王新锐律师与卢璟律师在安拓直播课【如何基于个人信息保护法的要求去修改临床试验协议，包括知情同意书等】中分享的内容，分为上、下两篇。上篇主要从个保法下处理者委托人的关系方面介绍临床试验协议的修改问题。

研究者发起的临床研究（IIT）：这部分重点再谈一下研究者发起的临床试验。因为长期以来，我们都没有相应的法规指导，但前几年的时候国家卫生与健康委员会发布了《

短短几年间，伴随着数字技术的勃兴，医药行业如同离弦之箭高速发展，同时国家数据监管日益加强，各种法规层出不穷，对医药行业的数据监管也提出了新的要求，医药行业也冲出了医药合规的原有领地，需要重塑与之匹配的医学数据合规体系。在安拓的平台上，近两年世辉律师事务所的王新锐律师团队在医药数据合规领域逐渐深耕，收获了越来越多客户的好评。今天我们就一起来探秘下世辉的医药数据合规团队是如何深入到这个”最难的行业之一“。在与王新锐律师、卢璟律师进行交谈之后，我们深刻体会到一支懂行的研究型团队，其业务逻辑背后蕴含的高维度思考。1“懂行”的医药数据合规团队是如何诞生的医药行业数据合规，相较于其他行业，其法律颗粒度细，监管形势相对复杂。而随着医药大健康概念的兴起，AI技术、互联网医院等技术的开发，医药数据合规领域的法律服务需求，呈现出医药行业和互联网行业相互融合的趋势，也给传统医药行业的数据合规带来了新的挑战。用王新锐律师的话来说，这或许是数据合规领域“最难的行业之一”。我们分别就律师经历、行业现状、市场需求等方面，与两位律师进行对话，以下是两位律师的回答与叙述——缘起：两位是如何进入医药数据合规领域的？——截然不同的打开方式，恰好互补王律师：我最开始做数据合规的时候，也并没有特别的去区分行业，当时比较多的客户还是来自于互联网行业。随着业务地展开，我们主动地去挖掘探索还有哪些行业有这样的需求？特别是它的数据量比较大，或者数据特别敏感，像金融、医药、汽车这些行业都是属于互联网之后，本身也感受到了更强的监管，合规需求也更强烈，恰好这个时候有一些大型医药公司找到我们，近年就在医药领域积累了很多的项目经验。后来邀请卢律师加入了团队，在与卢律师在一起合作的过程中，我们也感受到在整个医药行业现在需要的数据合规是比较综合性的，而且涉及到很多新场景，有些是中国所独有的，有些是跟全球的方案做配合，这也是医药行业数据合规的一个特点，我们也在努力不断覆盖这个领域的场景。卢律师：我的背景与王律师正好互补，我是在09年前后先加入了生命科学的业务领域，10多年以来一直服务医药和器械公司，为他们处理各方面的法律事务。步入医药数据合规领域，也是顺应着时代潮流的步伐。随着我国《网络安全法》出台，以及欧盟GDPR出台，医药行业的公司也都开始关注数据合规的话题，从2016年以来，医药行业的许多公司都开始对数据合规投入了更多的精力和资源。探秘：目前医药企业数据合规主要关注哪些？面临哪些难点？——临床实验数据普遍关注、多方主体协同是难点卢律师：我觉得现在在医药行业，可能大家目前最为关注以及比较棘手的一个话题是临床试验当中的试验实验数据合规问题，既包括遵守《数据安全法》也包括遵守《个人信息保护法》的合规问题。这个话题之所以有一些复杂，是因为这里面牵涉到了多重的监管要求以及多重的参与方。在《数据安全法》和《个人信息保护法》出台之前，其实医药行业已经有一套关于患者隐私保护的规范体系，并且有了关于人类遗传资源方面的监管要求。现在，我们又有了《数据安全法》、《个人信息保护法》。如何在三重甚至四重的不同法律法规的监管要求下做好合规，这对于每家公司而言都存在一定的挑战。第二是临床实验的场景当中涉及到多方，这里面包括作为临床试验中心的医院，作为申办方的医药公司，还涉及到CRO、SMO、研究者、医院工作人员等多个参与方。这些参与方在数据合规的体系下应当承担怎样的职责，彼此的权利义务关系是怎样的，都需要进行仔细的梳理。另外，现在临床实验通常会涉及跨境的合作，例如：会与全球范围内最顶尖的各类技术服务供应商、数据统计供应商、检测中心等进行合作，这必然涉及到数据的跨境流动，从而导致需要遵守数据跨境传输方面的合规要求。王律师：其实我们在做很多项目的过程中，感受的一个难点是医药行业的多方主体怎么样去做数据合规，到底它的义务是什么，做到什么程度，包括同行做到什么程度，这些方面大家存在一个不同步的问题。在合规的过程中始终有一个难点，就是各方去参与的时候，约束条件是不一样的。医药行业又有一个非常突出的特点是，不管是器械还是药，都有非常多基于科学的客观原因决定了数据处理流程，因此不是随便可以去调整的。从法律法规的颗粒度本身来讲，现在医药行业的一些具体规则还在起草中，还在论证中，还没有完全落地，大家在很多理解上不一致。再加上又是这么复杂的流程，有时周期又很长，这种情况下怎么样让各方接受这个方案，因为医药行业其实是需要多方去谈合规义务由谁落实，这些方面都是有很多难点。当然这里面我觉得也会涉及到，到底是行业共同的问题，还是一家公司的问题？公司总部所在地、本身的业务模式等带来的特殊性问题，这点也是我们在服务大型医药企业需要研究的。难度上来讲，我自己的感受是，医药行业跟其他行业相比，应该说是最难的行业之一，互联网行业算是颗粒度非常细，但互联网行业中有很多问题是直接面向终端用户的，是有办法能够做到的，但是医药行业很多都是涉及到大型企业与大型医疗机构之间的合规方案，之间受到的约束因素更多。▲

线上咨询室在很多人看来，互联网和金融等行业是数据安全问题的多发之地，医疗行业并非关注重点。实际上，一项针对全球的调查显示，在所有行业和领域中，医疗行业的数据安全事故数量高居榜首，占比达到27%。面对日益严峻的数据安全形势，医疗行业的数据保护问题日益凸显。鉴于此，4月29日，【安拓x世辉】开设【线上咨询室】，就医疗数据热点话题，与企业同事展开深度对话。1开场●开场阶段，世辉律师事务所合伙人卢璟律师和王新锐律师对两个话题进行了阐述，一是个保法下数据合规体系的搭建，二是临床试验场景下的数据合规问题，并与大家分享了行业共识和普遍做法。关于数据合规体系的搭建，今年以来，很多公司都在紧锣密鼓地处理这方面的事情，从流程上、合同上优化公司内部的整套体系，如梳理不同的数据类型、修改同意模板、第三方合同条款的设计、政策撰写等。卢璟律师阐述了个人信息保护影响评估（简称“PIA

RCT或者是观察性研究等生成的真实世界证据支持新症适用症，有可能更具有可行性和合理性。总的来说，真实世界证据支持已上市药物的说明书变更主要包括以下几种情形：▶

已开播12医疗器械学术推广与广告的界限探讨13注册人制度下医疗器械委托生产中的法律合规风险14国家药监局对于进口药（器械）的飞行检查和境外检查等15MAH政策下医疗器械的法律风险16器械设备+试剂

前言本期【涨知识】栏目，由邦信阳中建中汇律师事务所合伙人田小丰律师进行分享，分为上、下两篇，主要围绕“医药产品营销中的敏感物资处理”，下篇针对“样品的风险点与合规建议”这一议题，进行详细分析与探讨，以期为企业提供借鉴。样品主要供医疗机构进行展示教育，包括使患者和医师熟悉相关的产品，这是通常样品的一些功能和作用，也属于比较常见的方式。但是，由于提供样品容易被认为可能构成不当利益的输送，这一情况又违反相关《反不正当竞争法》等法律的规定，所以在提供样品过程中也需要特别的谨慎。风险：（以样品名义）投放设备、捆绑采购配套耗材风险点：近年来设备投放的问题，不仅仅是一个样品的问题，但设备投放有的时候往往是以样品的名义出现的。设备有很多种，所以我刚才讲的样品也要分类，有一些是药品的样品，有些是器械的样品，有一些是大型设备样品，有一些是小型产品的样品，有一些样品是可以使用、即用型的，有一些只是用于教育模型，比如牙科、比如一些解剖用的模型，提供展示一个产品的样品放在那个地方给大家看，有一些是可以适用的，多次使用等等。这些不同的样品可能在具体的使用上，还有具体的不同的规定。还要强调的一点是，如果作为样品提供，要遵从一些相同的规定，但是如果设备的投放是以样品形式投放，同样要遵守设备投放相关的规定，不管是以样品，还是以融资租赁的形式，或者是赠送的形式，无论如何投放设备不能够无理由地或者叫无正当理由地捆绑耗材。比如说非技术性要求排他性的定量采购多少耗材，或者最低采购多少耗材，或者是不兼容的、只能使用本公司销售的耗材，这都是一致的，所以以样品名义投放设备，也是设备投放中常见的一种情况。合规要点：1、目的、范围和时间提供少量药品的目的是什么？其实就是教育的目的，当然也有推广的商业性的动力，但是能够起到一些正面的作用也好，也就是说有教育的功能。可以看到其中教育、学习的功能，可以教设备如何使用，也有一些可能是让患者或者医师更加熟悉它，了解它，还有一些展示作用，让大家知道这个设备产品，这些本身我觉得都还是合理的，并不是说在这投放一个样品就有商业贿赂的嫌疑，这一点我觉得不能够一概而论。但是无论如何，不能够捆绑销售的耗材，不能无正当理由捆绑耗材，也不能够引诱或者是以此来作为利益输送给医院，假借样品名义，实际上行商业贿赂之实。所以也要对样品提供的范围、提供的时间，样品的审批流程有一些严格的规定，从而确保实现教育、公益的目的等。接受的主体，应该是医院和医疗机构本身，科室也未必好，最好是医院，绝对不能是给个人。同时，样品既然是起一个展示教育的功能，数量不应该过大，样品的提供时间也要经过严格的审批，包括有相关的协议，这都是程序上的要求，当然有可能现实中实现不了。以前有设备投放的例子，医药公司说也没办法，有时候设备放在那里，医院说赠送还不要，赠送要进入自己的固定资产，而且造成了麻烦怎么办？干脆贴上公司的名牌往那一放，这是公司的资产，但是放在那里就不管了，结果被市场监管部门或者是卫生行政部门去看到，问这个产品为什么放在这里，说是这个设备放在这里是一个样品，样品展示时候投放的，三年前就过来了。那这个样品要有展示三年的必要，样品签订的协议本身是要投多长时间？可能写的是六个月或者一年，或者是三个月，结果放了三年也没人管，人家就怀疑这个样品投放的目的是什么？因为样品是非消耗的，可能要回收的，在这个方面，如果样品不回收。第一、有可能产生商业贿赂嫌疑，人家查处你，查你的协议，查你自己的公司的制度。你是有时间的，结果你投放那么长时间不拿回来是有问题的。第二、我们也碰到过骗取公司样品，最后对外销售的。当然医疗器械可能是有一定难度，但是确实不能排除这种可能性，有相关的案例表明，可能有通过样品的领取产生贿赂的行为，所以对于样品一定要建立严格的合规制度。首先就要确定样品要达到什么目的，样品要赠送的对象，样品给的范围。除了刚才讲的对象是医院、医疗机构外，哪些医疗机构要去给样品来投放也要规定好，不能乱投，一是引发商业贿赂可能的风险，二是引发内部腐败的风险。此外要有时间的限制，样品什么时候投，它的范围是多大。另外，作为样品要严格限制，就是说样品不能够进行销售。因为上文提到样品是可以使用的，使用者免费使用，但是如果进行销售，可能就不是作为样品的目的了。或者说可能被医院销售，本来是提供一个样品做展示教学等用途的，结果医院把它做了销售，最终可能认定是一种利益输送，因为医院因此而得利了。有一个早期的案例，在销售一个眼科耗材的过程中，医院说因为零加价，不要打折直接赠送，那么就以样品名义赠送一批给医院，这批耗材如果是以样品赠送，比如给患者免费使用，也不会构成商业贿赂行为，但是医院把它加价，另外进行了销售，因为多了就进行了销售，对于医药公司，最终被认定是一个商业贿赂行为。所以要和医院约定好，要防止商业贿赂的风险。2、需标明的信息样品的标签上要注明，样品要在已审批的适用症之内。因为适应症这个问题，确实要防止相关的法律风险，包括肿瘤事件，其实也是有很多适应症的问题，用药到底符不符合规范指南，就是一个适应症的问题。包括前几年的一个注射液的问题，把一个用于关节治疗的注射液，用于眼科治疗，也是扩大适用症使用的，作为样品更是要小心了。当然如果有一些是做临床实验，那另当别论，需经过包括伦理在内的严格审批的，因此作为样品一定要严格把握。总结：医药营销中敏感物资合规框架的搭建在医药营销中敏感物质的合规，就是要特别防止一些相关的法律风险发生，总体上要有一个合规制度的建立和搭建。一般禁止事项：在下列情况下，礼品、推广资料、样品这三种都不能提供，也就是一般禁止事项。用来刺激销售的，用来影响处方的等等，这些目的不能够使用附赠，包括向专业人士的亲属提供一些经济价值的物品。这种案例也是很多的，现在通过一些隐形的持股，比如匿名持股或者隐名股东等这些利益的输送是比较严重的。曾经我讲过一个案例，一家三甲医院的一个护士长为了大量采购器械企业的耗材，没有发现什么很大的利益输送，但是后来发现是给他女儿安排了在美国的工作，这个不是今天讨论的礼品范畴内，只是说出于这些目的，不能给家属赠送相关的礼品等等。（一）礼品－合规政策对于礼品要制定一些严格的合规政策，医药企业应该根据实际情况建立内部的合规政策，要明确允许赠送礼品的这些价值，超过标准的礼品应该是不能够赠送的，除非有特殊情况下特批的，当然是合规部门的严格审批，要不然的话应该不能赠送，严格规定红线不能够踩越。同时，赠送的频次、赠送的时间也要考量，不能说整天就让医药代表去拜访，现在拜访就发生了很多困难，医院不让进了，但是有一些医药代表说我不进去，我现在网上拜访，2020年以后有云拜访的概念，医药代表说我就云拜访，快递给他一些礼品。关于这一点，商业贿赂有个累加的计算，特别是行贿，公司单位行贿就是20万，如果一个金额不高，但是累加起来是不是有可能构成犯罪或者构成违法行为，认为赠送的礼品已经足以诱使他与你发生交易，违背他的忠实义务。这个情况下，也应该制定标准。对于一定时期内，向同一主体赠送累计金额的标准。我们也帮一个企业做过合规，他们也就是过年时候赠送，不是药品，但是旗下有很多品牌，都需要逢年过节赠送一个，每一个品牌赠送一千块，其实一个品牌赠送的可能就已经远远超过自己的内部政策，整个公司这么做的量，可能远远超过刑事立案标准，构不构成刑事犯罪不去讨论，只是说这种累加计算，有可能引发一个比较严重的合规风险。再一个就是礼品应以公开透明的方式赠送过去，按照财务会计准则，如实记录财务账册，不要假借其他的名义，这个也是一再强调的，禁止商业贿赂暂行规定里面特别提到假借名义，要避免这种风险，内部要建立一些比较严格的操作流程和合规审定的流程，进行核审，肯定也是必要的，每一个宴请招待或者礼品的政策，应该有一个严格审批的流程。（二）推广资料–合规政策与流程推广政策资料，应该建立一个严格的合规流程，这个更麻烦，因为可能一些推广的资料，包括一些软文，一些微信公众号的文章，它有一个时效性或及时性的要求，往往是没有通过合规或法务部门的审核就发出去了，在这样的情况下，就容易引发一些合规的法律风险，所以说不管是用于拜会或者学术交流、学术会议方面的一些推广资料，以及可能是为了一些营销需要，或者说一些宣传自己品牌的需要，又不想作为广告进行发布，因为广告要经过广审。在自媒体上，在官网上，在一些其他的微信公众号，甚至是自己的朋友圈，发送一些相关的文章、介绍、图片等等，都是需要通过一个比较严格的合规审批流程，要不然很容易引发法律风险。多次发生过类似的案件，就是市场营销部门的人员发送相关资料没有经过合规法务人员的审批，发现比较严重的问题。比如刚才讲医药合规的，不能够违反《广告法》相关的规定，不能对不特定多数人，应该保证学术性、严肃性。为了保证这些，尽量避免出现推荐宣传性、夸张性的用语，避免出现产品的名称。在这个基础上，能够尽量符合《广告法》的规定，也是更好的。合规的流程，就是要填写相关的一些申请表，注明资料描述目的，并收集的推荐资料一并提交审核。首先，医学部门或者业务部门要审核真实性准确完整，同时合规部或者法务部或者外部律师也要进行判断，是否构成广告要进行核准。推广资料还要进行保存，以防止以后说不清楚，这是非常有效的一种防范风险的制度。我一再跟大家举一个例子，曾经有一个客户因为微信公众号的一些用于用语被人举报了，认为使用了一些绝对化的用语。但是，我们在市场机关来调查后，很有底气的讲没有任何广告的内容，他们搜索了100多篇文章，都是科普文章，没有广告内容，没有直接推广产品信息的，非常好的做到了推科普文章和广告宣传、患者评价进行良好的区分。也就是说不是不能够做宣传，宣传是宣传，那得经过广告审批，这是科普文章，就是科普文章。科研资料、推广资料严格的适用于HCP的，适用于医生的，适用于包括医生内部学术会议在学术拜访等场合时。如果是相关的一些软文，要注意科普文章跟它要有界限，因为不能使用患者名义，如果是患者的一些评价，能不能设有专区进行区分。在2015年《广告法》颁布以后，我们一直在强调的，不管哪个行业，因为广告的范畴无限的扩大，网站、自媒体什么都是广告，都可能构成广告违法行为，由于《广告法》对于各种广告宣传做了很多限制，一些特殊行业，比如说医药行业有更多的限制。对于产品的一些介绍在这种情况要突破这种限制，就是要避免它被认定成广告。比如我们是药企，也有患者评价，但是这些患者评价是有一个专区的，患者讨论区一起去讨论，我们也不是删帖，删帖就可能造成广告，我们只选取对自己有利的又可能构成虚假宣传。我觉得推广资料注意到这些点，包括前面提到一些注意的点，还是可以建立一个严格合规的流程。（三）样品－合规政策与流程样品的合规也是一样，在样品的申请、配送、使用，包括回收过程中，要建立相应的流程和控制，要保留相关的文件记录，我们就发生过，以前的文件资料都找不着了，说是和医院签订过协议，但是书面的协议找不着了，或者是跟每个医院签订的都不一样，因为是根据医院的需求签订，一致性没有。然后有的是科室签的，有的就医生签了个字，就发生了很大的一个问题，造成了没有回收就放在那里，后来被监督检查机构发现。此外，除了在建立相应的机制以外，也要根据样品的种类、样品的数量，到底是什么样品，可消耗的，还是不可消耗的进行区分。器械或者药品，是作为可使用的，还是展示用的？大型的，还是小型的？保证样品的使用期限、范围、数量都是在合理范畴内，既保证了本身的合规目的和用途，同时也保证不会发生一些冒领样品的案件。曾经有一个腐败案件，就是因为全球可以申请这个样品的领取，他在每一个网站上都去申请样品，而且样品非常贵，他申请了一大堆样品，然后自己卖，贪污了不少钱，这其实是一个合规管理的问题。所以在申请样品的时候，一定要注明申请的原因，数量、范围、目的，同时要进行审批，不光是主管部门审批，合规部门也要审批。由于样品除了有一部分模型以外，同样也属于医疗器械或者药品，在配送的过程中也需要注意。近年来也发生了很多起因为配送物流仓储资质的问题发生的法律风险，需要特别关注，最终样品在医疗机构的展示或者使用过程中，要建立跟踪的机制，按照时间进行回收。当然可以设一个弹性的机制，可以进行适度的延长，但是不能无限制的置之不理，这是样品的合规建议。互动问答问：公司员工发微信朋友圈内容是公司药品的推广资料会被处罚吗？如果会被处罚的话，可能会涉及到哪些处罚对象？答：这里就是说它是不是一个广告行为的问题，首先对于药品未经审批发布商品，有可能会被认定成一个商业广告，是不是已经审批了，在朋友圈本身这个载体是不是一个不特定多数人的，然后发布的内容是不是涉及到产品的宣传，刚才讲涉及到产品的宣传，有可能构成广告，这里面就是两个问题。一个是朋友圈本身是不是一个针对不特定多数人的宣传阵地，可以认定成广告。另外一个，就是如果认定这个是广告，谁是广告主。但是，这两个问题也是交织在一起的，简而言之的回答，我们认为如果是公司统一的指定行为，或者哪怕是一个部门的统一指定行为，就是多人发布内容相同或者类似的一些产品信息、产品宣传用语，对外进行宣传，有可能被认定成一个广告行为，因为这个行为比较明显，公司有可能就认为是一个广告主，而这些人可能认为是一个广告发布的平台，但是处罚可能主要针对公司来进行处罚。但如果是个人，自发的或者是一两个人自发的，对于公司一些产品的推荐和宣传，由于没有整体的统一发放，很难认定成一个公司的行为，仅仅是个人行为，他本身一个人的朋友圈范围也是有限的，因为最多是5000人，大多数人的朋友圈很多人还是线下结识，然后线上朋友圈交流的，这个也很难认定成不特定多数人，所以如果不是公司的统一行为，我觉得个别人发一个两个产品介绍，不能够认定成一个广告行为，也不会引发相关的法律处罚。声明：本文仅对所述事项进行通俗化解读，不作为任何法律意见或者建议。如有任何具体法律问题或事项，请咨询具有适当资质的律师。作者简介田小丰■

前言本期栏目，由邦信阳中建中汇律师事务所合伙人田小丰律师进行分享，分为上、下两篇，主要围绕“医药产品营销中的敏感物资处理”，上篇针对“推广资料的风险点与合规要点”这一议题，进行详细分析与探讨，以期为企业提供借鉴。除了礼品以外，医药产品营销中还有两个风险相对比较大的敏感物资。一是推广资料，推广资料实际上不是一个严格的法律概念，它的外延比较宽广，既包括一些学术资料，比如医药代表为了宣传推介产品，或者介绍某种产品的使用方法、疗效、适应症等信息，发放给专业医师的一些学术资料；也包括用于宣传和推广产品的一些推广词语、宣传广告等类似广告的宣传手册资料。所以它的外延实际上是大于广告，包含广告的，这是广义上的推广资料。但本文主要想介绍的是狭义上的推广资料，就是将推广资料和广告进行区分。因为医药广告必须经过广审，在实践过程中，大量的资料，特别是向专业人士介绍一些新品或者产品新的适应症、新的研究成果等的资料很难通过广审。原因在于：一、广审的时间比较长。二、医药广告要求广告内容和产品说明书上的内容相一致。三、《广告法》对医药广告，包括医疗器械的广告有严格的限制，比如对安全性、有效性的宣称，对疗效的一些比对等。而一些学术资料或推广资料为了满足医生了解产品的需要，不可避免地可能做一些对比性的东西。如果定义成广告，这个推广资料就无法使用了。这样不利于医药代表或者医药企业更好地介绍产品，也不利于产品更好地普及于广大患者。所以，从这个角度上来讲，要对推广资料做一个狭义的界定。同时，我们也认为推广资料在很大程度上，有利于医药事业的发展，有利于医生等专业人士了解、使用相关的产品，也有利于医药代表更好地去推荐或介绍相关的产品。但是，在这么多年以来，由于推广资料的身份不明或者是没有一个清晰的法律界定，发生过很多因推广资料被处罚的案例，最多的就是以推广资料未经审批作为广告进行处罚。风险1：虚假宣传、误导医生使用产品（无论是否构成广告）风险点：区分开推广资料和广告，避免推广资料作为未审批广告而被处罚，同时，要尽力避免推广资料被认定为广告。如果有一些推广资料具有广告属性则应符合《广告法》的相关规定。除此之外，有一些推广资料放在医生那里，除了《广告法》相关的法律风险以外，也有可能违反卫计委的相关规定，也就是医务人员不能够推荐产品，这一点其实对于HCP也是不利的。曾经有类似的一些举报投诉：医生办公室、诊疗室里面有一些相关产品的介绍等，患者看了，说这有什么产品。这种推荐产品本身违反了相关法律法规对医师的规定，同时也有对其他产品不正当竞争的行为，对患者也可能造成不利。最近炒的比较热的癌症肿瘤患者的案例，北京医生对原上海一家三甲医院主任医师、副主任医师的指责，这个案例里也有推荐治疗和推荐产品的行为。合规要点：推广信息要真实、准确、科学，推广资料最重要的是要保证学术性、准确性和真实性，要和广告有一个严格的区分，信息要真实、准确、科学，要有科学的依据。风险2：学术资料中的推广信息构成广告风险点：学术资料中推广信息要防止风险，就是学术资料中推广信息不能构成广告。如果构成广告了，就一定要遵守《广告法》相关规定的义务，要经过广审。还有处方药，要在专业期刊上发布。伟哥的案例之前多次说过，有一家药店在推广的时候，把伟哥在自己的药店橱窗上进行展示，还有在做一些相关活动中，突出展示了伟哥等处方药品等等，这些行为在学术会议上或者其他活动中要防止。推广资料同样也是这个问题，如果构成广告，处方药只能在指定期刊上、媒体上发布，这是要遵守的相关义务。合规要点：要避免推广资料被认定成广告，要尽可能体现学术性和专业性，对产品的名称要包含通用名称，要有一些相关的信息等等，要符合产品说明书的内容，同时，要限定推广资料的受众。第一点：以往发生过相关的案例，就是学术会议推广资料放在了学术会议举办酒店的签到台，学术会议在酒店里举办，就相当于面对的公众是不特定的公众，因为不特定的公众都可以取到，所以建议学术资料要放在会场里面。第二点：2020年疫情以来更习惯于线上会议分享，更加节约时间，也更加有利于参会。这样的情况下，有一些会议是不是每个人都可以进行参会，比如如何区分学术会议和一些健康讲座的问题，如果不区分，会议里面不特定的多数人进去以后，可能引发被认为是广告的法律风险，因为广告最大特点是针对不特定多数人的产品宣传和推荐。一方面要避免出现一些产品推荐宣传的词语，另一方面也要特别小心不特定多数人的问题。针对特定和不特定多数人，其实之前也多次讲过一些案例，认定不认定是广告，就看是不是针对特定人数的，不仅仅是本身人多人少的问题，之前也举过例子，万豪酒店的广告案，也就是对于中国台湾地区的称呼以及中国地图的案例。万豪酒店案里面有一个争议，就是万豪酒店的APP信息到底是不是可以构成广告？只有万豪会员才可以看得到，万豪会员是不特定多数人还是特定多数人？这个其实是有争议的。实际上后来有一些在APP上的信息就没有认定成广告，这一点大家可以借鉴，是不是不特定多数人，监管机构是会比较小心的。线上会议建议通过密码进行验证，在登录过程中就可以核实，一些会议甚至可以填报、核验身份。在这种验证情况下，可能就不一定构成广告的形式。第三点：在学术资料里面，要做一些提醒，比如内部资料请勿外传，学术资料仅供参考等等。风险3：医药产品广告未经审查（如果选择广告作为营销方式）风险点：有一些资料过于敏感，只能做展示使用或者可以收回的，也可以作为一个选项，以防止作为一个广告行为被处罚。如果被认定为广告的话，可能就变成了未经审查擅自发布广告的行为。现在的形式越来越多样，自媒体、个人微信公众号、APP上都有一些宣传资料，严格意义上的推广资料应该不会在这些地方。但是现在有一些人在打擦边球，比如蹭个热度，今天是什么日，明天是什么日，比如护士节，或者医师日等，有的时候可能就会发生广告的法律风险。这就是广义上的推广资料，也有必要提醒注意。现在有一些药企想蹭热点、吸流量，也要防止法律风险。比如不打产品名称，就出现一个公司名称，说它是一个公益广告，但是需要注意的是不出现产品名称，是不是一定不是广告行为？我觉得这一点是值得商榷的。在线推广资料中要注意避免直接出现产品名称，避免出现一些宣传用语。但是判断一个广告，一是对产品进行推广和宣传，另外一点是对不特定多数人。由于自媒体等可能突破不特定多数人，所以是否构成广告关键就看是不是对产品进行了宣传和推广，宣传和推广关键看是不是有一些非科研、非学术的用词，使用一些夸张或者是推广用的术语，宣传疗效或者明示、暗示产品的安全性，或者是产品的产品的构成、产品的成分的一些用语，包括所获荣誉等等，这些都可能构成对产品宣传。例如尽管没有出现产品本身的商品名称，打了一个码，但是出现产品公司的名称、产品的形态，包括可能宣传产品的一些疗效，或者是暗示产品的一些疗效和产品的成分，组合起来有推广和宣传产品的效果，故意引发消费者认知到产品和宣传，对消费者起到了诱导，或者是对专业使用者起到了推广的作用，这也可能构成广告，所以不能够以是否有产品名称作为一个绝对的判断标准。除了未经审查广告材料，其实还有很多的问题，比如可能涉及到虚假宣传等。合规要点：如果真的要发布广告，还是要通过广审机关进行审查。当然广审也确实挺慢的，有些词语稍作改动就要进行审查，标点符号变一个也得进行审查。风险4：医药产品广告必要信息缺失风险点：比如处方药的广告和非处方药的广告都要求一些安全性的提示用语，对不良反应禁忌的一些注明等等，如果构成广告，要符合《广告法》一些相关的规定，所以推广资料一定要严格区分和广告语的界线，如果一旦被认定成广告，就可能构成这方面的违法。包括其他的一些办法、行政规章里面的规定等，如未经注明在医师或者医务人员指导下使用，不能缺少类似这样的词语。所以推广资料，也要特别关注广告政策。合规要点：如果要发布广告，不管是药品还是医疗器械，应该严格遵守相关的法律规章的规定，包括和产品说明书相符，标明禁忌和不良反应，标注相关的安全提示用语，标注广告批准文号等。因为批不过来，有的可能就一个号里面用不同的内容，现在按照广审的规定，任何的变化都要重新申请，重新进行广审，所以这方面其实也具有比较大的风险，就是查不查的问题。风险5：医药产品广告包含禁忌事项风险点：在广告里面，使用代言人的形象进行推销证明等行为现在也还是比较多的，特别是在一些互联网的宣传平台，以往健康养生讲座里面容易出现，一些地方卫视里面前一段时间也出现过，被大家所诟病的，如违背了祖宗的意愿，痛下决心如何如何等话术。当然这是骗子公司，但是无论如何，使用行业专家，或者有一些在推广资料中也会出现患者的形象，做推荐和证明的行为等等，除了个人隐私的保护问题，也要考虑是不是还构成违反《广告法》的规定。合规要点：药品、医疗器械广告不得使用科研单位、学术机构、行业协会或者专家、患者等的名义或者形象作推荐、证明，不得违反科学规律，不得明示或者暗示可以治疗所有疾病、适应所有症状、适应所有人群等内容，不得含有“安全”“毒副作用小”、明示或者暗示成分为“天然”，不得含有“热销、试用”“家庭必备、免费”等诱导性内容，“评比、排序、推荐、指定、选用、获奖”等综合性评价内容，“无效退款、保险公司保险”等保证性内容，不得含有医疗机构的名称、地址、联系方式、诊疗项目、诊疗方法以及有关义诊、医疗咨询电话、开设特约门诊等医疗服务的内容。声明：本文仅对所述事项进行通俗化解读，不作为任何法律意见或者建议。如有任何具体法律问题或事项，请咨询具有适当资质的律师。作者简介田小丰■

前言本期干货，我们邀请到了北京金诚同达律师事务所高级合伙人赵晔律师，专门针对相关医疗企业提出的实际操作中遇到的问题作出解答，希望能为企业数据合规建设提供参考。-医疗设备数据合规12问-Q1：通过线上点击的方式如何证明获取了本人同意？是否系统日志中留存了某个用户在某年某日几点几分点击，这样记录就可以了？这种证明的力度是否足够？A:这里面涉及到的是关于电子信息的源数据问题，我们讲在设备当中很多时候会做行为的记录，还有相应的一些功能，以及操作对应的这个数据本身的日志记录。因为法律规定是必须要进行存证的，存证有两种方式，一个是电子签名，比如常见的银行处理也都是非常电子化，在银行相应的屏幕平板上留言签名，是会现场及时的录下来，这个签名以及对应的签名之前告知的所有内容都会形成文本作为电子存档记录，相当于是一部分的数据。另外一部分是对应的，比如说签名的时间、签名的方式，以及是哪个设备产生的和软硬件相关的数据本身，可以是一些电子记录，也是会在系统日志当中进行留存的。这两个部分结合起来，如果需要面对相应的法庭作证，或者需要拿出来作为依据来证明已经做过了告知同意的话，是可以通过这样的方式给到法律认可的依据，相应的格式形式，比如说电子证据的相应法条规定都是有的，这是完全可以做到的，也是法律认可的。Q2：公立医疗机构和设备厂家在产品研发过程中，是否可以将患者信息脱敏后提供给设备厂家？流程上有何建议？A:首先如果是脱敏要看相应的是做了去标识化还是匿名化，如果是数据就去标识化，实际上它是可以恢复的，匿名化相当于就没有办法去恢复对应到个人的信息，这是简单的从技术上的区别，。如果是匿名化的数据本身不属于个人信息，就是可以比如说作为体检中心的数据资产，可以给到设备厂商，比如说用于训练AI的，这也是我们倡导的一种比较有效的，或者比较安全、风险比较低的一种合作模式。但是这里面又涉及到，比如说设备厂商是基于什么样的需求，比如说设备厂商是基于维护的需求，或者基于其他的委托处理方式的需求，可能有的时候是不一定需要匿名数据，源数据也是可以给到的。Q3：请问当设备生产商与医院合作时，处理数据是否承担连带责任？A:在体检中心和设备商之间可能是会有不同的数据处理关系，至于是否要承担连带责任，这也是会基于不同的情况底下，才有可能会涉及或者不涉及，具体可参考根据上文讲到的三个模式。Q4：请问生产商是否可以购买医院的相关数据？换句话说，医院是否有法律基础销售医疗数据？A:其实就是看这个数据是否属于个人信息，通过什么样的方式来买，这是一个比较复杂需要具体情况展开的问题。我个人对于目前的判断来讲，未来数据交易更多的可能会是类似于证券交易要求入场，我认为这是大趋势，需要在监管环境下，让平台做到更合法合规，就是加大交易过程审查和监管的过程。现在知道最简单的，比如说在医院里买卖统方数据本身是触犯刑法的，这样的刑事案件案例是很多的，就是买卖统方，统方还不涉及到个人信息，但都已经入刑了。另外，在这几年关于买卖个人信息这一块的案件也是增长非常高的，每年经侦去查跟个人信息买卖或者侵害个人信息相关的案件刑事入罪率是非常高的。所以这一块来讲，不要随便买卖，或者是通过非官方很随意的方式去获取到包含着大量个人信息的数据。尽可能的第一个通过委托处理的方式或者是共享的方式，通过知情同意合法的渠道来获取数据，第二个可以去采用匿名化的方式去获取数据。Q5：数据匿名化是否有什么标准？A:数据匿名化和数据去标识化最简单的标准，我们看这个数据本身被处理过之后，是否还能与其他的数据结合去指向某个具体的个人，这个就说明它并没有进行真正的匿名化。简单举个例子，比如说一个班有男生有女生，有身高、体重、姓名、身份证号码和手机号，如果就这一个数据群里面，把他的姓名掩盖掉，把身份证号码掩盖掉，但是身高、体重没有去掉，保留相应的性别、身高、体重这样的数据，如果我有其他的比如说单个数据身高、血型、还有疾病等等，从单个的数据库当中来看的话，没有办法去对应的，因为已经把身份证号码、手机号、姓名去掉了，没有办法对应到相应的某一个个人，但是结合着另外一个数据集，比如说同时有身高、血型以及相应疾病的时候，我就可以去恢复或者通过另外的数据集可以倒推出来对应的姓名叫什么，这样的方式就不能叫做匿名化。匿名化更多的时候是一个类数据，或者说是一个处理过的统计数据，一个班级里面总共有比如说是个子高的人，血压相应的更高，这样的数据处理结果可以认为它是匿名化的。Q6：请问如何区分是共享还是共同处理？A:实际上是看双方之间的约定，简单来说，共同处理实际上是两个信息处理主体各自面对用户，相互之间任何的决策是不影响任何一方要承担的权利义务。如果是共享的话，最简单举个例子，比如说淘宝获取了一个人交易的数据和交易的信息、行为轨迹，它可以在隐私政策当中去披露，比如说要共享给阿里巴巴，或者说要给共享给其他关联方，但是关联方本身和淘宝网是两个独立的法律主体，从法律上来讲它们是独立的，或者比如说淘宝要共享给腾讯，通过淘宝接入的入口去获取相应的信息，把它获取的信息转让或者转移给其他的第三方主体，这个叫做共享，是需要单独同意的。如果是共同处理的话，比如共同举办一个活动，既有设备厂商，又有体检中心，大家是非常明确的，在这个场景下各自处理的目的和方式可以有不同，不是单纯的一方把它获取的信息给到另一方，而是它们可能是同时去获取信息，同时去存储，并且要对存储和信息安全去承担责任，以及后续如果有一些自动化决策，这个也是要承担连带责任同时的。但是对于共享处理当中，它的受让方或者说接收信息的第三方须取得单独同意，对自己的处理行为负责，双方独立承担责任，这里面是有权利义务和责任范围方面的区别。Q7：如果医疗器械自己采集的数据，比如血压，自动传输给设备厂商，是不是就算共同处理？A:设备厂商现在有很多时候直接通过云端传回到了自己的云，就是设备厂商这边去控制。反过来看，在采集数据或者设备厂商通过云端获取数据本身是否合法的问题，有可能未经过个人告知同意，比如体检中心或者医院不清楚情况下，这个数据就自动回到了设备厂商的控制，很有可能是处于违规或者说处于违法的状态，本身不能叫做共同处理。共同处理一定还是需要去明确的取得告知和同意，才能叫做而共同处理，这是一个合法性前提。当然这个情况现实当中是比较普遍的，只能说暂时国家在这个方面还没有完全的展开规制，但是后边这一块的管理，尤其是在后续医疗器械的拿证以及一些网安方面的检查上会越来越紧，这是一个趋势。Q8：在第三种委托处理模式下，设备厂商和机构利用图片或者数据进行AI训练产生的知识产权、智力成果归属的约定，有什么样的建议？A:委托处理从专利的角度来讲，比如说我们讲专利有一种合作模式叫委托开发。专利法明确规定，委托开发是双方约定来归属知识产权的权属问题，如果没有约定，明确是归属于开发人的，但是委托方本身是可以免费使用，这个法条是明确规定的。从这个角度来讲，尤其是像现在很多创新的厂家考虑知识产权问题，一方面为了可以更好的去解决分配和获利的问题，另外一方面也是面临未来IPO上市的时候，需要对知识产权有一个明确的约定，以防核心的资产权属不明的风险的发生。所以这一块建议，第一个有约定的尽可能的约定明确。第二个，委托处理实际上委托方是对外要承担全部责任的，所以从设备厂商来说，可能本身承担的责任或者不直接面对最终用户，相应的风险是比较小的。但是对于医院或者体检中心或者疾控中心，就是去取得数据的这一方来讲，其实风险和负担是比较重的，因为一旦超过了委托的范围，或者说把委托的范围放得非常大、非常不明确的情况下，对于委托方来讲，有可能给他造成比较大的风险。这个就是在商业谈判的过程当中，或者在实际操作过程当中，有可能也会涉及到商业合作模式和商业合作谈判的问题。Q9：请问是否属于匿名化后的数据，是从接收者一方来判断还是需要结合给予者来判断，比如设备商拿到的数据无法用来识别个人，但给予的医疗机构仍然保有可以识别到个人的数据，这样的数据属于匿名化吗？A:我们讲的匿名化的数据是不可逆的，一旦处理过之后是不能恢复可识别的，这样叫做匿名化。如果是脱敏处理之后，对于源数据处理者来说，是可以恢复原有数据的话，我们通常把它叫做去标识化，这不是一种真正的匿名化，所以还是有比较大区别的。Q10：AI训练的结果肯定需要和标准去做对照的，临床医生的诊断或者是判断会作为其中一个标准，那从医疗机构中获得的图片、影像结合医生的诊断结论，会有可能会被认定为病历吗？该如何做脱敏处理？A:从我的角度来讲，因为现在医疗影像去做AI智能的诊断和识别病灶是比较常见的一种AI训练模式和市场需求。通常一般来说，都是通过一种合法、合规的方式获取相应的检查影像图片，然后由医生进行标注，或者是由医生给到一些已经标注的影像图片去标明，比如说一些明显的病情可能会体现出来的影像结果给到机器做深度学习。从我个人的理解，对于AI来说，主要是因为这个影像的结果来做的判断，对于这个病人是张三还是李四，这个并不是那么重要的，重要的是它是不是构成某一种疾病，或者比如说是否具有某种疾病所产生的指征、生理特征，或者符合相应的诊疗规范体现出来的一些生物特征。从这个角度来说，图片不论是医生提供的还是通过其他方式来取得，或者是给到医生去标注的，最好这些图片是去除掉本身病人一些个人信息的，可以更集中在图片本身是否能够看到或者能够明确去判断疾病的点上。当然这里可能会有一些复杂情况，比如像糖网，这个病人的糖尿病情况多少期，可能有一些个人指标，但是这些生理指标本身，比如性别或者年龄，这些指标本身不能直接或者对应到病人是张三还是李四，我认为基本上是可以去使用的，刑法上对于是否属于侵犯公民个人信息，主要判断还是在于这个数据是否能识别到个人以及具体数量，比如说两个人三个人的情况，更多是以这种方式来做实践判断的。Q11：如果医疗数据及医疗机构去标识化后交给设备生产商，由于医院保留了可以用于再次识别到个人的数据，即使生产商无法依据被给予的数据识别到个人，该数据仍然被视为未匿名化数据即仍然是个人信息，生产商需要按照个人信息予以保护吗？A:如果是可以识别到个人信息，肯定还是要按照个人信息予以保护的，我认为还是必须要有的。因为数据安全这个事情也是比较重要的，在个保法当中，其实对于数据安全这一块也是有比较明确的约定，无论是属于哪一种处理模式的处理者，只要发生了个人信息的损害，因为法律规定的是严格责任，就是个人信息处理者首先要去证明自己没有过错才会免除承担损害赔偿的侵权责任。简单来说，只要有损害发生，就有可能去面临承担损害赔偿结果的可能性，除非能证明自己是没有过错的。所以我们必须要清楚的了解到，在个保法的规定下，国家对于个人信息安全这一块的责任，尤其是对于信息处理者的责任要求是非常严的，所以做好信息安全保护的前提是必须要有的。Q12：体检中心将这个数据匿名化之后，是否可以给到相应的医疗设备机构？A:数据匿名化之后，就已经不属于个人信息了，这也是在个保法当中明确规定的，所以就可以视为是企业的资产，是可以去交易的。当然这个前提也是要看，有的时候像国资疾控中心这样的机构，可能相对更保守一点。如果是民营企业或者市场化的体检中心，如果把相应的数据做到更合规，我觉得交易本身目前来看，还没有出现必须要入场交易的规定，所以目前交易还是有保障的或者说是合法的，是法律允许的。【免责声明】以上信息仅供分享交流，不构成任何形式的法律意见或建议，也不代表律师所在律所的任何意见。律师简介赵

前言本期干货，我们邀请到了北京金诚同达律师事务所高级合伙人赵晔律师，专门针对医疗设备（如影像设备）等所涉及的数据合规，结合案例进行分析。本文主要由数据采集、数据存储、自动化决策三部分组成，将涉及体检中心和设备厂家相互之间的关系问题，希望能为企业数据合规建设提供参考。数据采集（以体检中心场景为例）首先设备商会研发医学影像产品，把具体的产品销售给体检中心，体检中心使用设备进行体检，并且采集用户数据，上传到体检中心的云端，这个云端可能是私有云、也可能是公有云，然后对数据进行存储、加工等各种处理，最终有可能会在体检中心和设备厂商合作的过程当中去分享、转让、转移部分或者全部的数据，使得设备商能够通过数据去训练和提高自己原先的产品，做出更多的智能化诊断，或者提供更多的智能化治疗服务。这是现在比较通用的数据流的大体场景。基于这个场景中所涉及到的数据流，谈一下每一步当中，尤其是采集、知情同意、存储安全、网络安全、跨境、自动化决策等涉及到的风险。1、告知内容及方式从个保法的核心或者从个保法的黄金原则来讲，处理个人信息必须遵循公开、透明的原则。因此告知是所有数据流开始的前提，尤其是医疗场景下获取的个人信息大多数还是敏感信息，法律对于敏感信息的告知要求会更加严格。我们日常接触最多的可能是互联网场景下的告知，比如可以看到各家的网站、APP隐私政策，对于一些法律要求明确告知的内容，通常都采取了加粗、画线或者是特殊颜色的方式，给予显著和醒目的标识，这已经成为了业内的通用做法。但是试想一下，医疗场景大多都基于线下，尤其是体检中心，必须是以线下的方式来提供服务。在这种场景下，该如何做好告知，是用采取店堂张贴告示，还是打印纸质告知书的形式？我个人觉得，这些方式可能都不是特别的方便。对于告知，法律要求对于告知内容本身要强调完整性，因此按照目前个保法要求，必须要载明的事项的内容还是很多的。如果说采用了纸质的方式，可能页数会比较多，类似保险公司保险条款的印刷方式，字体很小而且密密麻麻的，上面对于相应重点条文的提示会加粗加深，但是这种效果和方式可能对于用户来说不是特别能够接受的，或者需要花很长的时间由服务人员去引导解释，我觉得相对来说是不太实用的。个人建议，可以去参考互联网的模式，尤其现在当下电子屏的使用是非常普遍的。比如说在体检中心的场景下，通过引导给到用户一个

精彩推荐2.邀请函：临床与新药行业合规大会2022可登录官网了解更多详情：www.everlaw.com.cn点击小程序，获得所有过往话题分享⭐星标关注安拓公众号及视频号最新资讯、精彩课程永不错过

2022年临床与新药行业合规大会预告临床试验与新药上市项目中，风险无处不在且难以消除，面对这种情况，企业需要做的就是尽可能识别风险、评估风险进而通过管理风险来降低风险事件的发生概率和减轻风险事件发生时造成的损失。结合目前临床试验最新法规、医疗行业监管背景，安拓即将于4月22日召开【临床与新药行业合规大会2022】，帮助企业管控风险。会议议程会议安排温馨提示报名须知大会时间

安拓专题上新！医械耗材专题近年来，医疗器械产品需求持续增长，医疗器械电子商务等模式快速发展。据工信部相关资料显示，截至2018年底，我国医疗器械行业市场规模达到了5304亿元，预计2022年我国医疗器械行业市场规模将超9000亿元。在医械耗材企业高速发展扩张的同时，国家强化了企业对医疗器械安全性有效性的责任，进一步加大对违法行为的处罚力度。新版《医疗器械监督管理条例》等新规已正式实施，从事医疗器械经营的企业必须要更加重视相关法律法规，完善合规管理体系建设，提升各业务场景下的合规应对水平。在此背景下，安拓开设《器械耗材专题15讲》，定位为医械企业的合规实务指南课程，对医械企业经常遇到的临床试验免费设备、医疗器械仿制品知识产权纠纷、经销商管理、飞行监察和境外检查、新规重点要点及变化、上市问题等各个实务场景下的合规问题、难题，进行有效分析及建议。议题设置No.主题1耗材带量采购中的法律合规问题探讨2器械耗材厂商与医院间的合作项目及业务模式尺度把握和法律风险3药品医疗器械上市后临床研究相关法律合规问题探讨4APP+医疗器械的运用5新器械上市—临床试验中免费设备合规问题6器械新规解读：《医疗器械注册与备案管理办法》7医疗器械仿制品中的知识产权纠纷8食药监领导对于医药、医疗器械稽查情况及合规提示9药房托管对医药和医疗器械企业的经销商管理和商业合规带来的挑战及如何应对10医药、医疗器械整体稽查工作介绍及对政策公开意见11国家药监局对于进口药（器械）的飞行检查和境外检查等12器械设备+试剂

上新临床试验与新药上市专题10讲临床试验是药物上市之前必须经历的流程，只有证实药物的有效性、安全性才能够获得国家药监局的批准。而在临床试验项目中，风险无处不在且难以消除，面对这种情况，企业需要做的就是尽可能识别风险、评估风险进而通过管理风险来降低风险事件的发生概率和减轻风险事件发生时造成的损失。结合目前临床试验最新法规、医疗行业强力监管背景，安拓全新推出【临床试验与新药上市10讲】专题，为企业倾力打造系列课程，帮助企业管控风险，探讨解决卡脖子问题的策略。该专题将于9月上中旬开播，敬请期待!专题大纲临床试验与新药上市10讲1新药上市中的法律风险探讨2从GCP法规更新谈临床研究与临床试验的风险点3*

但是，如果互联网药店通过互联网为用户有偿提供信息或者交易结算等服务，依法应当取得《互联网信息服务增值电信业务经营许可证》（“ICP证”）或《在线数据处理与交易处理业务经营许可证》（“EDI证”）。