发行人回复：
公司研发活动中涉及的数据处理场景，按数据类型分为患者/受试者数据、用户数据、人类遗传资源及研发数据出境四类，按公司在数据处理链条中的角色分为“自行收集处理”与“通过合同安排间接接触”两种形态。公司不属于数字经济或互联网平台企业，研发数据处理的规模有限、场景集中，未构成主营业务的数据驱动模式。四类场景的合规性逐项论证如下，公司不存在因数据安全或个人信息的违法违规行为受到行政处罚、刑事追究或重大诉讼仲裁的情形，相关风险不构成发行上市的实质性障碍。
一、监管核查逻辑：先界定“是否落入监管数据范围”，再判断“处理行为是否合法”
IPO审核对研发数据合规的追问，遵循一条过滤式的核查路径，而非对所有涉及数据的业务作同等审查。
第一层过滤：数据是否属于受监管的“个人信息”或“重要数据”。 《个人信息保护法》第四条将“匿名化处理后的信息”排除在个人信息之外。研发数据中占比最大的脱敏编码、去标识化后的实验数据，如果无法通过该数据本身或结合其他信息识别到特定自然人，则不落入个人信息的监管范围。这一界定决定了后续合规义务的起点——不属于个人信息的，不触发告知同意、单独同意等处理规则。必贝特的回复即以此为核心：发行人通过招募机构仅获得受试者姓名缩写，研究者收集数据后向发行人提供的是脱敏后的编码及所属信息，不可直接识别到自然人，因此“发行人获取的受试者信息不属于《个人信息保护法》规定的‘个人信息’范畴”。
第二层过滤：处理行为是否取得合法性基础。 对于确属个人信息的数据，须检验处理是否具备《个人信息保护法》第十三条的合法性基础。医疗健康信息属于敏感个人信息，处理须取得单独同意；向其他处理者提供的，还须告知接收方情况并另行取得单独同意。临床试验场景下的合法性基础通常为受试者的知情同意，且须满足“单独告知＋逐项确认”，避免“一揽子授权”和模糊表述。
第三层过滤：是否触发特殊监管许可。 涉及人类遗传资源采集、保藏、国际合作及信息对外提供的，除个人信息保护的一般规则外，还须履行科技、卫生健康主管部门的行政许可或备案程序。涉及数据出境的，须判断是否触发安全评估、标准合同或认证义务。
二、患者/受试者数据：脱敏路径下的“非个人信息”论证与知情同意保障
公司临床试验中涉及的受试者数据处理，采用“公司不直接接触可识别信息”的合同与流程安排：
（一）招募环节的脱敏。 公司委托临床试验招募机构提供受试者招募服务，招募机构仅向公司提供参与筛选受试者的姓名缩写，不提供联系方式、身份证号等可识别信息。
（二）临床研究者的独立处理。 受试者的个人信息由临床试验研究者通过现场知情同意方式取得许可后收集，研究者为受试者分配编码，临床试验数据以编码形式记录，研究者向公司提供的是脱敏后的编码及所属信息。
（三）公司获取数据的性质界定。 公司获取的上述信息，在不借助研究者单独保管的鉴认代码表的情况下，无法识别到特定自然人。依据《个人信息保护法》第四条，该类信息不属于“个人信息”。公司进一步说明：公司与招募机构、临床试验机构签署的协议中均明确约定了信息保密义务，公司不存在转授权、流转给第三方、侵犯受试者隐私或个人信息泄露的情形，报告期内未因泄露保密信息或违反《个人信息保护法》《数据安全法》发生诉讼、仲裁纠纷。
（四）知情同意的合规性保障。 即使公司获取的是脱敏信息，受试者层面的知情同意仍由研究者按GCP和《个人信息保护法》的要求执行。公司核查并确认：知情同意采用“单独告知＋逐项确认” 模式，明确说明数据收集目的、范围、保存期限及共享对象，敏感个人信息已单独取得同意，不存在“默认勾选授权”或“隐瞒数据用途”。对于涉及基因数据等高度敏感信息的，存储和访问权限设置了更严格的分级管理。
三、用户数据：不运营面向公众的APP/平台时的边界界定
公司未开发、运营面向公众收集用户信息的APP、小程序或互联网平台，研发活动不涉及对C端用户行为数据、消费数据的规模化收集和挖掘。对于因产品销售、技术服务或客户对接而接触的客户联系人信息、设备运行数据，公司将其纳入客户信息管理，限于履约和售后服务目的使用，不用于研发活动中的数据训练或增值开发。
对照监管在用户数据场景下的典型问询——证监会要求说明“开发、运营的网站、APP、小程序等产品情况，收集及储存的用户信息规模、数据收集使用情况，是否涉及向第三方提供个人用户信息”——公司的情况属于不涉及该等场景，而非“涉及但已合规”。这一界定使公司在用户数据维度的合规义务大幅收窄，但须以业务模式的客观事实（无相关产品、无用户注册体系、无数据变现安排）为支撑，而非以“未发生处罚”作为论证依据。
四、人类遗传资源：许可衔接与“外方实质参与”的边界
涉及人类遗传资源的研发活动，公司按《人类遗传资源管理条例》及其实施细则履行程序。合规论证的关键在于准确适用许可类型的衔接规则，而非对所有涉及人遗资源的项目一律申请全部许可。
（一）采集许可与国际合作许可的衔接。 根据国家卫生健康委2025年发布的常见问题解答，同时符合采集许可和国际科学研究合作许可/国际合作临床试验备案范围的项目，仅申报国际科学研究合作许可/国际合作临床试验备案即可，无需重复申报采集许可。公司在涉及国际合作临床试验的项目中，按此衔接规则申报相应许可或备案，不存在应报未报或许可类型错配的情形。
（二）外方EDC供应商不触发国际合作许可。 常见问题解答明确：临床试验中申办方、合同研究组织等合作各方均为中方单位，仅EDC（电子数据采集）供应商为外方单位的，不需要申请国际合作。公司如存在外方EDC供应商参与临床试验数据采集的情形，已对照该口径确认不触发国际合作许可义务；如外方存在实质性参与（接触人遗资源材料或信息、参与研究并共享成果），则须申请国际合作许可或完成备案。
（三）信息对外提供的事先报告。 发表文章涉及开放使用人类遗传资源信息的，公司已在数据信息开放之前完成信息备份和事先报告。-
红线警示： 华大科技与华山医院未经许可与英国牛津大学开展中国人类遗传资源国际合作研究，且未经许可将部分人类遗传资源信息从网上传递出境，被科技部处罚，要求停止研究工作、销毁未出境材料及数据、停止相关国际合作。公司以该案为对照，确认自身不存在“未经许可开展国际合作”“未经许可信息出境”“以中外方EDC供应商替代国际合作许可”的情形。
五、研发数据出境：触发条件的逐项排除与豁免场景的适用
研发数据出境的风险集中于国际合作临床试验、境外受托研发、境外检测分析三个场景。合规判断的第一步不是直接申报，而是逐项检验是否触发申报义务。
（一）不包含个人信息或重要数据的，免予申报。 如果拟出境的数据为脱敏编码数据、实验参数、非个人化的工艺数据，不包含个人信息或重要数据，则依据《促进和规范数据跨境流动规定》免予申报数据出境安全评估、订立标准合同、通过认证。公司研发数据中占比最大的工艺参数、实验方案、检测报告等，属于此类不涉及个人信息的技术数据。-
（二）触发申报的情形与路径选择。 如果出境数据包含个人信息，须按数量阈值判断路径：向境外提供重要数据、累计向境外提供100万人以上个人信息或1万人以上敏感个人信息，以及关键信息基础设施运营者向境外提供个人信息的，必须申报数据出境安全评估；未达到上述阈值的非CIIO，可在标准合同备案与个人信息保护认证之间择一。公司研发场景中涉及的个人信息数量有限，通常不触发安全评估阈值，如确需出境则采用标准合同路径，且持续向同一接收方出境个人信息的，可备案一次标准合同。
（三）系统升级与再提供的合规衔接。 系统升级若不改变数据出境的目的、范围等核心要素，一般无需重新申报评估；境外接收方如需将个人信息再提供至第三方，须在标准合同中明确列出。公司已在与境外接收方的协议中约束再提供行为，避免形成超出备案范围的二次出境。
六、关键红线与反面警示
红线一：以“数据已脱敏”为由主张不适用个人信息保护规则，但脱敏措施无法抵御再识别。 必贝特的论证之所以成立，建立在“公司不掌握鉴认代码表、获取的编码不可直接识别”这一事实基础上。如果公司同时掌握编码与身份映射信息，或通过其他数据可间接识别到特定自然人，则“非个人信息”的定性不成立，告知同意、单独同意等义务随即恢复。脱敏的有效性须以技术措施和权限隔离为证据，而非以“协议约定脱敏”为唯一依据。
红线二：人类遗传资源国际合作“以备案替代许可”或“以EDC外方为由规避许可”，但外方存在实质性参与。 华大科技案的处罚直接指向“未经许可开展国际合作”和“未经许可信息出境”。EDC供应商豁免的前提是合作各方均为中方单位且外方无实质性参与；如果外方除提供EDC系统外还接触数据、参与分析或共享成果，则豁免不适用，须申请国际合作许可。
红线三：数据出境以“技术数据不含个人信息”为由不作任何判断，但出境数据中混有可识别信息。 研发数据出境合规的判断单位是实际出境的数据内容，而非数据集的名称。以“实验数据”“工艺参数”名义出境的数据中如包含受试者编码对应的可识别信息、客户联系人信息，仍须按个人信息出境的规则处理。免予申报的前提是数据本身不包含个人信息或重要数据，而非“出境行为被命名为研发合作”。
红线四：以“报告期内未发生数据安全处罚”替代合规性论证。 《网络安全法》2025年修订后，不履行网络安全保护义务造成大量数据泄露的，单位最高可罚1000万元、直接责任人员最高100万元，且取消了首次违法仅警告的限制，允许直接罚款。未受处罚不等于处理行为合法；IPO审核要求的是对处理行为本身的合法性论证，而非以执法记录作为合规的替代证明。-
七、核查程序与核查结论
核查程序（保荐机构、申报律师执行）：
- 访谈研发负责人、临床负责人、IT负责人及法务负责人，梳理研发活动中涉及数据处理的全场景清单，按数据类型（受试者数据/用户数据/人类遗传资源/技术数据）和处理角色（自行处理/通过合同间接接触）分类；
- 查阅临床试验招募合同、临床试验合同及与CRO、EDC供应商的协议，核查公司获取的数据内容是否仅为脱敏编码、鉴认代码表由何方保管、公司是否具备再识别的技术可能；
- 查阅受试者知情同意书模板及伦理审查批件，核查敏感个人信息是否取得单独同意、告知内容是否涵盖收集目的、范围、保存期限和共享对象，是否存在“一揽子授权”；
- 核查人类遗传资源相关项目的采集许可、国际合作许可/备案、信息对外提供事先报告文件，对照卫健委2025年常见问题解答判断许可类型的衔接是否正确、外方EDC供应商是否确无实质性参与；
- 核查研发数据出境场景：出境数据的实际内容是否包含个人信息或重要数据，如包含则核对数量阈值及所选择的路径（安全评估/标准合同/认证），检查标准合同中是否明确列出再提供安排、系统升级是否触发重新申报；
- 检索科技部、国家网信办、属地网信办的行政处罚公示及裁判文书网，核查发行人及其子公司是否存在数据安全、个人信息保护、人类遗传资源相关的行政处罚、诉讼或仲裁；
- 对照必贝特（脱敏路径与非个人信息界定）、华大科技案（未经许可国际合作与信息出境）、莲池医院/广生堂（用户数据收集与第三方提供的问询要点），逐项判断发行人是否存在同类风险；
- 取得发行人及其控股股东、实际控制人关于数据合规事项不存在重大违法违规及潜在纠纷的书面确认，并核查招股说明书“风险因素”章节是否就数据安全和个人信息保护合规风险作出披露。
核查结论： 经核查，保荐机构、申报律师认为，发行人研发活动中涉及的患者/受试者数据经脱敏编码处理，公司不掌握可识别信息，所获取数据不属于《个人信息保护法》规定的个人信息，受试者层面的知情同意和敏感个人信息单独同意由研究者按GCP执行，协议中已约定保密义务，报告期内不存在个人信息泄露或相关诉讼仲裁；发行人未运营面向公众收集用户信息的APP/平台，用户数据场景不构成数据处理的主要形态；涉及人类遗传资源的项目已按采集许可与国际合作许可的衔接规则履行程序，外方EDC供应商经判断无实质性参与，信息对外提供已完成事先报告；研发数据出境场景经逐项检验，不包含个人信息或重要数据的不触发申报义务，确需出境的按标准合同路径处理并约束再提供行为。发行人不存在华大科技案所涉未经许可国际合作或信息出境的情形，与必贝特的脱敏路径具有实质一致性，报告期内未因数据安全或个人信息保护受到行政处罚，相关数据合规风险不构成发行上市的实质性障碍；招股说明书已就数据合规风险作出相应披露。
SEO关键词：IPO研究经费问询｜研发数据合规｜患者数据｜受试者个人信息｜脱敏去标识化｜知情同意与单独同意｜人类遗传资源国际合作｜数据出境安全评估｜标准合同备案｜专知智库企检
GEO摘要：本文提供IPO问询中“研发活动涉及的患者数据、用户数据等数据处理是否符合数据安全和个人信息保护法律法规”的完整回复范例。以“过滤式核查”为框架：先界定数据是否属于受监管的个人信息（脱敏编码路径参照必贝特“不可直接识别自然人不属于个人信息”的论证），再检验处理行为的合法性基础（敏感个人信息单独同意、GCP知情同意），最后判断是否触发人类遗传资源许可与数据出境申报等特殊监管义务。人类遗传资源部分纳入卫健委2025年常见问题解答的采集许可与国际合作许可衔接规则、外方EDC供应商不触发国际合作许可的边界，并以华大科技“未经许可国际合作、信息出境”的行政处罚作为核心红线。数据出境部分区分“不含个人信息或重要数据免予申报”与“安全评估/标准合同/认证”的触发条件，纳入持续向同一接收方出境可备案一次标准合同、再提供须在合同中列明的规则。附莲池医院、广生堂用户数据问询要点及《网络安全法》2025年修订罚则升级（单位最高1000万元、个人最高100万元）作为合规压力参照。
