近年来，随着药品审评审批制度改革持续深化，药企研发热情高涨，推动医药外包行业快速发展。药企与合同研发组织（CRO）的合作越来越普遍。在此类合作中，有一些双方需要共同注意的事项，如技术权利的归属和知识产权的保护，数据合规和数据跨境传输，研究者和受试者的个人隐私保护，人类遗传资源管理合规以及临床试验过程中致人损害的侵权责任问题等。本文将对上述问题一一梳理分析。

在药物的研发环节，药企合作比较多的CRO公司主要是以下几种：一是药物研发类的CRO，主要提供靶点选择、先导化合物的发现和优化等服务；二是临床前CRO，提供药效药代的评价、安全性评价和临床试验申请等服务；三是临床试验类CRO，提供技术服务、临床试验管理、数理统计分析、注册申报、药物上市检测、药物警戒等服务。事实上，目前国内很多头部CXO（医药外包组织）公司，如药明康德、泰格医药、康龙化成、凯莱英等，均已开始提供从药物研发到定制化生产的全链条式服务，甚至包括药品进入国际市场的所有申报工作。在药物研发合作过程中，双方应注意以下事项。

事项一

关于技术权利归属和知识产权保护

药企在药物研发阶段若是选择和CRO公司合作，那么合作公司极有可能接触到药企或高校、研究院所等研发机构，进而接触到后者的核心专利信息甚至商业秘密等，且这种接触几乎不可避免，在此过程中将会产生以下问题。

>>问题：技术权利归属于哪一方？

在早期研发阶段，一些中小药企或科研院所条件有限，无法独立完成一些试验，所以通常会委托CRO公司做一些如毒理测试、安全性测试等方面的工作，由此CRO公司很早就能接触到药物的靶点信息或者分子结构。随着合作时间增长，CRO公司介入程度加深，项目后期产出科技成果时，就很可能发生技术权利归属的纠纷。

对此，笔者建议，合作双方要明确项目的性质，比如是合作研发还是委托研发，并在合同中对整个项目的技术权利归属作出明确约定。在实践中较为困难的是，如何在研发过程中界定权利归属，以及如何界定哪些部分属于合作研发，哪些部分属于委托研发。这需要结合其他事实因素方能作出比较准确的判断。技术权利归属问题不仅是一个法律问题，也离不开医学技术方面的探讨和划分。

当前，药企与高校或科研院所合作进行技术的商业转化，或者合作开发一些新型创新药物的现象已经比较普遍。需要注意的是，在此类合作过程中所获得的技术成果，很有可能是高校或科研院所研究人员的职务成果。一旦该技术成果归为职务成果，或技术成果的实际权利人是高校或者科研院所，那么在绝大多数情况下都可能涉及国有资产的评估，以及评估后如何进行国有资产的价格认定等问题，对此需要根据具体情况分别采取措施。

>>问题：如何保护合作双方的专利、版权和商业秘密等知识产权？

商业秘密保护是一个纠纷多发的领域，需要根据具体情况来具体分析，简言之就是要有比较完备的保密协议和竞业禁止协议，以避免在药物研发过程中因为知识产权的权利纠纷导致整个进度被拖累。因此，建议药企跟合作的CRO公司以及所有参与项目的工作人员都签署保密协议和竞业禁止协议，并重点关注人员流动时的商业秘密保护问题。这对于很多药企尤其是一些海归药企尤为重要。

此外，笔者建议药企成立专职商业秘密保护团队，统筹规划公司的商业秘密保护事务，协同公司的IT部门、人力资源部门、法务部门等，监督整个公司范围内的商业秘密保护情况以及管理要求的落地执行。这与上述保密协议和竞业禁止协议都相互关联，两项工作应同时开展且相互印证，才能达到较好的保护效果。

另外，药企的IT部门也应做好数据留存、传输信息的权限划分、工作终端安全设置等工作。

事项二

关于数据合规和数据跨境传输

数据合规理论在网络安全法、数据安全法和个人信息保护法等法律法规以及相关国家标准出台之后迅速发展。虽然在生物医药领域，目前还未有药企因为数据不合规、或者数据跨境传输不符合相关要求而遭到行政部门处罚的案例，但是业内都已充分认识到数据合规和数据跨境传输方面的监管必将日趋严格。

>>问题：为什么生物医药研发领域的数据合规很重要？

在我国新药研发如火如荼的当下，药企与跨国或境外医药企业合作非常常见，一些创新药企也在竞相“出海”。今年5月，和黄医药向美国食品药品管理局（FDA）提交了索凡替尼用于治疗胰腺和非胰腺神经内分泌瘤的新药上市申请。美国FDA认为，索凡替尼在中国的Ⅲ期临床试验和美国的桥接试验的数据不足以支持其在美国获批，希望企业能够纳入更多的美国患者人群并取得国际多中心临床试验的数据支持。

可见，对于新药特别是创新药而言，在整个临床试验的过程中，如何使用相应的合规数据，是叩开国际市场大门非常重要的因素之一。

因此，在生物医药领域，尤其是创新药研发阶段，数据合规不仅是为了规避法律风险，还是创新成果进行商业转化的必要保障。

>>问题：生物医药研发过程中的所有数据如何才能合法合规地跨境传输？

生物医药研发环节的数据跨境传输主要发生在以下两个场景：一是临床前讨论或临床试验过程中，往往会邀请一些重要的研究人员或是领域内的知名专家进行探讨，在此过程中，势必会用到部分病患的病例，同时也涉及到参与的专家或研究人员的个人信息，药企需要关注医学专家或受试者个人信息的保密问题；二是药企在“出海”过程中，通常会做国际多中心临床试验或桥接试验，该过程很有可能涉及信息的跨境传输，药企需保证该过程的合规。

国际通用的一个保证数据合规性和完整性的原则是ALCOA+原则，即可归因性、易读性、同时性、原始性、准确性和持久性以及完全性等。以能够满足上述原则作为数据记录的标准，是数据合规最重要的一步。

药企可以根据检查清单，再以自动或者定期检查的方式，来检查是否已经具备一些前提条件，以对数据实行重要操作。此外，药企还要定期确认是否已经完成网信部门组织的安全评估或个人信息保护认证；在和境外接收方签订合同时，要确认合同中是否完全涵盖上述数据合规和数据跨境传输要求的相关内容。

事项三

关于受试者的个人隐私保护

在临床试验过程中，会产生与受试者相关的多项医疗数据。受试者的健康信息、生物识别信息等个人信息都将被详细记录。因此，保护受试者隐私是药物临床试验过程中的重要内容，受试者也应遵循保密原则，防止信息泄露。

>>问题：如何避免受试者的个人信息泄露？

受试者个人信息保护的核心要点和知情同意书有关。药企在与CRO公司合作过程中，要非常注意后者是否具有完备的SOP操作流程以及规范的合同体系，其中关于个人信息的收集、存储或者传输等是否作出明确约定。比如，在收集的目的，收集、处理、存储的方式以及信息转移或者传输方面，是否给予研究者和受试者非常明确的说明以及确认范围，并且得到受试者或其法定监护人自愿签署的知情同意书。

需要特别说明的是，按照《药物临床试验质量管理规范》《临床试验数据管理工作技术指南》等要求，药物临床试验过程中对受试者的个人信息，以及申办者、研究者或CRO公司员工本身的姓名、邮件等信息，已经有了较为完善的保护措施。例如，对受试者的信息使用代码代替，并且在递交临床试验申请或新药上市申请的过程中，通常也不会直接包括受试者个人信息的内容。

如果涉及数据跨境传输，就要考察相关文件中是否已向个人信息主体告知了境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类以及个人向境外接收方行使中国法律规定的权利的方式和程序等事项。这一点在整个受试者隐私保护中至关重要。

在实际操作中，建议药企内部建立一套自我评估机制，对涉及数据跨境传输的流程进行梳理，定期开展风险自评估，留存书面评估报告。在和境外信息接收方的合作过程中，合同约定也非常关键，对接收处理来自中国境内数据的安全保护责任义务要进行非常明确的约定，如此可在一定程度上降低数据跨境传输时信息泄露的风险。此外，建议药企内部对所有涉及数据跨境传输记录的日志或传输记录都通过电子方式至少留存三年以上，以便追溯。 

（中伦律师事务所 高俊 邱玮鑫）

本文仅代表作者观点，不代表本站立场。

(责任编辑：陆悦)