CRO数据处罚案对药企BD临床数据出境的影响解读

中伦律师事务所发文分析2026年法国CNIL与意大利个人数据保护局对一家跨国CRO两家子公司的处罚决定，两案均否定其数据“已匿名化”主张。文章指出《个人信息保护法》第73条区分去标识化与匿名化，去标识化信息仍属个人信息，向境外提供需依第38条、第39条办理并取得单独同意，以“数据已匿名化”为由不办理出境手续的做法难以成立。文章建议药企在BD交易前逐类定性数据、核查来源与同意范围。