2022-09-30
醫療健康和生命科學領域法規及監管動態（2022年8月）
作者：
卞昊
孟睿
史津寧 黃芙毓 熊樂
本期醫療健康和生命科學領域法規及監管動態主要就2022年8月藥品和醫療器械、醫療機構、人類遺傳資源領域發布的主要法規政策及監管動態進行簡要介紹。本期看點主要包括：國家市場監督管理總局發布《藥品網絡銷售監督管理辦法》，在《藥品管理法》基礎上，對藥品網絡銷售企業的主體資格、銷售范圍與合規經營以及第三方平臺應具備的條件和合規經營要求等作出了明確規定；國家衛生健康委、國家中醫藥局、國家疾控局發布《醫療衛生機構網絡安全管理辦法》，對醫療衛生機構網絡及數據安全管理的基本原則、管理分工、執行標準、監督及處罰等作出了明確規定。
本期主要內容如下：
第一部分 藥品及醫療器械領域：
1.國家市場監督管理總局發布《藥品網絡銷售監督管理辦法》
第二部分 醫療機構領域：
2.國家衛生健康委、國家中醫藥局、國家疾控局發布《醫療衛生機構網絡安全管理辦法》
第三部分 人類遺傳資源領域：
3.2022年8月科學技術部政務服務平臺持續公布人類遺傳資源采集、國際合作、出境等事項的行政許可/備案情況
1.國家市場監督管理總局發布《藥品網絡銷售監督管理辦法》
? 隨著中國電子商務的發展，藥品網絡銷售在我國已有二十余年的實踐經驗。與之相伴的，是監管機構對于醫藥電商監管政策的不斷探索。2001年開始，《互聯網藥品信息服務管理暫行規定》《互聯網藥品交易服務審批暫行規定》《藥品流通監督管理辦法》等規定先后出臺，對藥品網絡銷售活動的審批、監管等作出了明確要求。但彼時相關政策對于藥品網絡銷售的監管趨于保守，最為典型的是不得通過網絡方式向公眾銷售處方藥。
? 2019年12月，新修訂的《中華人民共和國藥品管理法》出臺，首次在法律層面明確提出對藥品的網絡銷售活動進行規范。2021年4月，國務院辦公廳發布的《關于服務“六穩”“六保”進一步做好“放管服”改革有關工作的意見》明確指出，在確保電子處方來源真實可靠的前提下，一定程度上放開對網絡銷售處方藥的限制。
? 為落實《中華人民共和國藥品管理法》等法律、政策對藥品網絡銷售工作提出的新要求，2022年8月3日，國家市場監督管理總局發布了《藥品網絡銷售監督管理辦法》（“《藥品網售辦法》”），自2022年12月1日起施行。《藥品網售辦法》共六章42條，對藥品網絡銷售企業的主體資格、銷售范圍與合規經營以及第三方平臺應具備的條件和合規經營要求等提出明確規定。《藥品網售辦法》的主要內容包括：
明確藥品網絡銷售企業主體資格、銷售范圍及合規經營要求
√ 在銷售主體方面，《藥品網售辦法》規定，從事藥品網絡銷售的主體需是藥品上市許可持有人或者藥品經營企業。[1]
√ 在藥品銷售范圍方面，對于藥品上市許可持有人而言，僅能銷售其取得藥品注冊證書的藥品；未取得藥品零售資質的，不得向個人銷售藥品。此外，《藥品網售辦法》亦明確了國家實行特殊管理的藥品（包括疫苗、血液制品、麻醉藥品、精神藥品、醫療用毒性藥品、放射性藥品、藥品類易制毒化學品等，具體目錄由國家藥品監督管理局組織制定）不得在網絡上銷售，藥品網絡銷售企業也不得以贈品等方式向個人贈送處方藥、甲類非處方藥。[2]
√ 在處方藥的銷售方面，《藥品網售辦法》明確可以通過網絡向個人銷售處方藥，但需確保處方來源真實、可靠，并實行實名制，且藥品網絡零售企業和承接電子處方的第三方平臺均需與電子處方提供單位[3]簽訂協議。
√ 在合規經營方面，《藥品網售辦法》規定了藥品網絡銷售企業需建立并實施相關制度，包括藥品質量安全管理、風險控制、藥品追溯、儲存配送管理、不良反應報告、投訴舉報處理等制度，在線藥學服務制度（需要配備與藥品網絡銷售企業經營規模相適應數量的有資質的藥師或藥學技術人員開展處方審核調配、指導用藥等）；藥品網絡銷售企業具有報告義務，需按規定向藥品監管部門報告企業名稱、網站名稱、IP地址、藥品生產許可證或者藥品經營許可證等信息；藥品網絡銷售企業有相關信息展示/公示義務，包括在網站或經營活動主頁面持續展示其藥品生產或者經營許可證信息、相關人員資格任職信息等。此外，《藥品網售辦法》亦規定藥品網絡銷售企業負有應急處置和配合召回義務、規定了企業對藥品配送的要求以及藥品銷售記錄的保存等要求。
明確第三方平臺應具備的條件和合規經營要求
√ 第三方平臺應具備的條件。對于第三方平臺應取得的資質，主要規定在《互聯網藥品信息服務管理辦法》[4]和《互聯網信息服務管理辦法》[5]等相關辦法中。在此基礎上，《藥品網售辦法》要求第三方平臺需將企業名稱、法定代表人、統一社會信用代碼、網站名稱以及域名等信息向平臺所在地省級藥品監督管理部門備案。
√ 合規經營方面，《藥品網售辦法》規定，第三方平臺應當建立藥品質量安全管理機構，配備藥學技術人員承擔藥品質量安全管理工作，建立并實施藥品質量安全、藥品信息展示、處方審核、處方藥實名購買、藥品配送、交易記錄保存、不良反應報告、投訴舉報處理等管理制度；第三方平臺亦需在其網站首頁或者從事藥品經營活動的主頁面持續公示營業執照、相關行政許可和備案等信息；第三方平臺應當對申請入駐的藥品網絡銷售企業資質、質量安全保證能力等進行審核，確保入駐的藥品網絡銷售企業符合法定要求；第三方平臺發現入駐的藥品網絡銷售企業存在違法行為的，需要及時制止并立即向所在地縣級藥品監督管理部門報告，存在嚴重違法行為的[6]，還應當立即停止提供網絡交易平臺服務，停止展示藥品相關信息；此外，第三方平臺亦負有應急處置和配合召回義務等。
2.國家衛生健康委、國家中醫藥局、國家疾控局發布《醫療衛生機構網絡安全管理辦法》
? 2022年8月8日，國家衛生健康委、國家中醫藥局、國家疾控局印發了《醫療衛生機構網絡安全管理辦法》（國衛規劃發〔2022〕29號，“《辦法》”），自印發之日起實施。《辦法》是在《網絡安全法》《數據安全法》《個人信息保護法》《關鍵信息基礎設施安全保護條例》《網絡安全審查辦法》以及網絡安全等級保護制度等有關法律法規的基礎上制定的關于醫療衛生機構網絡安全管理的專門法規，旨在加強醫療衛生機構網絡安全管理，進一步促進“互聯網+醫療健康”發展，充分發揮健康醫療大數據作為國家重要基礎性戰略資源的作用。《辦法》明確了各醫療衛生機構網絡及數據安全管理基本原則、管理分工、執行標準、監督及處罰，具體內容如下：
適用范圍
《辦法》共五章三十四條，分為總則、網絡安全管理、數據安全管理、監督管理、管理保障五個大章節，適用于醫療衛生機構運營網絡的安全管理，未納入區域基層衛生信息系統的基層醫療衛生機構參照執行。《辦法》所稱的“數據”涵蓋了醫療衛生機構收集、存儲、傳輸、處理和產生的各種電子數據，包括但不限于各類臨床、科研、管理等業務數據、醫療設備產生的數據、個人信息以及數據衍生物。
網絡安全管理方面的合規義務
（1）網絡安全等級保護：醫療衛生機構應依法依規開展網絡安全等級保護定級、備案工作；同時，應對已定級備案網絡的安全性進行檢測評估：(i) 對新建的網絡，應在規劃和申報階段確定網絡安全保護等級，并報上級主管部門審核同意；（ii）第二級以上網絡應在網絡安全保護等級確定后10個工作日內，由其運營者向公安機關備案，并將備案情況報上級衛生健康行政部門;（iii）新建的網絡上線運行前應進行安全性測試；(iv)第二級的網絡應委托等級保護測評機構，定期開展網絡安全等級測評，其中涉及10萬人以上個人信息的網絡，應至少3年開展1次網絡安全等級測評，其他的網絡至少5年開展1次網絡安全等級測評；(iii) 第三級或第四級的網絡應委托等級保護測評機構，每年至少1次開展網絡安全等級測評。
（2）網絡安全責任部門：有二級及以上網絡的醫療衛生機構應明確負責網絡安全管理工作的職能部門，明確承擔安全主管、安全管理員等職責的崗位。
（3）年度網絡安全情況自查、整改與上報：醫療衛生機構在網絡運營過程中，應每年開展安全自查，認真開展整改加固，并按要求將安全自查整改情況報上級衛生健康行政部門。每年安全自查整改工作包括：(i) 依據上級主管監管機構要求，各醫療衛生機構完成信息資產梳理，摸清本單位網絡定級、備案等情況，形成資產清單，組織安全自查；(ii) 依據上級主管監管機構要求，各醫療衛生機構依據安全自查結果，對發現的問題和隱患進行整改，形成整改報告向有關主管監管機構報備。
數據安全管理方面的合規義務
（1）數據本地化及跨境傳輸：醫療衛生機構應加強數據收集、存儲、傳輸、處理、使用、交換、銷毀全生命周期安全管理工作，數據全生命周期活動應在境內開展，因業務確需向境外提供的，應當按照相關法律法規及有關要求進行安全評估或審核，針對影響或者可能影響國家安全的數據處理活動需提交國家安全審查，防止數據安全事件發生。
（2）人臉識別管理：醫療衛生機構開展人臉識別或人臉辨識時，應同時提供非人臉識別的身份識別方式，人臉識別數據不得用于除身份識別之外的其他目的。醫療衛生機構應采用物理或邏輯隔離方式分別存儲人臉識別和個人身份信息。
（3）數據安全管理常態化：醫療衛生機構應：(i) 建立健全數據安全管理制度、操作規程及技術規范，涉及的管理制度每年至少修訂1次；(ii) 每年對本單位的數據進行數據安全風險評估；（iii）建立完善數據使用申請及批準流程，遵循“誰主管、誰審查”、遵循事前申請及批準、事中監管、事后審核原則，嚴格執行業務管理部門同意、醫療衛生機構領導核準的工作程序，指導數據活動流程合規。
其他特殊要求
（1）應用大數據、人工智能、區塊鏈等新技術開展服務時，上線前應評估新技術的安全風險并進行安全管控。
（2）新建信息化項目的網絡安全預算不低于項目總預算的5%。
違法后果
發生個人信息和數據泄露，或者出現重大網絡安全事件的，按《網絡安全法》《密碼法》《基本醫療衛生與健康促進法》《數據安全法》《個人信息保護法》《關鍵信息基礎設施安全保護條例》以及網絡安全等級保護制度等法律法規處理。
3.2022年8月至2022年9月26日，科學技術部政務服務平臺公布的關于人類遺傳資源采集、國際合作、出境等事項的行政許可/備案情況如下：
? 2022年8月5日至2022年9月8日，共有88個項目進行人類遺傳資源國際合作臨床試驗項目備案。[7]
? 2022年8月19日至2022年9月5日公布的人類遺傳資源采集、國際合作科學研究[8]、材料出境的行政許可事項顯示：2022年7月18日至2022年8月15日共受理行政許可申請事項627項，同意開展603項，其中采集行政許可165項，國際合作科學研究行政許可448項。審批平均時間16個工作日，最長20個工作日。
? 2022年8月17日至2022年9月19日公布的簡化流程審批[9]結果顯示：2022年8月2日至2022年9月5日共受理符合簡化審批流程申請事項249項，同意開展249項，其中采集行政許可項目54項，國際合作科學研究行政許可項目184項，材料出境行政許可項目11項。審批平均時間9-12個工作日，最長14個工作日。
1.《藥品網售辦法》第七條規定：從事藥品網絡銷售的，應當是具備保證網絡銷售藥品安全能力的藥品上市許可持有人或者藥品經營企業。中藥飲片生產企業銷售其生產的中藥飲片，應當履行藥品上市許可持有人相關義務。
2.《藥品網銷辦法》第八條規定：藥品網絡銷售企業應當按照經過批準的經營方式和經營范圍經營。藥品網絡銷售企業為藥品上市許可持有人的，僅能銷售其取得藥品注冊證書的藥品。未取得藥品零售資質的，不得向個人銷售藥品。疫苗、血液制品、麻醉藥品、精神藥品、醫療用毒性藥品、放射性藥品、藥品類易制毒化學品等國家實行特殊管理的藥品不得在網絡上銷售，具體目錄由國家藥品監督管理局組織制定。藥品網絡零售企業不得違反規定以買藥品贈藥品、買商品贈藥品等方式向個人贈送處方藥、甲類非處方藥。
3.電子處方提供單位的定義、資質及管理要求在現行規則中并未明確，有待監管規則及實踐操作進一步明晰。
4.《互聯網藥品信息服務管理辦法》第五條規定：擬提供互聯網藥品信息服務的網站，應當在向國務院信息產業主管部門或者省級電信管理機構申請辦理經營許可證或者辦理備案手續之前，按照屬地監督管理的原則，向該網站主辦單位所在地省、自治區、直轄市食品藥品監督管理部門提出申請，經審核同意后取得提供互聯網藥品信息服務的資格。
5.《互聯網信息服務管理辦法》第七條規定：從事經營性互聯網信息服務，應當向省、自治區、直轄市電信管理機構或者國務院信息產業主管部門申請辦理互聯網信息服務增值電信業務經營許可證。申請人取得經營許可證后，應當持經營許可證向企業登記機關辦理登記手續。
6.《藥品網售辦法》第二十三條規定：第三方平臺發現下列嚴重違法行為的，應當立即停止提供網絡交易平臺服務，停止展示藥品相關信息：
（一）不具備資質銷售藥品的；
（二）違反本辦法第八條規定銷售國家實行特殊管理的藥品的；
（三）超過藥品經營許可范圍銷售藥品的；
（四）因違法行為被藥品監督管理部門責令停止銷售、吊銷藥品批準證明文件或者吊銷藥品經營許可證的；
（五）其他嚴重違法行為的。
藥品注冊證書被依法撤銷、注銷的，不得展示相關藥品的信息。
7.根據《中華人民共和國人類遺傳資源管理條例》的規定，為獲得相關藥品和醫療器械在我國上市許可，在臨床機構利用我國人類遺傳資源開展國際合作臨床試驗、不涉及人類遺傳資源材料出境的，合作雙方在開展臨床試驗前應當將擬使用的人類遺傳資源種類、數量及其用途向國務院科學技術行政部門備案。
8.根據《中華人民共和國人類遺傳資源管理條例》的規定，利用我國人類遺傳資源開展國際合作科學研究的，應當由合作雙方向國務院科學技術行政部門申請批準。
9.實施簡化審批流程的行政審批項目包括：
（一）人類遺傳資源國際合作科學研究活動變更。在利用我國人類遺傳資源開展國際合作科學研究過程中，合作方、研究目的、研究內容、合作期限等重大事項發生變更的，應當辦理變更審批手續。其中變更內容不涉及人類遺傳資源種類、數量、用途變化的，可以按照簡化流程辦理。
（二）人類遺傳資源材料出境。對于在國際合作審批中已批準出境計劃的人類遺傳資源材料出境申請。
（三）人類遺傳資源采集活動變更。1.變更采集活動參與單位；2.變更開展采集活動單位的名稱；3.延長采集活動期限；4.采集方案變更，但不涉及人類遺傳資源種類、數量、用途的變化的；5.采集方案變更，但變更后的內容不超出已批準的范圍的。
京ICP備05019364號-1 
京公網安備110105011258
