《临床试验中受试者隐私保护与数据脱敏处理规范》
-
基本定义与法规框架
这是一个专门规范药物、医疗器械等临床试验过程中，如何处理和保障受试者个人隐私信息，以及如何对可识别其身份的数据进行去标识化处理的法规性文件。其核心目标是在确保科学研究和监管审查所需数据质量的前提下，严格遵守《个人信息保护法》、《数据安全法》、《人类遗传资源管理条例》及《涉及人的生物医学研究伦理审查办法》等上位法，最大限度地保护受试者的隐私权和个人信息安全。它适用于所有涉及人类受试者的临床试验，贯穿于方案设计、数据采集、传输、存储、分析、使用、共享及销毁的全生命周期。 -
“隐私信息”与“敏感数据”的界定
理解本规范，首先要明确其保护对象。在临床试验语境下：- 受试者隐私信息：不仅包括姓名、身份证号、住址、电话等直接标识符，还包括能够单独或结合其他信息识别出特定受试者的间接标识符，如出生日期、就诊医院、入组日期、特定罕见疾病、独特的研究编号（如果与研究机构关联可追溯）等。
- 敏感个人数据：在临床试验中尤为突出，包括受试者的疾病诊断与治疗详情、基因序列、生物特征（如可识别面部图像）、心理健康记录、性生活与性取向、临床试验中的不良事件详情等。这些数据一旦泄露，可能导致受试者受到歧视或造成严重人身、财产损害，因此需要最高级别的保护。
-
核心原则：最小必要与目的限定
法规要求所有对受试者数据的处理活动必须遵循两大基石原则：- 目的限定原则：数据收集和使用必须有明确、具体、合法的研究目的（已在知情同意书中清晰说明），不能超出该范围进行二次利用，除非获得受试者的额外单独同意。
- 最小必要原则：仅收集和处理与研究目的直接相关且最小范围的数据。例如，非必要不收集详细家庭住址，用年龄段代替具体出生日期等。这从源头上减少了隐私泄露的风险。
-
数据脱敏（去标识化）的技术与流程规范
这是保护隐私的关键技术环节。法规会详细规定不同场景下的脱敏要求：- 直接标识符的去除：在收集后，应尽快将姓名、身份证号等与受试者直接关联的信息分离，并使用唯一的、不可逆的研究识别码替代。直接标识符需加密存储，并与研究数据分开管理。
- 间接标识符的处理：对可能通过交叉比对识别出个体的信息进行技术处理。常见方法包括：泛化（如将具体年龄“45岁”改为“40-50岁”）、抑制（删除某些字段）、假名化（用虚构但一致的值替换，如统一的城市代码）、数据扰动（在允许的统计误差范围内添加随机噪声）。
- 脱敏级别评估：法规要求对脱敏后的数据集进行“再识别风险评估”，评估通过公开渠道或其他可用信息，重新识别出特定个体的可能性。风险过高时，需进一步处理数据。
-
全生命周期管理要求
规范会明确数据在每一个环节的操作标准：- 收集与知情同意：必须在知情同意书中独立、清晰地说明数据收集的种类、用途、保存期限、脱敏方式、可能的接收方（如申办方、CRO、监管机构）及跨境传输风险。
- 存储与传输：存储数据（无论是否脱敏）的服务器或介质必须位于中国境内（法律另有规定除外），并采取加密、访问控制、审计日志等技术措施。数据传输必须通过加密通道。
- 使用与访问：建立严格的内部权限管理制度，确保只有经授权的研究人员才能访问其履行职责所必需的最小数据集。所有访问行为须被记录和监控。
- 共享与移交：向申办方、统计中心等外部机构提供数据前，必须完成充分的脱敏处理，并签署数据保密与安全协议。涉及人类遗传资源信息出境，必须依法审批。
- 保存与销毁：规定数据（包括原始数据和脱敏后数据）的保存期限（通常为临床试验结束后至少5年）。到期后，必须以不可恢复的方式安全销毁。
-
安全保障措施与违规责任
- 组织与制度：要求临床试验机构、申办方建立数据保护官（或负责人）制度，制定内部数据安全管理规程和培训计划。
- 应急响应：必须制定数据安全事件应急预案，发生或可能发生数据泄露、毁损、丢失时，立即采取补救措施，并按规定向监管部门和受试者告知。
- 监管与处罚：药品监督管理部门、卫生健康部门及网信部门等依据各自职责进行监督检查。违反规定的，将面临警告、罚款、责令暂停或终止试验，甚至吊销相关许可证等行政处罚；构成犯罪的，依法追究刑事责任。
