鼠疫研究与合规门槛
各位如果长期关注跨境投资和外资企业合规，大概都有一个感觉：这两年“合规”这个词已经不再局限于税务、外汇、劳动法，而是延伸到了看似完全不搭界的历史研究领域。我最近接触到的一个案例，就让我对这件事有了更具体的认识。一家欧洲的公共卫生研究基金会，想在中国开展关于“传统鼠疫应对”的文献研究，涉及到清末东北鼠疫、云南鼠疫流行史等资料，结果在项目备案和信息出境环节卡了壳。他们原本以为这只是学术合作，跟行政合规没什么关系，但实际操作中发现，历史研究同样要面对数据合规、档案管理、甚至国家安全审查的多重框架。这篇文章，我想结合自己12年服务外资企业、14年跑登记注册手续的经验，把“外国研究中国传统鼠疫应对中的医史合规”这个话题拆开来讲一讲。不是要吓唬谁，而是希望帮大家少走弯路。
先说一下为什么这个话题值得投资专业人士关注。表面上看，鼠疫是医学史、公共卫生史的研究对象，跟资本市场的关联度不高。但如果你服务的外资客户涉及生物医药、公共卫生、保险精算、甚至文化遗产基金，那么历史疫情数据就是底层资产的一部分。比如，一家外资再保险公司要评估中国某些地区的长期流行病风险，它可能需要回溯历史鼠疫的时空分布；一家跨国药企在研发广谱抗鼠疫药物时，也可能需要引用中国地方志里的传统应对记录。这些需求一旦落地，就会触发一个很现实的问题：外国人能不能自由查阅、复制、传输中国境内的医史档案？ 答案显然不是简单的“能”或“不能”，而是取决于一套复杂的合规逻辑。
我经手过一个比较典型的案例。2021年，一家法国研究机构想与国内某高校合作，整理19世纪末至20世纪初中国东北鼠疫的防疫档案，包括当时的隔离措施、中医药方、口岸检疫记录。项目本身是纯学术的，但他们在没有完成档案出境审批的情况下，把一批扫描件上传到了境外服务器。结果被相关部门约谈，项目暂停了将近半年。后来我们帮他们做合规整改，核心就是把“研究行为”和“数据行为”分开管理：研究可以在境内合作完成，但数据出境必须走独立审批。这个教训很直接——医史研究不是法外之地，尤其是涉及疫情、边疆、民族、中外关系等敏感维度时。
档案归属与访问权限
第一个要讲清楚的方面，是档案归属和访问权限。中国的医史档案，尤其是鼠疫相关的资料，分散在各级档案馆、图书馆、疾控中心、地方志办公室，甚至一些高校的特藏部。外资研究机构往往习惯性地认为，只要对方单位同意合作，就可以直接调阅。但实际情况是，档案的开放程度取决于它的保管级别和形成时间。比如，清末民初的鼠疫防治档案，很多已经解密，但属于“控制使用”范围，需要凭单位介绍信和研究计划审批。而涉及建国后防疫运动的资料，可能还带有个人健康信息，那就更要小心。
我个人的经验是，外资研究团队最容易犯的错误，是把“学术合作”等同于“数据共享”。他们跟国内学者签了合作协议，就以为可以随便复制、扫描、外传。但国内合作方往往也没有权限直接开放全部档案，因为档案的所有权归国家，合作方只是保管者或研究者。这时候，合规的路径是：先由国内合作方申请档案查阅，明确使用范围和期限，再评估是否需要出境。如果研究结论要在境外发表，引用内容也要经过审核。听起来繁琐，但这是避免项目被叫停的唯一办法。
还有一点值得注意：不同地区的档案管理尺度差异很大。比如，东北某市档案馆对鼠疫历史资料相对开放，因为当地有伍连德纪念馆，学术研究氛围浓；但云南边境地区的一些档案，涉及跨境民族和境外疫情输入，管理就更严格。外资研究机构如果用一个统一的标准去套，很容易碰壁。我的建议是，在项目启动前，先做一次“档案合规尽调”，搞清楚目标档案的保管单位、开放级别、审批流程，而不是先写研究方案再找资料。
从行业术语来说，这属于“数据生命周期管理”的前端环节。很多外资客户只关注数据出境后的合规，忽略了数据获取阶段的合法性。实际上，如果数据获取本身就不合规，后面的出境审批根本无从谈起。我在给外资企业做合规培训时，经常打一个比方：你不能先摘了别人家的果子，再问能不能带出国。档案也是同理，先要确认你有权摘，再谈运输。
个人健康信息红线
第二个方面，是个人健康信息的红线。鼠疫作为一种烈性传染病，历史档案里不可避免地包含病例记录、死亡登记、隔离人员名单、疫苗接种信息等。这些信息在当年可能只是防疫需要，但在今天，只要能够识别到特定个人，就属于个人健康信息，甚至敏感个人信息。外资研究机构如果把这些内容扫描后传到境外，就可能触发《个人信息保护法》的跨境传输规则，而不是简单的档案管理问题。
我遇到过一家德国研究机构，他们想分析1910年东北鼠疫期间某村庄的死亡率，需要调取当时的户籍和死亡登记。这些资料里有很多具体人名、年龄、住址。他们觉得“都是一百多年前的人了，还有什么隐私？”但从法律角度看，个人信息的保护期限并不完全以当事人是否在世为界限，尤其是涉及健康、基因、民族等信息时，很多国家的法律都倾向于延长保护。中国法律虽然没有明确的历史档案豁免条款，但在实际操作中，档案部门会要求对个人信息进行脱敏处理。
更麻烦的是，有些外资研究团队为了追求“原汁原味”，坚持保留原始姓名和地址，认为这样才有学术价值。这种想法在学术上可以理解，但在合规上风险很高。我的做法是建议他们采用“分层研究”策略：第一层，在境内对原始档案进行数字化和脱敏，形成匿名化数据集；第二层，只将匿名化后的统计结果或分析模型带到境外。这样既不影响研究质量，又规避了个人信息出境的硬性障碍。脱敏的标准要事先跟档案保管单位和监管部门沟通，不能自己拍脑袋。
还有一个容易被忽略的点：历史档案中的个人健康信息，可能涉及特定民族的群体健康数据。比如，某些鼠疫流行区是少数民族聚居区，如果研究结论指向“某民族对鼠疫更易感”之类的表述，就不仅仅是隐私问题，还可能触及民族政策和生物安全。外资研究机构在选题和发表时，需要做前置的审查和敏感性评估。我通常建议客户在项目方案里增加一个“社会影响评估”章节，说明研究不会对特定群体造成污名化。
从实操角度看，个人健康信息的合规成本往往被低估。很多外资客户预算里只算了差旅、翻译、资料费，没有算脱敏处理、法律咨询、审查的费用。结果做到一半发现钱不够，要么偷工减料，要么项目烂尾。我的经验是，这类研究的合规成本至少占总预算的15%到20%，如果涉及多地区、多档案馆，比例还要更高。提前把这笔钱列进去，比事后补救划算得多。
跨境数据传输审批
第三个方面，是跨境数据传输审批。这是外资研究机构最头疼的环节，也是最容易出问题的环节。按照中国现行规定，重要数据和个人信息出境需要经过安全评估或标准合同备案，而医史档案中的疫情数据、地理信息、人口健康数据，很可能被认定为“重要数据”。尤其是鼠疫这种甲类传染病，其历史流行范围、传播路径、宿主分布等信息，可能涉及生物安全和公共卫生安全，属于敏感领域。
我经手过一个案例，一家美国基金会资助的研究项目，想把中国南方某省的鼠疫历史数据传到美国总部做建模。他们一开始走的是“学术合作”通道，以为不需要审批。结果在海关被扣了一批硬盘，理由是“涉嫌未经批准传输重要数据”。后来我们帮他们重新梳理，发现这些数据里包含了精确到乡镇的疫情分布图，以及当地啮齿动物种群的历史记录。这些信息如果被境外机构整合，可能用于评估特定地区的生物安全脆弱性。最后项目不得不调整方案，把建模工作放在境内完成，只把不涉及原始数据的分析报告带出境。
这个案例说明，跨境数据传输审批不是走形式，而是有实质审查的。外资研究机构需要准备的材料包括：数据出境的必要性说明、数据接收方的安全保护能力证明、数据分类分级清单、风险评估报告等。其中，数据分类分级是最关键也最容易被忽视的一步。很多机构把“历史数据”统统归为“非敏感”，这是大错特错。历史疫情数据可能比当代数据更敏感，因为它涉及长期趋势和地理分布，一旦被恶意利用，后果很难预料。
从审批时间来看，安全评估通常需要30到60个工作日，如果材料不齐全或者需要补充说明，可能拖到半年。标准合同备案相对快一些，但也要20个工作日左右。外资研究机构如果按“学术期刊投稿周期”来倒排时间，几乎肯定会延误。我的建议是，把数据出境审批作为项目关键路径上的第一项任务，而不是最后一项。先拿到审批，再开展大规模数据收集，否则就是给自己挖坑。
审批不是一劳永逸的。如果研究范围扩大、数据量增加、接收方变更，都需要重新审批或备案。我见过一些外资机构，第一次审批通过后，后续又加了好几个数据库，以为在原有框架下没问题。结果被监管部门发现，项目直接叫停。合规是一个动态过程，不是一张静态证书。 这一点，做投资尽调的朋友应该很容易理解，就像你不能用去年的审计报告去证明今年的财务状况。
合作方合规连带
第四个方面，是合作方合规连带。外资研究机构在中国开展医史研究，通常需要找国内高校、档案馆、疾控中心或地方志办公室作为合作方。很多外资机构认为，只要自己合规就行了，国内合作方的问题跟自己无关。但实际操作中，如果国内合作方违规提供档案或数据，外资方同样要承担连带责任，甚至可能被列入不可靠实体清单。
我印象很深的一个案例，是一家英国研究机构与国内某地方疾控中心合作，研究民国时期某地的鼠疫防治。疾控中心的一位工作人员出于好意，把一批未公开的防疫档案复印件给了英方。英方觉得这是“合作成果”，直接扫描上传到境外数据库。后来这批档案被认定属于“控制使用”范围，未经审批不得出境。结果不仅疾控中心被通报批评，英方也被暂停了在华研究资格。英方觉得很冤，认为自己没有主动索取，是对方主动给的。 但在法律上，接收方有义务确认数据来源的合法性，不能以“别人给的”为免责理由。
这个案例给我们的启示是，外资研究机构在选择国内合作方时，不能只看学术能力，还要看合规能力。具体来说，要确认合作方是否有档案查阅和对外合作的权限，是否了解数据出境的规定，是否有内部合规审查流程。最好在合作协议里明确约定：数据提供方保证数据来源合法，数据接收方保证使用范围合规，双方共同承担出境审批义务。 这样虽然不能完全免除责任，但至少可以在出问题时证明自己尽到了合理注意义务。
从我的经验看，国内很多基层档案馆、疾控中心、地方志办公室对合规要求并不熟悉，他们可能觉得“学术研究是好事，没必要卡那么严”。这时候，外资方如果也不懂，就容易一起踩雷。我的建议是，外资研究机构可以聘请中国本土的合规顾问，提前对合作方进行合规培训和流程梳理。这笔钱花得值，因为一旦出事，项目损失远不止顾问费。
还有一点，合作方的合规连带不仅体现在数据提供上，还体现在研究成果的发表上。如果国内合作方在论文中使用了未经审批的数据，外资方作为共同作者或资助方，同样可能被追责。在论文投稿前，最好做一次合规审查，确认所有数据来源和使用方式都符合规定。我一般建议客户在投稿前留出两周的合规审核时间，不要卡着deadline操作。
发表与传播限制
第五个方面，是发表与传播限制。外资研究机构做中国鼠疫医史研究，最终目的往往是发表在国际期刊上，或者通过媒体传播。但研究成果的发表和传播，同样受到合规约束，尤其是涉及中国疫情历史、地理信息、民族健康数据的内容。有些内容在学术上没问题，但在传播上可能被认定为“损害国家形象”或“泄露敏感信息”。
我处理过一个比较微妙的案例。一家北欧研究机构在论文中使用了中国某边境地区鼠疫流行的历史地图，标注了具体村寨和传播路线。论文本身是纯学术的，但发表后被我方认为“可能影响边境地区社会稳定”。后来经过沟通，研究机构同意在后续版本中对地图进行模糊化处理，并增加一段说明，强调研究不涉及当代边界争议。这个案例说明，学术自由和合规要求之间需要找到平衡点，而不是非此即彼。
从实操角度看，外资研究机构在投稿前应该做几件事：第一，确认论文中引用的所有数据都已获得出境审批或脱敏处理；第二，对涉及地理、民族、边境的内容进行敏感性审查；第三，如果论文结论可能引发争议，最好提前与中国合作方沟通，甚至向相关部门报备。这些步骤听起来麻烦，但比论文发表后被撤稿或引发外交纠纷要好得多。 我见过一些研究机构因为一篇论文被列入“观察名单”，后续所有在华项目都受影响，代价太大了。
媒体传播也是合规的重要一环。有些外资研究机构在论文发表后，会主动向媒体供稿或接受采访，这时候如果表述不当，可能放大合规风险。我的建议是，研究成果的对外传播应该有一个统一的口径，最好由合作双方共同审核。尤其是涉及中国历史疫情的内容，不要为了“吸引眼球”而使用耸人听闻的标题或表述。学术研究有学术研究的语言，媒体传播有媒体传播的规矩，两者不能混为一谈。
从长远看，发表与传播的合规成本会越来越高。随着中国对数据主权和生物安全的重视，外资研究机构需要把合规前置到研究设计阶段，而不是等到发表时才想起来。我通常建议客户在项目立项时就制定“发表合规路线图”，明确哪些内容可以在境外发表，哪些需要脱敏，哪些只能在内部分享。这样既保护了研究自由，也避免了不必要的法律风险。
地方志与口述史
第六个方面，是地方志与口述史的特殊性。鼠疫医史研究离不开地方志和口述史，这两类资料在合规上有一些独特之处。地方志往往由地方组织编纂，带有官方色彩，其使用和引用需要尊重地方的意愿。口述史则涉及受访者的个人记忆和授权，如果受访者不同意出境，研究机构不能强行使用。
我参与过一个项目，是一家澳大利亚研究机构想整理云南某地鼠疫幸存者的口述史。他们通过当地疾控中心找到几位老人，做了访谈录音。这些录音里有很多个人经历和家族记忆，非常珍贵。但研究机构想把录音原始文件带到境外做分析，被我们劝阻了。原因是，口述史受访者虽然同意接受访谈，但未必同意录音出境。后来我们帮他们重新签了授权书，明确录音只能在中国境内使用，境外只能使用匿名化后的文字稿。这样既保护了受访者权益，也满足了研究需求。
地方志的使用也有类似问题。很多地方志里关于鼠疫的记载，带有强烈的地方叙事色彩，甚至涉及一些历史争议。外资研究机构如果直接引用并发表，可能被地方认为“断章取义”或“不尊重地方历史”。我的经验是，在使用地方志之前，最好与当地史志办或档案馆沟通，了解哪些内容可以公开引用，哪些需要谨慎处理。这不是学术审查，而是基本的尊重和合规。
从合规技术角度看，地方志和口述史都属于“非结构化数据”，处理起来比统计报表复杂得多。外资研究机构往往缺乏这方面的经验，容易把访谈录音、手稿、照片等原始材料随意传输。我建议对这类材料建立单独的合规台账，记录每一份材料的来源、授权范围、使用限制和出境状态。这样在遇到检查时，可以快速提供证明材料。
还有一点，口述史的受访者往往年事已高，他们的记忆可能涉及一些敏感的集体记忆。外资研究机构在做这类研究时，需要特别注意不要将个人记忆与政治叙事挂钩。学术研究可以记录事实，但不要轻易下价值判断。我通常建议客户在口述史项目中增加一个“顾问”角色，由熟悉当地文化和社会背景的学者担任，帮助判断哪些内容适合公开，哪些需要保护。
合规成本与商业逻辑
第七个方面，是合规成本与商业逻辑。很多外资研究机构把医史合规看作纯粹的“成本中心”，觉得花钱做审批、请顾问、做脱敏，都是浪费。但从投资角度看，合规其实是一种风险对冲。一次违规可能导致项目终止、罚款、甚至市场禁入，这些损失远远超过合规投入。我经常跟客户说，你不是在花钱买审批，而是在花钱买“继续在中国做研究”的资格。
从商业逻辑上讲，外资研究机构如果能把合规做好，反而能形成竞争优势。因为很多竞争对手因为合规问题退出或放缓，而你如果能稳定、合规地获取中国医史数据，你的研究质量和连续性就会领先。合规能力正在成为研究机构的核心竞争力之一，尤其是在生物医药、公共卫生、保险精算等领域。我见过一些机构，因为合规做得好，反而拿到了更多合作项目和基金资助。
合规成本也要控制。我的建议是，不要把合规做成“无限投入”，而是根据项目规模和风险等级做分级管理。小型文献研究，可能只需要标准合同备案和脱敏处理；大型多中心研究，可能需要安全评估和审查。关键是提前规划，而不是边做边补。我通常帮客户做一个“合规预算表”，把各项费用列清楚，这样他们在申请经费时也有依据。
从行业趋势看，未来医史研究的合规要求只会更严，不会更松。随着《数据安全法》《个人信息保护法》《生物安全法》的深入实施，外资研究机构需要把合规纳入日常管理，而不是项目制应对。我建议有长期在华研究计划的外资机构，设立专门的合规岗位或聘请常年合规顾问，这样比每次项目都临时找人有更高的效率和更低的成本。毕竟，合规不是一次性考试，而是持续的经营行为。
最后说一点个人感想。我做了12年外资企业服务，最大的体会是：很多合规问题不是技术问题，而是认知问题。外资研究机构如果一开始就认为“学术研究不需要合规”，那后面一定会出问题。反过来，如果一开始就接受“合规是研究的一部分”，那很多麻烦都可以避免。医史研究中的鼠疫应对，本身就是人类与疾病斗争的历史，我们今天做研究，也应该用同样的严谨和敬畏去对待合规。
结语与前瞻
这篇文章围绕“外国研究中国传统鼠疫应对中的医史合规”，从档案归属、个人健康信息、跨境数据传输、合作方连带、发表传播、地方志口述史、合规成本等七个方面做了展开。核心观点可以归结为一句话：医史研究不是合规的例外，而是合规的新前沿。 外资研究机构如果想把中国鼠疫历史研究做好，就必须把合规前置、把流程做细、把合作方管好。这不是限制学术自由，而是保障学术研究能够可持续地进行。
从未来研究方向看，我觉得有几个领域值得关注。一是数字化档案的合规标准，目前还比较模糊，需要更多案例和指引；二是跨境学术合作的合规模板，如果能形成行业共识，可以大大降低交易成本；三是医史研究与生物安全的交叉地带，需要更多跨学科研究。对于投资专业人士来说，如果服务的外资客户涉及这些领域，建议提前布局合规能力，不要等到项目卡壳才想起来找顾问。
嘉希财税在这个领域的洞察是：医史合规看似冷门，实则与外资企业在华经营的底层逻辑相通——都是关于“数据、档案、人员、合作”的合规管理。我们服务过不少研究型外资机构，发现他们最大的痛点不是不懂中国法律，而是不知道如何把法律要求翻译成可操作的研究流程。嘉希的优势在于，我们既有外资企业服务的经验，又有登记注册和行政手续的实操积累，能够帮客户把合规从“纸面要求”变成“落地动作”。未来，我们计划推出针对医史研究机构的合规工具包，包括档案查阅清单、数据出境流程图、合作方合规评估表等，希望能够帮助更多外资研究机构在中国安心做研究、合规出成果。
