买的 LIMS 里的数据归检测机构，不归软件供应商——但这句话的落点不在法律条文上：我国法律没有「数据所有权」这一项权利，归属只能靠合同写；准则那边还有一条更硬的约束：系统由外部供应商管理和维护时，机构必须确保供应商满足准则的所有适用要求。

这句话听着像文字游戏，实际是两类机构的分水岭。一类把数据当成自己的资产，合同、导出、备份都按「随时能拿走」设计；另一类把数据当成供应商的赠品，用了五年才发现导不出一份能打开的历史原始记录，一换系统，前面几年的报告全成了孤本。

下面按五个问题拆：法律上怎么定、评审怎么看、备份和迁移差在哪、导出要导出什么、云端还多守哪一条。最后一节给合同条款和验收动作，可以直接拿去用。

法律上到底有没有「数据归谁」这一说？

没有「数据所有权」这个法定权利，只有持有、使用、加工、传输等处理权利与义务。所以「归谁」这件事，法律留给了合同——合同没写的部分，等于没定。

《中华人民共和国数据安全法》2021 年 6 月 10 日通过、2021 年 9 月 1 日起施行。第二十七条要求：开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全；利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。

国家互联网信息办公室：《中华人民共和国数据安全法》全文（第二十一条数据分类分级、第二十七条数据安全保护义务）

注意它的写法：通篇讲的是「处理者」的义务，不是「所有者」的权利。这是有意的——数据可以同时被多方持有，客户委托你检测、你产生原始记录、供应商托管数据库，三方手里都有副本。谁的权利优先，法律不替你排，要靠约定排。

所以合同里必须出现这四类句子：数据由机构所有并自行支配、供应商仅为受托处理方且不得用于其他用途、机构可随时自助导出、服务终止时如何导出让与删除。缺哪一句，那一块就是空白。

系统放在供应商云上，评审会不会被判不符合？

不会仅因为上云就不符合，但机构必须证明供应商满足准则要求——这条责任无法通过外包转移。CNAS-CL01:2018 第 7.11.4 条原文：当实验室信息管理系统在异地或由外部供应商进行管理和维护时，实验室应确保系统的供应商或运营商符合本准则的所有适用要求。

配套的应用要求把落实方式说得很直接：包括但不限于与供应商签订包含公正性、保密性等符合准则要求的协议。评审现场通常看三样：协议、远程维护的审批与台账、以及机构能不能当场把数据完整导出来。

中国合格评定国家认可委员会：CNAS-CL01:2018《检测和校准实验室能力认可准则》官方发布页（第 7.11 条信息管理系统）

我们在交付现场被问得最多的三句话，几乎每场都会出现：「数据存在哪」「我们能不能自己导出来」「你们要是不做了怎么办」。前两个当场就能演示——打开导出页，选时间范围，生成文件，用一台没装系统的电脑打开看。第三个当场演示不了，只能靠合同，这也是它最容易被含糊过去的原因。

顺带说清一条经常被忽略的：CNAS-CL01:2018 第 7.11.5 条要求实验室应确保员工易于获取与实验室信息管理系统相关的说明书、手册和参考数据。手册锁在供应商手里、只有管理员能看，这一条就不满足。它是「数据在谁手里」这个问题的另一面——知识也得在机构手里。

备份就等于能迁走吗？

不等于。备份是给同一套系统恢复用的，格式往往是私有的；迁移要的是人能读的格式加一份结构说明。这两件事经常被当成一件，代价是换系统时全部推倒重来。

备份通常分三块：数据库、附件、配置。只备数据库不备附件，报告里的谱图、照片、原始扫描件全丢；只备附件不备数据库，一堆文件没有归属，谁的报告、哪个样品、什么时间，全无从判断；配置不备，模板、编号规则、权限矩阵要重新搭一遍，而这些东西恰恰是评审时最想看的证据。

还有一个时间尺度的问题。《检验检测机构监督管理办法》经总局令第 101 号修订，自 2025 年 5 月 1 日起施行，第十三条规定检验检测原始记录和报告应当归档留存、保证可追溯，保存期限不少于 6 年。六年里换一套系统，是很正常的事；六年里供应商换三次主体、被收购、停止维护，也不稀奇。所以「可迁移」不是应急预案，是常规能力。

中国政府网：市场监管总局令第 101 号（2025 年第 14 号国务院公报，含《检验检测机构监督管理办法》修订内容）

最省事的判断办法：让供应商给你导一次，然后拿一台没装任何软件的电脑打开。打得开、看得懂、能按样品或报告编号检索，才算数。打不开，就是私有的。

导出到底应该导出什么？

五样：报告文件、原始记录、审计追踪、附件、结构说明。少一样，导出包在换系统之后就不成立。

只导报告 PDF 是最常见的错。PDF 是成果，原始记录才是证据；评审员抽一份报告要复算，看的是当时的称量、读数、环境条件、仪器编号、计算过程，这些都在原始记录里，不在 PDF 里。报告能打开、原始记录打不开，等于证据链断在中间。

审计追踪常被漏掉，因为它不像「资料」。但 CNAS-CL01:2018 第 7.11.3 条 b) 项要求系统安全保护以防止篡改和丢失，d) 项要求以确保数据和信息完整性的方式进行维护。一条能用的追踪记录至少五个字段：谁、什么时间、改了哪个字段、改前改后各是什么、为什么改。导出的追踪记录如果只剩「某某修改」四个字，等于没导。

结构说明是最容易被当成「不用给」的东西，实际最关键。它要写清字段含义、编码规则、状态流转、单位与精度约定。举个最常见的坑：报告编号规则里有作废号、重发号、补充报告号，各占什么号段；新系统导入时不知道这个规则，历史编号会被重排，客户和监管按老编号一查就查不到。

附件和原始记录的关系也要说清。样品照片、委托单扫描件、客户来函、分包方报告，都属于必须随报告一起保存的材料，散在文件夹里不算归档，必须能按报告编号一路点进去（记录与载体的关系见文末延伸阅读）。

云端部署还要多守哪一条？

多守《数据安全法》第二十七条的后半句：利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上履行数据安全保护义务。云端的便利不改变责任主体，机构仍是那个要负责的人。

这条在实务上落成三个动作。第一，定级备案要有人管：业务系统的安全保护等级由运营使用单位确定并备案，云平台自身的安全由云服务商负责，两边的边界要在合同里写清，不要以为「上了云就都是云的事」。第二，账号与权限要能自证：谁能导出全量数据、谁能删记录，必须有名单、有审批、有日志。第三，应急要演练：断网时怎么干活、云端故障时用哪份离线数据、恢复后怎么补录并标记，这三件事不演练就等于没有。

还有一个容易被忽略的细节：数据出境与远程协助。供应商的运维人员远程接入，本身就是一次「处理活动」，要有审批、有台账、有机构人员在场确认。这一条既是数据安全的要求，也是 7.11.4 那条协议里该写明的内容。

合同里写哪几句，系统里怎么验？

合同四句、系统三项验收，做完这两组动作，数据归属才从一句口头承诺变成可执行的事。

合同侧四句，建议直接抄进技术条款：一，数据由机构所有，供应商仅为受托处理方，不得用于其他客户、不得用于演示或模型训练；二，机构可随时自助导出全量数据，不限次数、不需供应商审批；三，服务终止或合同解除时，供应商应在约定时限内完成数据交还与迁移协助，费用口径事先写明；四，交还完成后按约定时限删除机构数据副本并出具书面删除证明。

系统侧三项验收，每项都要留记录：一是离线打开测试，导出包在未安装系统的电脑上能打开、能检索；二是抽样复算，随机抽三份已签发报告，从原始记录复算到报告结论，数字对得上；三是断网演练，模拟云端不可用，验证离线流程能撑过一天的业务量，恢复后补录带标记。

我们在交付时把「导出包」当成一个正式交付物，和报告模板一样要签收：谁验的、验了哪几份、结论是什么，写在一张纸上。这不是为了交差，是因为这件事只有在平时做过，出事那天才不用求人。

最后回到那个问题：数据到底算谁的。法律给的答案是「没有这个概念，你们自己约定」；准则给的答案是「不管在谁手里，你都得能证明它完整、可读、可追溯」。两句话合起来，就是一句很朴素的话——数据是你的，但只有你能随时带走、随时打开、随时复算的时候，它才真的是你的。

本文出处与依据：易企检标准技术服务（济南）有限公司原创整理，基于自身 LIMS 交付、数据迁移与迎审配合中的实际情形。依据文件：CNAS-CL01:2018《检测和校准实验室能力认可准则》（2018 年 3 月 1 日发布，2018 年 9 月 1 日实施，2019 年 2 月 20 日第一次修订）第 7.11.2 至 7.11.5 条及其应用要求；《中华人民共和国数据安全法》（2021 年 6 月 10 日通过，2021 年 9 月 1 日起施行）第二十一条、第二十七条；《检验检测机构监督管理办法》（2021 年 4 月 8 日总局令第 39 号公布，根据 2025 年 3 月 18 日总局令第 101 号修订，2025 年 5 月 1 日起施行）第十三条；《检验检测机构资质认定评审准则》（市场监管总局 2023 年第 21 号公告）第十二条第（七）项及条文释义。等级保护定级备案的具体口径以公安机关现行规定为准。
延伸阅读：LIMS 上线后要返工的七件事 · 检测机构换 LIMS，历史数据怎么搬 · 电子记录和纸质记录并存，原始记录认哪份 · 报告存满 6 年就能销毁吗？原始数据没留住的，一样算不实报告