作者丨葛永彬 董剑平 邵亚光
2026年7月22日，国家互联网信息办公室、公安部联合公布《小型个人信息处理者个人信息保护简化措施规定》（以下简称《规定》），自9月1日起施行[1]。《规定》公布后，“处理不满10万人个人信息即可简化合规”“中小企业个人信息合规松绑”等说法在行业内迅速流传。
就生物医药企业而言，值得关注的是《规定》简化了什么合规保护义务。生物医药企业与一般消费行业的企业处境并不相同：处理的人数往往不多，敏感度却极高；数据链条长、跨境频繁；留存期限由药品监管法规而非商业需要决定。《规定》按人数划线个人信息保护者规模，实质性豁免却按敏感度和必需性设置条件，两条线并不重合。落到具体项目上，需要回答的是这样几个问题：一家临床阶段的企业如何判断自己是否属于小型个人信息处理者，10万人怎么算？简化措施中哪些真正可用，哪些因为处理敏感个人信息而落空？第十条的出境豁免条款，与人类遗传资源管理和既有的数据出境规则如何衔接？两份附表（即个人信息保护合规审计自查表+个人信息保护影响评估表）由谁填、谁签，日后会在什么场合被谁看到？
一、“小型个人信息处理者”如何认定
《规定》第二条第二款将小型个人信息处理者界定为处理不满10万人个人信息的个人信息处理者。条文没有写明统计的时点与期间，也没有像《规定》第十条第（五）项那样限定“自当年1月1日起累计”并排除敏感个人信息。笔者理解，《规定》里的上下条文出现两种表述，本身就提示《规定》第二条的统计口径可能需要另行确定。
可参照的线索是国家互联网信息办公室2026年4月发布的《个人信息保护政策法规问答》：《网络数据安全管理条例》《个人信息保护合规审计管理办法》《数据出境安全评估办法》等规章涉及的个人信息数量，“按照个人信息处理者当前处理个人信息涉及的自然人数量进行统计，统计中不包括已经删除的个人信息”。[2]该问答发布于《规定》定稿之前，列举的规章中不含《规定》，能否当然适用于第二条尚待明确。但若参照适用，对生物医药企业意味着以下几件具体的事。
一是按“当前处理”统计，而非当年新增。临床试验数据的保存期限由GCP和药品注册相关法规决定，试验结束后仍须长期保存，删除既不合规也不可行；药物警戒数据库、长期随访队列同理。人数因此只增不减，随管线推进单向累积。二是去标识化不等于临床试验数据不受《个人信息保护法》及相关制度约束。仅匿名化的信息不再属于个人信息，编码化的受试者数据仍是个人信息（甚至是敏感个人信息），仍应计入。三是链条上的角色定性会直接改变计算结果。申办方、CRO、SMO、研究机构、中心实验室在同一试验中各自是独立处理者还是受托方，实践中长期模糊；若申办方被认定为独立处理者，受试者、研究者与机构人员均需计入。此外，生物医药企业自身员工、HCP、患者援助项目参与者、DTP药房流转数据、真实世界研究对象、上市后患者服务平台用户是否归入同一处理者的处理范围，也需要逐项界定。
商业化之后生物医药企业处理的个人信息数量也会不同。《规定》未安排身份切换的时点、程序与过渡期，也未规定跨越阈值后此前依据简化措施完成的动作是否需要补做。生物医药企业需要结合管线推进到关键性临床或者产品上市阶段进行综合研判。
二、简化措施在生物医药场景中的应用
合规的程序与形式确实被简化了。告知个人信息处理规则可以通过张贴公告、客户端弹窗等方式完成（《规定》第四条）；管理制度与应急预案可以并入组织管理文件（《规定》第十五条）；合规审计可以按附件一自查表自行开展，每五年一次、保存五年（《规定》第十三条）；影响评估可以按附件二填表完成、保存三年（《规定》第十四条）；通过个人信息保护认证的，认证有效期内免予合规审计（《规定》第十七条）。
但实体义务基本没有减少。对照《规定》附件一《小型个人信息处理者个人信息保护合规审计自查表》，24项自查事项涵盖合法性基础、处理规则、告知、共同处理、委托处理、对外提供、自动化决策、公共场所采集、已公开个人信息、敏感个人信息、未成年人、数据出境、删除权、权利响应、内部管理制度、技术措施、教育培训、个人信息保护负责人履职、影响评估、应急预案与处置。这几乎是《个人信息保护合规审计管理办法》所附审计指引的浓缩版，而非删减版。[3] 被简化的是审计主体（自查代替第三方）、频率（五年一次）与载体（填表代替报告）。
对生物医药企业而言，减负最明显的两项恰好用不上。《规定》第六条允许仅通过公开处理规则履行告知义务，前提是所处理的个人信息不含敏感个人信息，且不向其他个人信息处理者提供且不对外公开个人信息，并在个人信息处理规则中明示。临床试验数据往往同时突破这两项条件：临床试验数据可能属于敏感个人信息，且数据可能涉及向CRO、中心实验室、境外申办方流转。第七条的“小型个人信息处理者公开个人信息处理规则并履行告知义务后，个人因获取产品或者服务需要，在充分知情的前提下自愿、主动向或者自愿、主动配合小型个人信息处理者提供获取产品或者服务所必需的个人信息的，小型个人信息处理者即可按照公开的个人信息处理规则处理其个人信息”同样止步于敏感个人信息，生物医药企业仍需取得受试者等个人信息主体的单独同意。
由此引出一个绕不开的问题：知情同意书（ICF）能否视作单独同意？两者分属不同规范体系。ICF围绕受试者的健康风险与研究目的设计，单独同意则要求就特定处理事项作出针对性的意思表示；ICF的版本管理与伦理审查程序，也与个人信息处理规则的变更告知机制并不同步。撤回同意的效果更是如此：受试者退出试验与撤回个人信息处理同意，在法律上不是同一件事，已收集数据能否继续用于安全性分析和注册申报，需要在文本中预先规定。《规定》第七条明确要求为特定目的处理敏感个人信息的需要取得单独同意之后，这个问题更加不能回避。
《规定》第八条的平台豁免在正式稿中亦有收紧，要求平台规则须针对小型处理者的处理活动制定发布处理规则、双方须约定各自权利义务、平台的审计与评估须覆盖该处理者的活动。依托互联网医院或者患者管理小程序开展随访、用药支持的企业，能否据此免于自行审计与评估，取决于平台规则是否真正覆盖了本企业的所有处理活动。
三、第十条：出境豁免的增量与边界
《规定》第十条列举六项免予申报数据出境安全评估、订立个人信息标准合同、通过个人信息保护认证的情形。将其与2024年《促进和规范数据跨境流动规定》第五条对照，真正的增量是《规定》第十条第（四）项——“为履行法定职责或者法定义务，确需向境外提供个人信息的”。这一情形未规定于《促进和规范数据跨境流动规定》第五条，且仅适用于小型个人信息处理者。[4]
对生物医药企业，这一项的解释空间值得关注，也需要谨慎：向境外监管机构报送个案安全性报告、配合境外药政机构核查调阅源数据、按境外上市许可持有人义务传输安全性信息，是否属于“履行法定职责或者法定义务”？此处的法定义务，指中国法上的义务，还是包括境外法项下的义务？目前没有公开的官方解释。
还有两处限制容易被略过。其一，《规定》第十条第二款明确，前款所称向境外提供的个人信息不包括重要数据；人类遗传资源信息在部分地方与行业的重要数据识别实践中属于备选项，一旦被告知或者公布为重要数据，整条通道即不适用。其二，《规定》第十条第三款明确，小型个人信息处理者向境外提供个人信息的，应当按照法律、行政法规的规定履行告知、取得个人单独同意等义务——豁免的是评估、标准合同与认证三条程序路径，不是《个人信息保护法》第三十九条项下的实体义务（即个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意）[5]。
此外，需要补充的是，人类遗传资源管理相关法规项下的义务完全不在《规定》的简化范围内。笔者在此前发布的《中国临床试验数据如何通过FDA合规审查》文章中曾建议，在方案设计阶段就画出样本与数据的流向图，逐段区分人类遗传资源材料、人类遗传资源信息与一般个人信息各自对应审批、备案还是告知义务。《规定》并未改变这一判断，只是在图上多了一个需要先回答的问题：在这条链路的每一段上，本企业究竟以什么身份出现。
四、两份附表：谁填、谁签、谁会看到
两份附表（即个人信息保护合规审计自查表+个人信息保护影响评估表）末尾均设签字栏，并载明“本人已对上述事项进行了合规审计（影响评估），并如实填写……如有不实，承担相应法律责任”。
问题随之而来。小型个人信息处理者可能依法并不需要指定个人信息保护负责人——按照《个人信息保护法》第五十二条与《个人信息保护合规审计管理办法》第十二条以及《关于开展个人信息保护负责人信息报送工作的公告》的有关规定，处理100万人以上个人信息的个人信息处理者，应当向所在地设区的市级网信部门履行个人信息保护负责人信息报送手续。[6]那么谁有资格在附表上签字，签字人与企业之间的责任如何划分，内部授权与支撑材料是否事先安排好？附表另设“不适用”栏，对于自动化决策、公共场所图像采集、未成年人个人信息这类事项，勾选“不适用”是一项事实陈述还是一项法律判断，判断错误时后果由谁承担？
更实际的问题是，这份文件将来会在什么场合被谁看到。《规定》第二十一条规定：网信部门、公安机关和其他履行个人信息保护职责的部门可以采取抽查评估、审计报告等方式对小型个人信息处理者履行个人信息保护义务情况进行监督检查，小型个人信息处理者应当予以配合。发现小型个人信息处理者违法处理个人信息、多次发生个人信息安全事件的，应当依照《个人信息保护法》、《网络数据安全管理条例》等有关法律、行政法规予以处理，依照有关法律、行政法规的规定记入信用档案，并予以公示。信用记录直接关联集中采购、招标投标与上市审核。《规定》第十八条的另一面同样值得注意：应当不予处罚的情形中包含“有证据足以证明没有主观过错的”，举证责任落在企业一侧。填写完整、留痕清晰的自查表与评估表，在这个语境下不只是合规文档，也是免责证据；填得草率的表格，同样是证据。
交易层面的影响会更早显现。《规定》第九条规定，因合并、分立、解散、被宣告破产等原因需要转移个人信息的，小型个人信息处理者应当至少提前30个工作日公开发布规定的告知事项，公开时长不少于30个工作日。在涉及管线数据转移的资产收购中，这直接影响签约至交割的时间安排；股权收购因处理者主体不变则不触发。同一笔交易，结构选择本身就产生不同的合规路径。在license-out、NewCo与融资尽调中，这两份附表也会很快出现在境外一方的核查清单上。
五、简化不等于减负
《规定》确实降低了合规成本，但降低的是履行方式的成本，不是义务本身；《规定》第十八条、第十九条免除或减轻的是处罚责任，而非降低对违法行为的判定标准。对多数处理一般个人信息的中小微企业，这是一份实在的减负文件；对处理敏感个人信息、数据跨境频繁、留存期限由监管法规决定的生物医药企业，它更接近一份需要逐条对照的清单。
根据笔者的实务经验，下述几个环节可能分属生物医药企业的不同部门：人数口径与处理者定性归法务，知情同意书归临床运营与医学，数据出境归注册与IT，附表填报归质量或者合规，交易文件归法务和BD。但从监管检查的角度看，它们是同一件事的不同侧面。个人信息处理规则里没有写清“保存期限”，《个人信息保护合规审计自查表》第二项就填不实；知情同意书里没有单独同意与出境告知条款，《规定》第十条第三款就无法满足；临床试验协议里没有约定资料保存期限，几年后监管抽查时调不出记录。这类问题很难由单一部门发现，也很难在暴露之后补救。
为此，笔者建议，距离9月1日尚有月余。与其等到第一次抽查评估或者第一次跨境传输时再逐条确认，不如先把上述问题在内部过一遍。将合规准备做在前面，一直都是成本最低的良好做法。
[注]
[1] 《小型个人信息处理者个人信息保护简化措施规定》，国家互联网信息办公室、公安部令第25号，2026年7月22日公布，自2026年9月1日起施行。
[2] 国家互联网信息办公室：《个人信息保护政策法规问答（2026年4月）》，https://www.cac.gov.cn/2026-04/29/c_1779200509387274.htm。
[3] 《个人信息保护合规审计管理办法》（2025年5月1日施行）第四条及所附《个人信息保护合规审计指引》。
[4] 《促进和规范数据跨境流动规定》（国家互联网信息办公室，2024年3月22日施行）第五条。
[5] 《中华人民共和国个人信息保护法》第三十九条。
[6] 《中华人民共和国个人信息保护法》第五十二条；《个人信息保护合规审计管理办法》第十二条；国家互联网信息办公室《关于开展个人信息保护负责人信息报送工作的公告》，https://www.cac.gov.cn/2025-07/18/c_1754553420421538.htm。
作者简介
葛永彬 律师
上海办公室 合伙人
业务领域：中国内地资本市场，香港和境外资本市场，合规和调查
行业领域：医疗健康，医药和生命科学
董剑平 律师
上海办公室 合伙人
业务领域：中国内地资本市场，合规和调查，私募股权和投资基金
邵亚光 律师
上海办公室 资本市场部
声明：本文来自中伦视界，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
