医药行业数据合规，相较于其他行业，其法律颗粒度细，监管形势相对复杂。而随着医药大健康概念的兴起，AI技术、互联网医院等技术的开发，医药数据合规领域的法律服务需求，呈现出医药行业和互联网行业相互融合的趋势，也给传统医药行业的数据合规带来了新的挑战。用王新锐律师的话来说，这或许是数据合规领域“最难的行业之一”。

我们分别就律师经历、行业现状、市场需求等方面，与两位律师进行对话，以下是两位律师的回答与叙述——

王律师：我最开始做数据合规的时候，也并没有特别的去区分行业，当时比较多的客户还是来自于互联网行业。随着业务地展开，我们主动地去挖掘探索还有哪些行业有这样的需求？特别是它的数据量比较大，或者数据特别敏感，像金融、医药、汽车这些行业都是属于互联网之后，本身也感受到了更强的监管，合规需求也更强烈，恰好这个时候有一些大型医药公司找到我们，近年就在医药领域积累了很多的项目经验。后来邀请卢律师加入了团队，在与卢律师在一起合作的过程中，我们也感受到在整个医药行业现在需要的数据合规是比较综合性的，而且涉及到很多新场景，有些是中国所独有的，有些是跟全球的方案做配合，这也是医药行业数据合规的一个特点，我们也在努力不断覆盖这个领域的场景。

卢律师：我的背景与王律师正好互补，我是在09年前后先加入了生命科学的业务领域，10多年以来一直服务医药和器械公司，为他们处理各方面的法律事务。步入医药数据合规领域，也是顺应着时代潮流的步伐。随着我国《网络安全法》出台，以及欧盟GDPR出台，医药行业的公司也都开始关注数据合规的话题，从2016年以来，医药行业的许多公司都开始对数据合规投入了更多的精力和资源。

另外，现在临床实验通常会涉及跨境的合作，例如：会与全球范围内最顶尖的各类技术服务供应商、数据统计供应商、检测中心等进行合作，这必然涉及到数据的跨境流动，从而导致需要遵守数据跨境传输方面的合规要求。

当然这里面我觉得也会涉及到，到底是行业共同的问题，还是一家公司的问题？公司总部所在地、本身的业务模式等带来的特殊性问题，这点也是我们在服务大型医药企业需要研究的。难度上来讲，我自己的感受是，医药行业跟其他行业相比，应该说是最难的行业之一，互联网行业算是颗粒度非常细，但互联网行业中有很多问题是直接面向终端用户的，是有办法能够做到的，但是医药行业很多都是涉及到大型企业与大型医疗机构之间的合规方案，之间受到的约束因素更多。

这个领域我觉得就像前面提到的，客户希望律师团队输出的服务很稳定，另一方面对于所有这些创新的事情要有所回应，同时要了解全球的趋势，从跟总部沟通的角度，从帮助中国客户做整体研判的角度，需求很丰富、很复杂。所以，我觉得首先，一个团队还是要把数据合规这个事情当做是长期的业务来干，而不是说当作一个跟风、蹭热点的事情去干。第二，研究工作非常重要，世辉这块业务其实最大的特点是对于行业的研究，对于整个立法轨迹，对于监管思路的研究，花了很长的时间。

当然，我们也做了很多相应的立法和监管的支撑工作，在这个工作中去发现国际上好的实践，研究国内大型公司的实践。很多时候，客户的期待也是律师给出的解决方案不是纸上谈兵，而是考虑整个行业中的约束性，考虑整个行业最佳实践，甚至世界范围的最佳实践。对于整个团队的规模、研究深度，包括这种定力，我觉得都是有要求的。所以这个领域我特别欢迎所有同行一起，把这个领域做得很规范，做得很漂亮。目前这个阶段我们都是很早期的状态，我觉得还有很多事情是要去深入地精细化地去做。

我之前参加了一个会议，有一位公司法务当时提到他们看中世辉数据合规团队的几个点，第一点是对行业监管，包括整体数据的监管，对这些立法监管规则的理解，因为这一块的规则非常庞杂，怎么样更贴近地理解对监管规则中间的矛盾，对中间不同的表述进行协调。第二个能力是对于各种技术的落地方案中间的问题有所了解，如果律师给出的方案会影响到技术方案，当然在公司内部是一个很大的事情，而且数据合规往往是要跟IT部门、研发部门、跟技术性比较强的部门去打交道，你需要对这些场景以及常用技术语言有所了解。第三就是英文能力，医药行业有很多跨国公司，而中国很多创新公司也涉及到跨境业务，在很多数据需要有跨境的场景，或者说本身业务场景下有很多跨境的问题，不管是跟国外的总部，还是国内公司在境外的服务方合作的过程中，英文能力还是很重要的。这几点是我们客户提出的需求，这是对律师的要求，也是提供医药行业法律服务的特殊之处。这几点能力在医药行业我觉得它的要求是特别高的，因为本身这个行业监管的复杂程度、颗粒度，在我自己服务经历中算是最细的行业之一。

快速发展的大数据时代和严谨的立法执法之间，存在着错位与缝隙。对于这些界线，参与立法工作的律师是感受最直观、最强烈的一批人。某些标准的设计、规则的要求可能过高，合规义务与产业发展不相适配，医药大数据理念对医学伦理体系提出了新的挑战，而法律必然地存在滞后性与局限性。

王新锐律师与卢璟律师参与了一系列医药数据立法支撑工作。两位合伙人致力于打造“研究型医药数据合规团队”，深入开展法律实践研究，致力于推动规则更加落地实际，平衡合规义务的要求和医药行业治病救人、创新研发的需求。

谈及律师群体在行业发展进程中的作用，王新锐律师这样评价：“个人或团队起到的作用是有限的，整个规则的形成，最后的核心在于风险本身对于整个立法的推动。我们看到过去在数据领域，所有的规则形成几乎都是对风险的回应，其中当然也会有法律价值、权利保护、安全保护这些方面的因素，但它的核心还是对风险的回应。所以如何去客观准确地定义风险、解决风险，不把它泛化、扩大化，是我们在其中能够参与的小小的工作。另外，如何利用试点项目去摸索企业创新性的项目和风险，进一步优化流程和方案，这点也是我们能够贡献其中的一部分工作。”

卢律师：关于医药行业的立法，因为确实最近参与了一些工作，包括我们和医疗机构、医药企业有过沟通以后，也确实有一些观察。第一，现在的《个人信息保护法》、《数据安全法》的一些规则，在制定之初，可能更多的是关注互联网行业的一些风险。当然，这是有必要的，因为确实相关行业中有一些亟待解决的数据保护合规问题，但是也因为更多关注的是某个行业，有些规则、标准的设计对于其他行业来讲，可能在落地实施上会有一些困难，比方说对于医疗机构，它们的IT基础设施，可能跟互联网大厂相比还是有一定的差距，如何让规则更加合理，能让每一家医院都能很好地去达到规则和标准提出的要求，这是需要在设计规则和标注时考虑的问题。

第二个问题是政策平衡的问题，对于医药行业，其实在数据保护相关法律法规出台之前，已经有一套比较完善的、基于医学伦理制定的关于患者隐私保护的规则存在了。基于新的数据保护法律法规，怎么去平衡合规义务的要求和医药行业治病救人、创新研发的需求？一方面我们需要做好数据保护，另一方面我们也需要有效地去利用数据，让它能更好地服务于患者的治疗，以及创新产品的研发。这二者的平衡关系，也是需要在制定相关规则时仔细考量的。

王律师：医药数据立法，我跟卢律师一起去参与了一些立法支撑工作，这个事情也在持续地进行中。我觉得可以跟企业去分享的，主要在于说，这个领域一定是先从数安法个保法这样比较抽象的规则，到覆盖全行业的规则，再到各个行业逐渐落地的这么一个状态，这是一个过程。所以企业首先在现在的阶段，不要觉得现在规则就这样了，很多地方没有说清楚，在这些规则确定下来的过程中，怎么样把行业好的实践、行业难点，和立法监管机构进行一个同步和沟通，也是很重要的。

其实我们过去在不少行业中都看到，行业里最好的实践成为了监管规则中的一部分。这点当然对于一些已经做得不错的企业来讲，一方面是形成它的竞争优势，另外一方面立法通过这样的方式拉高整个行业的合规水准，这也是全世界在数据领域立法普遍的一种做法，这点上我们也在做很多的研究工作。举个例子来说，我们经常会去研究美国欧盟的行业实践，既包括大公司的实践，也包括一些立法实践，然后提供给监管和立法机构，供他们参考。

另外还有一点，立法和监管在合规中的落地，其实是一定要非常有针对性，而不能是做把战线拉得很长的合规，我们还是非常强调，对于合规，监管关注的具体的点，要有针对性地去做合规，我们也经常跟企业说，你的资源是有限的，做合规的时候，你的时间、企业的内部资源要有优先级的划分，针对性地对待监管重点，但识别工作其实是有一定难度的，这也是我们跟企业讨论比较多的方面。

▲ 王新锐律师

随着数据出境安全评估管理办法未来的正式公布，关于数据出境，向政府部门去申请安全评估的法律服务需求，未来也会是很大的一块。第三，随着法律真正的落地和执行，我们预期未来肯定会有相应的执法检查和活动，这些过程当中，如何帮助企业更好地准备好合规体系的论证，向监管机构展示我们在合规方面做出的努力，这个也是我觉得未来可以由律师帮助企业一起来做的事情。