临床试验个人信息处理同意书（中国个保法版本）

临床试验个人信息处理同意书（中国个保法版本）一、个人信息处理者基本信息本临床试验个人信息处理者为【XX医院/XX研究中心】（以下简称“我们”），机构地址为【XX省XX市XX区XX路XX号】，个人信息保护责任部门为【XX部】，具体负责临床试验中个人信息处理的合规性监督与受试者权益保障。二、个人信息处理的目的与范围（一）处理目的我们处理您的个人信息，是为开展【XX药物/医疗器械/医疗技术】（以下简称“试验产品”）的临床试验（以下简称“本试验”），具体包括以下必要环节：1.评估您是否符合试验入组标准（如筛选期健康检查、病史核查）；2.记录试验过程中您的健康数据（如生命体征、实验室检测结果、不良反应）；3.分析试验产品的安全性、有效性及适用特征，形成研究报告；4.配合伦理委员会审查、药品监督管理部门监管及学术成果备案（如提交试验数据至国家药品监督管理局药品审评中心）；5.为您提供试验相关医疗随访服务（如定期健康状况询问、异常指标提醒）。（二）处理范围我们仅基于“最小必要”原则收集、使用与本试验直接相关的个人信息，具体包括：1.基本身份信息：姓名、性别、出生日期、身份证件类型及号码（仅用于身份核验）；2.联系方式：手机号码、居住地址（仅用于试验通知及随访）；3.健康相关信息（属于《中华人民共和国个人信息保护法》规定的“敏感个人信息”）：-病史信息：既往疾病史、手术史、过敏史；-检查/检验数据：体格检查结果（如身高、体重）、实验室检测报告（如血常规、肝肾功能）、影像学检查结果（如超声、CT）；-试验期间数据：用药/治疗记录、生命体征监测值（如血压、心率）、不良反应描述及处理记录；4.生物样本信息（如血液、尿液样本）：样本采集时间、类型、数量及对应的检测结果（仅用于与试验相关的生物标志物分析）；5.其他辅助信息：职业（用于评估可能影响试验结果的环境因素）、婚姻状况（仅用于妊娠期风险排查）。三、个人信息处理方式与期限（一）处理方式我们对个人信息的处理方式包括收集、存储、使用、加工、传输、提供、删除等，具体操作如下：-收集：通过纸质病例报告表（CRF）填写、电子数据采集系统（EDC）录入、医疗设备自动传输（如电子血压计）等方式获取；-存储：以加密电子数据形式存储于符合《信息安全技术个人信息安全规范》（GB/T35273-2020）要求的专用服务器，纸质记录存放于带锁档案柜；-使用：仅限参与本试验的研究医生、统计人员及经伦理委员会批准的第三方数据管理机构（如合同研究组织CRO）在授权范围内查阅；-传输：仅在必要时向伦理委员会、药品监督管理部门传输经去标识化处理后的数据（即无法单独或结合其他信息识别您身份的数据）；-删除：在达到存储期限后，通过数据擦除、纸质文件粉碎等方式彻底销毁。（二）存储期限本试验个人信息存储期限为：自您完成试验最后一次随访并签署退出知情同意书之日起，至少保存【XX年】（根据《药物临床试验质量管理规范》（GCP）要求，试验记录保存至试验药物上市后至少五年；若试验未成功，保存至试验终止后至少五年）。法律法规对存储期限有更长要求的，从其规定。四、个人信息的共享、转让与公开（一）共享情形我们仅在以下必要情形下共享您的个人信息，且共享前将要求接收方签署保密协议，明确其保护义务：1.向申办方（即试验产品研发企业）提供去标识化后的汇总数据，用于产品注册申报；2.向伦理委员会提供必要的个体信息（如严重不良事件详情），用于伦理审查与风险监督；3.向合同研究组织（CRO）提供经脱敏处理的电子数据，用于数据管理与统计分析；4.向药品监督管理部门（如国家药品监督管理局）提供原始记录与数据，用于监管核查。（二）转让与公开我们承诺不会主动转让您的个人信息给任何第三方，亦不会公开您的个人信息。如因合并、分立、解散等特殊情形需转让个人信息，我们将提前书面通知您并取得同意；如法律强制要求公开（如司法机关依法调取），我们将在配合前尽可能要求相关方采取保密措施。五、您的个人信息权利根据《中华人民共和国个人信息保护法》，您在本试验期间及存储期限内享有以下权利：（一）查阅、复制权您有权向我们申请查阅、复制您的个人信息处理记录（如CRF填写内容、EDC系统数据）。申请方式：填写《个人信息查阅/复制申请表》（可向研究护士领取），我们将在15个工作日内通过纸质文件或加密电子链接向您提供。（二）更正、补充权如您发现个人信息存在错误（如检查结果录入错误）或遗漏（如未记录某段病史），可向我们提交书面更正/补充申请（附相关证明材料），我们将在10个工作日内核实并完成修正。（三）删除权在以下情形中，您可向我们申请删除个人信息：1.我们处理个人信息的目的已实现或无法实现；2.您撤回同意且不存在法律、行政法规规定的例外情形；3.我们违反法律、行政法规或与您的约定处理个人信息。我们将在收到申请后20个工作日内完成删除，若因试验数据归档或监管要求无法立即删除，将向您说明理由并明确后续处理计划。（四）限制处理权您可要求我们限制处理个人信息（如仅存储不分析），但需书面说明理由。限制处理期间，可能影响试验数据的完整性，进而影响您继续参与试验的资格，我们将提前向您告知风险。（五）撤回同意权您有权随时撤回对个人信息处理的同意（需签署《撤回个人信息处理同意书》）。撤回后，我们将停止基于该同意的个人信息处理活动（如停止收集新数据），但已处理的信息仍可能用于完成已启动的必要操作（如分析已收集的安全性数据）。若撤回同意导致您无法继续符合试验方案要求，您可能需要退出试验，我们将为您提供必要的医疗后续服务（如转介至常规诊疗）。（六）投诉与救济如您认为个人信息权益受到侵害，可向我们的个人信息保护责任部门投诉（联系方式见第十条），我们将在30个工作日内反馈处理结果；若对处理结果不满，您还可向履行个人信息保护职责的部门（如所在地省级网信部门）投诉或依法提起诉讼。六、敏感个人信息的特别说明您的健康相关信息、生物样本信息属于敏感个人信息，我们处理此类信息的必要性在于：-健康信息是评估试验产品安全性、有效性的核心依据，缺乏相关数据将无法完成试验；-生物样本信息用于分析试验产品在体内的代谢特征，是验证试验假设的关键环节。我们承诺仅在最小范围内处理敏感个人信息（如仅收集与试验终点相关的实验室指标），并采取以下强化保护措施：-敏感信息存储于独立加密数据库，访问权限仅限主要研究者及授权统计人员；-纸质敏感信息标注“保密”字样，非试验组成员不得查阅；-传输敏感信息时使用虚拟专用网络（VPN），并对传输内容进行哈希加密。七、个人信息安全保障措施我们高度重视个人信息安全，已建立符合国家标准的安全管理体系，具体措施包括：（一）技术措施-数据加密：电子数据采用AES-256位加密存储，传输过程使用TLS1.3协议加密；-访问控制：实行最小权限原则，每位工作人员仅能访问与其职责相关的信息（如护士仅能录入数据，无法修改；统计人员仅能查看去标识化数据）；-安全审计：对个人信息处理活动进行日志记录（包括访问时间、操作内容、操作人员），日志保存期限不少于存储期限；-漏洞防护：定期进行网络安全检测（如渗透测试），及时修复系统漏洞。（二）管理措施-人员培训：所有参与试验的工作人员需完成《个人信息保护法》《GCP》及机构内部隐私政策培训，考核合格后方可参与试验；-合同约束：与第三方合作方（如CRO）签订《个人信息保护协议》，明确数据使用范围、保密义务及违约责任；-应急响应：制定《个人信息泄露应急预案》，若发生泄露（如服务器被攻击、纸质文件丢失），将在72小时内通知您并采取补救措施（如更换加密密钥、补发信息安全提醒）。八、未成年人及特殊群体的特别约定若您为未成年人（不满18周岁），我们仅在其法定代理人书面同意的情况下处理个人信息，且将特别注意避免收集与试验无关的信息（如学业成绩）。若您为无民事行为能力或限制民事行为能力人，我们将要求其监护人全程参与信息处理相关决策。九、其他重要事项（一）本同意书未涵盖的个人信息处理活动，我们将另行取得您的单独同意；（二）若试验方案调整导致个人信息处理目的、方式或范围变化，我们将重新向您说明并获取同意；（三）您签署本同意书不视为对试验风险的豁免，若因我们过错导致您个人信息权益受损，您有权依法要求赔偿。十、联系方式如您对本同意书有任何疑问，或需行使个人信息权利，可联系：个人信息保护责任部门：【XX部】联系地址：【XX省XX市XX区XX路XX号XX楼】工作时间：周一至周五8:30-17:30（法定节假日除外）（以下无正文）受试者确认：本人已充分阅读并理解上述内容，自愿同意【XX医院/XX研究中心