中國臨床數據共享協議，可以用 DocuSign 簽嗎？

如果你的藥企、生物科技公司或 CRO 團隊在中國設有臨床試驗中心，遲早會有人提出這個問題：數據共享協議能不能直接走 DocuSign 簽掉？誠實的答案分兩層，而把這兩層混為一談，正是合規問題的起點。

本文為一般性資訊，不構成法律意見。中國數據與生命科學領域的監管變化較快，請就你的具體試驗項目諮詢合格的中國法律顧問。

簡短結論：簽名可以，數據合規沒有通行證

可以——像 DocuSign 這樣的電子簽名平台，能夠有效地簽署涉及中國主體的臨床數據共享協議。中國《電子簽名法》賦予可靠的電子簽名與手寫簽名或公司蓋章同等的法律效力，而機構之間的商業數據共享協議不在該法排除的文書類別之內。

但簽署是其中容易的部分。更難的問題在於這份已簽協議要做什麼：把臨床數據——尤其是人類遺傳資源數據——轉移出中國，會觸發《個人信息保護法》（PIPL）、《數據安全法》，以及可能適用的、由中國人類遺傳資源管理辦公室（HGRAC）主管的人類遺傳資源法規。這些義務附著於數據轉移行為本身，與合同用什麼方式簽署無關。選擇電子簽名工具時，看的是簽名效力和證據質量；數據出境合規則要作為一條獨立的工作線來管理。

中國《電子簽名法》是怎麼規定的

中國《電子簽名法》（最近一次修正為 2019 年）對商業合同總體持寬鬆態度。有三點與本文直接相關：

不歧視電子形式。 根據第三條，當事人可以約定使用電子簽名和數據電文，不得僅因文書採用電子形式而否定其法律效力。
「可靠的」電子簽名等同於手寫簽名。 第十三條、第十四條規定，滿足可靠性條件的簽名——簽名製作數據由簽名人專有並控制，且簽署後對簽名或文書的任何改動均可被發現——與手寫簽名或蓋章具有同等法律效力。具備防篡改審計軌跡的主流平台，正是圍繞這些條件構建的。更全面的介紹可參見我們的中國電子簽名法規指南。
排除情形不涉及你的協議。 第三條排除的文書包括涉及人身關係（婚姻、收養、繼承）、不動產權益轉讓、停止公用事業服務，以及法律規定的其他情形。機構間（B2B）的臨床數據共享協議不在其中任何一類。

有一個細節值得注意：在中國的司法實踐中，電子簽名合同發生爭議時，法院會重點審查簽署過程的可靠性——簽名人身份如何核驗、記錄如何保存。這是選擇強身份核驗和完整審計軌跡的理由，而不是迴避電子簽署的理由。

為什麼簽名只是問題的一半：PIPL 與數據出境

在 DocuSign 裡簽署的臨床數據共享協議，作為合同是有效的。但它所授權的數據流動是否合法，由另一套規則決定。

根據 PIPL，在中國境內收集的個人信息——而可識別受試者的臨床數據通常屬於敏感個人信息——只能透過三種機制之一轉移至境外，參見年利達律師事務所 Data Protected 中國指南的梳理：

國家網信辦（CAC）安全評估——適用於關鍵信息基礎設施運營者、涉及「重要數據」的轉移，以及達到國家網信辦規定的數量門檻的情形，屬強制要求；
國家網信辦標準合同——即中國版 SCC，須按 CAC 模板簽署，並在生效後及時向省級網信部門備案，同時完成個人信息保護影響評估（PIPIA）；
經 CAC 認可機構的認證——對跨國公司的集團內部轉移最為實用。

無論走哪條路徑，都需要就數據出境取得單獨同意、完成 PIPIA，並在合同中承諾達到 PIPL 同等保護水平。《數據安全法》還額外收緊了對「重要數據」的管控，並限制未經批准向境外司法或執法機構提供存儲於中國境內的數據。

操作層面的結論是：電子簽名平台負責把協議簽完；你的隱私與法規團隊必須另行打通出境機制、同意文本和影響評估。任何廠商的簽署工作流都替代不了這些。

人類遺傳資源：HGRAC 何時介入

如果合作涉及來自中國的生物樣本——血液、唾液、組織——或由此衍生的數據，那麼在 PIPL 之上還適用《人類遺傳資源管理條例》（2019 年 7 月 1 日生效）：

外國組織及其設立或實際控制的實體，只能透過與中國合作方合作的方式利用中國人類遺傳資源；它們不能自行在中國採集、保藏或將人類遺傳資源材料運出境外。
國際合作研究一般需要事先審批；在中國境內為獲得藥品或醫療器械上市許可而開展、且不涉及人類遺傳資源材料出境的臨床試驗，適用較輕的備案程序。
向外方提供人類遺傳資源信息——按 HGRAC 的寬泛理解，包括向境外申辦方或監管機構傳輸的臨床試驗數據——需要備案並提交數據備份，可能影響公眾健康、國家安全或社會公共利益的，還可能觸發安全審查（參見 Mondaq 對 HGRAC 執法思路的分析）。

對一份數據共享協議而言，簽署流程是最不需要擔心的部分：HGRAC 的審批或備案狀態、允許的數據範圍、合作產生專利的共有規則，都必須在任何人簽字之前，先在協議實質內容中落定。

DocuSign 把你的協議數據存放在哪裡

對供應商的盡職調查仍然重要，因為已簽協議和審計軌跡中包含個人數據（簽名人姓名、電郵、IP 地址、時間戳）。根據 DocuSign 的數據管理與隱私文檔，付費客戶在開通帳戶時可以選擇託管區域；電子文件存儲在帳戶所在的地理位置，採用 AES-256 或同等級別加密；部分用戶數據目前為支持服務會在全球範圍內複製。

涉及中國的協議，要精確地問：

該帳戶的信封和審計日誌託管在哪個區域？是否有內容或個人數據被複製到該區域之外？
面向中國簽署人提供哪些身份核驗手段？證據包能否支撐中國法院會審查的「可靠電子簽名」條件？
是否提供中文簽署體驗，使雙方都能信賴這份已簽署的記錄？
如果你的 PIPL 評估指向本地化，是否提供中國境內或亞太區域內的數據駐留選項？

這些問題適用於任何廠商——我們的評估電子簽名平台的安全核查清單梳理的是同一套盡調邏輯。

簽署前的合規核查清單

把這張表當作簽署前的關卡。

問題	為什麼重要	應向廠商 / 相對方確認什麼
該文書類型能否電子簽署？	中國法律排除了某些類別；商業數據共享協議可以電子簽署	確認沒有任何一方因內部或監管原因要求紙質簽字蓋章
平台能否產生「可靠的」簽名？	《電子簽名法》第十三、十四條將完整法律效力繫於可靠性	要求防篡改封印、完整審計軌跡和簽署人身份核驗方式
數據出境適用哪條 PIPL 機制？	簽完合同並不等於轉移合法	與隱私團隊確認 CAC 安全評估、標準合同備案或認證的進展
是否涉及人類遺傳資源數據？	向外方提供數據前可能需要 HGRAC 審批或備案	與法規事務團隊確認合作是否已獲批或備案，以及覆蓋的數據範圍
信封數據託管在哪裡？	審計軌跡中的簽署人個人數據本身也受監管	要求說明託管區域、數據複製做法、留存與清除控制
是否需要 GxP 級別的證據？	臨床協議可能在核查中被調取	檢查帶時間戳的完成證書；另見我們關於生命科學領域符合 GxP 要求的電子簽名平台的盤點

涉華臨床協議的簽署前工作流程

給數據分類。 梳理協議覆蓋的內容：去標識化與可識別的受試者數據、生物樣本衍生數據，以及其中是否有人類遺傳資源信息。
打通監管路徑。 與中國法律顧問確認是否適用 HGRAC 審批或備案，以及本次合作將採用哪條 PIPL 出境機制。
先定實質內容。 在發出簽署之前，把允許的數據範圍、安全措施、知識產權共有和違約義務寫進文本。
盡調簽署平台。 對照上面的清單，核驗託管區域、面向中國簽署人的身份核驗、中文支持和審計軌跡完整性。
簽署並歸檔。 將協議走電子簽署流程，然後把完成證書和審計日誌與 PIPIA、HGRAC 備案文件一併留存，讓證據包隨時經得起核查。

在中國和亞太，如何選擇跨境電子簽產品

DocuSign 是一個站得住的選擇：它成熟、被全球相對方廣泛接受，並提供區域託管。中國業務比重較大的團隊，通常會在三個亞太特有的維度上把它與替代方案放在一起比較——區域數據駐留的深度、與亞洲各國政府數碼身份體系的集成，以及面向大規模簽署人群體的成本結構。我們的 DocuSign 與 Adobe Sign 亞太企業對比以及 DocuSign 替代方案概覽覆蓋了這些取捨。無論選哪個平台，中國側的分析不變：工具必須交付可靠、證據完備的簽名，而 PIPL 與 HGRAC 合規則存在於你的法規工作流程之中。

用 Nota Sign 進行線上簽約

Nota Sign 是法大大（FaDaDa）旗下的全球電子簽名平台，其背後的廠商在 IDC 中國電子簽名軟件市場連續多年排名第一。對於橫跨中國與亞太的生命科學團隊，它提供覆蓋 100+ 國家和地區的法律服務能力，以及亞太合規深度——包括 iAM Smart 和 Singpass 集成、SES/AES/QES 簽名級別支持和區域數據中心——當盡調聚焦託管地點和中國法院級別的證據標準時，這些都直接相關。

Nota Sign 不按席位收費，對小型臨床運營團隊更友好；中大型及企業客戶如有更重的合規需求，也可獲得定制方案。我們還發佈過面向生命科學的 GxP 合規電子簽名解決方案的介紹。如需討論涉華臨床協議的簽署流程，歡迎聯絡 Nota Sign 團隊。