中国临床数据共享协议，可以用 DocuSign 签吗？

如果你的药企、生物科技公司或 CRO 团队在中国设有临床试验中心，迟早会有人提出这个问题：数据共享协议能不能直接走 DocuSign 签掉？诚实的答案分两层，而把这两层混为一谈，正是合规问题的起点。

本文为一般性信息，不构成法律意见。中国数据与生命科学领域的监管变化较快，请就你的具体试验项目咨询合格的中国法律顾问。

简短结论：签名可以，数据合规没有通行证

可以——像 DocuSign 这样的电子签名平台，能够有效地签署涉及中国主体的临床数据共享协议。中国《电子签名法》赋予可靠的电子签名与手写签名或公司盖章同等的法律效力，而机构之间的商业数据共享协议不在该法排除的文书类别之内。

但签署是其中容易的部分。更难的问题在于这份已签协议要做什么：把临床数据——尤其是人类遗传资源数据——转移出中国，会触发《个人信息保护法》（PIPL）、《数据安全法》，以及可能适用的、由中国人类遗传资源管理办公室（HGRAC）主管的人类遗传资源法规。这些义务附着于数据转移行为本身，与合同用什么方式签署无关。选择电子签名工具时，看的是签名效力和证据质量；数据出境合规则要作为一条独立的工作线来管理。

中国《电子签名法》是怎么规定的

中国《电子签名法》（最近一次修正为 2019 年）对商业合同总体持宽松态度。有三点与本文直接相关：

1. 不歧视电子形式。 根据第三条，当事人可以约定使用电子签名和数据电文，不得仅因文书采用电子形式而否定其法律效力。
2. "可靠的"电子签名等同于手写签名。 第十三条、第十四条规定，满足可靠性条件的签名——签名制作数据由签名人专有并控制，且签署后对签名或文书的任何改动均可被发现——与手写签名或盖章具有同等法律效力。具备防篡改审计轨迹的主流平台，正是围绕这些条件构建的。更全面的介绍可参见我们的中国电子签名法规指南。
3. 排除情形不涉及你的协议。 第三条排除的文书包括涉及人身关系（婚姻、收养、继承）、不动产权益转让、停止公用事业服务，以及法律规定的其他情形。机构间（B2B）的临床数据共享协议不在其中任何一类。

有一个细节值得注意：在中国的司法实践中，电子签名合同发生争议时，法院会重点审查签署过程的可靠性——签名人身份如何核验、记录如何保存。这是选择强身份核验和完整审计轨迹的理由，而不是回避电子签署的理由。

为什么签名只是问题的一半：PIPL 与数据出境

在 DocuSign 里签署的临床数据共享协议，作为合同是有效的。但它所授权的数据流动是否合法，由另一套规则决定。

根据 PIPL，在中国境内收集的个人信息——而可识别受试者的临床数据通常属于敏感个人信息——只能通过三种机制之一转移至境外，参见年利达律师事务所 Data Protected 中国指南的梳理：

• 国家网信办（CAC）安全评估——适用于关键信息基础设施运营者、涉及"重要数据"的转移，以及达到国家网信办规定的数量门槛的情形，属强制要求；
• 国家网信办标准合同——即中国版 SCC，须按 CAC 模板签署，并在生效后及时向省级网信部门备案，同时完成个人信息保护影响评估（PIPIA）；
• 经 CAC 认可机构的认证——对跨国公司的集团内部转移最为实用。

无论走哪条路径，都需要就数据出境取得单独同意、完成 PIPIA，并在合同中承诺达到 PIPL 同等保护水平。《数据安全法》还额外收紧了对"重要数据"的管控，并限制未经批准向境外司法或执法机构提供存储于中国境内的数据。

操作层面的结论是：电子签名平台负责把协议签完；你的隐私与法规团队必须另行打通出境机制、同意文本和影响评估。任何厂商的签署工作流都替代不了这些。

人类遗传资源：HGRAC 何时介入

如果合作涉及来自中国的生物样本——血液、唾液、组织——或由此衍生的数据，那么在 PIPL 之上还适用《人类遗传资源管理条例》（2019 年 7 月 1 日生效）：

• 外国组织及其设立或实际控制的实体，只能通过与中国合作方合作的方式利用中国人类遗传资源；它们不能自行在中国采集、保藏或将人类遗传资源材料运出境外。
• 国际合作研究一般需要事先审批；在中国境内为获得药品或医疗器械上市许可而开展、且不涉及人类遗传资源材料出境的临床试验，适用较轻的备案程序。
• 向外方提供人类遗传资源信息——按 HGRAC 的宽泛理解，包括向境外申办方或监管机构传输的临床试验数据——需要备案并提交数据备份，可能影响公众健康、国家安全或社会公共利益的，还可能触发安全审查（参见 Mondaq 对 HGRAC 执法思路的分析）。

对一份数据共享协议而言，签署流程是最不需要担心的部分：HGRAC 的审批或备案状态、允许的数据范围、合作产生专利的共有规则，都必须在任何人签字之前，先在协议实质内容中落定。

DocuSign 把你的协议数据存放在哪里

对供应商的尽职调查仍然重要，因为已签协议和审计轨迹中包含个人数据（签名人姓名、邮箱、IP 地址、时间戳）。根据 DocuSign 的数据管理与隐私文档，付费客户在开通账户时可以选择托管区域；电子文件存储在账户所在的地理位置，采用 AES-256 或同等级别加密；部分用户数据目前为支持服务会在全球范围内复制。

涉及中国的协议，要精确地问：

• 该账户的信封和审计日志托管在哪个区域？是否有内容或个人数据被复制到该区域之外？
• 面向中国签署人提供哪些身份核验手段？证据包能否支撑中国法院会审查的"可靠电子签名"条件？
• 是否提供中文签署体验，使双方都能信赖这份已签署的记录？
• 如果你的 PIPL 评估指向本地化，是否提供中国境内或亚太区域内的数据驻留选项？

这些问题适用于任何厂商——我们的评估电子签名平台的安全核查清单梳理的是同一套尽调逻辑。

签署前的合规核查清单

把这张表当作签署前的关卡。

涉华临床协议的签署前工作流程

1. 给数据分类。 梳理协议覆盖的内容：去标识化与可识别的受试者数据、生物样本衍生数据，以及其中是否有人类遗传资源信息。
2. 打通监管路径。 与中国法律顾问确认是否适用 HGRAC 审批或备案，以及本次合作将采用哪条 PIPL 出境机制。
3. 先定实质内容。 在发出签署之前，把允许的数据范围、安全措施、知识产权共有和违约义务写进文本。
4. 尽调签署平台。 对照上面的清单，核验托管区域、面向中国签署人的身份核验、中文支持和审计轨迹完整性。
5. 签署并归档。 将协议走电子签署流程，然后把完成证书和审计日志与 PIPIA、HGRAC 备案文件一并留存，让证据包随时经得起核查。

在中国和亚太，如何选择跨境电子签产品

DocuSign 是一个站得住的选择：它成熟、被全球相对方广泛接受，并提供区域托管。中国业务比重较大的团队，通常会在三个亚太特有的维度上把它与替代方案放在一起比较——区域数据驻留的深度、与亚洲各国政府数字身份体系的集成，以及面向大规模签署人群体的成本结构。我们的 DocuSign 与 Adobe Sign 亚太企业对比以及 DocuSign 替代方案概览覆盖了这些取舍。无论选哪个平台，中国侧的分析不变：工具必须交付可靠、证据完备的签名，而 PIPL 与 HGRAC 合规则存在于你的法规工作流程之中。

用 Nota Sign 进行线上签约

Nota Sign 是法大大（FaDaDa）旗下的全球电子签名平台，其背后的厂商在 IDC 中国电子签名软件市场连续多年排名第一。对于横跨中国与亚太的生命科学团队，它提供覆盖 100+ 国家和地区的法律服务能力，以及亚太合规深度——包括 iAM Smart 和 Singpass 集成、SES/AES/QES 签名级别支持和区域数据中心——当尽调聚焦托管地点和中国法院级别的证据标准时，这些都直接相关。

Nota Sign 不按席位收费，对小型临床运营团队更友好；中大型及企业客户如有更重的合规需求，也可获得定制方案。我们还发布过面向生命科学的 GxP 合规电子签名解决方案的介绍。如需讨论涉华临床协议的签署流程，欢迎联系 Nota Sign 团队。