2026年药物临床试验数据保密管理规范

2026年药物临床试验数据保密管理规范第一章总则第一条目的为了加强药物临床试验数据保密管理，保护受试者隐私和权益，维护临床试验数据的安全性、完整性和保密性，促进药物临床试验行业的健康发展，根据《中华人民共和国药品管理法》《药物临床试验质量管理规范》等相关法律法规，制定本规范。第二条适用范围本规范适用于在中国境内开展的所有药物临床试验，包括新药临床试验、仿制药临床试验、生物等效性试验等。参与药物临床试验的申办者、临床试验机构、研究者、合同研究组织、数据管理与统计分析机构以及其他相关方，均应当遵守本规范。第三条基本原则药物临床试验数据保密管理应当遵循合法、正当、必要的原则，保护个人信息和数据安全，确保数据的收集、使用、存储和共享符合法律法规和伦理要求。同时，应当采取技术和管理措施，防止数据泄露、篡改和滥用。第二章数据保密管理职责第四条申办者职责申办者是药物临床试验数据保密管理的第一责任人，应当建立健全数据保密管理制度，明确数据保密管理的责任人和职责分工。申办者应当确保临床试验协议中包含数据保密条款，要求临床试验机构、研究者、合同研究组织等相关方严格遵守数据保密规定。申办者应当对数据管理与统计分析机构进行评估和监督，确保其具备相应的数据保密能力。申办者应当在数据出现安全风险时，及时采取措施进行处理，并向相关监管部门报告。第五条临床试验机构职责临床试验机构应当建立数据保密管理制度，对参与临床试验的人员进行数据保密培训。在临床试验过程中，临床试验机构应当采取必要的措施，保证受试者个人信息和试验数据在机构内部的安全，防止数据泄露。临床试验机构应当按照申办者的要求和相关规定，对试验数据进行妥善保存和管理，在数据流转过程中确保其安全性。如发生数据安全事件，临床试验机构应当及时向申办者和相关监管部门报告，并配合调查处理。第六条研究者职责研究者应当严格遵守数据保密规定，不得向无关人员泄露受试者个人信息和试验数据。在使用和记录数据时，研究者要确保数据的准确性和完整性，并采取适当的措施保护数据安全。研究者在临床试验结束后，应当按照规定将数据移交给临床试验机构进行保存和管理。第七条合同研究组织和数据管理与统计分析机构职责合同研究组织和数据管理与统计分析机构在承接药物临床试验相关业务时，应当与申办者签订数据保密协议，明确双方的数据保密责任和义务。这些机构应当建立完善的数据保密制度和安全措施，保障所处理的数据安全。在数据处理和分析过程中，要采取加密、访问控制等技术手段，防止数据泄露和滥用。同时，要定期对数据安全状况进行评估和检查，及时发现和解决潜在的安全问题。第三章数据收集与使用的保密管理第八条知情同意过程中的保密要求在受试者签署知情同意书前，研究者应当向受试者充分说明试验数据的收集、使用和保密情况，包括数据的用途、存储方式、共享范围等。知情同意书应当明确受试者的个人信息和试验数据将受到严格保密，只有经过授权的人员才能访问和使用这些数据。受试者有权在任何时候撤回其知情同意，并且其个人信息和数据应当立即停止使用和妥善处理。第九条数据收集过程中的保密措施在数据收集过程中，应当采用适当的技术和方法，确保数据的准确性和保密性。例如，使用加密技术对电子数据进行传输和存储，对纸质数据进行妥善保管和存放。收集的数据应当进行匿名化或去标识化处理，尽量减少直接可识别个人身份的信息。在必须使用可识别个人身份信息时，应当采取严格的访问控制措施，只有经过授权的人员才能访问这些信息。第十条数据使用的限制与授权数据的使用应当仅限于药物临床试验的目的，不得用于其他任何商业或非相关研究目的。申办者、临床试验机构、研究者等相关方在使用数据前，应当获得明确的授权。授权应当明确数据的使用范围、使用期限和使用方式等。未经授权，不得将数据提供给任何第三方。在数据使用过程中，应当对数据进行严格的审计和监控，确保数据的使用符合规定。第四章数据存储的保密管理第十一条存储设施与环境要求数据存储设施应当具备安全可靠的物理环境，如防火、防水、防盗、防潮等。数据存储设备应当定期进行维护和检查，确保其正常运行和数据的完整性。对于电子数据存储，应当采用稳定的存储系统和备份策略，防止数据丢失和损坏。同时，存储设施应当设置访问控制措施，限制非授权人员进入。第十二条数据加密与访问控制对存储的数据应当进行加密处理，特别是涉及受试者个人敏感信息的数据。加密算法应当符合国家相关标准和要求，确保数据在存储和传输过程中的安全性。同时，应当建立严格的访问控制机制，对数据的访问进行身份验证和授权管理。只有经过授权的人员才能访问和操作数据，并且应当记录访问日志，以便进行审计和追溯。第十三条数据备份与恢复为了防止数据丢失或损坏，应当定期对数据进行备份。备份数据应当存储在不同的物理位置，以确保在发生灾难或事故时能够及时恢复数据。备份数据的存储和管理也应当遵循数据保密的相关规定。同时，应当定期对备份数据进行恢复测试，确保备份数据的可用性。第五章数据共享与传输的保密管理第十四条数据共享的原则与审批数据共享应当遵循合法、正当、必要的原则，并且应当获得受试者的明确同意。在进行数据共享前，应当进行风险评估，确保共享的数据不会对受试者的隐私和权益造成损害。数据共享应当经过严格的审批程序，由申办者、临床试验机构等相关方共同审核和批准。审批过程中应当明确数据共享的目的、范围、方式和保密措施等。第十五条共享协议与保密条款在进行数据共享时，应当与数据接收方签订数据共享协议，明确双方的数据保密责任和义务。共享协议应当包含数据的使用范围、保密期限、保密措施、违约责任等条款。数据接收方应当承诺对共享的数据严格保密，不得将数据泄露给任何第三方，并且不得用于协议约定以外的其他目的。第十六条数据传输的安全保障在数据传输过程中，应当采用安全可靠的传输协议和技术，如加密传输、数字签名等，确保数据的完整性和保密性。对于跨机构、跨国的数据传输，还应当遵守相关国家和地区的法律法规和数据保护要求。同时，应当对数据传输过程进行监控和审计，及时发现和处理异常情况。第六章数据安全事件的应急处理第十七条事件报告与评估一旦发生数据安全事件，如数据泄露、篡改等，相关责任方应当立即向申办者报告。申办者应当及时对事件进行评估，确定事件的性质、范围和可能造成的影响。评估内容包括受影响的受试者数量、数据类型、泄露的信息内容等。同时，申办者应当向相关监管部门报告事件情况，并配合监管部门的调查。第十八条应急处理措施在发生数据安全事件后，应当立即采取应急处理措施，防止事件的进一步扩大。例如，及时锁定受影响的数据系统，停止数据的进一步泄露；对泄露的数据进行追踪和追回；对受影响的受试者进行通知和安抚，并提供必要的保护措施。同时，应当对事件进行调查和分析，找出事件发生的原因和漏洞，采取相应的改进措施，防止类似事件的再次发生。第十九条后续跟进与整改数据安全事件处理结束后，相关责任方应当对事件进行总结和反思，对数据保密管理制度和措施进行全面审查和评估。根据评估结果，制定并实施整改措施，加强数据保密管理工作。同时，应当定期对整改情况进行检查和评估，确保整改措施得到有效落实。第七章监督管理与法律责任第二十条监管部门职责药品监督管理部门和相关监管机构应当加强对药物临床试验数据保密管理工作的监督检查。监管部门有权对申办者、临床试验机构、合同研究组织等相关方的数据保密管理制度和措施进行检查，查阅相关文件和记录，对发现的问题责令限期整改。对于违反数据保密规定的行为，监管部门应当依法进行处罚。第二十一条违规处罚措施对于违反本规范的申办者、临床试验机构、研究者、合同研究组织等相关方，监管部门可以根据情节轻重，采取警告、罚款、责令停产停业整顿、吊销相关许可证等处罚措施。对于构成犯罪的，依法追究刑事责