内容解读
临床研究数据不能只分为“公开”和“保密”。医疗健康、遗传、影像、自由文本、密钥和汇总结果的风险不同，需要与实际危害和使用场景相匹配。
在医院IIT临床研究管理中，临床研究数据不能只分为“公开”和“保密”。医疗健康、遗传、影像、自由文本、密钥和汇总结果的风险不同，需要与实际危害和使用场景相匹配。 这不仅影响单个项目的执行效率，也决定机构能否把分散数据转化为可信、合规、可持续运营的研究能力。
问题不在表面
一些项目把所有文件统一标为最高等级，导致合法研究也难以访问；另一些项目只给文件夹加“机密”标签，却不改变权限、传输、日志和备份措施。分类分级停留在清单上，没有转化为差异化控制。
本讲核心结论
医院应依适用法律、行业要求和自身风险模型，先按内容与用途分类，再根据数据被篡改、破坏、泄露、非法获取或利用可能造成的影响分级。医疗健康信息通常涉及敏感个人信息保护，但具体控制还需结合是否可识别、数据规模、精细度、组合风险、研究阶段及跨机构流动进行判断。
问题为什么发生
第一，数据敏感性会随组合、规模和外部可链接信息改变。第二，原始数据、编码数据、密钥、分析数据和公开结果需要不同控制。第三，分级只有与访问、加密、审批、监测、共享和销毁规则绑定，才能实际降低风险。
某项目把研究编号数据视为已匿名，允许通过普通邮件共享，但编号对应表保存在同一团队的共享盘中；数据还包含精确日期和罕见病诊断。单个字段看似不直接识别，组合后却具有较高重识别风险。
四步改进路径
更可执行的改进路径可以分为四步。第1，建立适用于研究数据的数据分类目录和分级判定标准；第2，结合可识别性、敏感性、规模、精度、组合与使用场景评估等级；第3，将等级映射到访问、存储、传输、日志、共享和销毁控制；第4，在数据汇聚、去标识化、对外提供和用途变更时重新评估。核心是让医院的治理要求进入真实项目流程，并通过系统控制、责任记录和运行指标持续证明其有效性。
CHINA REGULATORY CALIBRATION
中国法规校准
适用口径：研究数据分类分级至少要同时考虑一般数据、个人信息、敏感个人信息、可能被识别为重要数据的数据以及人类遗传资源材料/信息。医疗健康和基因信息通常属于敏感个人信息；重要数据应依据国家和行业、地区目录识别，不能由项目团队仅凭经验自行宣布“不是重要数据”。分类结果应关联访问、传输、备份、共享、出境和事件响应控制。
法规基准日：2026年8月4日。具体项目仍须结合研究类型及本机构要求确认。项目自查清单
判断提示：若其中两项以上无法明确回答，说明项目或机构仍存在需要优先处理的数据治理风险。
- ✓数据分类是否分别识别个人信息、敏感个人信息、重要数据和人遗材料/信息？已满足 / 待改进
- ✓医疗健康、基因及未成年人信息是否落实更严格保护，而非仅按内部机密处理？已满足 / 待改进
- ✓重要数据判断是否依据适用目录及主管要求，并保留判断依据？已满足 / 待改进
- ✓分类结果是否与访问、传输、共享、出境、备份和事件响应控制联动？已满足 / 待改进
NEED SUPPORT?
把这份清单用于您的真实项目
我们可协助完成方案数据审阅、CRF设计、EDC建库、质量管理与数据资产沉淀。
预约项目诊断 →