医药企业人遗资源监管合规 — 常见问题观察

一、引言

2024年5月1日，《人类遗传资源管理条例》（2024修订，“《条例》”）生效，官宣了中国人类遗传资源（“人遗资源”）管理的主管机构由国家科学技术部（“科技部”）变更为国家卫生健康委员会（“卫健委”）。主管机构的变化实际在一年前就已启动。2023年3月，国务院发布《党和国家机构改革方案》，将科技部直属的中国生物技术发展中心（“生物中心”）划归卫健委，生物中心下设的人类遗传资源管理办公室（“人遗办”）也随之搬家。2023年7月1日，科技部宣布人遗办中止运行，科技部委托生物中心开展人遗资源管理相关技术工作，人遗资源管理信息系统上线试运行；同日，《人类遗传资源管理条例实施细则》（“《实施细则》”）施行，科技部发布的新的服务指南也同步生效。

关于实施细则的更多内容，读者可参考本所近期发表的“君合法评丨靴子落地--《人类遗传资源管理条例实施细则》颁布”及“君合法评丨细则落地满半年，人类遗传资源监管有何变化？”等文章。

本文将结合笔者近期实操的案例，与读者分享医药企业人遗资源监管合规常见问题的近期观察，主要涵盖外方单位的认定、国际合作、人类遗传资源信息（“人遗信息”）对外提供/开放使用三部分业内普遍关注的内容；此外，在国际合作和人遗信息对外提供/开放使用的项目中，可能同时涉及企业的个人信息保护合规义务，本文也将一并分享该部分的合规观察。

二、外方单位的认定

如果企业被认定为外方单位，其涉及人遗资源的相关活动将受到严格监管，包括不得在我国采集、保藏人遗资源，不得向境外提供人遗资源；外方单位如果希望利用人遗资源，应当与中方单位合作并申请国际合作项目行政许可或完成国际合作临床试验备案。因此，如何认定外方单位，是实务中关注的重要问题。

根据《条例》及《实施细则》的规定，外方单位为境外组织及境外组织、个人设立或者实际控制的机构，“境外组织、个人设立或实际控制的机构”包括下列情形：（i）境外组织、个人直接或者间接持有机构50%以上的股权、股份、表决权、财产份额或类似权益（单称或合称“权益”）；（ii）境外组织、个人直接或者间接持有机构的权益不足50%，但其享有的表决权或者其他权益足以对机构的决策、管理等行为进行支配或施加重大影响；以及（iii）境外组织、个人通过投资关系、协议或其他安排，足以对机构的决策、管理等行为进行支配或者施加重大影响。另外，《实施细则》规定，设在港澳的内资实控机构视为中方单位。

结合上述定义，我们分析如下：

(1) 境外组织

境外组织比较好理解，指设立地位于境外（中国大陆地区以外）的机构。因此，设立在外国以及港澳台地区的公司将视为外方单位；就此，《实施细则》规定了一个例外，即设在港澳的内资实控机构（“港澳内资实控机构”）视为中方单位。但根据我们近期与主管机构的沟通，实践中前述例外是否可以直接按照法规执行，仍没有统一的口径，还需个案分析。

(2) 境外组织、个人设立或实际控制的机构

境外组织、个人设立或实际控制的机构指在我国境内设立的机构（“境内机构”），且该境内机构由境外组织、个人设立或实际控制。

实践中，如果境内机构的股权由境外组织直接或间接100%持有或由境外组织通过协议控制，即使该等境外组织在穿透后的实控人为中国公民，前述境内机构仍可能被主管机构视为外方单位；如果该境内机构的股权并非由境外组织直接或间接100%持有（例如中外合资企业），一般根据《实施细则》的标准，通过穿透核查进行判断。

另外，就H股上市公司的性质判断，我们认为原则上亦可以根据《实施细则》的标准，穿透核查进行判断，区分境外上市流通股份（H股）、未上市流通的由外资股东持有的股份（俗称为“外资股”）和未上市流通的由内资股东持有的股份（俗称为“内资股”）等不同性质。

三、人类遗传资源国际合作 – 以临床试验/研究者发起的临床研究为例

生物医药企业开展/资助的各类研发活动，例如临床前研究、研究者发起的研究（IIT）、临床试验等，可能会涉及人遗资源国际合作的行政许可/备案手续。

我们以为药品或医疗器械上市为目的开展的国际合作临床试验以及研究者发起的研究为例，对申报必要性以及许可/备案两种路径的选择进行分析。

3.1 申报的必要性

在临床试验的相关各方中，如果申办方、合同研究组织、第三方实验室/检测机构等为外方单位，则一般需要申报国际合作。如果前述单位均为中方单位，仅电子数据采集供应商等为外方单位，则一般不需要申报国际合作。

就外方单位资助的研究者发起的临床研究，在外方单位不实质性参与研究，且研究成果与外方单位不共享的情况下（如外方单位仅为医疗机构的研究者提供临床研究用药或部分研究经费资助而不分享研究成果），也无需申报国际合作。

3.2 路径选择

如果经判断属于需要申报国际合作的情形，则应进一步判断是办理行政许可还是备案手续。

根据《实施细则》，以药品或医疗器械上市为目的开展的国际合作临床试验在满足以下前提条件的情况下，无需办理行政许可，仅需办理备案手续：

(1) 不涉及人类遗传资源材料（“人遗材料”）出境；

(2) 人遗资源在医疗机构内进行采集；以及

(3) 人遗资源检测、分析以及剩余人遗材料的处理在医疗机构内进行或者由临床试验方案指定的境内单位开展。

但是，如果新开展的国际合作临床试验涉及探索性研究，或者已开展的国际合作临床试验拟修改研究方案并加入探索性研究的内容，则一般应就探索性研究部分单独申报行政许可。不满足上述条件的国际合作临床试验以及药企资助的研究者发起的临床研究，也不适用备案手续。

四、人遗信息对外提供/开放使用 –  以License-out为例

4.1 license-out项目中人遗信息对外提供的场景

License-out项目中，可能涉及需要将境内临床试验中产生的人遗信息向境外被许可方提供的情形。在该等前期研发已经完成（即相关人遗信息已经产生）的情况下，向境外被许可方提供该等信息应完成人遗相关监管手续，一般而言，主管机构要求完成人遗信息对外提供或开放使用的备份/备案手续，在完成相关手续后，方可向境外被许可方提供人遗信息。值得注意的是，如果许可方（临床试验的申办方）本身为外方单位，则根据《条例》，其无法直接向境外的被许可方提供人遗信息，应另行做出安排。

4.2 特定人遗信息对外提供的安全审查

需要提醒注意的是，根据《实施细则》，对外提供特定人遗信息的，还需要通过卫健委的安全审查程序。该等特定人遗信息包括：（i）重要遗传家系的人遗信息；（ii）特定地区的人遗信息；（iii）人数大于500例的外显子组测序、基因组测序信息资源；（iv）其他可能影响我国公众健康、国家安全和社会公共利益的情形。

目前，官方尚未公布关于安全审查的具体流程和细则。

五、个人信息出境维度

就药企开展的上述国际合作以及license-out等项目，实践中，除了人遗资源的合规义务以外，往往伴随着个人信息出境的合规义务。

5.1 人遗信息与个人信息的监管对比

下表对比了人遗信息和个人信息合规的主要不同点，以供企业在实践中理解和把握不同的立法和监管思路： 

综上，人类遗传资源和个人信息在“出境标的”、“出境概念”和“接收方”等方面存在一定的差异，导致申报义务的触发条件不同，应当注意区分。

5.2 个人信息出境分析

根据我们的经验，上文所述的国际合作及人遗信息对外提供/开放使用的场景所涉及的个人信息出境的相关情况一般包括： 

(1)“出境标的”

在人遗监管视角下，出境的数据/信息中如果不包含基因、基因组等数据，其不构成“人遗信息”。

在网信办监管视角下，在临床试验中收集、处理的受试者医疗健康数据可以单独或者与其他信息共同识别到特定受试者，因而视为个人信息，特别是可能构成敏感个人信息的个人健康生理信息；遗传办所关注的人遗资源中的基因等数据属于个人生物识别信息，通常也构成敏感个人信息。

卫健委及网信办两个维度的出境申报互不替代，需要平行办理。

(2)“出境概念”和“接收方”

人遗监管的对象一般为机构；网信办的视角下，境外接收方不仅包括机构实体，也包括自然人。

例如，境内药企允许其位于境外的中国员工查阅少量受试者敏感个人信息（权限为只读），该情形与常见的数据出境场景有所不同，但并未脱离数据跨境的监管范畴。根据我们的经验，部分地区的网信办的监管口径为，当敏感个人信息数量较少的情况下，药企落实办理标准合同备案的紧迫性、优先级可以降低，待未来随着出境数据量的增加、境外商业实体的建立等发展，再考虑进行个人信息出境标准合同备案。

我们建议，企业在出现个人信息出境的情况时，需要综合考虑企业所在的不同地区、不同时期网信办监管的动态变化，境外自然人的具体性质（例如国籍、是否为药企内部员工等），查看数据的目的、权限和范围，所涉及的数据的内容、敏感程度、数量级等因素，而谨慎综合确定所适用的个人信息出境机制。

5.3 个人信息出境路径选择

《个人信息保护法》和2024年3月22日网信办公布的《促进和规范数据跨境流动规定》对数据处理者数据出境时所应区分、选择的数据出境制度做了更加明确的规定。 

六、结语

据了解，主管机构划归卫健委后，《人类遗传资源管理条例实施细则》的修订也已提上议事日程，根据公开信息，2023年12月到2024年3月，卫健委组织了三次以上专家会议，探讨人遗资源监管优化的解决思路。未来医药企业就人遗监管合规的实操要求，可能发生进一步的变化。我们也将继续密切关注法规动态，及时与业界分享实操经验。