ARTICLES
專業(yè)文章
《網(wǎng)絡安全審查辦法》塵埃落定,境外上市影響幾何(下)
?
2022年1月4日,在歷經(jīng)近六個月的公開征求意見和內(nèi)部流程之后,國家網(wǎng)信辦等十三部門聯(lián)合發(fā)布修訂后的《網(wǎng)絡安全審查辦法》("《新審查辦法》"),并將于2022年2月15日起施行。與2020年生效的舊版《網(wǎng)絡安全審查辦法》("《舊審查辦法》")相比,《新審查辦法》看似文字變化不大,但網(wǎng)絡安全審查制度體系的修訂影響深遠,尤其是對跨境資本市場活動的影響。 本文之目的在于,通過解析《新審查辦法》的修訂內(nèi)容,理解監(jiān)管部門對中概股企業(yè)境外資本市場活動的監(jiān)管要點,并結(jié)合近期中概股在境外上市的案例分析,給出未來境外上市的網(wǎng)絡安全合規(guī)要點。
?
本文分為上下兩篇:《<網(wǎng)絡安全審查辦法>塵埃落定,境外上市影響幾何(上)》為《網(wǎng)絡安全審查辦法》關注修訂要點與境外上市影響分析,下篇著眼境外上市案例分析及合規(guī)指引。
?
?
四、境外上市案例分析
?
?
1、聯(lián)交所上市案例分析
?
根據(jù)公開數(shù)據(jù),我們梳理了2021年7月2日至2022年1月8日期間,聯(lián)交所新上市的30家公司招股說明書[1]中對中國法律環(huán)境的披露,其中提及《網(wǎng)絡安全法》的公司共12家;提及《數(shù)據(jù)安全法》的公司共14家;提及《個人信息保護法》的公司共8家;提及《網(wǎng)絡安全審查辦法》的公司共12家;提及《關鍵信息基礎設施安全保護條例》的公司共6家;提及《數(shù)據(jù)出境安全評估辦法(征求意見稿)》以及《網(wǎng)絡數(shù)據(jù)安全管理條例(征求意見稿)》的公司各2家。整體統(tǒng)計情況如下:
圖 1 2021.07.02-2022.01.08期間 聯(lián)交所新上市公司網(wǎng)絡安全合規(guī)披露要點統(tǒng)計
?
赴港上市公司就數(shù)據(jù)保護和網(wǎng)絡安全合規(guī)風險的披露,通常會對《網(wǎng)絡安全法》《數(shù)據(jù)安全法》《個人信息保護法》的主要規(guī)定進行介紹,同時會對前述三大法律的適用對于公司業(yè)務的影響進行說明。此外,從各家公司招股說明書的內(nèi)容來看,以下披露要點值得關注:
?
(1)赴港上市是否會觸發(fā)網(wǎng)絡安全審查
?
在我們的統(tǒng)計時間跨度內(nèi),新上市公司主要基于《網(wǎng)絡安全審查辦法(修訂草案征求意見稿)》("《審查辦法征求意見稿》")的相關規(guī)定對公司赴港上市是否需要主動向網(wǎng)絡安全審查辦公室申報網(wǎng)絡安全審查的風險進行分析。從聯(lián)交所上市公司招股說明書對《審查辦法征求意見稿》的分析來看,公司是否構成CIIO以及赴港上市是否屬于"赴國外上市"成為風險分析的核心重點。
?
在公司是否構成CIIO的論述上,主要有兩種論述路徑:一是說明關鍵信息基礎設施的確切范圍、監(jiān)管制度仍欠清晰的監(jiān)管現(xiàn)狀;二是結(jié)合《關鍵信息基礎設施安全保護條例》("《關基條例》")的規(guī)定以及執(zhí)法實踐,披露關鍵信息基礎設施運營者的認定機制,即:保護工作部門根據(jù)認定規(guī)則負責組織認定本行業(yè)、本領域的關鍵信息基礎設施,及時將認定結(jié)果通知運營者,并通報國務院公安部門(《關基條例》第十條),并說明公司尚未收到主管部門通知的現(xiàn)狀。關于公司赴港上市是否屬于"赴國外上市",目前相關上市公司主要采用以下兩種分析方式,一種是說明根據(jù)《審查辦法征求意見稿》的規(guī)定,"赴國外上市"的規(guī)定并不明確,執(zhí)法具有不確定性;另一種方式是對"國外"與"境外"兩個概念進行區(qū)分,說明赴香港上市屬于"境外上市"而非"國外上市"。
?
關于"境外上市"與"國外上市"的認定問題,我們也發(fā)現(xiàn),在《網(wǎng)絡數(shù)據(jù)安全管理條例(征求意見稿)》("《數(shù)安條例》")于2021年11月14日發(fā)布后,部分公司(如商湯)對于企業(yè)上市是否觸發(fā)網(wǎng)絡安全審查的風險分析采用了不同的路徑,一方面是說明公司赴港上市不屬于《審查辦法征求意見稿》項下的"國外"上市;另一方面,也說明了根據(jù)《數(shù)安條例》,公司赴港上市影響或者可能影響國家安全的需要申報網(wǎng)絡安全審查,但由于《數(shù)安條例》對于"影響國家安全"沒有進一步解釋、說明,且《數(shù)安條例》尚未生效,執(zhí)法存在不確定性,公司目前尚未收到監(jiān)管機關有關國家安全的任何調(diào)查、通知、警告或制裁,以論述公司在港上市暫無法預測是否受到網(wǎng)絡安全審查的影響。我們理解,這一問題的根源在于,《數(shù)安條例》第十三條對于"赴國外上市"和"赴香港上市"分置規(guī)定,與《審查辦法征求意見稿》以及目前已經(jīng)生效的《新審查辦法》規(guī)定上有一定的差異。這一差異也為之后赴港上市企業(yè)回應聯(lián)交所關于網(wǎng)絡安全審查相關風險的問詢帶來挑戰(zhàn)。
?
(2)數(shù)據(jù)跨境相關的合規(guī)風險
?
從目前聯(lián)交所上市公司披露的信息來看,數(shù)據(jù)跨境相關風險因素主要披露內(nèi)容為公司業(yè)務開展過程中數(shù)據(jù)跨境傳輸面臨的監(jiān)管風險,與赴美上市企業(yè)數(shù)據(jù)跨境相關的監(jiān)管側(cè)重點有所區(qū)別。
?
數(shù)據(jù)跨境傳輸屬于合規(guī)管理的高風險場景,同時也是企業(yè)上市過程中監(jiān)管機構關注的核心問題。尤其是在《數(shù)據(jù)出境安全評估辦法(征求意見稿)》("《出境評估辦法》")出臺之后,企業(yè)數(shù)據(jù)跨境傳輸受到更加嚴格的合規(guī)管控。由于目前《出境評估辦法》規(guī)定的申報門檻較低,涉及數(shù)據(jù)跨境業(yè)務的企業(yè)是否需要申報網(wǎng)信辦數(shù)據(jù)出境安全評估,將成為此類企業(yè)赴港上市過程中面對監(jiān)管機構無法回避的問題。
?
對于《出境評估辦法》的合規(guī)風險,上市企業(yè)目前采取的主要披露方式是說明《出境評估辦法》尚未生效,法律的適用存在不確定性,企業(yè)會持續(xù)關注立法和監(jiān)管發(fā)展,為必要時的安全評估做好準備。這也提示擬赴港上市的企業(yè),應當未雨綢繆,結(jié)合《出境評估辦法》的規(guī)定,評估企業(yè)數(shù)據(jù)出境的合規(guī)風險,采取相應的合規(guī)措施,為必要時的數(shù)據(jù)出境評估做好準備。
?
(3)特殊行業(yè)領域數(shù)據(jù)新規(guī)相關監(jiān)管風險
?
1)《汽車數(shù)據(jù)安全管理若干規(guī)定(試行)》
?
理想汽車(02015)招股說明書對《汽車數(shù)據(jù)安全管理若干規(guī)定(征求意見稿)》(注:《汽車數(shù)據(jù)安全管理若干規(guī)定(試行)》("《若干規(guī)定》")發(fā)布日期為2021年8月16日,生效日期為2021年10月1日,公司上市時,《若干規(guī)定》尚未生效)的主要規(guī)定進行了概括性介紹[2],但并未對《汽車數(shù)據(jù)安全管理若干規(guī)定(征求意見稿)》對于公司業(yè)務的具體影響以及公司的合規(guī)應對予以說明??紤]到《若干規(guī)定》現(xiàn)已生效實施,擬赴港上市的汽車行業(yè)公司(包括汽車設計、制造、服務等行業(yè)領域的公司)應重點關注《若干規(guī)定》相關的法律要求,做好合規(guī)風險識別和管控。
?
2)互聯(lián)網(wǎng)信息服務算法推薦監(jiān)管合規(guī)
?
網(wǎng)易云音樂(09899)在招股說明書中對《互聯(lián)網(wǎng)信息服務算法推薦管理規(guī)定(征求意見稿)》("《算法推薦管理規(guī)定》")以及《關于加強互聯(lián)網(wǎng)信息服務算法綜合治理的指導意見》("《指導意見》")相關合規(guī)風險進行了披露[3],主要是對《算法推薦管理規(guī)定》及《指導意見》的重點內(nèi)容進行了介紹,包括要求算法服務提供者應該公示算法推薦服務情況,向用戶提供不針對其個人特征的選項、或向用戶提供便捷的關閉算法推薦服務的選項,通過互聯(lián)網(wǎng)信息服務算法備案系統(tǒng)進行算法備案,建立算法安全責任制度和科技倫理審查制度,健全算法安全管理組織機構,加強風險防控和隱患排查治理,提升應對算法安全突發(fā)事件的能力和水平等。同時,公司也就上述監(jiān)管要求的應對做出了說明。由于公司上市時《算法推薦管理規(guī)定》尚未生效,因此就算法備案監(jiān)管要求的應對,公司主要的披露策略是說明《算法推薦管理規(guī)定》尚未生效,監(jiān)管機構也尚未建立算法備案系統(tǒng),公司將在監(jiān)管機構要求時進行算法備案。而在其他合規(guī)方面,公司在招股說明書中披露已向用戶提供就內(nèi)容和廣告關閉算法推薦功能的選項,并為《算法推薦管理規(guī)定》生效后披露算法推薦服務運行機制做好準備,同時公司已建立安全制度及內(nèi)容審核團隊,并采取了與算法安全相關的有效風險控制措施等。
?
需要注意的是,《互聯(lián)網(wǎng)信息服務算法推薦管理規(guī)定》已于2021年12月31日正式發(fā)布,將于2022年3月1日正式生效,這也要求應用算法推薦服務的企業(yè)做好算法推薦服務的合規(guī)管理,以有效應對聯(lián)交所關于算法推薦服務相關合規(guī)風險的可能問詢。
?
3)互聯(lián)網(wǎng)平臺新就業(yè)形態(tài)監(jiān)管合規(guī)
?
順豐同城(09699)的招股說明書對互聯(lián)網(wǎng)新就業(yè)形態(tài)相關監(jiān)管規(guī)定進行了說明,主要是對人力資源和社會保障部等部門發(fā)布的《關于維護新就業(yè)形態(tài)勞動者勞動保障權益的指導意見》及國家市場監(jiān)督管理總局、國家互聯(lián)網(wǎng)辦公室等部門發(fā)布的《關于落實網(wǎng)絡餐飲平臺責任切實維護外賣送餐員權益的指導意見》的主要規(guī)定進行了介紹[4]。
?
在此之前,《外賣騎手,困在系統(tǒng)里》[5]一文,引發(fā)社會各界對于外賣平臺通過算法嚴格限制外賣騎手送餐時間問題的關注。近日,便利蜂通過算法"指揮"員工的問題也引發(fā)社會熱議?;ヂ?lián)網(wǎng)平臺新就業(yè)形態(tài)下,如何保障勞動者權益引人深思。而從域外立法實踐來看,歐盟委員會近期也推出監(jiān)管新規(guī)草案,要求"零工經(jīng)濟"平臺必須將其工人歸類為員工,享受各種勞動保障。
?
由于互聯(lián)網(wǎng)平臺新就業(yè)形態(tài)涉及廣大就業(yè)人員的切身利益,與企業(yè)社會責任相連,因此屬于監(jiān)管機構關注的重點問題。
?
4)人工智能和自動駕駛監(jiān)管合規(guī)
?
商湯集團(00020)的招股說明書中,對人工智能技術及自動駕駛相關監(jiān)管規(guī)定進行了披露。[6]其中關于人工智能相關監(jiān)管規(guī)定的介紹,主要圍繞我國關于人工智能技術出臺的一系列規(guī)范性文件展開,包括《國家新一代人工智能開放創(chuàng)新平臺建設工作指引》、《國務院關于印發(fā)<中國制造2025>的通知》、《中華人民共和國國民經(jīng)濟和社會發(fā)展第十四個五年規(guī)劃和2035年遠景目標綱要》、《"互聯(lián)網(wǎng)+"人工智能三年行動實施方案》和《關于印發(fā)新一代人工智能發(fā)展規(guī)劃的通知》等。整體而言,國家對人工智能技術的發(fā)展持鼓勵、開放的態(tài)度。就自動駕駛相關監(jiān)管要求,重點介紹了《智能網(wǎng)聯(lián)汽車道路測試管理規(guī)范(試行)》、《智能汽車創(chuàng)新發(fā)展戰(zhàn)略》、《汽車駕駛自動化分級》等規(guī)定的內(nèi)容,而上述規(guī)定也勾勒出人工智能類企業(yè)及自動駕駛類企業(yè)需要關注的合規(guī)重點。
?
?
2、美股上市案例分析
?
(1)SEC審核關注重點
?
SEC的問詢事項一般集中于財務報表、管理層分析與業(yè)務章節(jié),不會特別問詢網(wǎng)絡安全與數(shù)據(jù)保護相關內(nèi)容。但上市公司需在其首發(fā)上市登記文件中"Risk Factor"這一章節(jié)就致使公司證券投資具有投機性或風險的最重要因素進行充分披露。若網(wǎng)絡安全和網(wǎng)絡安全事件屬于此類因素,公司應予以披露,披露內(nèi)容包括"現(xiàn)有或待定法律法規(guī)中,可能對公司在網(wǎng)絡安全方面的要求及公司的相關成本產(chǎn)生影響的;以及與網(wǎng)絡安全事件有關的訴訟、監(jiān)管調(diào)查和補救費用"[7]。
?
2020年11月23日,SEC公司財務部(Division of Corporation Finance,以下簡稱"DCF")發(fā)布《中國發(fā)行人信息披露考慮因素》("Disclosure Considerations for China-Based Issuers"),其中就從中國境內(nèi)調(diào)取信息進行了特別說明:中國會以國家安全與國家秘密等阻斷法律法規(guī)為由限制美國監(jiān)管機構對中國發(fā)行人進行調(diào)查,即中國任何實體或個人未經(jīng)中國政府批準不得向海外監(jiān)管機構提供與證券業(yè)務活動有關的文件和信息?;诖?,DCF要求中國發(fā)行人充分披露中國法律對美國當局(含證監(jiān)會、司法部、PCAOB等機構)進行調(diào)查和提起訴訟能力所施加的限制[8]。同時,自"滴滴事件"后,SEC主席Gary Gensler于2021年7月30日發(fā)布聲明[9],要求中國企業(yè)就是否獲得了中國監(jiān)管機構允許赴美上市及該允許被拒絕及撤銷的風險事項進行披露,并加強了對該等事項披露的審查[10]。
?
基于上述,我們對2021年7月2日至2022年1月8日23家中國企業(yè)在美首發(fā)上市登記文件"Risk Factor"章節(jié)中有關網(wǎng)絡安全與數(shù)據(jù)合規(guī)風險因素的披露[11]進行了相關檢索,以便厘清SEC的審核重點。
圖 2 2021.07.02-2022.01.08期間 美股新上市公司網(wǎng)絡安全合規(guī)披露要點統(tǒng)計
?
表1 中國企業(yè)在美上市的披露內(nèi)容
披露法律法規(guī) |
披露內(nèi)容 |
《網(wǎng)絡安全法》 |
收集合法、必要 |
《數(shù)據(jù)安全法》 |
數(shù)據(jù)分類分級保護、跨境證據(jù)調(diào)取需審批 |
《個人信息保護法》 |
數(shù)據(jù)跨境傳輸可能涉及批準 |
《網(wǎng)絡安全審查辦法(征求意見稿)》 |
是否屬于CIIO,是否與CIIO交易;是否收集超百萬個人信息;違反義務的后果 |
其他(如《出境評估辦法》、《數(shù)安條例》) |
數(shù)據(jù)出境安全評估的內(nèi)容 |
?
從檢索結(jié)果來看,中國企業(yè)披露內(nèi)容大多為對適用性法律法規(guī)要求的概括式描述,如《網(wǎng)絡安全法》要求企業(yè)數(shù)據(jù)收集滿足合法、必要原則,《數(shù)據(jù)安全法》設置了數(shù)據(jù)分類分級保護制度等,并未結(jié)合其業(yè)務進行可能影響的詳細說明。
?
對于DCF及SEC主席聲明中的加強披露要求,中國企業(yè)都作出了充分披露。如針對SEC主席聲明中的要求,23家中國企業(yè)都予以披露了《審查辦法征求意見稿》對其赴美上市可能產(chǎn)生的影響。披露內(nèi)容涵蓋《網(wǎng)絡安全審查辦法》的相關修訂;《舊審查辦法》的義務要求及《審查辦法征求意見稿》的義務要求;其是否構成CIIO,是否與CIIO進行交易;是否涉及采集超過100萬人的個人信息,以及是否需要從網(wǎng)信辦獲得澄清函(Clearance)、上市批準文件,及若未獲批準即上市的相應法律后果(包括退市、罰款、App下架、審查期間停止新用戶注冊等)。
?
對于DCF有關美國當局調(diào)查和提起訴訟能力所施加限制的披露要求,多數(shù)中國企業(yè)陳述了《數(shù)據(jù)安全法》及《出境評估辦法》對美國監(jiān)管機構跨境調(diào)取數(shù)據(jù)產(chǎn)生的影響。以玖富(9F Inc.)為例,其在2021年11月5日遞交的上市登記文件(F-1)中披露:《數(shù)據(jù)安全法》和《個人信息保護法》要求非經(jīng)中華人民共和國主管機關批準,境內(nèi)的組織、個人不得向外國司法或者執(zhí)法機構提供存儲于中華人民共和國境內(nèi)的數(shù)據(jù)。因而如果美國監(jiān)管機構對玖富進行任何調(diào)查,并且需要在中國境內(nèi)進行調(diào)查或收集證據(jù),美國監(jiān)管機構可能無法根據(jù)中國法律直接在中國進行此類調(diào)查或收集證據(jù)。此外,玖富和某些其他實體和個人,包括玖富的法律顧問、審計師和其他代理人,在獲得相關中國當局的適當批準之前,可能會被限制向美國監(jiān)管機構提供文件、材料、數(shù)據(jù)和/或個人信息。如果玖富或其他實體或個人被發(fā)現(xiàn)違反上述限制,玖富可能會受到處罰。美國監(jiān)管機構可通過司法協(xié)助、外交渠道或中國證券監(jiān)管機構參與的監(jiān)管合作機制,與中國證券監(jiān)管機構開展跨境合作。
?
由上述內(nèi)容可知,中國企業(yè)在應對SEC上市審核時,在網(wǎng)絡安全與數(shù)據(jù)保護風險披露上,主要義務集中于(1)充分披露中國法律對美國當局(含證監(jiān)會、司法部等執(zhí)法、司法機構)進行調(diào)查和提起訴訟能力所施加的限制;及(2)就是否獲得了中國監(jiān)管機構允許赴美上市及該允許被拒絕及撤銷的風險事項進行披露。
?
(2)數(shù)據(jù)跨境傳輸
?
雖然此前SEC就在《中國發(fā)行人信息披露考慮因素》中要求中國企業(yè)考慮披露SEC和PCAOB("Public Company Accounting Oversight Board")等監(jiān)管機構在從公司審計師和公司獲取審計工作文件方面可能遇到的困難,以及這一困難對公司及其股東的影響,但這一披露要求在2021年12月前還未對中國企業(yè)產(chǎn)生實質(zhì)不利影響。2021年12月3日,SEC宣布通過法規(guī)修正案,完善HFCAA相關的信息披露實施細則,要求外國上市公司的審計機構必須接收美國公眾公司會計監(jiān)督委員會("PCAOB")的審查,一旦PCAOB作出決議,即某外國上市公司所在轄區(qū)的監(jiān)管機構連續(xù)三年阻止PCAOB對該上市公司的審計進行全面檢查的,SEC將禁止該公司的股票交易。
?
根據(jù)HFCAA,符合以下兩項條件的外國公司將被鑒別為"認定發(fā)行人":
?
1)聘用了PCAOB無法對其實施檢查的會計師事務所;
?
2)PCAOB認定上述"無法檢查"系外國當?shù)卣隆?/span>
?
被鑒別為認定發(fā)行人的,必須在下一份年報中按照HFCAA的要求進行相關披露。雖然PCAOB組織本身是民營非盈利機構,但鑒于上述條款賦予了PCAOB"自由"審核中國企業(yè)審計底稿的權力,其性質(zhì)屬于國家行政權,對已經(jīng)注冊登記的會計師事務所具有普遍約束力。而《數(shù)據(jù)安全法》第三十六條則明確要求,非經(jīng)中華人民共和國主管機關批準,境內(nèi)的組織、個人不得向外國司法或者執(zhí)法機構提供存儲于中華人民共和國境內(nèi)的數(shù)據(jù)。因而,HFCAA的要求可能會與《數(shù)據(jù)安全法》第三十六條的要求構成實質(zhì)沖突。
?
雖然目前《數(shù)據(jù)安全法》第三十六條批準機制的實施細則還未明確落地,但值得注意的是,即使PCAOB并未對中國企業(yè)實施調(diào)取審計底稿的權力,審計底稿是由公司或?qū)徲嫏C構自愿傳輸至美國的,中國企業(yè)可能仍需按照《數(shù)據(jù)安全法》第三十一條的規(guī)定,根據(jù)《出境評估辦法》的要求對其上述數(shù)據(jù)跨境傳輸行為進行數(shù)據(jù)出境安全評估。
?
根據(jù)《出境評估辦法》第五條,數(shù)據(jù)處理者在向境外提供數(shù)據(jù)前,如涉及重要數(shù)據(jù)或個人信息[12],應事先開展數(shù)據(jù)出境風險自評估。因而,若中國企業(yè)或其審計機構欲向境外提交審計底稿的,需先履行自評估義務。同時,由于審計底稿較財報而言所包含的信息量、信息敏感程度都大幅上升,可能會包含公司所屬行業(yè)相關信息、具體資產(chǎn)情況、客戶名單、客戶背景、服務器位置等信息,有可能構成重要數(shù)據(jù),并進一步觸發(fā)中國企業(yè)向國家網(wǎng)信部門申報數(shù)據(jù)出境安全評估的義務。
?
?
? ? 五、合規(guī)指引
?
?
1、網(wǎng)絡安全審查
?
從上文可知,在境外上市過程中,《網(wǎng)絡安全審查辦法》的適用性及是否需要啟動網(wǎng)絡安全審查已成為境外證券交易監(jiān)管機構的關注重點。
?
因而,企業(yè)在上市前應根據(jù)自身業(yè)務的情況,采取如下措施:
?
-
全量梳理企業(yè)的網(wǎng)絡系統(tǒng),初步排查網(wǎng)絡系統(tǒng)構成CII的可能性;
-
盤點數(shù)據(jù)資產(chǎn),制作數(shù)據(jù)清單,識別所處理的數(shù)據(jù)量,制作可能構成核心數(shù)據(jù)及重要數(shù)據(jù)的清單;
-
全流程梳理數(shù)據(jù)處理活動,識別跨境數(shù)據(jù)傳輸及其他敏感的數(shù)據(jù)處理場景;
-
梳理上市過程所引發(fā)的跨境數(shù)據(jù)傳輸行為。
?
企業(yè)應根據(jù)以上的信息分析《網(wǎng)絡安全審查辦法》的適用性,及是否需要申報網(wǎng)絡安全審查。實踐中,證券交易機構還可能會要求企業(yè)出具中國監(jiān)管機關的書面澄清函件以明確是否需要啟動網(wǎng)絡安全審查。因此,企業(yè)應在上市準備階段引入數(shù)據(jù)合規(guī)團隊,一方面可以盡早進行企業(yè)內(nèi)部的數(shù)據(jù)安全風險評估,以確定是否存在觸發(fā)網(wǎng)絡安全審查的情況;另一方面,可以結(jié)合上市進程,與監(jiān)管機關溝通相關程序的啟動等事宜。
?
?
2、數(shù)據(jù)出境安全評估
?
對于香港上市,如果企業(yè)業(yè)務存在數(shù)據(jù)跨境行為,則數(shù)據(jù)出境的合規(guī)性將是披露的要點,如聯(lián)交所對于公司業(yè)務開展過程中數(shù)據(jù)跨境傳輸相關合規(guī)管控風險的披露要求。而對于國外上市,上市地監(jiān)管機構則更多關注中國法律是否存在限制中國企業(yè)提供相關信息的風險,即限制中國企業(yè)相關數(shù)據(jù)出境的風險。
?
此外,如前文所述,在上市過程中,企業(yè)還需要向境外機構,包括上市過程涉及的境外審計、律所、保薦人等中介機構披露企業(yè)的相關信息,該行為本身也構成數(shù)據(jù)出境。因此,在上市準備階段,企業(yè)需要對其可能的數(shù)據(jù)出境行為進行梳理和分析。
?
根據(jù)《出境評估辦法》,在向境外提供數(shù)據(jù)前,企業(yè)應當按照下述圖3的流程開展出境風險評估。雖然《出境評估辦法)》暫未生效,但是考慮數(shù)據(jù)出境的風險及企業(yè)合規(guī)的要求,建議企業(yè)參照《出境評估辦法》進行自評估,以控制數(shù)據(jù)出境的潛在風險。此外,雖然監(jiān)管部門目前暫未發(fā)布與境外接收方訂立的標準合同文本,企業(yè)也應按照行業(yè)良好實踐,在相關合同中明確約定與外接收方的數(shù)據(jù)安全保護責任和義務。
圖3 數(shù)據(jù)出境安全評估流程
?
?
3、企業(yè)數(shù)據(jù)合規(guī)風險識別與合規(guī)體系構建
?
隨著《個人信息保護法》的生效,我國網(wǎng)絡空間監(jiān)管的立法框架已基本搭建完成,《網(wǎng)絡安全法》《數(shù)據(jù)安全法》與《個人信息保護法》三部基礎性法律共同構成了我國網(wǎng)絡空間監(jiān)管的"三駕馬車"。企業(yè)網(wǎng)絡安全、數(shù)據(jù)合規(guī)和個人信息保護的法律要求已經(jīng)確立,同時,隨著國內(nèi)監(jiān)管執(zhí)法趨勢逐步加嚴,其必然對企業(yè)業(yè)務的合規(guī)開展產(chǎn)生影響,進而導致證券交易機構對上市企業(yè)在數(shù)據(jù)合規(guī)領域的合規(guī)要求、披露要求也將逐步增加。
?
在此環(huán)境下,擬上市企業(yè)應盡早聘用專業(yè)的數(shù)據(jù)合規(guī)團隊參與上市全流程,協(xié)助企業(yè)盡早識別數(shù)據(jù)合規(guī)風險,落實數(shù)據(jù)治理工作,構建企業(yè)全流程的數(shù)據(jù)合規(guī)管理體系,確保企業(yè)在上市過程中從容應對監(jiān)管機構的審核問詢,降低企業(yè)上市的數(shù)據(jù)合規(guī)風險。
?
[注]?
?
The End
?