近年来，随着中美关系的变化，跨国交易的合规考量正变得越来越重要。

4月27日，国家发改委外商投资安全审查工作机制办公室对外资收购Manus项目作出禁止投资决定，并要求当事人撤销交易。从公开信息看，这是《外商投资安全审查办法》实施以来首宗由主管部门公开披露的禁止投资决定。Manus由中国团队创立的蝴蝶效应公司开发，公司将总部从中国迁至新加坡，大幅裁减国内团队。2025年12月30日，Meta宣布以约20亿美元收购，包含核心技术、代码、数据及完整研发团队转移。即使已经完成了境外身份的转变，但监管的核心逻辑是"实质重于形式"：即使交易主体在形式上已变为境外公司，只要核心技术、核心团队及早期研发成果源自中国境内，仍被认定为外商投资行为并纳入审查。

Manus案至少释放了一个值得警惕的信号：境外注册并不当然切断一项交易与中国监管的联系。虽然行业不同，但医药健康关系公众健康、生物安全和产业链安全，创新药BD交易也应当提前评估是否与中国境内企业、资产、技术、团队、数据或人类遗传资源存在足以触发监管的连接点。

一、 外商投资安全审查 

Manus案的法律依据是《外商投资安全审查办法》。该办法第四条规定，外国投资者投资"投资关系国家安全的重要农产品、重要能源和资源、重大装备制造、重要基础设施、重要运输服务、重要文化产品与服务、重要信息技术和互联网产品与服务、重要金融服务、关键技术以及其他重要领域"，且取得所投资企业实际控制权的，应当在实施投资前主动向国家发改委外商投资安全审查工作机制办公室申报。

一个值得注意的现状是：《外商投资安全审查办法》第四条列举的重要领域包括“重要农产品”“重要能源和资源”“关键技术”“重要信息技术和互联网产品与服务”等，但没有直接点名生物技术或生物医药。但是我们可以注意到，其他国家和地区正不断加强对生物安全、生物医药产业链韧性和关键药物供应能力的关注。

美国方面，拜登总统于2022年9月15日签署第14083号行政令，要求CFIUS在审查外国投资时进一步考虑供应链韧性、美国技术领先地位、网络安全和敏感数据等因素，并在影响美国技术领先地位的领域中列举生物技术和生物制造、微电子、人工智能、量子信息技术等。欧盟方面，欧盟委员会于2025年3月11日提出《关键药物法案》（Critical Medicines Act）立法提案，旨在提高关键药物供应的可获得性和韧性、增强欧盟制造能力并降低对单一供应来源的依赖；欧盟理事会于2025年12月2日形成谈判立场，欧洲议会与理事会于2026年5月12日达成临时政治协议。欧盟2024年12月更新的关键药物清单涵盖276种活性物质。这些趋势说明，生物技术和生物医药正在被越来越多地纳入国家安全、公共健康和供应链安全的政策视角。就中国而言，现行《外商投资安全审查办法》尚未直接将生物医药列为独立类别，但“关键技术”及“其他重要领域”的表述保留了个案解释空间。

《外商投资安全审查办法》中“实际控制权”有三类认定情形：

一是外国投资者持有企业50%以上权益；

二是持有权益不足50%，但其表决权能够对董事会、股东会或者股东大会的决议产生重大影响；

三是存在其他导致外国投资者能够对企业经营决策、人事、财务、技术等产生重大影响的情形。

第三项是一个兜底定义——也就是说，外商投资安全审查的适用范围，并不是狭义上的"并购"理解。获得董事会、股东会的重大影响，或者对企业经营管理产生重大影响，都可能触发实际控制权的变化。

关于“实际控制权”的认定，现行中国外商投资安全审查规则没有进一步给出量化标准；什么构成对决议或经营决策、人事、财务、技术的“重大影响”，需要结合持股比例、治理权利、合同安排和实际影响综合判断。但如果参照美国的CFIUS管理办法，可以做一些预判。

美国CFIUS对"控制"的定义远比公司法语境下更宽泛——指"直接或间接决定、指示或决定对美国企业重要事项的权力"。实践中，持股比例在10%以上的外国股东，并且有董事席位或针对关键技术的否决权，很有可能也会被认为获得了实际控制权。

需要强调的是，10%是一个实践基准而非法定的明确门槛；关键在于是否"仅为被动投资目的"（solely for the purpose of passive investment），如果不是，即使投资比例仅为10%，也可能构成控制。更重要的是，2018年通过的FIRRMA（《外国投资风险评估现代化法》）及2020年全面实施的配套规则，将部分非控制性投资纳入CFIUS管辖。对涉及关键技术、关键基础设施或敏感个人数据的“TID美国企业”，即使外资不取得控制权，只要获得以下任一权利，也可能构成covered investment：（a）获取重大非公开技术信息；（b）董事会成员、观察员席位或提名权；（c）以行使股东表决权以外的方式参与涉及关键技术、敏感个人数据或关键基础设施的实质性决策。而生物技术已被明确列入FIRRMA试点计划的27个行业之一（该试点已于2020年2月结束）。

CFIUS在生物医药和健康数据领域已有实际干预案例。2019年，受CFIUS审查影响，中国公司碳云智能（iCarbonX）出售了其在美国患者数据平台PatientsLikeMe的控股权益。中国生物制药旗下invoX于2022年拟收购双抗平台公司F-star Therapeutics时，CFIUS曾通过临时命令阻止交易在审查完成前交割；此后交易于2023年3月获得CFIUS放行并完成。

因此，掌握关键、先进技术的中国生物医药公司接受外国投资人大比例投资时，应当评估是否属于《外商投资安全审查办法》规定的重要领域并发生实际控制权变化。外国投资人获得董事席位、对关键技术或经营事项的特别否决权、重大信息权或其他影响力时，即使持股未达到50%，也可能增加触发申报或监管沟通的可能性。

二、人类遗传资源

中国对人类遗传资源的监管，核心是把涉及中国人群样本和基因组数据的活动纳入许可、备案、事先报告和安全审查的框架。

中国人类遗传资源监管主要有三层法律依据：

第一，《中华人民共和国生物安全法》（2021年4月15日施行）在第六章规定“人类遗传资源与生物资源安全”；

第二，《人类遗传资源管理条例》（2019年施行，2024年修订）；

第三，《人类遗传资源管理条例实施细则》（科学技术部令第21号，2023年7月1日施行）。

国务院令第777号自2024年5月1日起将全国人类遗传资源管理职责由科技部调整至国家卫生健康委员会；相应行政许可、备案、事先报告、安全审查和监督执法职责现由国家卫生健康委员会承接。

《实施细则》第二条明确：人类遗传资源信息包括利用人类遗传资源材料产生的人类基因、基因组数据等信息资料，但不包括临床数据、影像数据、蛋白质数据和代谢数据。虽然常规的临床数据不会被认定为人类遗传资源信息，但如果数据包中包含基因、基因组、外显子组测序等内容，性质就可能发生变化。

更关键的是，《人类遗传资源管理条例》第七条及《实施细则》第十一条规定，境外组织、境外个人以及其设立或者实际控制的机构（统称“外方单位”）不得在中国境内采集、保藏中国人类遗传资源，也不得自行向境外提供中国人类遗传资源；《实施细则》第十二条则进一步规定了外方单位的控制认定标准，包括持有50%以上权益，以及不足50%但足以支配或对机构决策、管理施加重大影响等情形。因此，如果股权并购后境内主体成为外方单位，其后续在中国开展涉及人类遗传资源的活动将不能再完全按照中方单位的身份进行，而通常需要由符合条件的中方单位开展，并根据具体项目履行国际科学研究合作许可、国际合作临床试验备案等程序。

《实施细则》第三十六条规定，将人类遗传资源信息向境外组织、个人及其设立或者实际控制的机构提供或者开放使用，中方信息所有者原则上应当事先报告并提交信息备份；已获国际科学研究合作许可或已完成国际合作临床试验备案，且国际合作协议已经约定由双方使用合作产生信息的，可以不另行报告。第三十七条进一步规定，相关提供或开放使用可能影响我国公众健康、国家安全和社会公共利益的，还应当通过安全审查。明确应当安全审查的情形包括：重要遗传家系信息；特定地区信息；人数大于500例的外显子组测序、基因组测序信息资源；以及其他可能影响公众健康、国家安全和社会公共利益的情形。

三、数据出境

创新药交易中，买方通常会要求开放data room，内容包括临床方案、受试者数据、SAE、实验室检测结果、药代药效数据、统计分析报告、CMC数据等。其中，从中国数据合规角度看，如果过程中涉及向境外提供个人信息或重要数据，就可能落入数据出境规则。

数据出境的上位法包括《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》，并应关注《网络数据安全管理条例》（2025年1月1日施行）。具体规则层面，则要结合《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号，2024年3月22日施行）、《数据出境安全评估办法》《个人信息出境标准合同办法》等判断。

《促进和规范数据跨境流动规定》对出境路径作了分层安排。不包含个人信息或重要数据的一般数据，在国际贸易、学术合作、跨国生产制造等活动中出境，不需要申报安全评估、订立个人信息出境标准合同或通过认证。对于关键信息基础设施运营者，向境外提供个人信息或重要数据原则上应申报安全评估；对于其他数据处理者，重要数据出境，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或1万人以上敏感个人信息，应申报安全评估；累计提供10万人以上、不满100万人个人信息（不含敏感个人信息）或不满1万人敏感个人信息的，原则上应订立标准合同或通过个人信息保护认证。未达到相应数量门槛并不等于可以忽略《个人信息保护法》下的告知、同意、必要性、影响评估和安全保护义务。

药企尤其要注意“敏感个人信息”。《个人信息保护法》第二十八条明确，医疗健康信息属于敏感个人信息。处理敏感个人信息应具有特定目的和充分必要性，采取严格保护措施，并原则上取得个人的单独同意；向境外提供个人信息，还应满足该法第三十八条规定的出境条件，向个人告知境外接收方等事项并取得单独同意，同时事前开展个人信息保护影响评估。经真正匿名化处理、无法识别且不能复原的信息不属于个人信息；但仅做去标识化或一般“脱敏”，并不当然脱离个人信息监管。

这意味着，在BD项目中，不能等到签约前才问“数据能不能交”。更合理的做法是，在项目早期把资料分成三类：

第一类，不含个人信息、重要数据或其他受管制信息，可以直接披露的商业和技术资料；

第二类，经汇总、最小化、去标识化或匿名化后披露，并同步落实访问控制和用途限制的资料；

第三类，需要取得授权同意，并履行人遗事先报告、备案、许可、安全审查或数据出境安全评估、标准合同、认证等程序后才能提供的资料。这里尤其要避免把“脱敏”等同于“匿名化”。

四、 技术出口与出口管制

创新药BD通常以知识产权许可或转让为核心，但专利权属清楚、许可或转让范围明确，只解决合同和知识产权层面的问题。只要交易中向境外提供专利、技术秘密、生产工艺、细胞株构建方法、关键参数、质量控制know-how、算法模型、筛选平台、CMC技术包或技术服务，就还要分别核对两套可能并行适用的制度：技术进出口管理和出口管制。

先看技术进出口管理。

核心法规是《中华人民共和国技术进出口管理条例》以及《中国禁止出口限制出口技术目录》（商务部、科技部公告2023年第57号，自公布之日起施行）。2023年目录共列134项技术，其中禁止出口24项、限制出口110项，并将“用于人的细胞克隆和基因编辑技术”列为禁止出口技术，其控制要点具体涉及用于生殖目的的人体克隆以及对人体生殖细胞、受精卵或人胚胎进行编辑的基因编辑技术等。属于禁止出口的技术不得出口；限制出口技术实行许可证管理；自由出口技术实行合同登记管理。

再看出口管制。

这是一套独立的法律体系，管制的物项和技术范围与技术进出口目录不完全重叠。《中华人民共和国出口管制法》（2020年12月1日施行）和《中华人民共和国两用物项出口管制条例》（2024年12月1日施行）构成了当前出口管制的核心框架。两用物项，是指既有民事用途又有军事用途或者有助于提升军事潜力的货物、技术和服务。

统一的《中华人民共和国两用物项出口管制清单》中，生物相关物项包括清单列明的特定病原体、毒素、遗传元件和转基因生物，以及符合特定性能、规格或用途条件的生物安全设备、发酵罐和生物反应器等。此外，即使物项未列入清单，出口经营者知道或者应当知道相关物项可能危害国家安全和利益、被用于大规模杀伤性武器及其运载工具相关活动或被用于恐怖主义目的的，也可能触发《出口管制法》第十二条规定的“全面管制”及许可义务。

五、反垄断/经营者集中审查

根据《反垄断法》和2024年修订的《国务院关于经营者集中申报标准的规定》，参与集中的经营者上一会计年度全球营业额合计超过120亿元，且至少两个经营者上一会计年度在中国境内营业额均超过8亿元；或者参与集中的经营者上一会计年度在中国境内营业额合计超过40亿元，且至少两个经营者上一会计年度在中国境内营业额均超过8亿元的，应当事先申报。

License-out或资产交易是否构成经营者集中，关键不在于是否使用“独占许可”这一名称，而在于受让方是否通过取得股权、资产或合同安排取得对另一经营者的控制权或能够施加决定性影响。单独取得一项专利或许可通常不当然构成集中；但如果知识产权连同人员、设备、客户关系等共同构成可独立运营的业务，或者相关许可安排实质上转移了对业务的决定性影响，则需要进一步分析。NewCo交易中，通过股权收购或新设共同控制的合营企业取得控制权，并达到营业额门槛的，也应在中国申报。即使未达到门槛，有证据证明集中具有或者可能具有排除、限制竞争效果的，执法机构仍可要求申报。

除了申报义务，交易附属安排也有反垄断风险。不质疑条款、排他性回授、限制使用竞争性技术、再许可限制等安排，可能排除、限制竞争；不竞争条款如果超出实现交易所合理必要的期限、地域、产品或人员范围，也可能被单独评价。即使交易不构成经营者集中或未触发申报，相关协议仍可能受到垄断协议或滥用市场支配地位规则的审查。

如果您是投资机构、医药 / 器械上市公司、海外 BD 团队、产业合作伙伴，

对上述项目感兴趣，欢迎扫描下方二维码添加微信，共抓医疗健康领域创新机遇！

获得更多行业信息和动态，和业界精英深入交流

欢迎扫码加入植德律所行业沟通群