保信观点
保信观点 | 合规视角下，生物科技企业的人类遗传资源管理 ——境内研究篇
发布时间：2022-03-29
1818年，玛丽·雪莱创作的长篇小说《弗兰肯斯坦——现代普罗米修斯的故事》（又名《科学怪人》），描写科学造人的故事，由此开创了科幻文学的先河。二百年来，诸如阿西莫夫的《银河帝国》、刘慈欣的《三体》等不断涌现的文学作品也针对基因编辑这一科技野心作出探讨。好莱坞热映电影《阿凡达》《蜘蛛侠》《美国队长》等，主角们获得的“特异功能”都来自基因科技。随着生物科学技术的迅猛发展，或许，人类有朝一日将熟练掌握基因编辑的技能，甚至掌握针对特定DNA靶向攻击的能力，科幻作品中上演的种种基因纷争将由艺术转变为现实。实际上，深圳在2018年就发生过一起非法实施以生殖为目的的人类胚胎基因编辑和生殖医疗活动的刑事案件。2016年起，某大学原副教授贺某奎与广东省某医疗机构张某礼等人以“通过编辑人类胚胎CCR5基因可以生育免疫艾滋病的婴儿”为名，将安全性、有效性未经严格验证的人类胚胎基因编辑技术用于辅助生殖医疗，以冒名顶替、隐瞒真相的方式致使2人怀孕并先后生下3名基因编辑婴儿。虽然涉案人员已被追究刑事责任，但这起案件引发的“基因编辑婴儿”伦理讨论至今仍不绝于耳。保护中国人的基因安全刻不容缓。为了有效保护和合理利用我国人类遗传资源，维护公众健康、国家安全和社会公共利益，自2019年起，我国先后出台《中华人民共和国人类遗传资源管理条例》《中华人民共和国生物安全法》，保护我国人类遗传资源。本所律师团队服务的深圳某生物科技公司，专门针对遗传学信息作分析及研究。基于为该企业提供法律服务的经验，我们将从境内研究、国际合作、法律责任三方面，谈谈生物科技企业在人类遗传资源方面的合规风险管理。本篇主要针对生物科技企业在境内开展人类遗传资源的采集、保藏行为，结合《个人信息保护法》进行法律分析。人类遗传资源包括人类遗传资源材料和人类遗传资源信息，我国主要对人类遗传资源的采集、保藏、出境、利用、对外提供或开放使用的活动进行管理和监督。采集我国重要遗传家系、特定地区人类遗传资源或者采集国务院科学技术行政部门规定种类、数量的人类遗传资源的，应经过科技部审批，获得行政许可。注：1. 为临床诊疗、采供血服务、查处违法犯罪、兴奋剂检测和殡葬等活动需要，对人类遗传资源进行的采集、保藏，对外提供人类遗传资源材料，利用中国人类遗传资源开展国际合作活动，无需进行审批。2. 2022年3月22日，科技部下发关于公开征求《人类遗传资源管理条例实施细则(征求意见稿)》（下称：《征求意见稿》）意见的通知中，拟将需经行政许可的采集范围调整为：（1）重要遗传家系；（2）特定地区人类遗传资源；（3）用于大规模人群研究3000例以上的采集活动。申请人仅限我国科研机构、高等学校、医疗机构、企业（下称：中方单位），外国组织、个人及其设立或者实际控制的机构（下称：外方单位）不得在我国境内进行采集活动。2021年11月1日，《个人信息保护法》正式施行。人类遗传资源材料产生的数据等信息资料，既属于人类遗传资源信息，也属于个人信息。企业在开展人类遗传资源数据分析时，应做好数据安全与合规管理工作，采取必要措施保障所处理的信息的安全。对此，建议有关企业在“采集阶段”应做足以下三个步骤：在开展人类遗传资源信息采集时，应当事先告知提供者采集目的、采集用途、对健康可能产生的影响、个人隐私保护措施及其享有的自愿参与和随时无条件退出的权利，征得提供者书面同意。若后续对处理目的、处理方式等事项发生变更的，应当重新取得提供者的同意。若采集的属于敏感个人信息的，应当具有特定的目的和充分的必要性，并采取严格保护措施的情形下才可进行。在保藏、存储人类遗传资源信息时，应采取必要措施确保人类遗传资源信息的安全，防止未经授权的访问以及发生泄露、篡改、丢失，例如：（1）制定内部管理制度和操作规程；（2）对人类遗传资源信息实行分级、分类管理；（3）采取相应的加密、去标识化等安全技术措施；（4）合理确定处理的操作权限，并定期对从业人员进行安全教育和培训；（5）妥善进行数据备份；（6）制定并组织实施个人信息安全事件应急预案。未经提供者同意，不得向第三方提供或公开已收集的个人信息。确需向第三方提供企业处理的人类遗传资源信息的，应当向提供者告知接收方的名称或姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得提供者的单独同意。且，接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当重新取得提供者的同意。此外，如由两家或两家以上单位作为共同个人信息处理者，共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务，侵害个人信息权益造成损害的，应当依法承担连带责任。根据科技部于2018年7月12日发布的《行政处罚决定书》（国科罚[2018]1号）显示，阿斯利康投资（中国）有限公司未经许可将已获批项目的剩余样本转运至厦门艾德生物医药科技股份有限公司和昆皓睿诚医药研发（北京）有限公司，开展超出审批范围的科研活动，受到科技部的警告，被没收并销毁违规利用的人类遗传资源材料，被撤销国科遗办审字〔2015〕83号、〔2016〕837号两项行政许可，科技部停止受理其涉及中国人类遗传资源国际合作活动申请，整改验收合格后，再进行受理。
保藏是指将来源合法的人类遗传资源保存在适宜环境条件下，保证其质量和安全，用于未来科学研究的行为，不包括实验室检测后按照法定要求或临床研究方案约定的临时存储行为。保藏我国人类遗传资源、为科学研究提供基础平台的，应经过科技部审批，获得行政许可。（二）保藏申请人仅限中方单位，外方单位不得在我国境内进行保藏活动。根据科技部于2018年7月12日发布的《行政处罚决定书》（国科罚[2018]2号、国科罚〔2018〕3号）显示，厦门艾德生物医药科技股份有限公司未经许可接收阿斯利康投资（中国）有限公司30管样本，拟用于试剂盒研发相关活动，昆皓睿诚医药研发（北京）有限公司未经许可接收阿斯利康投资（中国）有限公司567管样本并保藏，均受到科技部的警告，被没收并销毁违规利用的人类遗传资源材料。另，保藏单位应当对所保藏的人类遗传资源加强管理和监测，采取安全措施，制定应急预案，确保保藏、使用安全，且应当就保藏情况于每年1月31日前向科技部提交年度报告。注：根据科技部于2020年6月16日发布的《中国人类遗传资源管理办公室关于提交保藏年度报告以及国际合作科学研究总结报告的通知》知悉各保藏单位应于每年1月31日前提交上年度报告；而《征求意见稿》拟将年度报告提交的时间确定为每年3月31日前。三、《人类遗传资源管理条例实施细则(征求意见稿)》亮点2022年3月22日，科技部下发关于公开征求《人类遗传资源管理条例实施细则(征求意见稿)》意见的通知，确保各项规定落地落实，进一步提高我国人类遗传资源管理效能。亮点有：整体来说，《征求意见稿》在吸收此前科技部已发布的行政许可和备案服务指南的基础上，对人类遗传资源作进一步的细化监管。我们会继续关注《征求意见稿》的后续进展，待正式施行后作进一步解读，供广大企业参考。下篇我们将从生物科技企业在人类遗传资源的出境、利用方面，继续探讨有关人类遗传资源的国际合作及法律责任。
