《网络安全审查办法》出炉！掌握百万以上用户信息互联网平台出国上市须申报审查

在新年的第一个工作日，《网络安全审查办法》的修订稿正式发布。

《办法》将网络平台运营者开展数据处理活动影响或者可能影响国家安全等情形纳入网络安全审查，明确掌握超过100万用户个人信息的网络平台运营者赴国外上市必须向网络安全审查办公室申报网络安全审查。根据审查实际需要，《办法》还增加证监会作为网络安全审查工作机制成员单位，同时完善了国家安全风险评估因素等内容。

《办法》第七条提出，掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。

对此，清华大学五道口金融学院副院长田轩接受上证报记者采访表示，这是为了在审慎监管原则基础上最大限度地保障我国数据安全。尤其在高度信息化的今天，数据安全已经上升至国家安全的高度。

田轩介绍，“网络安全审查20世纪80年代就在美国开启了。进入21世纪之后，美国逐渐加强、完善了国家安全审查工作，并主导了国际标准。之后，多个国家纷纷建立技术和行政手段联合的国家安全审查机制，灵活且严格，保障国家利益。”

泰和泰（深圳）律师事务所律师郭松对记者表示，“本次《网络安全审查办法》的修订可谓与时俱进，充分考虑到现实监管的紧迫性与必要性，并与现行网络安全法律法规一脉相承。”

2017年6月1日生效的《网络安全法》要求，“关键信息基础设施的运营者采购网络产品和服务可能影响国家安全的”，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。

2021年9月1日生效的《数据安全法》提出，“国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查”，自此正式确立了“网络安全审查制度”。

2021年10月29日公开征求意见的《数据出境安全评估办法》提出，处理个人信息达到一百万人的个人信息处理者向境外提供个人信息应当申报数据出境安全评估。

“因此，我们可以理解为‘控制或者处理个人信息达到一百万人’的网络运营者就可以被视为‘关键信息基础设施运营者’。因此，在上市等重要节点应该通过网络安全审查。”郭松说。

《办法》第七条还引发了另外一个问题：有的企业虽然掌握了100万以上的用户个人信息，但其属于传统企业（例如服装制造企业、食品生产企业等），明显不是互联网企业，那么其是否属于被审查对象呢？

对此，专家认为，当企业掌握了100万以上用户个人信息时，其如果不涉及通过网络提供服务，这几乎是不可想象的。某种意义上，这些企业也属于“数据处理者”。因此，企业所在的行业不是判断其是否申报网络安全审查的理由。

郭松补充说，“一些规模比较大的连锁口腔诊所、连锁眼科诊所、连锁医美诊所、基因检测机构等也掌握了大量用户信息，如果达到百万的标准，也应该及时申报审查。”

这意味着，一些从事实体业务的企业很可能在申报后得到“无需审查”或者“审查通过”的答复。《办法》重点聚焦的是网络平台运营者开展数据处理活动，影响或者可能影响国家安全的情形。

《办法》的另一个亮点是，根据审查实际需要，增加证监会作为网络安全审查工作机制成员单位。

田轩认为，“通过增加证监会作为网络安全审查工作机制成员单位，建立了严密的协同机制，试图通过改变形式而规避网络安全审查的渠道是走不通的，我国网络安全保障执行力和保障水平将有效提升。”

郭松说，“证监会之前进行的部门改革有助于履行审查职能。2020年6月份中国证监会更新内部职能部门，新增科技监管局。科技监管局的机构职能包括‘负责建设集中统一管理的数据体系，开展数据标准化治理，推进大数据平台建设和监管数据共享’。”