ARTICLES
专业文章
药企在药品研发环节与CXO的互动及合规要点（上）
药企在药品研发环节与CXO的互动及合规要点（上）
引言
一、关于技术权利归属和知识产权保护
药企在药物的研发阶段若是选择和CXO类公司进行合作，那么CXO类公司极有可能会接触到药企或一些其他的研发机构，比如一些中国的高校或者研究院所，进而会接触到他们的核心专利信息，甚至商业秘密等等。基于这个阶段两者合作的天然属性，这种接触几乎是不可避免的。那么在这个过程中会产生两大块的问题。
常见问题1：技术权利归属于哪一方？
技术权利归属是什么意思呢？因为研发阶段处于早期，很多时候药企和国内的高校院所和研发机构也会委托CXO类的公司做一些研发类的服务。在早期研发阶段，因为一些中小药企或者科研院所条件有限，没有办法自己独立完成一些试验，所以会委托CXO类公司做一些如毒理性的测试、安全性的测试等等的服务。那么在这个过程中 ，CXO类公司如果很早就接触到药品的靶点信息或者分子结构，随着合作时间增长、介入程度加深，那么后期一旦出了科技成果就很有可能会涉及到关于技术权利归属的问题。
合规要点：
第一，需要明确项目的性质，比如是合作研发还是委托研发，并且在合同中对整个服务中技术权利归属作出一个明确的约定。当然在实践中较为困难的是如何在研发的过程中界定权利归属，以及如何界定哪些方面属于合作的研发，哪些属于委托研发的部分，这部分在实践中需要结合很多其他的事实因素方能作出比较准确的判断。除了法律方面以外，还需要医学技术方面的探讨和划分，这也是在实践操作中的难点。
第二，如果涉及到国有资产评估的问题，还需要明确评估的方式以及国有资产价格的认定方式。我国现在的一些药企已经开始跟中国的高校或者科研院所合作进行技术的商业转化，或者合作开发一些新型的创新药的技术。那么在这个过程中，这些开发的技术成果很有可能是职务成果，这需要根据实际情况来具体分析问题。但不管怎么说，一旦涉及到这是一个职务成果的情况，或者技术成果的实际权利人是高校或者科研院所，那么在绝大部分的情况下，可能都会涉及到国有资产的问题。国有资产会涉及到评估的问题，以及国有资产评估后，如何去做国有资产的价格认定的问题。实践中，首先需要到高校和科研院所，或是相关的国有机构企业，与他们具体确认是否需要做国有资产的评估。因为不同的高校院所对此的规定是不同的，目前来说，根据近年来的政策与法律导向，各大高校院所以及事业单位有部分自主权来决定在做技术转化的过程中是否需要进行国有资产评估。这点确定之后，还需要对国有资产进行价格认定，认定方式有相关的法律法规的规定，在此不具体展开。
常见问题2：怎么保护双方的专利、版权和商业秘密等知识产权？
因为合作的天然属性问题，CXO类的公司可能会接触到很多的药企、高校院所的核心秘密、商业机密、专利或受版权保护的信息等。在这样的过程中，如何对这些知识产权进行相应的保护？
合规要点：
例如，采用具有编码功能的硬件和软件，把所有的实验数据的材料都做好相应备份，这是一个比较好的方式，因为这样能够去检查这些数据是否都做好了相应的保护。同时药企也需要跟CXO的公司以及所有参与项目的工作人员都签署保密协议和竞业禁止协议，注重人员流动中的知识产权的保护。这个问题对于很多的医药企业，尤其是一些海外回国创业的医药企业尤为重要。商业秘密保护是一个纠纷多发的领域，需要根据具体的实际情况来具体分析问题，但简单来说就是要有比较完备的保密协议和竞业禁止协议，来避免在整个药物研发过程中因为知识产权权利的纠纷导致整个新药研发的进度被拖累的问题。另外，关于商业秘密的问题，我们还建议药企成立一个专职的商业秘密保护团队，负责统筹规划公司商业秘密保护事务，能协同公司的IT部门、HR部门、法务部等等来监督整个公司范围内的商业秘密的保护建设，以及管理要求的执行落地，这与刚刚提到的保密协议和竞业禁止协议都是相互关联的，这两项工作应该同时操作，并且相互印证，才能较好地实现在研发阶段对商业秘密和知识产权进行保护。另外，对于IT部门，我们建议做好数据的留存传输信息的权限划分、工作终端安全设置等工作。
二、关于数据合规和数据跨境传输的问题和合规要点
数据合规的理论在《网络安全法》《数据安全法》和《个人信息保护法》等法律法规以及相关的条例和国家标准出台之后迅速发展，时至今日，整个理论体系可以说已经相当复杂庞大。而在生物医药领域，虽然目前我们还没有看到有药企因为数据不合规、或者数据跨境不满足相关要求而遭到中国行政部门处罚的案例，但是绝大部分业内人士都同意生物医药的数据合规和跨境传输问题必将是一个重监管的领域。
常见问题1：生物医药领域数据合规的重要性在哪里？
在我国新药研发如火如荼的时代，药企与跨国或境外的医药企业合作非常常见，很多创新药企在发展过程中都免不了会去向FDA申请IND或者NDA，因为申报成功意味着可能打开很多国家的大门，能够更加方便药物研发后的销售。举例来说，今年年初，发生了一件在整个医药界具有影响力的事情，我国一家药企就一项肺癌联合疗法向美国肿瘤药物专家委员会（ODAC）提出上市申请，在会议投票中，以14票赞成1票反对，压倒性地支持要求该药企在获批前要补做一个新的临床试验。FDA提出的理由之一是它在临床实验人群的选择、伦理、合规性和临床数据的完整性方面面临质疑。今年5月，和黄医药也有一个关于索凡替尼用于治疗胰腺和非胰腺神经内分泌瘤的新药上市申请，很类似的是，FDA认为和黄医药的索凡替尼在中国三期临床研究和美国的桥接研究的数据不足以支持药品在美国获批，并且在回复中明确表明他们希望能够纳入更多的美国患者人群和国际多中心临床实验的支持，做更多的美国国际多中心临床试验的过程，才能够获得相应的新药的批准。对于新药特别是创新药研发而言，在整个临床试验的过程中，如何使用相应的合规的数据，其实是叩开FDA大门非常重要的因素之一。也因为如此，数据合规在生物医药领域，尤其是创新药研发阶段，不光光是一个预防法律责任的问题，更是一个商业转化的必要保障。
常见问题2：生物医药研发过程中的所有数据如何才能合法合规地跨境传输？
就生物医药研发环节的数据跨境传输而言，更多的是关于个人隐私和一些重要数据的跨境传输，从实操的层面来讲，与《数据安全法》以及《个人信息保护法》有关的信息传输主要包含以下两个场景，一是在做临床试验或者临床前的讨论过程中，往往会邀请一些头部的研究人员或是领域内比较有名的专家来做一些探讨，而在此过程中，势必会用到一些病患的病例，并且也涉及到这些专家或者研究人员自己的个人信息。二是，跨国药企或我国国内的药企和海外的合作的过程中，很多时候会做一些国际多中心的临床试验或桥接的试验，过程中很有可能涉及信息跨境传输。在信息的传输过程中，医学专家或者临床试验受试者个人信息的传输都有可能会触及个人信息的隐私保护和重要数据的传输这两方面的法律问题。
合规要点：
国际通用的一个关于如何把数据做的具有合规性和完整性的原则是ALCOA+原则，即把可归因性、易读性、同时性、原始性、准确性和持久性以及完全性等能够满足这些条件的数据以原则为标准进行记录。这是数据合规最主要的一步。对于数据的重要操作，可以根据形成检查清单，再以自动或者定期检查的方式，来检查是否已经具备了一些前提条件。第三部分是定期确认是否已经完成网信部门组织的安全评估或个人信息的保护认证，或者说在和境外接收方订立标准合同过程中，是否在合同中已经完全涵盖到了上述数据合规和数据跨境传输要求的相关内容。
需要特别说明的是，按照中国目前的《药物临床试验质量管理规范》《临床试验数据的管理工作技术指南》等等，在药物研发阶段的临床试验过程中，对受试者的个人信息，以及申办者、研究者或者CXO类公司本身的姓名、邮件等信息，已经有了不错的保护，例如，对受试者的信息进行代码代替，并且在递交IND或新药上市 FDA的申请过程中，通常也不会直接包括受试者的个人信息的内容。而可能涉及到医学专家、研究者或者CXO类公司员工的个人信息（比如姓名、手机等）总体规模是比较有限的，也比较难以触及《数据出境安全评估办法》里面所提到的传输规模。
三、关于受试者的个人隐私保护
研究者和受试者的隐私保护的核心要点还是和知情同意书有关。在研发的过程中，药企要非常注意在和CXO公司在合作过程中，后者是否具有完备的SOP操作流程以及规范的合同体系，其中关于个人信息的收集、存储或者传输等方面是否作出明确的约定。比如，在收集的目的、收集处理存储的方式和信息转移或者传输方面，是否给予了研究者和受试者非常明确的说明以及范围的确认，并且得到了受试者或其法定监护人自愿签署的知情同意书。
一旦涉及到信息跨境传输的情况，就要考察之前的一些文件中是否已经向个人信息主体告知了境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类以及个人向境外接收方行使中国法律规定的权利的方式和程序等事项。这一点在整个受试者个人信息隐私保护中至关重要。
在实践操作过程中，我们额外建议，在药企内部建立一套自我的评估机制，对涉及到跨境数据传输的过程进行梳理，定期开展风险的自评估，留存书面评估报告。并且，在和境外的信息接收方的合作过程中，合同的约定其实也非常关键，合同中对于接收处理来自中国境内数据的安全保护责任义务要进行非常明确的约定，如此方可从某种程度上稍微降低一些数据跨境传输方面的风险。在公司内部，我们也建议对所有涉及到跨境传输记录的日志或者是传输记录都通过电子的方式留存。我们建议起码留存三年以上，以便追溯，一旦发生潜在的纠纷或者政府的监管行为，也能够有应对的书面材料。
囿于篇幅所限，本文为上篇，继续基于政策导向和实务经验，下篇中，本文将着眼探讨关于研究者和受试者的人类遗传资源管理的合规问题以及在临床试验过程中可能发生的致人损害的侵权责任问题，以期为相关药企提供研发阶段的专业法律建议。
