问渠那得清如许——企业交易场景下的数据合规要求进一步加强

以企业发展的全生命周期为线索，《数安条例》对企业发展过程中的以下几个重要阶段（1）设立（仅限大型互联网平台在境外设立特定运营机构）；（2）合并、重组、分立；（3）上市；和（4）解散和/或破产清算，分别新设/强化了数据合规监管流程要求，我们在下图中进行了梳理（见图一）。

图一：企业全生命周期数据合规监管应对要求

1、设立（仅限大型互联网平台在境外设立特定运营机构）

《数安条例》并未对所有企业的设立规定特别的合规流程，但对于用户超过五千万、处理大量个人信息和重要数据、具有强大社会动员能力和市场支配地位的大型互联网平台运营者，《数安条例》对其在境外设立总部或者运营中心、研发中心，提出了额外的外部合规义务，即向国家网信部门和主管部门报告。大型互联网平台在数字经济下扮演着十分重要的角色，掌握海量用户数据。其“出海”开展业务将不可避免地涉及数据及技术的跨境传输、司法协助等问题，在极端情况下曾出现过被东道国政府强制要求剥离业务等情况，因而立法者设置此项报告义务的初衷是可以理解的。报告义务并非任何形式或实质性审查，仅为报备，这一方面体现出中国监管部门并不想阻碍中国大型互联网平台企业“走出去”，另一方面也体现出监管部门希望加强对经济动态的了解和知情。事实上，《数安条例》的多处规定都体现了监管部门的这一诉求。

2、企业的合并、重组、分立

《数安条例》第14条提出，数据处理者在合并、重组和分立等情况下涉及重要数据和一百万人以上个人信息的，需向设区的市级主管部门报告。合并、重组或分立是企业发展到一定规模后，进行改制重组、开展合理税收筹划、或者准备上市融资时极其常见的步骤。这一规定落实后，满足条件的公司如开展业务重组、红筹搭建、拆搭VIE结构等上市前常见举措都将需要在主管部门处“挂号”。

值得注意的是，涉及重要数据和一百万人以上个人信息的触发条件与企业国外上市触发网络安全审查的条件存在实质性重合。这一条款实施后将拓宽监管部门的信息渠道，使得监管部门将能够提前了解符合条件的企业的上市意向。可以合理认为，监管部门提出此项报告义务，目的之一是杜绝再发生“先上车后补票”式的上市案例。从这个目的出发，我们认为实践中对这一条解读和把握标准可能会偏严，需要企业谨慎对待。例如，尽管14条原文是涉及重要数据“和”一百万人以上个人信息的合并、重组和分立才会触发报告义务，但实践中不排除“重要数据”和“一百万人以上个人信息”两个标准满足其一即触发报告义务的可能性。此外，尽管根据14条的字面文义，“重要数据和一百万人以上信息”这一标准修饰的是“合并、重组和分立”这一行为（换言之应被解读为合并、重组和分立中涉及到了对重要数据和一百万人以上信息的处理），但也不能排除实践中被解读为一旦数据处理者本身处理重要数据和一百万人以上个人信息，那么其合并、重组和分立行为不论是否涉及数据转移都需报备的可能性。具体情况还有待在实践中验证。

3、针对企业上市形成前、中、后期全链条、全地域监管

《数安条例》一旦落地，针对企业上市的全地域、全链条监管体系将成型。我们总结了全链条图（见图二）供企业参考。

图二：企业上市前、中、后期全链条数据合规监管应对要求

自国家互联网信息办公室于2021年7月发布《网络安全审查办法（修订草案征求意见稿）》（下称“网安审查草案”）以来，网络安全审查这一合规流程一直受到广泛关注。网安审查草案中未明确赴港上市是否会落入申报范围，而《数安条例》第13条在此基础上填补了空白，明确赴香港上市如影响或可能影响国家安全的，也需要申报网络安全审查。然而，“影响或可能影响国家安全”的措辞存在一定模糊空间，实践中的认定也可能会很宽泛，具体认定标准还有待监管部门进一步澄清。

除填补赴港上市的空白以外，《数安条例》与网安审查草案相比，对于判断赴国外上市是否需要申报网络安全审查的标准似乎也有所调整。在网安审查草案中，赴国外上市触发网络安全审查的标准是“掌握超过100万用户个人信息”，其一方面使用的是并无法律明确定义的“掌握”一词，另一方面，也将一百万人的数量门槛仅限于用户的个人信息。而在《数安条例》中，有关标准调整为“处理一百万以人上个人信息的数据处理者”，一方面使用了与《个保法》对应的“处理”一词，另一方面也不再将一百万人的数量标准仅限于用户信息，这在某种程度上扩大了这一标准的适用范围，应当引起相关企业的注意。

尽管《数安条例》并未提及，但就境内上市而言，即便并不触发网络安全审查，拟上市企业也需要满足数据合规要求方可成功上市，并且近年来在上市过程中证监会经常会提出关于数据合规的问询。以AI企业旷视科技在为例，上海证券交易所于2021年3月受理其上市申请，并于同年4月下发问询函，要求旷视科技就数据处理环节的具体情况、与供应商之间的所签订合约的数据合规条款等问题做出澄清与回复。据我们了解，实践中已经出现拟上市企业因数据合规问题而在境内上市申请中被否的案例。

此外，《数安条例》也新增规定，企业完成境外上市之后，每年还应自行或委托第三方机构开展数据安全评估，在1月31日前将上一年评估报告上报至设区的市级网信部门，并将报告保存至少三年。此项要求不管是赴香港还是国外上市的企业，不论其是否触发网络安全审查都应遵守。虽然条文并未明确，但我们认为已经挂牌的数据处理者很有可能也会被要求按此条规定进行年度评估并提交报告。综上所述，有关监管机制一旦落地，企业在各法域上市、以及上市的前中后各阶段均将需要满足数据合规要求。

4、增设数据处理者解散或宣告破产时的合规义务

针对企业解散或宣告破产的情形，《数安条例》规定，数据处理者解散或宣告破产的，需要履行向主管部门报告的义务，此外，还应按照相关要求移交或删除数据。结合前文中归纳的针对企业的设立、合并、重组、分立、上市等交易条线的合规要求，可以说，《数安条例》已经针对企业的全生命周期建立起了全面的合规体系。