GDPR
GDPR（General Data Protection Regulation，通用数据保护条例）是欧盟于 2018 年 5 月 25 日正式生效的一项具有里程碑意义的隐私法律。它被公认为“史上最严”的数据保护法，旨在赋予欧盟居民对自己个人数据的掌控权。GDPR 具有强大的长臂管辖权 (Extraterritoriality)：无论企业位于何处（例如美国的医疗科技公司或中国的药企），只要其向欧盟居民提供服务或监控其行为，就必须遵守该条例。它引入了“被遗忘权”、72小时违规通报机制，并设定了高达全球年营业额 4% 或 2000 万欧元的巨额罚款。
数据主体的八大权利
GDPR 的核心在于赋权。对于患者或用户而言，最著名的权利包括：
- 被遗忘权 (Right to be Forgotten)： 用户有权要求企业永久删除其个人数据（如果数据对于最初的目的已不再必要）。这对于长期保存病历的医疗研究提出了巨大挑战。
- 数据可携带权 (Right to Data Portability)： 用户有权获取自己的数据副本（通常是机器可读的格式，如 CSV 或 XML），并将其转移到另一家服务商。
- 知情同意权 (Explicit Consent)： 同意必须是自由给予的、具体的、知情的和明确的。默认勾选（Opt-out）的复选框在 GDPR 下是违法的。
终极对比：GDPR vs HIPAA
许多医学从业者常混淆这两者。简而言之，HIPAA 是行业法（只管医疗），GDPR 是综合法（管一切）。
| 比较维度 | HIPAA (美国) | GDPR (欧盟) |
|---|---|---|
| 保护对象 |
仅保护 PHI (医疗信息)。 |
保护所有个人数据 (PII)。 |
| 去标识化 |
标准明确：移除 18 类标识符即可（避风港法）。 |
标准更严：要求数据必须“匿名化”到不可逆的程度。简单的假名化 (Pseudonymization) 仍属于个人数据。 |
| 违规通报 |
60 天内通报。 |
72 小时内通报监管机构。 |
| 适用实体 |
涵盖实体 (CE) 及其商业伙伴 (BA)。 |
任何处理欧盟公民数据的公司（Data Controller & Processor）。 |
对临床研究的影响
GDPR 对生物医药行业是一把双刃剑：
- 同意书的重签： 以前那种“宽泛同意”（Broad Consent，即允许数据用于未来所有研究）在 GDPR 下很难合规。研究者往往需要针对特定的新研究目的重新获取患者同意。
- DPO (数据保护官)： 处理大量敏感健康数据（如基因组数据）的医院和药企，必须依法强制任命一名独立的数据保护官。
- 数据出境限制： 将欧洲患者的临床试验数据传输到美国或中国（被视为数据保护水平“不充分”的国家），需要签署复杂的标准合同条款 (SCCs)。
官方文献与解读 [References]
[1] European Parliament. (2016). Regulation (EU) 2016/679 (General Data Protection Regulation).
[点评]：GDPR 的法律原文，共 99 条。其中第 9 条专门规定了“特殊类别数据”（包括健康数据、基因数据）的处理禁令与豁免条件。
[2] Rumbold JM, et al. (2017). The effect of the General Data Protection Regulation on medical research. Journal of Medical Internet Research.
[点评]：深入探讨了“假名化”数据在科研中的法律地位，以及 GDPR 对回顾性研究造成的障碍。
[3] Cohen IG, Mello MM. (2018). Big Data, Big Tech, and Protecting Patient Privacy. JAMA.
[点评]：对比了美国 HIPAA 在应对大数据时代的不足，以及 GDPR 如何填补科技巨头处理健康数据的监管空白。