郭辰等：药品不良反应报告制度中个人信息处理合规探析
《中华人民共和国个人信息保护法》（下文简称“《个人信息保护法》”）于2021年11月1日开始生效，实施至今已半年多的时间，我国数据安全保护体系与个人信息保护体系仍处于不断建设和完善过程中。作为药物警戒活动中与国民生命安全息息相关的药品不良反应报告制度，其与个人信息保护法规的制度衔接也受到了药品上市许可持有人（MAH）、MAH代理人、药品经营企业的重视与关注，特别是针对境外商事主体作为MAH，收集药品不良反应报告涉及个人信息数据跨境传输的情况。
但至今为止，就各药品上市许可持有人、MAH代理人、药品经营企业而言，收集患者的药品不良反应是否必须经过患者个人同意、是否可以直接依据《个人信息保护法》第十三条第二款的规定进行收集，尤其是收集该类信息后是否能将该类信息直接传输至境外药品上市许可持有人等问题暂时并没有明确的法律规定或解释，药品不良反应报告制度中的个人信息处理合规性问题亟待进一步的挖掘与解答。
一、药品不良反应报告制度的相关法律规定
中国的药品不良反应报告制度，是国家药品监督管理局、卫生部（原）在上个世纪末，就已经通过发布《药品不良反应监测管理办法（试行）》建立，时至今日已运行多年的成熟制度。目前，在2019版《中华人民共和国药品管理法》（以下简称“《药品管理法》”）中明确规定，药品上市许可持有人、药品生产企业、药品经营企业和医疗机构应经常考察生产、经营、使用的药品不良反应，并向药品监督管理部门和卫生健康主管部门进行报告。相较于2015年生效的原《药品管理法》，2019年更新的《药品管理法》进一步规范了药品上市许可持有人对于不良反应监测、报告的法定义务。除了新的《药品管理法》，《国家药品监督管理局关于药品上市许可持有人直接报告不良反应事宜的公告》《上市许可持有人直接报告药品不良反应常见问答》等规定进一步对不良反应报告制度进行了细化规定，简要而言：
（一）药品上市许可持有人应主动收集药品不良反应信息
2019年《药品管理法》生效后，明确自2019年12月1日起，凡持有药品注册证书（药品批准文号、进口药品注册证、医药产品注册证）的企业或者药品研制机构为药品上市许可持有人（MAH），应当严格履行药品上市许可持有人义务，依法对药品研制、生产、使用全过程中药品的安全性、有效性和质量可控性负责。[1]针对药品不良反应，《药品管理法》明确规定：药品上市许可持有人应当依照本法规定，对药品的非临床研究、临床试验、生产经营、上市后研究、不良反应监测及报告与处理等承担责任。
（二）药品经营企业可直接向药品上市许可持有人报告患者的不良反应
根据《国家药品监督管理局关于药品上市许可持有人直接报告不良反应事宜的公告（2018年第66号）》第三条之规定：“医疗机构及个人保持原途径报告不良反应，也可向持有人直接报告。药品经营企业直接向持有人报告。持有人应当全面负责药物警戒活动，并指定药物警戒负责人确保药物警戒体系的持续运行和有效执行。”
（三）境外主体身份的药品上市许可持有人应委托境内代理人监测药品不良反应
国家药品监督管理局《上市许可持有人直接报告药品不良反应常见问答》关于“进口药品持有人如何进行注册”的答复中明确：进口药品持有人应指定中国境内设立的代表机构或指定中国境内的企业法人作为代理人承担药品不良反应监测、评价、风险控制等工作。药品不良反应监测代理人应直接与进口药品境外持有人签订委托代理协议，并在不良反应监测代理人所在地省级药品不良反应监测机构注册。同时，无论是国产药品上市许可持有人抑或进口药品上市许可持有人，其指定的药品不良反应监测负责人应长期居住在中国境内。
此前，在实践中药品经营企业多直接向境内代理人报告药品不良反应，并由境内代理人统一收集、上报、传输至境外药品上市许可持有人，药品上市许可人持有根据临床中出现的不良反应对药品做进一步的研发工作。
但是，药品不良反应的报告制度需要收集患者个人信息，《个人信息保护法》出台后，对于收集此类信息的行为是否属于《个人信息保护法》中需要征得个人同意的情形，将在下一章节进行探讨。
二、药品不良反应报告制度中个人信息处理的合法性基础
（一）药品不良反应报告制度中个人信息的处理由于属于履行法定职责或法定义务，无需征得相对个人同意
针对个例药品不良反应报告而言，一份有效的报告应包括以下四个元素：可识别的患者、可识别的报告者、怀疑药品、不良反应。
“可识别”是指能够确认患者和报告者存在。当患者的下列一项或几项信息可获得时，即可认定患者可识别：姓名或姓名缩写、性别、年龄（或年龄组，如青少年、成年、老年）、出生日期、患者的其他识别代码。提供病例资料的初始报告人或为获得病例资料而联系的相关人员应当是可识别的。对于来自互联网的病例报告，报告者的可识别性取决于是否能够核实患者和报告者的存在，如提供有效的电子邮箱或者其他联系方式。[2]《个人信息保护法》出台后，上述原则中的“可识别”元素进入到了个人信息保护制度所规制的领域。
《个人信息保护法》中，个人信息处理者处理个人信息的原则是经过个人的同意，不经个人同意即可处理是例外。《个人信息保护法》第十三条第二款的例外性规定即为：如该类处理是为了履行法定职责或者法定义务所必需，则处理此类个人信息无需取得个人同意。
我们认为，由于《药品管理法》中明确规定了药物警戒制度以及药品不良反应报告制度，因此收集不良反应信息属于为《个人信息保护法》中第十三条第二款之除外规定，即：由于其实为了履行法定职责或法定义务所必须，因此在处理不良反应报告可识别信息之时无需征得个人同意。[3]
（二）境外主体身份的药品上市许可持有人传输药品不良反应报告所涉个人信息，也无需征得相对个人同意
目前，境外药品上市许可持有人在中华人民共和国境内通过其指定的中国境内设立的代表机构或指定中国境内的企业法人作为代理人承担药品不良反应监测、评价、风险控制等工作。代理人与境外持有人签订委托代理协议，并在省级药品不良反应监测机构进行注册。
当下，《境外药品上市许可持有人境内代理人管理暂行规定》仍处于征求意见稿阶段，代理人与境外药品上市许可持有人之间的权利义务并未有法律明确规定，多依照委托代理协议履行。因此在药品不良反应报告制度的实行中，尤其是针对境内代理人与境外药品上市许可持有人之间就药品不良反应报告进行个人信息数据跨境传输的事宜，存在两种不同的观点：
1. 观点一：代理人向境外药品上市许可持有人报告药品不良反应不属于履行法定职责或义务，尽管代理人收集不良反应信息有明确法律依据，但由于代理人跨境传输给境外药品上市许可持有人依据的是民事委托代理协议、而并非依据明确的法律规定，且国家网信部门亦没有特殊规定，因此，对于此种个人信息跨境传输应当征求个人同意并依据《个人信息保护法》第三十八条进行认证、评估或签署标准合同。
2. 观点二：境外主体身份的药品上市许可持有人有主动收集药品不良反应的法定义务，故代理人向境外药品上市许可持有人报告药品不良反应属于履行法定职责或义务中的重要环节，无需征得个人同意。
本文持第二种观点，主要原因如下：
（1）《药品管理法》下药品上市许可持有人包括境外药品上市许可持有人
《药品管理法》对于境内主体身份的持有人或境外主体身份的持有人的适用并未进行特别区分，只是针对境外主体身份的持有人，要求其指定的境内代理人适用药品上市许可持有人法律责任、并与药品上市许可持有人承担连带责任。[4]
（2） 境内代理人报告境外主体身份的药品上市许可持有人属于“为履行法定职责或者法定义务所必需”
由于境外药品上市许可持有人委托境内代理人为原则，且二者之间承担连带责任，则对于药品不良反应报告制度而言无需将二者分别论述。具体而言，即使“医疗健康”属于《个人信息保护法》中的“敏感信息”，药品经营企业将不良反应报告给境内代理人即视为报告给境外药品上市许可持有人，而在境内代理人将不良反应报告至境外药品上市许可持有人是履行法定职责或法定义务中的重要环节。作为宗旨是保障中国公众用药安全，促进公众健康的药品不良反应报告制度，保障境外主体身份的药品上市许可持有人，同等、全面、及时获知并报告药品不良反应数据是应有之意。
尚处于征求意见阶段的《境外药品上市许可持有人境内代理人管理暂行规定（征求意见稿）》首次明确了境外药品上市许可持有人境内代理人的一般义务，其中，境内代理人应：负责建立药物警戒体系，制定药品上市后风险管理计划，按要求开展对上市后药品不良反应及其他与用药有关有害反应的监测、识别、评估和控制。[5]《国家药品监督管理局关于药品上市许可持有人直接报告不良反应事宜的公告》中，代理人具体承担进口药品不良反应监测、评价、风险控制等工作。持有人及其代理人应当接受药品监督管理部门的监督检查。且，持有人应当配备专职人员做好对受托方的监督和管理等工作，相应法律责任由持有人承担。[6]可见，境内代理人负责具体药物警戒的监测、识别、评估和控制，而持有人依据法定义务需要对于代理人的药物警戒活动进行监督。向境外药品上市许可持有人传输已收集的药品不良反应报告，作为境内代理人具体履行义务的呈现方式，直接向境外药品上市许可人报告、传输符合境外药品上市许可持有人对境内药物警戒活动进行监督的立法思路和理念。
综上所述，《中华人民共和国药品管理法》下药品上市许可持有人包括境外药品上市许可持有人，故境外药品上市许可持有人同样应履行主动收集药品不良反应的义务，因此境内代理人报告境外主体身份的药品上市许可持有人之行为在不良反应报告“药品经营企业——境内代理人——境外药品上市许可持有人”链条中属于“为履行法定职责或者法定义务所必需”的重要环节。
三、药品不良反应报告制度有关于个人信息处理的合规要点
（一）药品不良反应收集、处理个人信息时应告知个人相关事项
由于药品不良反应报告的可识别性要求，报告人或药物警戒负责人需要收集并处理个人身份信息及个人敏感信息，为保护公民的知情权以及生命安全，应当按照《个人信息保护法》[7]之规定准确、完整的告知个人相关事项，此外，《个人信息保护法》还规定，对于可能危及个人生命安全的严重药品不良反应，报告人或药物警戒负责人也可对不良反应信息先予处理，紧急情况消除后再及时告知相关人员。[8]
（二）跨境提供药品不良反应报告属于《个人信息保护法》第三十八条第四款规定，无需进行安全评估、认证或签署标准合同
一般而言，个人信息处理者因业务需要向境外提供个人信息的，需要符合《个人信息保护法》所规定的个人信息出境要求，在国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、或与境外主体签署标准合同后方可进行跨境传输。[9]
然而对于跨境提供药品不良反应报告，本文认为，境内代理人报告境外主体身份的药品上市许可持有人属于《个人信息保护法》第十三条第二款“为履行法定职责或者法定义务所必需”，同时也属于《个人信息保护法》中第三十八条第四款规定的“法律、行政法规或者国家网信部门规定的其他条件”，无需履行安全评估、认证、签署标准合同的义务。药品不良反应报告制度作为《药品管理法》《药品不良反应报告和监测管理办法》等相关法律法规均贯彻落实的法定职责，应认定为属于“法律、行政法规或者国家网信部门规定的其他条件”这一观点同样符合药品不良反应报告制度的设立宗旨，避免因复杂行政审批、商业流程等其他因素导致不良反应报告传输不及时，影响患者或用药人的生命健康安全。
需要注意的是，目前跨境提供药品不良反应报告是否能够依据《个人信息保护法》第三十八条第四款规定，无需进行安全评估、认证或签署标准合同并未见公开可查询的先例，尚缺乏来自监管部门的权威定论，仍待在实际工作中得到进一步明确解读。
四、结语
除《药品管理法》之外，药品不良反应报告制度散见于多部法律法规及国家标准中，在确认该制度的具体实行要求时应当详细参阅所可能涉及的全部规范，由于其涉及个人信息（数据）的特殊性，《个人信息保护法》《中华人民共和国数据安全法》《数据安全出境评估办法》等也需整体作为考量依据。
药品上市许可持有人、代理人、药品经营企业、医院等主体都应注意药品不良反应报告制度中的实质与形式合规，避免因个人信息、敏感数据的不当处理造成个人医疗信息的泄露，为我国医疗卫生安全带来隐患。
[1]《中华人民共和国药品管理法》
第三十条：药品上市许可持有人是指取得药品注册证书的企业或者药品研制机构等。
药品上市许可持有人应当依照本法规定，对药品的非临床研究、临床试验、生产经营、上市后研究、不良反应监测及报告与处理等承担责任。其他从事药品研制、生产、经营、储存、运输、使用等活动的单位和个人依法承担相应责任。
药品上市许可持有人的法定代表人、主要负责人对药品质量全面负责。
[2]《个例药品不良反应收集和报告指导原则》3.1 有效报告
首先应确认是否为有效报告。一份有效的报告应包括以下四个元素（简称四要素）：可识别的患者、可识别的报告者、怀疑药品、不良反应。如果四要素不全，视为无效报告，应补充后再报。
“可识别”是指能够确认患者和报告者存在。当患者的下列一项或几项可获得时，即认为患者可识别：姓名或姓名缩写、性别、年龄（或年龄组，如青少年、成年、老年）、出生日期、患者的其他识别代码。提供病例资料的初始报告人或为获得病例资料而联系的相关人员应当是可识别的。对于来自互联网的病例报告，报告者的可识别性取决于是否能够核实患者和报告者的存在，如提供有效的电子邮箱或者其他联系方式。
[3] 《个人信息保护法》第十三条：符合下列情形之一的，个人信息处理者方可处理个人信息：
（一）取得个人的同意；
（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
（三）为履行法定职责或者法定义务所必需；
（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；
（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；
（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；
（七）法律、行政法规规定的其他情形。
依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
[4]《药品管理法》第三十八条：药品上市许可持有人为境外企业的，应当由其指定的在中国境内的企业法人履行药品上市许可持有人义务，与药品上市许可持有人承担连带责任。
《药品管理法》第一百三十六条：药品上市许可持有人为境外企业的，其指定的在中国境内的企业法人未依照本法规定履行相关义务的，适用本法有关药品上市许可持有人法律责任的规定。
[5]《境外药品上市许可持有人境内代理人管理暂行规定（征求意见稿）》第六条 代理人应当履行下列义务：
（一）负责建立药品质量保证体系，确保其持续具备质量保证能力和风险控制能力；
（二）负责建立并实施药品追溯制度，按照规定提供追溯信息，保证相关上市药品全过程可追溯；
（三）负责建立并实施药品年度报告制度，代表境外持有人每年将境外持有人确认后的相关药品在中国境内的生产销售、上市后研究评价、风险管理等情况按照规定向代理人注册地所在的省级药品监督管理部门报告；
（四）负责建立药品上市后的变更管理制度，并严格按规定办理变更事宜；
（五）承担药品上市后召回、质量投诉处理、质量赔偿等事务，并按规定向代理人注册地所在的省级药品监管部门报告；
（六）负责建立药物警戒体系，制定药品上市后风险管理计划，按要求开展对上市后药品不良反应及其他与用药有关有害反应的监测、识别、评估和控制；
（七）按照相关规定负责向中国食品药品检定研究院提交标准物质，并接受药品监督管理部门组织实施的抽检工作；
（八）负责与境外持有人联络，配合药品监督管理部门开展对境外持有人生产场地的检查、调查和违法违规行为查处。
[6]《国家药品监督管理局关于药品上市许可持有人直接报告不良反应事宜的公告》一、持有人应当建立健全药品不良反应监测体系。持有人是药品安全责任的主体，应当指定药品不良反应监测负责人，设立专门机构，配备专职人员，建立健全相关管理制度，直接报告药品不良反应，持续开展药品风险获益评估，采取有效的风险控制措施。
持有人委托其他公司或者机构开展药品不良反应监测工作，双方应当签订委托协议。持有人应当配备专职人员做好对受托方的监督和管理等工作，相应法律责任由持有人承担。进口药品持有人应当指定在我国境内设立的代表机构或者指定我国境内企业法人作为代理人，具体承担进口药品不良反应监测、评价、风险控制等工作。持有人及其代理人应当接受药品监督管理部门的监督检查。
[7]《个人信息保护法》第十七条：个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：
（一）个人信息处理者的名称或者姓名和联系方式；
（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；
（三）个人行使本法规定权利的方式和程序；
（四）法律、行政法规规定应当告知的其他事项。
前款规定事项发生变更的，应当将变更部分告知个人。
个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。
[8]《个人信息保护法》第十八条：个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条第一款规定的事项。
紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知。
[9]《个人信息保护法》第三十八条：个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：
（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；
（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；
（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；
（四）法律、行政法规或者国家网信部门规定的其他条件。
中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。
个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。
特别声明：
以上内容属于作者个人观点，不代表其所在机构立场，亦不应当被视为出具任何形式的法律意见或建议。
相关知识
药品不良反应275例报告分析
健全药品不良反应制度调研报告
药品不良反应报告和监测管理办法（卫生部令第81号）
239例药物不良反应监测与分析
临床药师如何进行药物不良反应监测和报告
药品不良反应报告和监测是指什么
国家药监局发布《国家药品不良反应监测年度报告（2023年）》
药品不良反应监测方法
重视药品不良反应院内监测
药品不良反应监测方法介绍
网址: 郭辰等：药品不良反应报告制度中个人信息处理合规探析 https://m.trfsz.com/newsview846508.html
