?

?

以企業(yè)發(fā)展的全生命周期為線索，《數(shù)安條例》對(duì)企業(yè)發(fā)展過程中的以下幾個(gè)重要階段（1）設(shè)立（僅限大型互聯(lián)網(wǎng)平臺(tái)在境外設(shè)立特定運(yùn)營機(jī)構(gòu)）；（2）合并、重組、分立；（3）上市；和（4）解散和/或破產(chǎn)清算，分別新設(shè)/強(qiáng)化了數(shù)據(jù)合規(guī)監(jiān)管流程要求，我們?cè)谙聢D中進(jìn)行了梳理（見圖一）。

圖一：企業(yè)全生命周期數(shù)據(jù)合規(guī)監(jiān)管應(yīng)對(duì)要求

?

1、設(shè)立（僅限大型互聯(lián)網(wǎng)平臺(tái)在境外設(shè)立特定運(yùn)營機(jī)構(gòu)）

?

《數(shù)安條例》并未對(duì)所有企業(yè)的設(shè)立規(guī)定特別的合規(guī)流程，但對(duì)于用戶超過五千萬、處理大量個(gè)人信息和重要數(shù)據(jù)、具有強(qiáng)大社會(huì)動(dòng)員能力和市場(chǎng)支配地位的大型互聯(lián)網(wǎng)平臺(tái)運(yùn)營者，《數(shù)安條例》對(duì)其在境外設(shè)立總部或者運(yùn)營中心、研發(fā)中心，提出了額外的外部合規(guī)義務(wù)，即向國家網(wǎng)信部門和主管部門報(bào)告。大型互聯(lián)網(wǎng)平臺(tái)在數(shù)字經(jīng)濟(jì)下扮演著十分重要的角色，掌握海量用戶數(shù)據(jù)。其"出海"開展業(yè)務(wù)將不可避免地涉及數(shù)據(jù)及技術(shù)的跨境傳輸、司法協(xié)助等問題，在極端情況下曾出現(xiàn)過被東道國政府強(qiáng)制要求剝離業(yè)務(wù)等情況，因而立法者設(shè)置此項(xiàng)報(bào)告義務(wù)的初衷是可以理解的。報(bào)告義務(wù)并非任何形式或?qū)嵸|(zhì)性審查，僅為報(bào)備，這一方面體現(xiàn)出中國監(jiān)管部門并不想阻礙中國大型互聯(lián)網(wǎng)平臺(tái)企業(yè)"走出去"，另一方面也體現(xiàn)出監(jiān)管部門希望加強(qiáng)對(duì)經(jīng)濟(jì)動(dòng)態(tài)的了解和知情。事實(shí)上，《數(shù)安條例》的多處規(guī)定都體現(xiàn)了監(jiān)管部門的這一訴求。

?

2、企業(yè)的合并、重組、分立

?

《數(shù)安條例》第14條提出，數(shù)據(jù)處理者在合并、重組和分立等情況下涉及重要數(shù)據(jù)和一百萬人以上個(gè)人信息的，需向設(shè)區(qū)的市級(jí)主管部門報(bào)告。合并、重組或分立是企業(yè)發(fā)展到一定規(guī)模后，進(jìn)行改制重組、開展合理稅收籌劃、或者準(zhǔn)備上市融資時(shí)極其常見的步驟。這一規(guī)定落實(shí)后，滿足條件的公司如開展業(yè)務(wù)重組、紅籌搭建、拆搭VIE結(jié)構(gòu)等上市前常見舉措都將需要在主管部門處"掛號(hào)"。

?

值得注意的是，涉及重要數(shù)據(jù)和一百萬人以上個(gè)人信息的觸發(fā)條件與企業(yè)國外上市觸發(fā)網(wǎng)絡(luò)安全審查的條件存在實(shí)質(zhì)性重合。這一條款實(shí)施后將拓寬監(jiān)管部門的信息渠道，使得監(jiān)管部門將能夠提前了解符合條件的企業(yè)的上市意向?？梢院侠碚J(rèn)為，監(jiān)管部門提出此項(xiàng)報(bào)告義務(wù)，目的之一是杜絕再發(fā)生"先上車后補(bǔ)票"式的上市案例。從這個(gè)目的出發(fā)，我們認(rèn)為實(shí)踐中對(duì)這一條解讀和把握標(biāo)準(zhǔn)可能會(huì)偏嚴(yán)，需要企業(yè)謹(jǐn)慎對(duì)待。例如，盡管14條原文是涉及重要數(shù)據(jù)"和"一百萬人以上個(gè)人信息的合并、重組和分立才會(huì)觸發(fā)報(bào)告義務(wù)，但實(shí)踐中不排除"重要數(shù)據(jù)"和"一百萬人以上個(gè)人信息"兩個(gè)標(biāo)準(zhǔn)滿足其一即觸發(fā)報(bào)告義務(wù)的可能性。此外，盡管根據(jù)14條的字面文義，"重要數(shù)據(jù)和一百萬人以上信息"這一標(biāo)準(zhǔn)修飾的是"合并、重組和分立"這一行為（換言之應(yīng)被解讀為合并、重組和分立中涉及到了對(duì)重要數(shù)據(jù)和一百萬人以上信息的處理），但也不能排除實(shí)踐中被解讀為一旦數(shù)據(jù)處理者本身處理重要數(shù)據(jù)和一百萬人以上個(gè)人信息，那么其合并、重組和分立行為不論是否涉及數(shù)據(jù)轉(zhuǎn)移都需報(bào)備的可能性。具體情況還有待在實(shí)踐中驗(yàn)證。

?

3、針對(duì)企業(yè)上市形成前、中、后期全鏈條、全地域監(jiān)管

?

《數(shù)安條例》一旦落地，針對(duì)企業(yè)上市的全地域、全鏈條監(jiān)管體系將成型。我們總結(jié)了全鏈條圖（見圖二）供企業(yè)參考。

圖二：企業(yè)上市前、中、后期全鏈條數(shù)據(jù)合規(guī)監(jiān)管應(yīng)對(duì)要求

?

自國家互聯(lián)網(wǎng)信息辦公室于2021年7月發(fā)布《網(wǎng)絡(luò)安全審查辦法（修訂草案征求意見稿）》（下稱"網(wǎng)安審查草案"）以來，網(wǎng)絡(luò)安全審查這一合規(guī)流程一直受到廣泛關(guān)注。網(wǎng)安審查草案中未明確赴港上市是否會(huì)落入申報(bào)范圍，而《數(shù)安條例》第13條在此基礎(chǔ)上填補(bǔ)了空白，明確赴香港上市如影響或可能影響國家安全的，也需要申報(bào)網(wǎng)絡(luò)安全審查。然而，"影響或可能影響國家安全"的措辭存在一定模糊空間，實(shí)踐中的認(rèn)定也可能會(huì)很寬泛，具體認(rèn)定標(biāo)準(zhǔn)還有待監(jiān)管部門進(jìn)一步澄清。

?

除填補(bǔ)赴港上市的空白以外，《數(shù)安條例》與網(wǎng)安審查草案相比，對(duì)于判斷赴國外上市是否需要申報(bào)網(wǎng)絡(luò)安全審查的標(biāo)準(zhǔn)似乎也有所調(diào)整。在網(wǎng)安審查草案中，赴國外上市觸發(fā)網(wǎng)絡(luò)安全審查的標(biāo)準(zhǔn)是"掌握超過100萬用戶個(gè)人信息"，其一方面使用的是并無法律明確定義的"掌握"一詞，另一方面，也將一百萬人的數(shù)量門檻僅限于用戶的個(gè)人信息。而在《數(shù)安條例》中，有關(guān)標(biāo)準(zhǔn)調(diào)整為"處理一百萬以人上個(gè)人信息的數(shù)據(jù)處理者"，一方面使用了與《個(gè)保法》對(duì)應(yīng)的"處理"一詞，另一方面也不再將一百萬人的數(shù)量標(biāo)準(zhǔn)僅限于用戶信息，這在某種程度上擴(kuò)大了這一標(biāo)準(zhǔn)的適用范圍，應(yīng)當(dāng)引起相關(guān)企業(yè)的注意。

?

盡管《數(shù)安條例》并未提及，但就境內(nèi)上市而言，即便并不觸發(fā)網(wǎng)絡(luò)安全審查，擬上市企業(yè)也需要滿足數(shù)據(jù)合規(guī)要求方可成功上市，并且近年來在上市過程中證監(jiān)會(huì)經(jīng)常會(huì)提出關(guān)于數(shù)據(jù)合規(guī)的問詢。以AI企業(yè)曠視科技在為例，上海證券交易所于2021年3月受理其上市申請(qǐng)，并于同年4月下發(fā)問詢函，要求曠視科技就數(shù)據(jù)處理環(huán)節(jié)的具體情況、與供應(yīng)商之間的所簽訂合約的數(shù)據(jù)合規(guī)條款等問題做出澄清與回復(fù)。據(jù)我們了解，實(shí)踐中已經(jīng)出現(xiàn)擬上市企業(yè)因數(shù)據(jù)合規(guī)問題而在境內(nèi)上市申請(qǐng)中被否的案例。

?

此外，《數(shù)安條例》也新增規(guī)定，企業(yè)完成境外上市之后，每年還應(yīng)自行或委托第三方機(jī)構(gòu)開展數(shù)據(jù)安全評(píng)估，在1月31日前將上一年評(píng)估報(bào)告上報(bào)至設(shè)區(qū)的市級(jí)網(wǎng)信部門，并將報(bào)告保存至少三年。此項(xiàng)要求不管是赴香港還是國外上市的企業(yè)，不論其是否觸發(fā)網(wǎng)絡(luò)安全審查都應(yīng)遵守。雖然條文并未明確，但我們認(rèn)為已經(jīng)掛牌的數(shù)據(jù)處理者很有可能也會(huì)被要求按此條規(guī)定進(jìn)行年度評(píng)估并提交報(bào)告。綜上所述，有關(guān)監(jiān)管機(jī)制一旦落地，企業(yè)在各法域上市、以及上市的前中后各階段均將需要滿足數(shù)據(jù)合規(guī)要求。

?

4、增設(shè)數(shù)據(jù)處理者解散或宣告破產(chǎn)時(shí)的合規(guī)義務(wù)

?

針對(duì)企業(yè)解散或宣告破產(chǎn)的情形，《數(shù)安條例》規(guī)定，數(shù)據(jù)處理者解散或宣告破產(chǎn)的，需要履行向主管部門報(bào)告的義務(wù)，此外，還應(yīng)按照相關(guān)要求移交或刪除數(shù)據(jù)。結(jié)合前文中歸納的針對(duì)企業(yè)的設(shè)立、合并、重組、分立、上市等交易條線的合規(guī)要求，可以說，《數(shù)安條例》已經(jīng)針對(duì)企業(yè)的全生命周期建立起了全面的合規(guī)體系。

?

?

?

?