美国发布关于数据传输的禁限新规：对中国生物医药领域的影响有多少？
2024年12月27日，美国司法部发布了《防止受关注国家获取美国人的大规模敏感个人数据和美国政府相关数据》的最终规则（下称 “新规”），针对包括中国在内的六个国家，禁限六类 “敏感个人信息数据” 和两类 “美国政府相关数据” 的流动交易，除非属于例外情形。新规出台，引发哗然一片，中文自媒体上有的文章冠以 “数据脱钩”为标题，激发读者的紧张情绪。
医学是循证科学，临床试验数据是药物研发和注册申报的基础。新规对于生物医药行业影响有多少，会阻碍多中心、跨地域的临床研究吗？会影响中国创新药的出海热潮吗？
笔者通过仔细阅读新规，包括司法部对新规条款的释例和背景说明洋洋洒洒400多页内容的文件，以及其他相关材料后，得出以下三点结论：
1. 药品（以及器械）在中美两地的研究和报批行为属于新规允许的例外情形，可以继续进行；
2. 创新药出海美国，与大药厂进行知识产权（IP）许可和合作开发，或者与投资基金成立新公司（NewCo），可以继续进行；
3. 与申报注册非密切相关的其他美国个人信息数据，在新规生效后，中国等受关注国家将被禁止或限制取得、使用。
美国司法部发布这项新规，是执行拜登总统于2024年初发布的第14117号行政令的要求。2025年新年伊始，美国新一届国会（第119届）已经于1月3日开幕，特朗普作为新总统将在1月20日宣誓就职。美国司法部赶在拜登任期结束前敲定并发布了数据新规，算是完成了总统行政令交待的任务。
数据新规出台和生效的时间线：
· 2024年2月28日，拜登总统发布第14117号行政令（《防止关注国家获取美国人的大规模敏感个人数据和美国政府相关数据的行政令》），并授权司法部出台具体规则；
· 2024年3月5日，美国司法部发布《预告拟议规则》通知 (ANPRM) ，征求公众意见（ “3月草案” ）；
· 2024年10月21日，司法部发布修改后的《拟议规则》通知 (NPRM) ，进一步征求公众意见（ “10月草案” ）；
· 2024年12月27日，美国司法部发布《最终规则》，生效日是发布之后90天（即2025年3月27日）。发布后270天（即2025年9月23日）是《最终规则》要求的合规义务的生效执行日。
数据禁限新规中的若干定义
六类“敏感个人信息数据”
受流动传输禁限的六类 “敏感个人信息数据”，包括触发禁限红线的阈值数量，如下表所示：
美国人的个人敏感数据类别
大数量的阈值
示例
个人标识符
超过100,000名美国人的
社会安全号码（SSN）、驾照号码、电子邮件地址等
精确地理位置数据
超过1,000台设备的
GPS坐标、IP地址地理定位数据等
生物识别标识符
超过1,000名美国人的
指纹数据、面部识别数据等
人体基因组数据
超过100名美国人的
DNA序列数据、基因突变数据、全基因组测序数据等
个人健康数据
超过10,000名美国人的
医疗记录、健康监测数据（如血压、心率）等
个人财务数据
超过10,000名美国人的
银行账户信息、信用卡交易记录等
两类“政府数据”
与六类 “敏感个人信息数据” 有所不同，两类 “政府数据“ 的禁限传输不设数量阈值限定，严格程度更高。这两类 “政府数据” 如下表所示：
美国政府数据
示例
政府各部门内部管理中产生的数据
政府部门的内部报告、预算文件、行政命令等
政府在社会管理和公共服务中实时产生的数据
交通监控数据、公共卫生数据、应急响应数据等
六个 “受关注国家”
新规直指的六个 “受关注国家” 包括中国（包括香港和澳门）、古巴、伊朗、朝鲜、俄罗斯和委内瑞拉。新规承接14117号总统令的要求，以国家安全为理由，禁限向这些国家传输大数量的敏感个人数据和政府数据。
“被禁止的交易”
新规禁止或限制美国企业（及个人）与中国等“受关注国家”及其人员进行受限数据的交易，除非属于例外情形。换句话说，原则上，“受关注国家” 不可以获取红线阀值数量以上的美国人的敏感个人信息数据，以及任何政府数据。
“交易” 一词在《最终规则》中的英文是 “data brokerage” 。 “brokerage” 的字面含义为“经纪、掮客”，但新规大大拓宽了其含义边界，并举例解释了什么样的交易构成“数据经纪”（data brokerage）。
模拟案例事实简述：注册在某 “受关注国家” 的某公司在美国设立了一家子公司。子公司开发出一款AI聊天机器人（chatbot），其训练数据包含了美国人的敏感个人数据。在回答用户问题（prompt）时，聊天机器人可能会展现或表露出这些训练数据（尽管展现或表露训练数据并非聊天机器人的主要商业用途）。这款聊天机器人可供全球各地的用户订阅使用，包括其母公司。
司法部的分析意见：尽管使用聊天机器人这一行为本身并不必然涉及访问受限的训练数据，但子公司被认定知道（或应该知道）订阅使用可能被用来获取美国人的敏感个人数据。因此，构成了 “数据经纪交易”，被禁止。
以上案例意味着，数据新规对 “经纪交易” 的定义等同于 “有价交换”。只要数据的传输流动伴随着价值支付，就会被认为构成 “数据经纪交易”。
需要澄清的是，新规并不禁止在个人知情同意的情况下，从美国个人这里直接取得其个人信息数据。当然，个人信息的直接收集和利用，在美国受个人健康数据和个人信息保护等法律法规的约束。
例外情况
在高举 “禁止数据交易” 封杀大令的同时，新规也开了一道口子，规定了以下两类作为禁止例外的情形，仍然允许这些交易的发生：一类例外是新规中明示罗列的11类受豁免的交易（exempt transactions），下文中将做具体介绍；另一类例外是美国企业以个别申请的方式，获得美国司法部对交易的特批，取得通用许可证（general license）或特别许可证（special license）。
“被限制的交易”
根据新规，以下三类协议若涉及向“受关注国家”及其人员传输受限数据，只有在满足安全要求 (security requirements) 的前提下，美国人才可以与“受被关注国家”及其人员签约和履约：
1) 服务协议，
2) 劳动雇佣协议，
3) 投资协议。
新规所指的 “安全要求”，依从网络安全和基础设施安全局（CISA）制定的要求，包括：作为交易一方的美国企业（及个人）必须落实网络安全管理政策和实践；受限数据的访问控制；数据最小化；采用加密、假名化和匿名化等保密技术。
禁令的例外：11类受豁免的交易
新规列出11类受豁免、可以在中美之间开展的交易是：
1) 个人通信
2) 信息或信息材料
3) 旅行
4) 美国政府的公务
5) 金融服务
6) 企业集团内的交易
7) 联邦法律或国际协议所要求或授权的、且系遵守联邦法律所必需的交易
8) 受美国外国投资委员会（CFIUS）管控的投资协议
9) 电信服务
10) 药品、生物制品和医疗器械授权
11) 其他临床研究和上市后监测数据
以上第10和第11两项例外，和生物医药领域直接相关，是中美两地大小药厂、生物技术公司、乃至医药生态圈（ecosystem）其他业内人士所关切的。前者的场景如美国药企在如中国办理注册申报，后者如中国的创新药企业出海到美国，向FDA申请临床批件和药品上市。
倘若没有“药品等授权”例外，美国药企将不能在中国等 “受关注国家” 开展注册申报，商业利益和经济利益将大受影响。司法部在发布新规时称，允许 “药品等授权”例外，是顾及到“受关注国家”的当地药品监管部门对药品等安全性和有效性评价的数据需要。同时，新规规定了 “药品等授权” 例外需满足的前提与合规要求，包括：
(1) 数据提交属于申报所必需，
(2) 美国企业需履行记录保存和报告
(3) 数据传输需采用去标志（de-identification）和假名化（pseudonymization）技术处理。
* 去标志和假名化是FDA历来要求的保护敏感个人信息数据的既有做法。It is a long-established
根据新规，药品等在受关注国家申报的需求范围既包括临床试验申请、上市审批或上市后监测与研究的需要；也包括为了注册申报的目的，向 “受关注国家” 的实验室，伦理委员会等提交受限数据。
新规回应了聘请专业注册代理机构的问题：如果“受关注国家”的监管部门要求由当地的机构代理注册事务，新规允许这样的代理安排，但是美国企业作为申报主体仍必须满足合规要求（即前文提到的保存记录和报告的要求，数据的技术处理等）。
关于数据传输是否属于“必需”，新规进一步举例提示豁免的边界：假设美国企业在“被关注国家”进行数据的本地存储或整理，但这些举措并不是药品注册法规所要求的，那么就构成超范围，不符合 “药品等授权” 例外，不被允许。
例外11：其他临床研究和上市后监测数据 (“其他监测”)
例外11和10 是相互对等的安排。例外11项下的 “其他监测”例外，指的是美国药监部门（FDA）要求“受关注国家”的申请企业提交数据，审批其药品等临床试验或上市申请。“其他监测” 例外包含了FDA要求提交的各类申报数据，包括申请临床试验批件或药品上市许可的数据；真实世界的药品有效性或安全性数据；临床试验或护理数据；以及上市后药物警戒和安全监测数据等。
例外10和11：权利是靠发声争取得来的
新规对于生物医药领域网开一面，以例外10和11安排了豁免，但这两项特殊待遇并不是在禁限令发布之初就存在的。2024年初的总统令和司法部随后的“3月草案”均没有将生物医药申报划出。
司法部在对草案征求公众意见的过程中，生物医药届反响声音强烈，表达对于药品等申报受限所带来后果的严重担忧。反对的声音促使司法部在 “10月草案” 版本上做了调整，从而形成了生物医药申报数据的两项例外。
同时值得指出的是，新规（即12月版本的最终规则）在措辞上有所收紧，要求被豁免对待的申报数据必须符合FDA对受试者个人信息保护的要求，采用去标志或假名化技术等措施。
司法部在对新规的解释意见中，介绍了设置生物医药例外的边界和考虑因素：
In its interpretation of the Rule, the Department of Justice explained the boundaries and considerations regarding these exemptions for the biopharma industry:
1. 豁免对待的受限数据必须是申报所必要的，以此为前提，
2. 司法部对FDA有关受试者个人信息数据保护的要求予以肯定，认为基本满足保护美国国家安全的需要，
3. 新规的例外10和例11安排，是综合人道主义需要，及经济、科学利益因素的平衡后的结果。
司法部特别回应了公众意见提出的关于美国从“受关注国家”引进在研药品、开展合作开发的顾虑，包括向“受关注国家”的许可方提供药品不良反应或药物警戒数据的需要（显然，这主要指的是中国创新药出海到美国的场景）。
司法部认为，豁免此类数据的交易传输，已经概括在例外10中，构成注册申请或是维持批准的目的。司法部并且表示，如果判断豁免例外没有明确覆盖的，企业可以基于具体交易，向司法部单独申请许可证。
在新规对受限数据传输整体上作封杀的态势下，司法部的以上解释还是传达出一些积极信号：
第一，FDA的权威得到认可（当然，在特朗普新一届政府执政下，FDA的权威是否将被剧烈挑战，有待观察）；
第二，中美在生物医药领域的基本交流，如药品开发合作，被认为是有必要的，在基本面上与美国的利益并不冲突；
第三，在美国的法治体系下，对法律法规草案提出意见是有价值、有意义的，有机会被重视。这也提示在美的中资的企业，尤其是私企，要学习有理有据地表达自己的看法和观点，用好美国体制内提供的这些沟通渠道。
结语
尽管生物医药申报注册作为一项基本商业需求得到了豁免对待，但是整体上而言，新规设定了相当宽泛的关卡路障，禁止或者限制敏感个人信息数据等向中国等“受关注”国家流动。
为了确保执行力度，新规甚至设置了长臂管辖安排：假设美国企业与某欧盟国家的实体进行数据交易，授权后者访问美国公民的敏感个人数据，该欧盟实体必须在交易合同中承诺不会向受关注国家移转这些数据；若有违反，需及时向美国政府报告。
尽管新规不阻止生物医药申报注册数据的基本需求，但是非注册领域的数据研究已经很困难了。新规禁止美国与“受关注国家”进行人类“组学”（如基因组学等）数据的交易，并禁止人类生物样本交易（倘若可能从生物样本中提取出人类“组学”数据）。
新规的出台，标志着在人工智能时代，美国对中国从产品、技术的出口限制，进一步扩展到数据的出口限制。2025年已经开始，尽管接下来这四年的地缘政治景象大抵不会怎么明朗，不过有两点基本清晰：第一，新规对于注册申报需要的数据流动给予了基本支持，中国创新药出海将继续蓬勃发展；第二，在一个不确定众多的年代，更加需要锻炼定力，沉着镇定来加以应对：路是走出来的。