要。意大利监管依据欧盟法院的判例，推定100%控股的母公司对子公司的行为施加决定性影响，在确定罚款上限时把集团作为一个企业看待；法国监管在确定罚款时也考虑了母公司的财务能力[15]。

对照BD交易和跨境合作的实践，企业需要回答这样一些问题。尽职调查和交割后向境外合作方提供的患者层面数据，是否按个人信息出境办理？原知情同意书是否写明了向合作方提供数据，合作方把数据用于自己的注册申报和后续开发，是否超出了原来的范围？交易文件中“数据已匿名化”的陈述，由谁作出，依据是什么？合作方把企业的数据与自己的数据合并使用，风险由谁承担？欧盟来源的数据回流到中国总部，是否已有相应的传输安排？在欧盟的执法中，中国母公司会处在什么位置？

企业需要按数据流向，分别对照中国的出境规则和欧盟的传输规则，重新定性每一条跨境数据流，并审视交易文件中关于数据的陈述与保证。

七、企业现在需要做什么

两案审查的都是多年前就已开始的做法。现在梳理，是为了让今天的安排在几年后仍然经得起检验。对于准备BD交易的企业，这些问题还可能在合作方的尽职调查中提前暴露。

企业需要先摸清手中的数据。持有和接收的每一类数据，在企业手中究竟是个人信息、去标识化信息还是匿名化信息，要逐一作出判断，并把判断依据写成书面材料。凡是以“数据已经匿名化”为前提的项目，都要重新确认这个前提是否成立。

项目中的角色也要理清。在研和拟开展的项目中，研究目的和数据范围由谁决定，企业与医院、研究机构、数据服务商之间是什么关系，合作协议约定的权利义务和责任分配是否与实际做法一致，都需要逐个核对。

知情同意书、患者告知文本和伦理审查材料需要更新，确保覆盖数据的后续使用、向第三方提供和出境。合作医院和研究机构的告知是否到位，企业要有核实的办法。

外部数据要从源头把关。采购数据前，核查数据来源和匿名化依据，在合同中写明来源保证、配合核查和责任承担；已经在用的外部数据，也要补做一次来源核查。

数据采集工具的设置需要逐项检查。企业委托开发或者提供给医院、药房的数据提取工具和系统接口，默认采集哪些字段，能否过滤病历文本中的身份信息，合作方拒绝提供数据时能否停止采集，都要一一确认。

BD交易前要把数据准备好。拟向合作方提供的临床数据，其性质、来源、同意范围和出境路径，要在尽职调查开始前确认清楚；交易文件中关于数据的陈述与保证，要与实际情况一致。

跨境数据流要逐条梳理。合作研究、国际多中心试验和集团内部的数据流动，都要确认是否需要办理出境手续；涉及欧盟数据的，同时确认欧盟法下的传输安排。

这些工作都要留下经得起检查的记录。匿名化评估、个人信息保护影响评估和合规审计的结论要形成书面文件，数据保存要设定明确期限，并定期复核。监管问询时，企业要能说清“为什么是匿名”“为什么可以这样用”。

[注]

[1]现行国家标准包括GB/T 37964-2019《信息安全技术 个人信息去标识化指南》和GB/T 42460-2023《信息安全技术 个人信息去标识化效果评估指南》。个人信息匿名化指南及评估方法的国家标准征求意见稿，由全国网络安全标准化技术委员会秘书处于2025年8月公开征求意见。

[2]法国国家信息与自由委员会限制委员会2026年5月26日第SAN-2026-008号决定，2026年5月28日在Légifrance公布。

[3]意大利个人数据保护局2026年9月23日决定（决定登记簿第710号，网络文档编号10302112），该局于2026年10月2日就此发布新闻公报。

[4]欧盟法院2025年9月4日判决，欧洲数据保护监督员诉单一处置委员会案（C-413/23 P）。

[5]意大利决定第100段至第101段；CNIL决定第95段、第113段。

[6]EDPB《关于假名化的第01/2025号指南》（2025年1月发布征求意见稿）；《关于匿名化的第02/2026号指南》（征求意见期为2026年7月8日至10月30日）。

[7]意大利决定第73段、第81段、第107段、第111段、第117段、第119段至第120段。

[8]CNIL决定第37段、第258段至第270段。

[9]意大利决定第20段至第23段、第121段至第126段。

[10]意大利决定第145段至第146段。

[11]CNIL决定第240段至第255段。

[12]CNIL决定第231段、第232段、第235段。

[13]意大利决定第149段。

[14]欧盟委员会2025年11月19日提出的“数字综合法案”中的数据部分（COM(2025) 837）；EDPB与欧洲数据保护监督员2026年2月10日联合意见。截至本文写作时，欧盟理事会和欧洲议会均尚未就该提案形成立场。

[15]意大利决定第154段至第155段；CNIL决定第300段至第306段。