ICH E6(R3)附件2落地：去中心化与真实世界数据临床试验的GCP合规重构——CFDI 2026-08-10 征求意见稿解读与申办者、CRO、研究者、伦理委员会四方责任

【摘要】ICH《E6(R3)：药物临床试验质量管理规范技术指导原则》附件2（2026年6月3日ICH终版）的中文翻译稿及实施建议，已于2026年8月10日由国家药监局核查中心（CFDI）公开征求意见。它把去中心化临床试验（DCT）、实用性试验与真实世界数据（RWD）三类新试验模式正式纳入GCP框架。对生物制药企业而言，DCT/RWD从此不再是"灰色地带"：远程知情同意必须视频核验受试者身份、试验用药可以直邮受试者但研究者仍负最终安全责任、申办者必须能够访问RWD的个体层面源记录——这些都是可落地的合规红线。本文拆解三类模式的核心义务、四方主体责任重构与风险清单，附12项风险清单与十条操作指引。

核心术语与实体前置

E6(R3)与附件2：ICH《药物临床试验质量管理规范技术指导原则》第3修订版。其"原则正文+附件1"解决临床试验质量管理的通用框架；附件2（2026年6月3日ICH第4阶段终版）专门针对包含去中心化元素、实用性要素和/或真实世界数据的试验，给出具体操作GCP考量。

去中心化元素（Decentralised Elements，DCT）：在研究者所在现场之外开展的试验相关活动，包括在受试者居所、当地医疗保健中心或移动医疗单元进行的访视与操作，以及通过视频通话或数字健康技术（DHT）开展的远程互动、数据采集。

实用性要素（Pragmatic Elements）：将常规临床实践纳入试验设计与实施，如反映真实患者人群的入排标准、复用电子病历（EHR）数据、仅采集最少必要数据，以让临床试验"更像日常看病"并提升结论外推性。

真实世界数据（RWD）：干预性临床试验中使用临床试验以外来源（如EHR、登记数据库、理赔数据库）收集的患者健康数据，可作主要终点、外部对照或探索性分析；其二次使用须满足数据质量与治理要求。

数字健康技术（DHT）：从受试者处收集、测量或监测健康相关数据的技术（移动应用、可穿戴设备、传感器），附件2将其视为"数据采集工具"，其隐私与数据合规适用《个人信息保护法》。

质量源于设计（QbD）/风险相称：2026版GCP引入的三项核心原则（另含"符合目的"）。附件2据此要求对受试者监督、数据收集的强度与试验活动的风险相称，而非一刀切。

一、制度坐标：从"强制适用E6(R3)"到"附件2补白"

1.1 三步落地时间线

中国对E6(R3)的接纳是一条"强制适用+配套翻译+核查升级"的全链条路径。第一步：国家药监局2025年第125号公告明确，自2026年3月31日起新启动的药物临床试验全面适用E6(R3)——措辞是"适用"而非"参考"。第二步：2026年6月8日，国家药监局等四部门联合发布2026版《药物临床试验质量管理规范》（公告2026年第50号），自2026年9月1日施行，废止2020年版；其结构由九章八十三条精简为六章五十四条，新增独立"数据治理"专章，引入QbD、风险相称、符合目的三项原则，但删去了试验方案、研究者手册、必备文件三章，对DCT、实用型试验、RWD只字未提。第三步：2026年8月10日，CFDI就E6(R3)附件2中文翻译稿及实施建议公开征求意见（为期1个月），恰好补齐了2026版GCP留白的DCT/RWD操作细节。

1.2 法定基础：GCP是义务而非软指引

《中华人民共和国药品管理法》（2019年修订，主席令第31号）第十七条要求药物临床试验机构执行药物临床试验质量管理规范；第十九条、第二十条对药物临床试验的批准、伦理审查与受试者保护作出规定；第二十一条明确申办者的质量管理责任；第二十二条规不良反应报告义务。该法第一百二十六条对"未遵守GCP"设定了责令改正、警告、罚款乃至吊销许可证的阶梯处罚；第一百二十三条对以虚假资料骗取审评审批的行为，规定撤销许可、十年不受理、五十万元至五百万元罚款并双罚、对责任人员拘留。《药品管理法实施条例》（国务院令第828号，2026年5月15日施行）第六条重申研制须遵守GCP、记录与数据真实准确完整可追溯，第八条明确申办者履行临床试验数据管理责任。GCP在中国是法定义务，附件2的落地将使DCT/RWD首次进入可核查、可追责的轨道。

1.3 为何此时"补白"

2026版GCP发布时（6月8日），ICH刚于6月3日通过附件2，二者几乎同步；业内当时普遍理解为"操作细节留给ICH指南本身"。CFDI在两个月内拿出中译稿与实施建议，准备工作显然早已启动。横向看，欧盟EMA于2025年7月生效E6(R3)原则与附件1，但附件2尚未完成欧盟层面正式采纳；FDA于2024年9月发布独立的去中心化临床试验最终指南，但E6(R3)在美国属指导性文件而非强制法规。中国走的是"强制适用+配套翻译+核查体系同步升级"路线，节奏并不慢，且确定性最高。

二、去中心化元素（DCT）的GCP红线

2.1 远程知情同意：须视频核验身份

附件2第2.2.1节规定，在适当情况下可远程获取知情同意，但远程获取时研究者应确认受试者（或法定代理人）身份，例如通过视频通话验证身份证件，并事先规定验证方法与保护数据隐私的措施。第2.2.2节要求根据试验人群特征（如不熟悉计算机系统）选择纸质或现场同意作为补充；第2.2.3节要求知情同意材料说明将收集哪些数据、如何使用、哪些相关方有权获取（含健康记录、家庭住址）。这直接叠加《个人信息保护法》（2021）第十三条（处理个人信息的合法性基础）与第二十九条（敏感个人信息须取得单独同意）的要求——健康数据属敏感个人信息，远程同意流程须留存可核查的"身份核验+单独同意"证据链。

2.2 试验用药直邮：研究者仍负最终安全责任

附件2第2.3.2节明确，在适用的监管要求允许下，申办者可安排将试验用药品运送给受试者；但研究者/临床试验机构仍应对其所管理的受试者"安全且恰当使用试验用药品"负责，应了解运送安排并持续跟踪接收、使用及受试者报告问题的处理，且申办者与研究者角色职责须有明确文件记录。第2.3.1节对直邮至居所的情形要求：保护隐私与疾病状态保密、确保预期接收者接收、规范接收储存处理给药返还销毁流程、保持盲态、提供在线教程与支持人员联系方式。这与传统"医院药房发放"模式相比，责任从机构现场延伸到了受试者居所，研究者的"远程监督"义务被实质加重。

2.3 居所给药与服务供应商

附件2第2.3节允许试验用药分发或提供给受试者或其适当指定人员（护理人员、家庭护士、当地药剂师），由适当人员在受试者所在地给药。此类安排须符合当地监管要求，且机构现行文档流程（如药房台账、储存记录标准操作）可能已能满足管理要求。值得注意的是，附件2通篇以"服务供应商"替代了"CRO"这一称谓——物流方、DHT平台、数据托管方均被纳入"服务供应商"范畴，其与申办者、研究者之间的角色职责必须以书面文件清晰界定，否则责任将因链条拉长而悬空。

2.4 DHT数据采集的隐私边界

附件2将DHT视为"数据采集工具"，并在第2.2.3节与第3.7节（隐私和保密考虑）要求：当通过DHT远程收集数据时，知情同意材料须明示数据收集范围、使用方式与可访问的相关方。对申办者而言，这意味着可穿戴设备、移动应用收集的健康数据从"试验工具数据"升级为受《个人信息保护法》《数据安全法》规制的个人信息，须落实最小必要、加密传输、访问权限控制与留存期限管理，并纳入数据出境合规评估（见第六部分）。

三、实用性要素与RWD的合规要点

3.1 实用型试验的逻辑与边界

附件2定义"实用性要素"为将常规临床实践纳入试验设计，包括反映真实患者人群的入排标准、在提供常规诊疗的场所实施、复用EHR自动化导出、仅采集最少必要数据。其目标是在降低实施成本的同时提升外推性。但实务边界必须守住：放宽入排不等于降低科学严谨性，简化采集不等于放弃源数据可追溯。实用性要素须与"质量源于设计"结合，确保所采集信息的数量与质量足以支持良好决策，否则便利将反噬证据可靠性。

3.2 RWD访问权：硬性合规前提

附件2第3.4.1节给出一项刚性要求：申办者必须能够访问个体层面数据与源记录，无论这些数据由谁拥有或控制；若数据持有方（医院、登记数据库运营方）不配合提供访问权限，申办者须咨询监管机构。这不是可选项——开展RWD相关试验，能否拿到个体层面源记录是合规前提。对企业而言，这意味着与医院、登记库、商业数据源的合作协议必须写入明确的数据访问、共享与再使用条款，而不能停留在泛泛的"数据合作"框架；否则试验启动后可能因拿不到源记录而整体违规。

3.3 数据治理与质量分级

附件2第3.5节区分两类数据使用：原始数据收集（专为该试验前瞻性收集）与二次使用（将既往为其他目的收集的数据纳入试验）。二者在数据质量、数据治理与监管可接受性上要求不同，RWD须符合其在试验中的预期目的。这衔接了2026版GCP新增的"数据治理"专章（以ALCOA+为原则）与《实施条例》第六条"数据真实准确完整可追溯"。采用RWD作主要终点或外部对照的，须提交数据溯源、清洗、质控与偏倚控制的方法学文件，供监管与核查评估。

3.4 同意、许可与人遗触发

附件2第3.4.2节对RWD的同意与许可作出考虑。特别提示：若RWD包含人类基因组、基因序列等人类遗传资源信息，还将触发《人类遗传资源管理条例》（国务院令第717号）及其实施细则的审批或备案要求；涉及人遗材料或信息出境的，还须履行人遗出境审批与数据出境安全评估。实务中，RWD的合规不是单一维度，而是PIPL、数据安全法、人遗条例的多法叠加，须在试验设计阶段即做合规论证。

四、四方主体责任重构

4.1 申办者：提前嵌入合规论证

附件2对申办者的核心要求是"方案须充分描述所采用的设计要素、数据源与操作方法及其合理性"。若计划使用DCT元素或RWD，合规论证须在方案设计阶段嵌入，而非等审评来问。申办者还须在合作协议中明确RWD访问与共享条款（第3.4.1节），并依第3.8节履行监督责任。对创新药与细胞基因治疗企业而言，DCT/RWD常被用于罕见病、儿童等难入组人群，申办者更应将远程监查、DHT数据管理、跨地域试验药供应链管理列为方案必备章节。

4.2 CRO/服务供应商：角色职责文件化

附件2以"服务供应商"统称物流、DHT平台、数据中心等第三方。其第2.3.2(d)与第2.3.4(c)要求申办者、研究者与参与试验药运送的任何服务供应商之间，建立清晰沟通机制与预先制定的流程，并有明确的角色职责文件记录。CRO在DCT中承担远程监查、中央随机、药品直邮协调等职能时，须将SOP与责任边界对齐附件2，并通过主文件（MF）或合同向监管可证明。

4.3 研究者/机构：远程监督的弹性与底线

附件2第2.4节给出弹性的"风险相称"监督要求：从现场直接监督，到远程沟通，再到仅审查必备记录，监督强度取决于试验活动对受试者安全与数据可靠性的影响程度。但弹性不意味着免责：第2.3.2节明确研究者对试验药"安全且恰当使用"负最终责任；居家给药、远程随访均须保留监督记录。机构须更新SOP，使"远程监督"有标准、可留痕、可核查。

4.4 伦理委员会：应对三类新课题

附件2第1节要求IRB/IEC评价所采用研究方法的适用性，并特别关注受试者权益、隐私保密与数据安全。伦理委员会由此须应对远程知情同意的有效性、DHT数据隐私保护、RWD使用授权三类新课题，在审查意见中明确提出对同意方式、数据最小化与去标识化的要求，并将其纳入持续审查事项。

五、与核查体系升级的衔接

5.1 核查模式从"依从性"转向"体系有效性"

与附件2同步，CFDI于2026年6月8日启动《药品注册核查要点与判定原则（药物临床试验）》与《药物临床试验机构监督检查要点与判定原则》的全面修订。核查中心王元、王雨瑶、高荣在《中国临床药理学杂志》（2026年第42卷第10期）的论文指出：E6(R3)要求核查"从传统的、侧重于依从性符合核查的模式，转向对体系有效性与设计合理性开展深度评估的新模式"。这意味着核查员今后要看的不只是"你有没有按规矩做"，还包括"你设计得对不对、体系管不管用"——DCT/RWD试验的方案合理性与数据治理体系将成为核查重点。

5.2 地方探路：北京DCT共识

在附件2正式落地前，地方已先行试探边界。2026年2月10日，由北京市药监局指导、北大第一医院、协和医院、北大肿瘤医院等十家机构联合起草的《北京市去中心化临床试验（DCT）项目管理体系文件共识》发布，含15项管理标准化模块，并配套含15个检查环节、88个检查项目的检查手册。该共识为DCT从方案设计到档案管理的全生命周期提供了地方层面实操模板，企业可将其作为内部SOP对齐的参照。

5.3 违法后果链条

未遵守GCP的，依《药品管理法》第一百二十六条处罚：责令限期改正、警告，没收违法所得，并处五十万元以上五百万元以下罚款，情节严重的吊销药品批准证明文件、药品生产许可证或药物临床试验机构资格；对法定代表人、主要负责人、直接负责的主管人员和直接责任人员，没收违法行为发生期间自本单位所获收入，并处所获收入一定比例罚款，十年内不受理其相关申请，终身禁止从事药品生产经营活动。以虚假数据骗取审评审批的，依第一百二十三条撤销许可、十年不受理、罚款并拘留。DCT/RWD因链条拉长、节点分散，恰恰是数据失真与责任悬空的高风险区。

六、跨境维度：出海试验与数据出境

6.1 主要法域路径差异

对美国，FDA于2024年9月发布去中心化临床试验最终指南，E6(R3)在美国属指导性文件；对欧盟，EMA于2025年7月生效原则与附件1，附件2尚未正式采纳。中国则采取"强制适用+配套翻译+核查升级"全链条。路径差异直接影响国际多中心试验（MRCT）的方案设计：同一DCT/RWD方案在中、美、欧的监管接受度与核查口径不同，申办者须做"三地差异映射"，避免以一个地区的宽松理解替代另一地区的硬性要求。

6.2 数据出境合规

DCT/RWD往往涉及跨境数据传输：可穿戴设备云端、海外中心实验室、全球数据托管均可能触发出境。依据《数据安全法》（2021）、《个人信息保护法》第三十八条至第四十条及《数据出境安全评估办法》（2022），达到一定门槛的个人信息与重要数据出境须通过安全评估、标准合同或认证；涉及人类遗传资源信息出境的，还须依《人类遗传资源管理条例》履行审批或备案。跨国药企与CXO在部署全球DCT平台时，须将"数据本地化+出境审批"作为方案前置条件，而非上线后补救。

七、企业风险清单（12项）

一、身份核验缺失：远程知情同意未通过视频核验身份证件，或未事先规定验证方法与隐私保护措施，违反附件2第2.2.1节并触碰PIPL敏感个人信息单独同意要求。

二、责任悬空：试验药直邮后研究者未持续跟踪接收使用与问题，角色职责文件缺失，违反第2.3.2节"研究者负最终安全责任"。

三、RWD源记录拿不到：合作协议未约定个体层面数据访问与共享，数据持有方不配合时试验整体违规（第3.4.1节硬性前提）。

四、方案合规论证滞后：DCT/RWD设计要素未在方案阶段嵌入合理性论证，等审评来问才补，影响沟通效率与获批。

五、DHT数据违规：可穿戴/APP收集健康数据未落实最小必要、加密与留存期限，违反PIPL与数据安全法。

六、服务供应商职责不清：物流、DHT平台、数据中心未被纳入书面角色职责文件，链条拉长致责任悬空（第2.3.4(c)）。

七、远程监督留痕不足：研究者以"远程"替代监督却无标准、无记录，核查时被认定体系无效（衔接核查模式转向）。

八、人遗触发未识别：RWD含基因组信息未做人遗审批/备案，反而叠加行政违法风险。

九、数据出境未评估：全球DCT平台跨境传输出境未过安全评估/标准合同，违反数据安全法与PIPL。

十、伦理审查缺项：IRB/IEC未就远程同意、DHT隐私、RWD授权提出审查要求，持续审查遗漏新课题。

十一、实用型试验降标准：以"简化采集"为由放弃源数据可追溯，违背质量源于设计与实施条例第六条。

十二、三地口径混用：MRCT中以一地宽松理解替代他地硬性要求，导致某区域不合规。

八、十条操作指引（落地建议）

一、读原文对差距：逐条对照附件2中译稿，将要求与现有SOP、数据管理体系、供应商合同逐一比对，翻译稿术语（"试验参与者""服务供应商"）在内部统一。

二、前置身份核验：把"视频核验身份证件+隐私保护措施"写进远程知情同意SOP，并留存可核查证据链。

三、锁定研究者责任：试验药直邮方案须明确研究者对安全用药的最终责任与跟踪机制，申办者—研究者—供应商三方职责书面化。

四、重谈数据源合同：与医院、登记库、商业数据源的合作协议补入RWD个体层面访问、共享与再使用条款，作为试验启动前置。

五、方案嵌论证：在方案设计阶段即描述DCT/RWD的设计要素、数据源、操作方法与合理性，提前而非被动说明。

六、建DHT合规包：对可穿戴/APP数据落实最小必要、加密、权限、留存期限，并映射PIPL与数据安全法要求。

七、升级远程监督：研究者更新SOP使远程监督有标准、可留痕，监督强度与风险相称。

八、人遗与出境双查：RWD涉基因组信息即做人遗审批/备案；跨境传输即做数据出境安全评估或标准合同。

九、对齐核查新规：按CFDI核查要点修订稿，把"体系有效性+设计合理性"纳入内部自检，参考北京DCT共识88项检查表。

十、MRCT做差异映射：对中、美、欧DCT/RWD监管口径做三地差异表，避免以一地理解替代他地硬性要求。

综上，CFDI 2026年8月10日就E6(R3)附件2公开征求意见，意味着DCT、实用性试验与RWD在中国从"探索阶段"进入"有规可依"阶段。对生物制药企业而言，这既是罕见病、儿童药等难入组人群试验的便利窗口，也是责任链条拉长后的合规考验——谁能把远程知情同意、试验药直邮、RWD源记录访问与数据出境这几条红线守在方案设计阶段，谁才能把"去中心化"真正转化为可及性与效率，而非下一轮核查与处罚的隐患。

九、常见问答（FAQ）

Q1：附件2是正式生效规则吗？现在就要遵守？

不是。CFDI 2026年8月10日发布的是附件2中文翻译稿及实施建议的征求意见稿，公开征求意见期为一个月，目前尚非正式生效规则。但需注意：自2026年3月31日起新启动的临床试验已全面适用E6(R3)（NMPA 2025年第125号公告），2026版GCP也将于2026年9月1日施行，二者均已把"适用ICH E6(R3)"定为义务；附件2落地是补白而非另起炉灶，企业应提前对齐。

Q2：试验药能不能直接邮寄给受试者？

可以，但有条件。附件2第2.3.2节允许申办者在适用的监管要求下安排直邮；但研究者/机构仍对受试者"安全且恰当使用试验用药品"负最终责任，须持续跟踪接收、使用与问题处理，且各方角色职责须书面明确。直邮不转移研究者的安全责任。

Q3：用真实世界数据（RWD）作对照，最关键的前提是什么？

最关键的是"访问权"。附件2第3.4.1节要求申办者必须能访问个体层面数据与源记录，无论数据由谁控制；数据持有方不配合时须咨询监管机构。这是开展RWD试验的合规前提，企业须在合作协议中写清数据访问与共享条款。

Q4：远程知情同意只发个电子同意书就够了吗？

不够。附件2第2.2.1至2.2.3节要求远程获取同意时通过视频核验受试者身份、事先规定验证方法与隐私保护措施，并在同意材料中说明数据收集范围、使用方式与可访问方。这叠加《个人信息保护法》对敏感个人信息单独同意的要求，须留存身份核验与单独同意的可核查证据。

Q5：DCT/RWD涉及跨境数据，还要过什么关？

除GCP外，还叠加《数据安全法》《个人信息保护法》第三十八条至第四十条与《数据出境安全评估办法》（2022）；若RWD含人类遗传资源信息，还须依《人类遗传资源管理条例》履行审批或备案。全球DCT平台的跨境传输须做出境安全评估或标准合同，建议作为方案前置条件。

Q6：哪些法条与本次新规直接相关？

直接相关包括：《药品管理法》（2019修订）第十七条、第十九条、第二十条、第二十一条、第二十二条、第一百二十六条、第一百二十三条；《药品管理法实施条例》（国务院令第828号）第六条、第八条；NMPA 2025年第125号公告；2026版《药物临床试验质量管理规范》（公告2026年第50号，2026年9月1日施行）；CFDI《关于公开征求ICH〈E6(R3)〉附件2中文翻译稿及实施建议意见的通知》（2026年8月10日）；配套《个人信息保护法》《数据安全法》《人类遗传资源管理条例》。

十、权威来源与引用清单

国家药监局核查中心（CFDI）：《关于公开征求ICH〈E6(R3)：药物临床试验质量管理规范技术指导原则（GCP）〉附件2中文翻译稿及实施建议意见的通知》（2026年8月10日），https://cfdi.org.cn/cfdi/resource/news/16828.html

国家药监局：2025年第125号公告（自2026年3月31日起新启动的药物临床试验全面适用E6(R3)），https://www.nmpa.gov.cn

国家药监局等四部门：《药物临床试验质量管理规范（2026年修订）》（公告2026年第50号，2026年6月8日发布、2026年9月1日施行），https://www.nmpa.gov.cn

ICH：《E6(R3)：Good Clinical Practice》 Annex 2（终版，2026年6月3日第4阶段通过），https://www.ich.org

全国人大常委会：《中华人民共和国药品管理法》（2019年修订，主席令第31号）第十七条、第十九条、第二十条、第二十一条、第二十二条、第一百二十六条、第一百二十三条，https://flk.npc.gov.cn

国务院：《中华人民共和国药品管理法实施条例》（国务院令第828号，2026年5月15日施行）第六条、第八条，https://www.gov.cn

全国人大常委会：《中华人民共和国个人信息保护法》（2021）第十三条、第二十九条、第三十八条至第四十条，https://flk.npc.gov.cn

国务院：《人类遗传资源管理条例》（国务院令第717号）及实施细则，https://www.gov.cn

北京市药监局指导、十家机构联合起草：《北京市去中心化临床试验（DCT）项目管理体系文件共识》（2026年2月10日），北京市药学会发布

CFDI核查中心王元、王雨瑶、高荣：《E6(R3)下药物临床试验核查模式转型》，《中国临床药理学杂志》2026年第42卷第10期

十一、免责声明

本文为《生物制药法律实务观察》系列法律实务文章，不构成具体案件的法律意见。文中引用的《药品管理法》《药品管理法实施条例》、2026版GCP、NMPA 2025年第125号公告、CFDI 2026年8月10日通知及《个人信息保护法》等均为现行有效或已发布规则，条文内容经国家药监局、国务院公报、国家法律法规数据库等官方渠道核实。须特别说明：CFDI于2026年8月10日发布的E6(R3)附件2中文翻译稿及实施建议目前为"征求意见稿"，尚未正式生效，本文据此作前瞻性合规分析，不构成对生效规则的引用；企业实际合规请以官方正式文本及专业法律顾问意见为准。