2024年2月28日，拜登总统发布了第14117号行政令，名为《禁止受关切国家及相关主体获取美国敏感个人信息和政府相关数据》。该行政令指出某些特定国家不正当获取并使用美国大量个人敏感数据和信息威胁到美国安全和外交政策。其指出特定国家不仅直接获取美国大量个人敏感信息或政府相关数据，还包括通过国家安全和情报法规要求相关实体和个人提供美国大量敏感个人信息和政府相关数据。

行政令明确要求司法部进一步出台法规禁止或者限制美国人员从事此类相关交易。2024年12月，美国司法部发布《禁止受关切国家或者主体获取美国敏感个人信息和政府相关的数据》的最终规则。此后其进一步发布配套的合规指南和常见问答, 对规则的实施做出了进一步规定。

行政令和司法部规定所指称的受关切国家是指任何被认为长期从事严重影响美国国家或者个人安全的行为，并且对美国国家或者个人的大量敏感数据的使用造成重大威胁的外国国家政府， 具体包括中国 (包括香港和澳门)、古巴、伊朗、朝鲜、俄国和委内瑞拉。

规定广泛定义大量美国敏感个人数据是指任何形式的与美国人相关的敏感数据，包括去识别化、假名或者匿名化的数据，如个人生物识别、财务及健康等数据。其中，个人健康数据泛指任何预测、显示或者描述个人过去、目前和未来身心健康状况，医疗保健服务及其支付有关的数据，具体包括基本身体测量和健康情况（如身体机能、身高和体重、生命体征、症状和过敏史）；社会、心理、行为和医学诊断、干预和治疗历史；检测结果；运动习惯记录；免疫接种数据；生殖和性健康数据；以及处方药的使用或购买数据。大量个人健康数据的起始衡量标准是一万美国人群。

而规定适用的相关主体广泛地包括(a)任何位于受关切国家其50%以上的股权为受关切国政府直接或者间接所控制的外国实体，(b) 依照受关切国家法律成立的外国实体，(c) 受关切国雇佣的员工或者合同人员，(d) 主要居住地在受关切国家的实体或者人员，或者(e) 司法部认为其他可能为受关切国家控制或者代为其行事的外国实体或者人员。

规定广泛禁止或者限制四类交易类型：数据中介交易、供应商协议、雇佣协议和投资协议。具体是否会属于禁止或者限制类交易类型须根据具体情况和涉及数据情况而定，下文简单解析规定中涉及医药健康科技研究的案例情形。

数据中介交易包括数据出售、许可或者类似商业交易，其涉及数据从提供方向收受方转移而收受方不直接收集或者处理数据。规定广泛禁止各类数据中介交易。

规定指出如果一名美国研究人员和一名与受关切国家的研究人员合作共同研究并撰写期刊文章，两名研究人员互相交换涉及美国大量人类组学数据并在期刊中描述其研究结果。在这种情况下，如果美国研究人员不向受关切国家研究人员提供或者获取报酬或者其他价值交换，规定表示此种情形不为所禁止的数据中介交易。相反，如果美国研究人员从受关切国家大学获取研究资助基金以研究美国大量敏感个人健康数据和基因数据，该资助明确要求研究人员和受关切国家大学分享大量美国个人敏感数据。此种情况为禁止的数据中介交易。

供应商协议指任何除雇佣合同外的涉及一方为另一方提供货物或者服务的协议，其中较为典型的案例即美国医药公司或者医疗机构雇佣位于受关切国的公司开展IT服务，在IT服务中该供应商接触到美国公司或者机构存储大量个人健康数据的系统信息，在这种情况下，该供应商协议为限制类交易。

雇佣协议指除了独立合同人之外的个人从事工作以换取报酬的协议。譬如，如果一家从事消费者人类基因检测的美国公司从美国消费者群体收集和存储了大量个人基因数据。该公司具有全球IT运营雇佣受关切国家的IT人员从事技术后台服务。在其技术服务的范围内，受关切国家的IT 工作人员接触到公司收集的大量敏感基因数据。雇佣此类IT工作人员的协议则属于禁止性交易。

投资协议指除被动投资情形外，任何通过金钱或者其他方式获取位于美国的房地产或者美国法律实体的直接或者间接所有权权益。就医药健康科技领域而言，其指出如果一家美国公司在美建一家存储大量美国个人健康数据的数据中心。受关切国家的私募基金同意为数据中心的构建出资以换取该中心的绝大数所有权。这种情况下，投资数据中心的协议为受规则管制的投资协议并为受限制类交易。

就包括人类基因组在内的生物样本数据而言，规则明确禁止任何美国人从事与受关切国家或者个人的从事涉及人类组基因数据或者生物样本的大量敏感个人数据交易活动。其中人类组基因包括人类基因数据、人类表观基因组数据、人类蛋白质组学数据、和人类转录组数据。人类生物样本则包括一定量的组织、血液、尿液或其他人体衍生材料，但不包括用于诊断、治疗或者预防疾病的血液、细胞或者其他相关产品。其中，人类组基因数据的起始衡量比标准是1000，其中人类基因数据的起始标准是100人。

值得指出的，美国司法部的最终规则明确规定禁止及限制类交易不适用于药品、生物制品和医疗器械申请上市批准的情形 （28 C.F.R. 202.510）。 具体而言，如果相关数据满足以下条件，其可以豁免上述禁止及限制类交易规定：（1）涉及监管批准数据（regulatory approval data），(2) 为获取及维护药品、生物制品、医疗器械及组合产品的监管批准和许可。其中监管批准数据是指任何符合21 C.F.R. 314.80标准的去识别化或者假名化并且监管机构要求提交的或者监管机构要求提交的以获取或者维持药品、生物制品、医疗器械和组合产品研发和上市所须的许可或者批准的个人信息。其包括与上市后研究和上市后产品监测活动以及用于其他用途的补充产品申请相关的信息，但不包括监管机构评估药品、生物制品、器械或组合产品的安全性和有效性时非必要的敏感个人数据。

其指出譬如美国医药公司向特定国家监管机构提出在特定国家上市药品的申请，该申请包含需要取得批准的药品安全和有效性数据，转移该等相关数据则可以取得豁免。但是如果同等情况下， 监管机构要求相关数据不去身份识别化，那么药品安全和有效性相关的数据的转移则需要遵守个人敏感数据规定。这主要是因为该数据将包括可以识别个人的敏感数据。

再言之，如果特定国家监管机构要求美国医药公司使用居住并在特定国家注册的代理人协助提交上市药品申请，这种情况下美国医药公司和代理人签署供应合同允许公司向代理人转移与上市药品申请相关的数据以便代理人向监管机构提交上市药品申请，该合同可以享受豁免。

相反，如果特定国家监管机构并未要求美国公司必须使用境内代理人提交上市申请，此种情况下，美国医药公司使用特定国家的机构存储和整理大量个人敏感数据以提交上市申请的活动及协议将受个人敏感信息管理规定。这是因为使用特定国家机构存储和整理大量个人敏感数据并不是向监管机构提交上市申请的必须要求。这两个案例表明美国医药公司向特定国家机构转移与上市申请相关涉及个人敏感数据的安全性和有效性的规定是非常狭窄的，貌似限于相关国家监管机构要求使用境内实体的情形。

最后，如果特定国家监管机构要求美国医药公司为维持药品上市许可通过其境内代理人提交去识别化数据等在内的药品上市后检测活动以评估药品上后的安全和有效性，此种情况下，通过与特定国家监管机构注册的代理人分享去识别化的个人信息将享受豁免规定。同样的，如果特定国家的监管机构相关法律要求美国医疗器械企业提交去识别化的个人敏感信息数据以在特定国家研究医疗器械的安全性和有效性，此种情况向特定国家监管机构提交去识别化的个人敏感信息数据将享受豁免规定。

此外，敏感信息数据规定还明确规定以下两项情形可以享受豁免敏感个人信息规定：

通常涉及并作为美国食品药品监督管理局（“FDA”）根据《联邦食品、药品和化妆品法案》第505(i)和520(g)条监管的临床研究的一部分，或支持向FDA申请药品、生物制品、器械、组合产品或婴儿配方奶粉的研究或上市许可的临床研究的一部分；或者

通常涉及并作为支持或维持FDA授权所必需的、表明产品真实世界性能或安全性的临床护理数据的收集或处理，或上市后监测数据（包括药物警戒和上市后安全监测）的收集或处理的一部分，前提是这些数据已根据21 CFR 314.80的标准进行去识别化或假名化。

因此敏感个人数据规则对药品、生物制品及医疗器械等上市研发相关的临床试验和上市后的临床研究数据进行豁免。

此外，FDA于2025年6月18日发布公告停止向敌对国境外实验室出口美国人群细胞进行基因工程有关的临床试验 （“FDA Halts New Clinical Trials That Export Americans’ Cells to Foreign Labs in Hostile Countries for Genetic Engineering”）。FDA指出其将立即审查开展将美国公民活细胞送往中国和其他敌对国家进行基因编辑然后再输回美国患者体内的临床试验。 FDA指出越来越多的证据表明，其中一些试验未能告知临床试验参与者将其生物样本转移至其他国家并进行编辑导致美国患者人群的敏感基因数据为外国政府滥用。

FDA指出这一实践操作主要是基于上述第14117号行政令和敏感信息规则下对于临床试验相关的豁免而造成的。其将准备审查所有依据此豁免规定的相关临床试验，要求申办人充分证明全面透明性、符合伦理规定的知情同意书并在“境内处理”敏感生物材料。未符合上述规定的临床试验将无法进一步开展。

因此，虽然司法部规定对用于疾病诊断和治疗的细胞和基因产品及其临床试验进行了豁免，FDA 似乎将采取更加严格的监管立场。其表示当局将全面审查新的涉及细胞和基因材料相关的国际临床试验时，严格审查知情同意书并要求敏感生物材料在美国境内的处理。值得注意的，此政策是以通知的形式发布的。目前不清楚FDA是否会发布相关规定或者和司法部合作进一步澄清和执行与基因数据或者上市申请和临床试验数据相关的豁免规定。

总体而言，行政令和美国司法部敏感个人信息规定全面禁止或者限制美国公司和个人与受关切国家与实体从事涉及美国个人敏感信息和政府数据相关的交易。中美医药及相关机构进行跨境交易数据转移时应严格审查涉及美国敏感个人信息的交易是否会被限制或者禁止。

譬如中美跨境交易中并购、许可和临床试验及相关方在实施相关交易时应当全面评估该规定对交易的潜在影响。中国企业收购美国企业、引入美国药企在研产品(License-in)、或者在美国开展国际临床试验可能会受规则的影响更大，但任何涉及美国敏感个人信息转移至中国境内均有受规则管制的风险。交易方应当全面审查交易中的数据是否符合为大量敏感个人数据，确定数据的来源和流动，遵守相关规定或者保证其符合豁免情形。必要时，可能需要在美国本地化处理数据。

此外，规则可能还适用公司内部如美国子公司和中国母公司之间的跨境数据交换。公司应当根据规定制定全面的数据管理和安全政策。譬如，规定要求美国公司在从事限制性交易应当制定数据合规政策、进行有效的尽职调查和审计，并保存充分书面记录和报告。由于规定复杂以及个案情形不一致，规定还允许美国公司和个人就具体案例情形向司法部咨询其案例是否为禁止或者限制交易并出具咨询意见。

尽管司法部敏感数据规则对药品医疗器械研发申请上市相关的交易进行了豁免，但是其豁免范围相对比较狭窄，其主要是涉及去识别化的临床试验和申请数据并主要涉及相关规定要求使用国内实体的情况。最近FDA的政策进一步表明其对涉及细胞或基因等敏感个人生物材料的临床试验审查将会非常严格。一方面，企业将其去识别化的临床试验数据转移中国需格外审查是否符合本规定。而中国企业在美国等国家开展国际临床试验招募美国患者并处理美国患者人群的个人信息和敏感生物材料需要特别注意。

具体而言，在从事涉及美国个人健康数据包括细胞和基因材料等临床试验或者研究，企业应当严格审查试验涉及的须收集的个人信息，如个人信息、生物材料和样本（血液、细胞和组织样本）及其存储、处理和研究情况，在知情同意书中对试验参与者进行充分告知。如果涉及和美国医疗机构等合作研究生物材料，其应明确其收否有权对生物材料进行跨境转移和研究，是否已经获取其所有者就研究使用其生物材料的明确同意。

最后，规则中的案例表明中美双边研究人员从事正当学术研究不涉及相关交易时可能可以享受豁免，但是相关人员对此应当研究其适用范围，保证正当学术研究可以有效开展。