医疗健康领域的合规之路 — 有关人类遗传资源信息管理的法律风险和化解之道

在数据和隐私日益成为经济活动中关键核心法律问题的今天，在医疗健康领域中极其活跃的基因研究和应用中，利用各种可以用于识别人体特征的“人类遗传资源”信息的合规性变得格外敏感。本文意在对涉及遗传资源的相关经济活动场景和法律演进、以及法律风险进行分析，提出在企业并购规划、投融资、上市的尽职调查中以及在涉及医疗健康领域的研发合作协议的制定过程中，需要特别留意的合规风险，并提出规避风险的合理化建议。
一、涉及“人类遗传资源”的相关法律规定的前世今生以及最常见的场景分解
“人类遗传资源”是可单独或联合用于识别人体特征的遗传材料或信息，被比喻为人类的“生命说明书”，是开展生命科学研究的重要物质和信息基础。“个人信息”是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，单个人体特征的遗传材料或信息属于个人信息的一部分。我国具有独特而丰富的人类遗传资源优势，如何在国家、民族和个体层面保护好属于我们自己的“生命说明书”的同时，又能合理地促进遗传资源的利用，已经越来越得到各个层面的重视。
从法律规范的角度而言，从1998年制定的《人类遗传资源管理暂行办法》到2019年开始实施的《人类遗传资源管理条例》，再到2020年公布的《生物安全法》以及2021年出台的《个人信息保护法》的审议稿，都对人类遗传资源和个人信息的保护和合理利用进行了规制。随着法律规范的相继出台，企业、科研单位对医疗健康领域有关人类遗传资源管理和个人信息安全的法律风险的防范意识也在提升，在近几年的法律咨询业务中，各主体针对自己面临的情况提出了很多疑问，例如下述四类典型的法律风险担忧：
“捐赠血样”之惑：在实验中采集了2000份患者的血样，若将实验后剩余的87份血样捐给科研公司搞研究，该捐赠行为是否被允许？
“人·斑马鱼进化的跨国科研合作”之忧：科研院校与海外合作开展人种和斑马鱼进化考察项目，该合作行为是否被允许？
“测序信息出国”之疑：提供基因测序服务的CRO型企业，需把受托基因测序结果提供给境外客户，该发送行为是否被允许？
“血清出口”之虑：生产已有药品批文的血清制品，将该产品销售到境外，该销售行为是否被允许？
如何解答这些问题，需要从业者和法律人对我国现行的涉及人类遗传资源管理和个人信息安全的法律规范有全面而深入的了解。
二、处于完善中的相关法律规范体系
人类遗传资源是事关公众健康和生命安全的重要资源，针对遗传资源开展生命科学研究的价值巨大，但同时也存在不容忽视的生物安全隐患；而且立法者以及产业界逐渐认识到，遗传资源涉及到个人信息的使用，因此有必要在个人信息的保护方面加强立法。因此，我国自上世纪末开始，不断出台各种法律规范，来约束和规范化对于遗传资源的使用。下图1是对人类遗传资源管理及其相关个人信息保护的法律法规进行了概括。

图1
在我国，首先是1998年由科技部、卫生部联合制定《人类遗传资源管理暂行办法》，对人类遗传资源的管理体制、国际合作和出境活动的审批程序作出规定，填补我国在人类遗传资源保护法规方面的空白，开启了我国系统全面开展人类遗传资源管理的序幕。
随着经济社会形势的变化和科技的发展，生物技术呈现爆发式增长态势，与之相应的，出现了一系列新情况、新问题，对我国人类遗传资源的管理提出了更高的要求。2019年我国出台《人类遗传资源管理条例》，从加大保护力度、促进合理利用、加强规范、优化服务监管等方面对人类遗传资源管理作出具体规定。
在2020年公布的《生物安全法》中，第六章详细规定了保障人类遗传资源和生物安全方面的内容，进一步加强了对我国人类遗传资源和生物资源采集、保藏、利用、对外提供等活动的管理和监督。这是首次将人类遗传资源保护上升至国家法律层面，充分体现了保护人类遗传资源的决心和力度。
《生物安全法》是我国国家安全法体系的重要组成部分，而保障人类遗传资源安全是保障生物安全的重要组成部分，在《人类遗传资源管理条例》中也规定“采集、保藏、利用、对外提供我国人类遗传资源，不得危害我国公众健康、国家安全和社会公共利益”，因此，在应用人类遗传资源开展研究以及生产的过程中要有将其和国家安全挂钩的意识。
另一方面，人类遗传资源中的“人类遗传资源信息”与《个人信息保护法》中的“个人信息”有交集。具体来说，基因数据等个人生物识别信息，以及家族病史等个人健康生理信息，既属于人类遗传资源信息，也属于个人敏感信息，属于是一旦泄露或者非法使用,可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息，因此，从保障个人信息的角度也应加强对遗传资源信息的保护。
三、法律规范划定的禁区
《人类遗传资源管理条例》中确定了人类遗传资源的范围，其第二条中规定：“人类遗传资源包括人类遗传资源材料和人类遗传资源信息。人类遗传资源材料是指含有人体基因组、基因等遗传物质的器官、组织、细胞等遗传材料。人类遗传资源信息是指利用人类遗传资源材料产生的数据等信息资料”。日常生活中我们最常接触到的就是血液样品和基因序列信息等。
对于人类遗传资源的保护，《人类遗传资源管理条例》给出了明确的规范，从保护公共利益、尊重隐私、尊重伦理、禁止买卖、禁止非法外流等方面画出了五条“红线”（图2）。

图2
根据《个人信息保护法》(草案二次审议稿)中的定义，“个人信息”是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。“个人信息的处理”包括个人信息的收集、存储、使用、加工、传输、提供、公开等。在实际应用中，新药的药品的多中心临床实验属于对对受试者的个人样本处理高度集中的一种情形，这种情形下的个人信息处理和人类遗传信息的管理的风险发生交集。在遗传信息管理时同时必需兼顾在《个人信息保护法》(草案二次审议稿)中对个人的知情的同意、个人撤回同意、个人信息处理者在处理个人信息前的事前告知的相关规定。
四、法律风险示例
包括《人类遗传资源管理条例》在内的上述相关法律法规是如何规制医疗健康领域的业务呢？
举例说明，类似于“捐赠血样”的情形，曾有某公司超出审批范围使用遗传资源，把剩余样本转运至中国的两家公司，拟用于试剂盒开发项目。2018年科技部做出行政处罚。参照此案例，对于“捐赠血样”这种情形，如果所涉及的血液样本是在我国采集的，由于后来的用途与原来的血液样品的审批范围不一致，即使是善意捐赠也违规。
对于“人﹒斑马鱼进化的跨国科研合作”这一情形， 2015年曾有某公司向国外一知名大学提供我国人类遗传资源进行跨国科研合作，引发“14万孕妇基因外泄”风波，后被科技部加以行政处罚。据此可知“科研目的”不能成为免罪金牌。虽然斑马鱼不受《人类遗传资源管理办法》的规制，但是如果人种进化考察一旦涉及到我国人类遗传资源例如基因信息的外流就会被严格规制。
对于“测序信息出国”的情形，仅仅提供测序信息的书面或电子信息而不是具体的血液样本或含DNA的样品，如果所涉及的测序的样本来自我国国民，即使是电子信息也不允许。进一步地，“测序信息出国”必然涉及个人基因信息，这种基因信息的跨境输送不仅受到《人类遗传资源管理办法》的管制，未来还会受到《个人信息保护法》的规范，如前所述， “个人信息”是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。“个人信息的处理”包括个人信息的收集、存储、使用、加工、传输、提供、公开等。
同时，《个人信息保护法》(草案二次审议稿)中规定：“个人信息处理者委托处理个人信息的，应当与受托方约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托方的个人信息处理活动进行监督。受托方应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托方应当将个人信息返还个人信息处理者或者予以删除，不得保留。未经个人信息处理者同意，受托方不得转委托他人处理个人信息。”
表观上看似简单的“测序信息出国”，其实要受到多个法律法规的监管。对企业而言，来自人类的“测序信息出国”是一个高法律风险动作。
对于“血清出口”的情形，药品生产批文并不能确保血清制品可以随心销售，已有某公司未经许可将5千多份人类遗传资源（人血清）作为犬血浆违规出境，被科技部处以行政处罚。所以，“血清出口”先要区分是否是人类血清，如果是，还要经过人类遗传资源管理办公室的批准或备案。
最新的案例还有某药物公司的创始人涉嫌违反《人类遗传资源管理办法》走私而被捕，另有某知名国际药企申请抗肿瘤药物临床实验，为通过人类遗传资源管理办公室的审批而提供造假材料被科技部处罚。可以预见今后我国医疗健康领域的行政监管将日趋严格，未来行业规则和秩序将重塑。
五、风险化解之道
在企业并购规划、投融资、上市的尽职调查中，以及在涉及医疗健康领域的研发合作协议的制定过程中，需要特别留心是否会涉及人类遗传资源和个人信息保护等安全风险的排查和风险防控。
我们建议对面对这类风险主要考虑是否涉及人类遗传资源和个人信息保护，是否有豁免事项，是否涉及外方参与以及是否涉及人类遗传资源出境，是否需要审批。下面的图3给出了一般性的操作流程：

图3
根据上图，首先核实是否涉及人类遗传资源和个人信息保护，如果答案是肯定的，首先要看是否属于《生物安全法》或《人类遗传资源管理条例》中规定的临床诊疗等豁免事项。在并非豁免事项的情况下，就要聚焦但不限于：伦理审查表、知情同意书的合规；研究内容范围与审批、备案、知情同意书范围的一致性；人类遗传资源的出境与否；剩余人类遗传资源的处理方式；以及研究过程中产生的知识产权的保护方式和法律状态等。
另外，对于有外方参与的涉及人类遗传资源的项目，还要留意参与形式，如果属于“为获得相关药品和医疗器械在我国上市许可，在临床机构利用我国人类遗传资源开展国际合作临床试验、不涉及人类遗传资源材料出境的”情况，则无需审批，在国务院科学技术行政部门备案即可，否则就需要获得国务院科学技术行政部门批准。在上述有外方参与的情况下，起草、审查相关协议时，不仅要着眼于规定双方的责任、义务等常规条款，还要关注与人类遗传资源相关的特殊条款，例如研究过程中产生的数据信息的开放以及专利权归属、重大事项变更等。
综上，医疗健康领域有关人类遗传资源管理和个人信息安全存在诸多的法律风险，只有熟悉相关法律法规的历史沿革、知道法律法规划定的禁区以及掌握更多的实际案例，才能从合规角度进行合理的规避设计和化解风险。