与医院合作采集样本，哪些红线不能碰｜人类遗传资源合规与审批
立项会的议题只有一项：下季度启动的多中心样本采集，能不能按时进场。人类遗传资源合规不是法务部门的一句“再等等”，它直接决定项目排期、预算与融资尽调的成败。本文按研发合规负责人最关心的四道红线展开，附带可直接落地的审批与留痕清单。
争议焦点
一、先定性：你手上的样本到底是不是人类遗传资源
结论先行，定性错了，后面全错。《人类遗传资源管理条例》第2条明确，人类遗传资源包括人类遗传资源材料和人类遗传资源信息两类。
材料指的是含有人体基因组、基因等遗传物质的器官、组织、细胞等。信息则是指利用上述材料产生的数据等信息。
很多企业误以为只有“出境”才需要管。其实《人类遗传资源管理条例》第3条把采集、保藏、利用、对外提供四个环节一并纳入，境内活动同样受约束。
血液、组织切片、唾液、尿液，乃至由此产生的测序数据，通常都在范围内。
二、红线一：采集与保藏的审批门槛
并非所有采集都要审批，但门槛比想象中低。《人类遗传资源管理条例》第11条规定，采集我国重要遗传家系、特定地区人类遗传资源，或者采集国务院科学技术行政部门规定种类、数量的，应当符合法定条件并经批准。
保藏的门槛更高。《人类遗传资源管理条例》第14条规定，保藏我国人类遗传资源、为科学研究提供基础平台的，应当经批准。
无论是否需要审批，告知同意都不能省。《人类遗传资源管理条例》第12条要求事先告知采集目的、用途、对健康可能产生的影响、个人隐私保护措施，以及自愿参与和随时无条件退出的权利，并征得书面同意。
三、红线二：外方参与与数据出境的双重要求
外方单位不能单独采集。《人类遗传资源管理条例》第21条规定，外国组织及外国组织、个人设立或者实际控制的机构需要利用我国人类遗传资源开展科学研究的，应当采取与中方单位合作的方式进行。
国际合作需经审批。《人类遗传资源管理条例》第22条要求合作双方共同提出申请。合作方、研究目的、研究内容、合作期限等重大事项变更的，依第23条还应办理变更审批手续。
第24条进一步要求中方单位及其研究人员全过程、实质性参与研究，所有记录和数据信息完全向中方开放并提供备份。结束后6个月内，依第26条须共同提交合作研究情况报告。
材料出境需取得证明（第27条）；信息向境外提供可能影响公众健康、国家安全和社会公共利益的，依第28条应通过安全审查。
四、红线三：个人信息与重要数据的叠加义务
样本背后是人，就绕不开个人信息保护。医疗健康信息、生物识别信息属于敏感个人信息，见《中华人民共和国个人信息保护法》第28条。
处理敏感个人信息应当取得单独同意，见《中华人民共和国个人信息保护法》第29条。向其他处理者提供个人信息，还需履行《中华人民共和国个人信息保护法》第23条的告知与单独同意。
数据层面，《中华人民共和国数据安全法》第21条确立分类分级保护制度与重要数据目录；第30条要求重要数据处理者定期开展风险评估并报送报告；第31条则规范重要数据出境安全管理。
裁判口径与合规要点
人类遗传资源领域的执法，以行政处罚为主，民事与刑事风险并行。处罚力度显著高于一般数据违规。
《人类遗传资源管理条例》第36条、第39条规定了责令停止违法行为、没收违法采集保藏的资源和违法所得，并处罚款；违法所得达到一定数额的，按倍数计罚。第42条对买卖人类遗传资源的行为规定了更重的罚款区间。
第43条还设置了从业禁止：情节严重的，可禁止1至5年内从事相关活动；情节特别严重的，永久禁止。对企业而言，这近乎“出局”。
刑事层面，《中华人民共和国刑法》第225条规定的非法经营罪，以及走私犯罪相关条款，在极端情形下可能被援引。具体定性需结合行为方式与数额判断。
特别提示一处文本差异：《中华人民共和国生物安全法》（2024年4月26日修正）第55条、第56条、第57条对人类遗传资源的采集、保藏、国际合作审批与信息对外提供作出规定，其审批主体表述为国务院卫生健康主管部门；而《人类遗传资源管理条例》（2019年5月28日）第4条、第11条等仍表述为国务院科学技术行政部门。二者的衔接以现行有效文本及主管部门最新公告为准。
另需说明：《人类遗传资源管理条例实施细则》本地法规库未收录，本文只提名称，不引用条号。
伦理审查是硬门槛，不是形式。《人类遗传资源管理条例》第9条要求符合伦理原则并按规定进行伦理审查；未通过伦理审查的项目，审批环节通常无法推进。
实操防控方案
1. 立项前做“资源清单”。逐项列明样本类型、数量、采集地、是否涉及重要遗传家系或特定地区、是否产生信息数据。
2. 先做定性判断，再定审批路径。将项目拆为采集、保藏、利用、对外提供四类动作，分别判断是否触发审批或备案。
3. 核查合作方股权与控制关系。外方设立或实际控制的机构，适用合作模式要求，不能由其单独采集。
4. 伦理审查与审批并行推进。伦理批件是审批材料的重要组成部分，宜在项目启动前完成。
5. 知情同意书单独成文。与医院的合作协议不能替代受试者知情同意；告知事项与退出权须逐项写明并留档。
6. 数据分级分类管理。识别是否可能构成重要数据，落实《中华人民共和国数据安全法》第30条要求的风险评估与报送义务。
7. 建立合作研究全过程记录。中方实质性参与的证据、数据备份记录、变更审批材料，均应留存备查。
8. 结项后6个月内提交合作研究情况报告，避免遗漏这一常被忽视的收尾义务。
律师提示
“先采集、后补批”是本项目最常见的致命操作。人类遗传资源领域的追溯力度较强，事后补正通常难以消除已经发生的违规。
以下情形建议尽早委托律师：合作方含外资成分或存在协议控制安排；样本涉及特定地区或重要遗传家系；研究数据拟提供给境外机构或上传至境外平台；企业正处于融资、上市或并购尽职调查阶段。
执法调查启动后，优先做三件事：固定审批文件与伦理批件，梳理样本流向台账，暂停涉事环节的后续转移与共享。
需要提醒的是，人类遗传资源合规与药品监管、医疗器械临床试验、人类生物样本库管理等规范存在交叉。单看一部条例容易遗漏，需要按项目实际做交叉比对。
结语
与医院合作采集样本，合规的关键不在于“有没有批文”，而在于能否把采集、保藏、利用、对外提供四个环节一一对应到正确的义务上。把清单做在项目前面，进度才不会卡在后面。
免责声明：本文为普法知识分享，仅供参考，不构成任何法律意见。具体法律问题请结合案件实际情况，咨询专业律师。