新藥研發(fā)能力作為醫(yī)藥公司的核心競(jìng)爭(zhēng)力，需要醫(yī)院、監(jiān)管機(jī)構(gòu)、受試者多方配合協(xié)力完成。而在新藥研發(fā)過(guò)程中需要進(jìn)行大量的藥物臨床實(shí)驗(yàn)，在實(shí)驗(yàn)過(guò)程中不免需要收集許多個(gè)人醫(yī)療健康數(shù)據(jù)，如何保證醫(yī)藥國(guó)際貿(mào)易中個(gè)人醫(yī)療健康數(shù)據(jù)的合規(guī)，需要從我國(guó)的《個(gè)人信息保護(hù)法》（以下簡(jiǎn)稱(chēng)“《個(gè)保法》”）、《藥物臨床試驗(yàn)質(zhì)量管理規(guī)范》（以下簡(jiǎn)稱(chēng)“GCP”）以及國(guó)際數(shù)據(jù)保護(hù)的法律法規(guī)政策出發(fā)，探求國(guó)際醫(yī)藥貿(mào)易中藥物臨床實(shí)驗(yàn)處理個(gè)人信息的合法性路徑。本文將對(duì)國(guó)際數(shù)據(jù)保護(hù)的相關(guān)政策進(jìn)行梳理和總結(jié)，并結(jié)合我國(guó)GCP、《個(gè)保法》的相關(guān)規(guī)定就臨床試驗(yàn)場(chǎng)景下的醫(yī)療健康信息處理的合法性基礎(chǔ)進(jìn)行探討。

我國(guó)《個(gè)人信息保護(hù)法》明確地將醫(yī)療健康信息規(guī)定為敏感個(gè)人信息，并施加較一般個(gè)人信息更嚴(yán)格的保護(hù) ^[1] 。由于醫(yī)療健康信息的敏感性，一旦被泄露或被非法使用，容易導(dǎo)致個(gè)人的人格尊嚴(yán)或人身、財(cái)產(chǎn)安全受到侵害，所以無(wú)論采用人工抄錄還是采取電子化方式采集處理個(gè)人醫(yī)療健康信息應(yīng)當(dāng)符合國(guó)際國(guó)內(nèi)目前的數(shù)據(jù)安全監(jiān)管政策、個(gè)人信息保護(hù)要及藥物臨床實(shí)驗(yàn)的監(jiān)管要求。

無(wú)論是GCP，還是《個(gè)保法》都強(qiáng)調(diào)“知情”、“同意”的重要性。GCP項(xiàng)下的知情同意，指受試者被告知可影響其做出參加臨床試驗(yàn)決定的各方面情況后，確認(rèn)同意自愿參加臨床試驗(yàn)的過(guò)程 ^[2] 。知情、同意亦是《個(gè)保法》項(xiàng)下個(gè)人信息處理的一般性基礎(chǔ)，即除法定無(wú)需取得同意的情況外，個(gè)人信息處理者應(yīng)當(dāng)取得個(gè)人同意方可處理個(gè)人信息，且同意應(yīng)當(dāng)由個(gè)人在充分知情的前提下自愿、明確作出 ^[3] 。目前，我國(guó)尚無(wú)監(jiān)管細(xì)則或司法裁判就GCP與《個(gè)保法》之間的相互影響，及其各自項(xiàng)下的“知情”、“同意”的關(guān)系進(jìn)行界定。

歐盟數(shù)據(jù)保護(hù)委員會(huì)（European Data Protection Board, 簡(jiǎn)稱(chēng)“EDPB”）曾于2019年1月23日應(yīng)歐盟委員會(huì)健康和食品安全總司要求出具《關(guān)于臨床試驗(yàn)條例與通用數(shù)據(jù)保護(hù)條例之間相互作用的問(wèn)答之3/2019號(hào)意見(jiàn)》 ^[4] （Opinion 3/2019 concerning the Questions and Answers on the interplay between the Clinical Trials Regulation (CTR) and the General Data Protection Regulation (GDPR) [4] ，以下簡(jiǎn)稱(chēng)“EDPB Opinion”），就CTR項(xiàng)下的知情同意與GDPR項(xiàng)下的同意之間的關(guān)系進(jìn)行了厘定，并就臨床試驗(yàn)所涉?zhèn)€人數(shù)據(jù)處理的合法性基礎(chǔ)進(jìn)行了分析。

一、臨床試驗(yàn)項(xiàng)下的知情同意是否等同于《個(gè)保法》意義上的同意？

（一） “知情同意的作出”與“同意的作出”

EDPB認(rèn)為，CTR項(xiàng)下的知情同意不能與GDPR項(xiàng)下的同意相混淆。

CTR旨在遵循《赫爾辛基宣言》項(xiàng)下涉及人的研究的倫理要求。在臨床試驗(yàn)中獲得受試者知情同意是保障《歐盟基本權(quán)利憲章》項(xiàng)下人格尊嚴(yán)和個(gè)人完整權(quán)利的主要措施，EDPB認(rèn)為其并非被設(shè)計(jì)為一項(xiàng)數(shù)據(jù)保護(hù)合規(guī)工具。我國(guó)GCP第3條亦有類(lèi)似規(guī)定：“臨床試驗(yàn)應(yīng)當(dāng)符合《世界醫(yī)學(xué)大會(huì)赫爾辛基宣言》原則及相關(guān)倫理要求，受試者的權(quán)益和安全是考慮的首要因素，優(yōu)先于對(duì)科學(xué)和社會(huì)的獲益。倫理審查與知情同意是保障受試者權(quán)益的重要措施”。

從GDPR的角度而言，GDPR (Recital 32)規(guī)定，同意必須是自愿作出的（freely given）、具體的（specific）、知情的（informed）和明確的（unambiguous）的，如涉及處理健康數(shù)據(jù)（data concerning health，類(lèi)似于我國(guó)《個(gè)保法》下的醫(yī)療健康信息）等特殊類(lèi)型的數(shù)據(jù)時(shí)，還需獲得明示同意（explicit consent）。值得注意的是，根據(jù)GDPR，當(dāng)數(shù)據(jù)主體和控制者之間存在明顯不對(duì)等時(shí)，同意不能成為個(gè)人數(shù)據(jù)處理的有效合法性基礎(chǔ)。

如果一項(xiàng)臨床試驗(yàn)是非干預(yù)性的，即不干涉患者的診療而只是觀察性地收集記錄患者的數(shù)據(jù)，則申辦者/研究者與患者之間不會(huì)被視為存在明顯的不對(duì)等。然而，在干預(yù)性的臨床試驗(yàn)中，因受試者身體健康狀況欠佳等，申辦者/研究者與受試者之間通常會(huì)存在不對(duì)等的情況。對(duì)此，CTR規(guī)定，知情同意應(yīng)自愿作出（given freely），并要求研究者充分考慮潛在受試者是否屬于經(jīng)濟(jì)性或社會(huì)性的弱勢(shì)群體，或者處于組織上或等級(jí)上的依賴(lài)地位，從而可能影響受試者參與臨床試驗(yàn)的決定^[5] 。我國(guó)GCP也規(guī)定了類(lèi)似歐盟CTR的弱勢(shì)受試者保護(hù)機(jī)制，包括：GCP第11(10)條規(guī)定了“弱勢(shì)受試者，指維護(hù)自身意愿和權(quán)利的能力不足或者喪失的受試者，其自愿參加臨床試驗(yàn)的意愿，有可能被試驗(yàn)的預(yù)期獲益或者拒絕參加可能被報(bào)復(fù)而受到不正當(dāng)影響。包括：研究者的學(xué)生和下級(jí)、申辦者的員工、軍人、犯人、無(wú)藥可救疾病的患者、處于危急狀況的患者，入住福利院的人、流浪者、未成年人和無(wú)能力知情同意的人等。”；GCP第12條要求倫理委員會(huì)應(yīng)當(dāng)特別關(guān)注弱勢(shì)受試者，以保護(hù)受試者的權(quán)益和安全。

盡管CTR已要求知情同意應(yīng)自愿作出（given freely），但是EDPB仍認(rèn)為，即便根據(jù)CTR獲得了知情同意，如果受試者與申辦者/研究者之間存在明顯不對(duì)等，CTR項(xiàng)下的知情同意尚不能滿(mǎn)足GDPR意義上“自愿作出（freely given）”的同意的標(biāo)準(zhǔn)，因而不能構(gòu)成GDPR項(xiàng)下處理個(gè)人數(shù)據(jù)的合法性基礎(chǔ)。EDPB Opinion考慮到了臨床試驗(yàn)場(chǎng)景下知情同意背后的倫理規(guī)范與數(shù)據(jù)保護(hù)法設(shè)計(jì)之間的區(qū)別，并特別關(guān)注受試者與申辦者/研究者之間的實(shí)質(zhì)不對(duì)等性，因而否認(rèn)知情同意作為個(gè)人數(shù)據(jù)處理的合法性基礎(chǔ)的邏輯有其合理性，值得借鑒和參考。

我國(guó)GCP第11(11)條^[6] 、第24(13)條^[7] 等亦規(guī)定知情同意應(yīng)是“自愿”的。《個(gè)保法》出臺(tái)后，目前尚無(wú)類(lèi)似EDPB Opinion的監(jiān)管細(xì)則或司法裁判就臨床試驗(yàn)下的知情同意是否滿(mǎn)足《個(gè)保法》下的同意進(jìn)行釋明。實(shí)務(wù)觀點(diǎn)傾向于認(rèn)為，我國(guó)GCP項(xiàng)下的知情同意與《個(gè)保法》項(xiàng)下的知情同意并不等同，GCP作為醫(yī)藥行業(yè)監(jiān)管規(guī)范，《個(gè)保法》作為數(shù)據(jù)保護(hù)法，兩者雖然都有“知情”、“同意”的要求，但其各自的背景和目的并不相同。因此，藥物臨床試驗(yàn)項(xiàng)下的知情同意并不適宜作為個(gè)人信息處理的合法性基礎(chǔ)，在《個(gè)保法》背景下，臨床試驗(yàn)的申辦者/研究者作為醫(yī)療健康信息等敏感個(gè)人信息的處理者有必要重新審視其處理個(gè)人信息的合法性基礎(chǔ)。

（二） “知情同意的撤回”與“同意的撤回”

EDPB認(rèn)為，CTR項(xiàng)下知情同意的撤回與GDPR項(xiàng)下同意的撤回亦有所區(qū)別。

CTR明確規(guī)定，為尊重個(gè)人數(shù)據(jù)保護(hù)權(quán)利，同時(shí)為保障臨床試驗(yàn)數(shù)據(jù)的可靠性（reliability）、穩(wěn)健性（robustness）及受試者的安全，應(yīng)該規(guī)定知情同意的撤回不影響先前已進(jìn)行的臨床試驗(yàn)活動(dòng)，例如基于撤回前已獲得的知情同意而進(jìn)行的數(shù)據(jù)存儲(chǔ)和使用^[8] 。

然而，根據(jù)GDPR第7(3)條、第17(1)(b)條，一般情況下，如果是基于同意進(jìn)行數(shù)據(jù)處理（適用于“僅與研究活動(dòng)相關(guān)的處理活動(dòng)”的情形，詳見(jiàn)下文），數(shù)據(jù)主體有權(quán)隨時(shí)撤回同意；同意一旦被撤回，盡管撤回同意前進(jìn)行的數(shù)據(jù)處理活動(dòng)的效力不受影響，但是，控制者應(yīng)當(dāng)停止后續(xù)數(shù)據(jù)處理活動(dòng)，并在沒(méi)有其他法律依據(jù)就數(shù)據(jù)進(jìn)行留存的情況下把數(shù)據(jù)刪除^[9] 。對(duì)此，我國(guó)《個(gè)保法》亦有類(lèi)似規(guī)定。

從上述CTR和GDPR的規(guī)定可見(jiàn)，兩者在“知情同意的撤回”與“同意的撤回”的內(nèi)涵及外延上存在一定區(qū)別。從藥品監(jiān)管角度而言，出于保障臨床試驗(yàn)質(zhì)量、受試者安全等目的，臨床試驗(yàn)數(shù)據(jù)必須保持其原始性、準(zhǔn)確性、完整性，而不得隨意修改、掩蓋和刪除，我國(guó)GCP亦就臨床試驗(yàn)數(shù)據(jù)質(zhì)量作出嚴(yán)格要求。目前，我國(guó)尚無(wú)監(jiān)管細(xì)則或司法裁判就“知情同意的撤回”與“同意的撤回”之間的關(guān)系進(jìn)行界定，同上文關(guān)于“知情同意的作出”與“同意的作出”的分析，實(shí)務(wù)觀點(diǎn)傾向于認(rèn)為，我國(guó)GCP項(xiàng)下的“知情同意的撤回” 與《個(gè)保法》項(xiàng)下的“同意的撤回”亦不等同。

二、臨床試驗(yàn)所涉?zhèn)€人信息處理的具體合法性基礎(chǔ)

臨床試驗(yàn)，尤其是如果臨床試驗(yàn)場(chǎng)景下的知情同意不構(gòu)成個(gè)人信息/個(gè)人數(shù)據(jù)保護(hù)法意義上的“同意”的合法性基礎(chǔ)，相關(guān)個(gè)人數(shù)據(jù)/個(gè)人信息處理活動(dòng)應(yīng)基于什么合法性基礎(chǔ)進(jìn)行？對(duì)此，EDPB Opinion基于臨床試驗(yàn)場(chǎng)景下數(shù)據(jù)的應(yīng)用階段、處理目的進(jìn)行了區(qū)分。

（一）初始應(yīng)用（Primary Use）

初始應(yīng)用，指根據(jù)臨床試驗(yàn)方案對(duì)受試者個(gè)人健康數(shù)據(jù)進(jìn)行的處理，其過(guò)程涵蓋從試驗(yàn)開(kāi)始，歷經(jīng)試驗(yàn)結(jié)束，直至留存期限屆滿(mǎn)而刪除數(shù)據(jù)的整個(gè)過(guò)程。其又可細(xì)分為兩種類(lèi)型的數(shù)據(jù)處理活動(dòng)：(a)“與可靠性和安全性目的相關(guān)的處理活動(dòng)”（processing operations related to reliability and safety purposes），系指與醫(yī)療保健目的、通過(guò)可靠(reliable)而穩(wěn)健(robust)的臨床試驗(yàn)數(shù)據(jù)達(dá)到藥品質(zhì)量和安全標(biāo)準(zhǔn)目的相關(guān)的處理活動(dòng)；和(b)“僅與研究活動(dòng)相關(guān)的處理活動(dòng)”（processing operations purely related to research activities）。兩種數(shù)據(jù)處理活動(dòng)所依據(jù)的法律基礎(chǔ)不同，具體區(qū)別如下。

1. 與可靠性和安全性目的相關(guān)的處理活動(dòng)

EDPB認(rèn)為，CTR及相關(guān)立法明確規(guī)定的與可靠性和安全性目的相關(guān)的數(shù)據(jù)處理活動(dòng)，可以適用GDPR第6(1)(c)條規(guī)定的“為履行控制者所負(fù)的法定義務(wù)所必需”的合法性基礎(chǔ)。據(jù)此，臨床試驗(yàn)過(guò)程中為安全報(bào)告、監(jiān)管機(jī)構(gòu)檢查、根據(jù)歸檔要求保留臨床試驗(yàn)數(shù)據(jù)等進(jìn)行個(gè)人數(shù)據(jù)處理，可被視為臨床試驗(yàn)申辦者/研究者為履行法定義務(wù)所必須。此外，就特殊類(lèi)型的個(gè)人數(shù)據(jù)處理而言，如健康數(shù)據(jù)，還應(yīng)滿(mǎn)足GDPR第9(2)(i)條規(guī)定的“數(shù)據(jù)處理為實(shí)現(xiàn)在公共健康領(lǐng)域的公共利益所必需，比如[…]為保證醫(yī)療保健、藥品、醫(yī)療器械高標(biāo)準(zhǔn)的質(zhì)量和安全[…]”。

類(lèi)似GDPR，我國(guó)《個(gè)保法》第13(3)條規(guī)定了“為履行法定職責(zé)或者法定義務(wù)所必需”的合法性基礎(chǔ)，視具體臨床試驗(yàn)方案而定，可以考慮作為臨床試驗(yàn)過(guò)程中處理個(gè)人信息的合法性基礎(chǔ)。此外，就醫(yī)療健康信息等敏感個(gè)人信息的處理而言，《個(gè)保法》第28條還要求具有“特定的目的和充分的必要性”，但并未就具體判定標(biāo)準(zhǔn)進(jìn)行展開(kāi)，對(duì)此，實(shí)踐中有必要結(jié)合具體臨床試驗(yàn)方案就處理特定個(gè)人信息的必要性進(jìn)行分析。

2. 僅與研究活動(dòng)相關(guān)的處理活動(dòng)

EDPB認(rèn)為，僅與研究活動(dòng)相關(guān)的處理活動(dòng)，不能依賴(lài)“為履行控制者所負(fù)的法定義務(wù)所必需”作為數(shù)據(jù)處理的合法性基礎(chǔ)，其可適用的合法性基礎(chǔ)包括：

·    GDPR第6(1)(a)條項(xiàng)下的“同意”，以及，如涉及健康數(shù)據(jù)等特殊類(lèi)型數(shù)據(jù)的處理，還應(yīng)滿(mǎn)足GDPR第9(2)(a)條規(guī)定的“明示同意”。 如上文所述，在干預(yù)性的臨床試驗(yàn)場(chǎng)景下，鑒于受試者與申辦者/研究者之間的不對(duì)等，臨床試驗(yàn)項(xiàng)下的知情同意可能無(wú)法滿(mǎn)足GDPR項(xiàng)下“同意”的標(biāo)準(zhǔn)，因而導(dǎo)致“同意”在多數(shù)情況下可能不適宜作為數(shù)據(jù)處理的合法性基礎(chǔ)。

·    此外，較“同意”而言可能更為恰當(dāng)?shù)暮戏ㄐ曰A(chǔ)是：GDPR第6(1)(e)條項(xiàng)下的“為執(zhí)行基于公共利益的任務(wù)所必需”、第6(1)(f)項(xiàng)下的“實(shí)現(xiàn)控制者或第三方的追求的合法利益所必需”，以及，如涉及健康數(shù)據(jù)等特殊類(lèi)型數(shù)據(jù)的處理，還應(yīng)滿(mǎn)足GDPR第9條規(guī)定的禁止處理之例外情形，視具體臨床試驗(yàn)情況而定，包括：GDPR第9(2)(i)條“為實(shí)現(xiàn)公共健康領(lǐng)域的公共利益所必需”、第9(2)(j)條“為公共利益進(jìn)行[…]科學(xué)研究[…]所必需”。具體而言：a. 當(dāng)臨床試驗(yàn)是依法直接基于行政命令、任務(wù)而進(jìn)行，臨床試驗(yàn)過(guò)程中的個(gè)人數(shù)據(jù)處理可被視“為執(zhí)行基于公共利益的任務(wù)所必需”；b. 其他情形下，個(gè)人數(shù)據(jù)的處理可基于“為實(shí)現(xiàn)控制者或第三方的追求的合法利益所必需”，但是數(shù)據(jù)主體（尤其是兒童）享有的個(gè)人數(shù)據(jù)保護(hù)相關(guān)的權(quán)益、基本權(quán)利和自由優(yōu)先于前述合法利益的除外。

類(lèi)似GDPR，我國(guó)《個(gè)保法》第13(4)條、第13(5)條分別規(guī)定了以下個(gè)人信息處理的合法性基礎(chǔ)：“為應(yīng)對(duì)突發(fā)公共衛(wèi)生事件，或者緊急情況下為保護(hù)自然人的生命健康和財(cái)產(chǎn)安全所必需”和“為公共利益實(shí)施新聞報(bào)道、輿論監(jiān)督等行為，在合理的范圍內(nèi)處理個(gè)人信息”，視具體情況而定，亦可考慮作為臨床試驗(yàn)相關(guān)活動(dòng)過(guò)程中處理個(gè)人信息的合法性基礎(chǔ)。比如，在新型冠狀病毒肺炎疫情背景下進(jìn)行的特定個(gè)人信息處理活動(dòng)，可以考慮依賴(lài)“為應(yīng)對(duì)突發(fā)公共衛(wèi)生事件[…]所必需”的合法性基礎(chǔ)。此外，同上文，就醫(yī)療健康信息等敏感個(gè)人信息的處理而言，《個(gè)保法》第28條要求的“特定的目的和充分的必要性”亦需關(guān)注。

（二）二次使用（Secondary Use）

二次使用，是指在臨床試驗(yàn)方案之外，為科研目的使用受試者個(gè)人數(shù)據(jù)。如果申辦者/研究者將臨床試驗(yàn)過(guò)程中獲得的個(gè)人數(shù)據(jù)用于臨床試驗(yàn)方案以外的其他科研目的，應(yīng)當(dāng)具備初始應(yīng)用之外的法定理由，具體的合法性基礎(chǔ)與初始應(yīng)用的合法性基礎(chǔ)可能相同亦或不同。

但是，GDPR第5(1)(b)條規(guī)定，根據(jù)GDPR第89(1)條采取適當(dāng)保障措施的情況下，如果基于公共利益進(jìn)行歸檔，出于科學(xué)、歷史研究或統(tǒng)計(jì)目的，而進(jìn)一步進(jìn)行數(shù)據(jù)處理不視為不符合初始目的（即“相符性推定”，presumption of compatibility）。也就是說(shuō)，該等情況下二次使用臨床試驗(yàn)數(shù)據(jù)無(wú)需滿(mǎn)足新的合法性基礎(chǔ)。同時(shí)，EDPB亦坦陳，鑒于該問(wèn)題的復(fù)雜性，EDPB尚需進(jìn)一步關(guān)注并出臺(tái)指引。我國(guó)《個(gè)保法》下尚未規(guī)定“相符性推定”規(guī)則，二次使用可依賴(lài)的具體合法性基礎(chǔ)應(yīng)當(dāng)作為獨(dú)立的使用場(chǎng)景依法就具體情況進(jìn)行個(gè)案判定。

三、結(jié)語(yǔ)

綜上，臨床試驗(yàn)涉及的個(gè)人信息處理問(wèn)題較為復(fù)雜，臨床試驗(yàn)場(chǎng)景下的知情同意不宜簡(jiǎn)單直接等同于《個(gè)保法》意義上的同意。取決于臨床試驗(yàn)的類(lèi)型、方案等具體情況，臨床試驗(yàn)可依賴(lài)的合法性基礎(chǔ)可能包括“法定義務(wù)”、“公共利益”等，需個(gè)案分析。對(duì)此，作為醫(yī)療健康信息等敏感個(gè)人信息的處理者，申辦者/研究者有必要在開(kāi)展臨床試驗(yàn)前就臨床試驗(yàn)方案涉及的個(gè)人信息處理的合法性基礎(chǔ)進(jìn)行審慎評(píng)估。此外，臨床試驗(yàn)等藥物研發(fā)活動(dòng)中涉及的個(gè)人醫(yī)療健康信息處理活動(dòng)，亦需遵守《個(gè)保法》項(xiàng)下的公開(kāi)透明原則、個(gè)人信息跨境提供規(guī)則、個(gè)人信息主體權(quán)利保障等規(guī)定的規(guī)制。國(guó)際醫(yī)藥貿(mào)易的臨床實(shí)驗(yàn)受制于地點(diǎn)的限制，現(xiàn)在還存在一些企業(yè)利用大數(shù)據(jù)進(jìn)行遠(yuǎn)程監(jiān)查的問(wèn)題，對(duì)于這類(lèi)平臺(tái)采集存儲(chǔ)處理個(gè)人醫(yī)療健康數(shù)據(jù)、或者涉及數(shù)據(jù)出境問(wèn)題的，尚需實(shí)務(wù)與監(jiān)管政策進(jìn)一步明晰。

 

參考資料：

[1] 包括：(a)只有在特定的目的和充分的必要性，并采取嚴(yán)格保護(hù)措施的情形下，才能處理敏感個(gè)人信息；(b)處理敏感個(gè)人信息需取得個(gè)人的單獨(dú)同意（法定需取得書(shū)面同意的從其規(guī)定，比如《人類(lèi)遺傳資源管理?xiàng)l例》規(guī)定采集我國(guó)人類(lèi)遺傳資源，應(yīng)當(dāng)征得人類(lèi)遺傳資源提供者書(shū)面同意）；(c)除應(yīng)當(dāng)向個(gè)人告知的一般事項(xiàng)（個(gè)人信息處理者的名稱(chēng)或姓名、聯(lián)系方式；處理目的、處理方式、處理的個(gè)人信息種類(lèi)、保存期限；個(gè)人行權(quán)的方式和程序；其他法定事項(xiàng)）外，還需額外告知處理敏感個(gè)人信息的必要性以及對(duì)個(gè)人權(quán)益的影響等。

[2] GCP 第11(11)條。

[3] 《個(gè)保法》第13、14條。

[4] 來(lái)源：https://edpb.europa.eu/our-work-tools/our-documents/avis-art-70/opinion-32019-concerning-questions-and-answers-interplay_en.

[5] Recital 31 of CTR: “In order to certify that informed consent is given freely, the investigator should take into account all relevant circumstances which might influence the decision of a potential subject to participate in a clinical trial, in particular whether the potential subject belongs to an economically or socially disadvantaged group or is in a situation of institutional or hierarchical dependency that could inappropriately influence her or his decision to participate”.

[6] 同注釋2。

[7] GCP第24(13)條：知情同意書(shū)和提供給受試者的其他資料應(yīng)當(dāng)包括：[…]受試者參加試驗(yàn)是自愿的，可以拒絕參加或者有權(quán)在試驗(yàn)任何階段隨時(shí)退出試驗(yàn)而不會(huì)遭到歧視或者報(bào)復(fù)，其醫(yī)療待遇與權(quán)益不會(huì)受到影響[…]。

[8] CTR Recital 76: “Directive 95/46/EC [...] Those instruments strengthen personal data protection rights, encompassing the right to access, rectification and withdrawal, as well as specify the situations when restriction on those rights may be imposed. With a view to respecting those rights, while safeguarding the robustness and reliability of data from clinical trials used for scientific purposes and the safety of subjects participating in clinical trials, it is appropriate to provide that, without prejudice to Directive 95/46/EC, the withdrawal of informed consent should not affect the results of activities already carried out, such as the storage and use of data obtained on the basis of informed consent before withdrawal”. Directive 95/46/EC，即歐盟《數(shù)據(jù)保護(hù)指令》(Data Protection Directive)，已被GDPR取代。

[9] GDPR第17(3)條允許特定情況下無(wú)需刪除數(shù)據(jù)，其中包括：(a)為“法定義務(wù)所必需”、“為執(zhí)行基于公共利益的任務(wù)所必需”；(b)根據(jù)GDPR第9(2)(i)條“為實(shí)現(xiàn)公共健康領(lǐng)域的公共利益所必需”；(c)根據(jù)第9(2)(j)條、第89(1)條“為公共利益進(jìn)行[…]科學(xué)研究[…]所必需”而進(jìn)行數(shù)據(jù)處理的，無(wú)需刪除相關(guān)數(shù)據(jù)。