富途企業服務智庫平臺專家施忞旻：境外上市企業如何實現數據安全合規

施忞旻律師，北京國楓(上海)律師事務所合伙人，執業十多年來專注于境內外私募基金的設立、投資，境內及跨境企業兼并收購、企業合規、數據合規等業務領域的法律服務，持續服務于人民幣美元頭部基金，國有投資平臺，國內外知名醫療健康、半導體科技、數字經濟、大消費、文化娛樂、金融服務等諸多領域的企業和機構。施忞旻律師持有歐盟EXIN DPO數據合規官認證資格。

7月21日，國家互聯網信息辦公室依據《網絡安全法》《數據安全法》《個人信息保護法》《行政處罰法》等法律法規，對滴滴全球股份有限公司處人民幣80.26億元罰款。隨后滴滴出行發布公告回應誠懇接受此次處罰，并積極配合監管完成整改。

然而，不僅僅是滴滴。在我國不斷提高數據合規安全意識以及美國《外國公司問責法案》的雙重壓力下，如何完善數據合規管理成為企業上市前的重要議題之一。

北京國楓(上海)律師事務所合伙人施忞旻律師作為富途企業服務智庫平臺榮譽專家，受邀梳理了境內企業赴境外上市數據合規安全相關的政策，并分享了對企業數據安全管理實操層面的建議。

本期分享內容要點：

- 企業境外上市的數據合規相關法律法規盤點- 已在港上市企業的數據合規相關披露內容- 上市企業數據合規業務特點和方法論

2020年12月，《外國公司問責法案》生效，美國證券交易委員會(SEC)于次年12月公布了該法案的實施細則，美國公眾公司會計監督委員會(PCAOB)又于該月發布《〈外國公司問責法〉認定報告》，認定60余家在美注冊中國會計師事務所“無法完成檢查或調查” 1。

截至美東時間7月21日，SEC公布的預摘牌名單已經達到152只2，其中就包含了京東、網易等。這對在美中概股意味著，如遵守《問責法案》，則中國公司要接受PCAOB對會計底稿的審查，否則將于2024年4月左右被迫從美股退市。

然而，接受會計底稿的審查與我國《證券法》第177條關于單位和個人不得擅自向境外提供與證券業務活動有關的文件和資料的規定3，以及財政部關于我國內地公司委托境外會計師事務所審計的底稿應當存放在境內相關要求4產生沖突。

企業境外上市相關法律法規

2022年4月，證監會公布的《關于加強境內企業境外發行證券和上市相關保密和檔案管理工作的規定(征求意見稿)》，也對相關事項作出了回應，在跨境取證和檢查方面從我國監管機構為主導的模式轉變為通過跨境監管合作機制進行5，為中美證券監管合作帶來一個積極信號。因此，從短期來看，SEC和PCAOB的規定對中概股將造成一定市場壓力及震蕩，但從長期來看，美股市場的大門對符合相應規定和披露要求的中國民營企業來說并未關閉。

下表對企業在上市過程中涉及的網絡安全審查、數據安全評估、上市規則和數據出境的原則性規定進行了梳理。

針對國家網信辦于近期公布的《數據出境安全評估辦法》，有關負責人答記者問時介紹，該《辦法》所稱數據出境活動主要包括兩大方面，一是數據處理者將在境內運營中收集和產生的數據傳輸、存儲至境外;二是數據處理者收集和產生的數據存儲在境內，境外的機構、組織或者個人可以訪問或者調用6。因此，我國赴境外上市企業可能落入《辦法》審查對象的范圍。

已在港上市企業的披露內容

我們可以從近期港股上市的若干案例中，對于上市企業在數據合規的披露方面基本遵循類似的體例。比如，知乎于2022年4月在香港聯交所二次上市，消費級基因檢測平臺美因基因于2022年6月在港交所上市，這兩家上市企業招股說明書的相關披露內容如下圖所示。

由此可見，無論上市企業是否申報網絡安全審查，發行人均披露他們采取了數據安全及合規的相關措施，以表明發行人對現有數據的處理行為合法合規，并且在披露內容方面，也顯得較為謹慎。

上市企業數據合規

業務特點和方法論

對于擬上市的企業來說，為滿足數據合規的要求，其做的準備工作具有如下特點：

(1)時間緊、任務重。企業在上市前需要開展數據資產梳理、風險評估、差距分析等前期工作，并通過相應整改完成數據安全治理;

(2)更新迭代頻率高。企業須持續對上市前開展的業務進行自查更新，并針對突發情況準備好應急預案;

(3)顆粒度的判定。企業需應對保薦人、中介機構、上市地證券監管機構各方面、各種顆粒度和層次的問詢;

(4)數據合規律師身份特殊。數據合規律師應在協助企業做數據合規梳理及整改中關注利益沖突問題。

從實踐角度，企業應在上市申請提交前分別進行數據安全風險評估、差距分析，通過整改完成合規工作。具體而言，企業在籌備上市的過程中，以及在上市后的日常經營中，均可以運用如下“從零到一”的方法論開展數據合規工作：

(1)對企業自身進行主體識別和行業識別，目的在于明確企業所需要符合的有關法律、行政法規、部門規章、司法解釋、國家標準、行業標準、團體標準、技術文件、地方性法規等構成的監管框架。在主體識別上，企業可從幾個方面入手——企業業務地域范圍(是否涉及跨境業務)、股權性質和結構(例如是否有外資成分、是否有國資背景)、對數據處理是否有決策權(例如是否為數據控制者)、是否屬于有特別限制或義務的主體類別(例如是否屬于關鍵信息基礎設施運營者、互聯網平臺運營者等等)。其中尤為重要的一環是從法規中進一步歸納總結，對包括數據分級分類的規則、數據傳輸和共享的規則、個人信息保護的規則等在內的各項監管主題進行梳理;

(2)對企業的業務場景和特定需求進行識別，以厘清具有合規需求的業務場景，并對需要重點關注的特定監管要素進行梳理;

(3)對企業進行數據資產盤點，具體包括數據來源識別、確定數據類別與分類分級情況，從而判斷這些數據是否構成《數據安全法》下的國家核心數據、重要數據或一般數據，然后在此基礎上形成數據資產分類分級清單。如果企業尚有余力，還可從技術、制度流程、組織結構等角度進一步優化數據分類分級，例如建立數據資產動態管理平臺、明確數據分類分級及變更的內部流程機制，以及量化評估方式等;

(4)結合具體的業務場景對企業進行數據全生命周期的映射和管理。該步需要在前述識別的業務場景下，通過上述的數據類別和分類分級情況對數據的收集、存儲、使用、加工、傳輸、提供、公開、刪除等整個生命周期的行為進行一一映射，以確定處理這些數據是否存在合法性基礎、識別收集了哪些數據、這些數據存儲在哪里、誰可以使用以及如何使用這些數據，這些數據提供給了哪些第三方等等，然后對照監管重點進行核查確認，確保對信息主體權利予以有效落實。

(5)對前述過程進行循環往復不斷迭代，對數據情況進行持續的動態監測。具體而言，要定期進行企業數據合規情況的內部評估和第三方評估以查缺補漏，不斷完善數據合規管理體系，同時要重點關注行業監管政策法規及熱點動態，做好有關應對工作。

此外，企業應在完成數據合規治理工作后做好“驗收準備”，有效應對保薦人、中介機構及上市地證券監管機構和交易所就相關事項提出的各類問詢。

對于不同類型的企業來說，其合規工作的側重點也有所不同。

結語

企業在上市過程中，應持續關注我國關于數據以及個人信息保護的法律法規和監管動態，及時完善數據合規管理體系，在發生重大安全事件或者公司業務模式、信息系統等發生重大變更時，及時進行數據安全影響評估。隨著上市的推進，企業還應定期審查相關制度是否有效落地，對發現的問題、整改情況與監管的動態變化進行比對并不斷調整與優化，以形成一個有效的合規閉環。只要在數據治理的方法上庖丁解牛，主觀上運籌帷幄，就能推進上市數據合規項目的有效落地。

【注】

[1] HFCAA Determination Report

[2] sec.gov/hfcaa

[3] 我國《證券法》第177條第2款規定，“境外證券監督管理機構不得在中華人民共和國境內直接進行調查取證等活動。未經國務院證券監督管理機構和國務院有關主管部門同意，任何單位和個人不得擅自向境外提供與證券業務活動有關的文件和資料。”

[4] 財政部制定的《會計師事務所從事中國內地企業境外上市審計業務暫行規定》第5條規定，“中國內地企業依法委托境外會計師事務所審計的，該受托境外會計師事務所應當與中國內地會計師事務所開展業務合作。雙方應當簽訂業務合作書面協議，自主協商約定業務分工以及雙方的權利和義務，其中在境內形成的審計工作底稿應由中國內地會計師事務所存放在境內。”

[5] 《關于加強境內企業境外發行證券和上市相關保密和檔案管理工作的規定(征求意見稿)》第11條規定，“境外證券監督管理機構及有關主管部門提出就境內企業境外發行證券和上市相關活動對境內企業以及為該等企業境外發行證券和上市提供證券服務的證券公司、證券服務機構進行調查取證或開展檢查的，應當通過跨境監管合作機制進行，證監會或有關主管部門依據雙多邊合作機制提供必要的協助。”

[6] 《數據出境安全評估辦法》答記者問，中國網信網

富途企業服務智庫平臺

富途企業服務智庫平臺研究內容覆蓋股權激勵、稅務政策解讀、融資上市、金融前沿趨勢等領域，致力于使智庫平臺內的各主體間在價值創造、資源互換、合作創新等方面保持高度協同，實現共贏。目前，已與行業內多家知名機構合作，集聚了投資銀行、四大會計師事務所、律所、咨詢機構、官方服務機構等背景的資深人士。

富途企業服務品牌富途安逸為企業提供貫穿上市前后的全流程服務，包括：港股美股IPO分銷服務、一站式ESOP期權管理解決方案、親友股與國際配售、投資者關系(IR)與PR、大宗交易和股票減持/回購服務及機構開戶與交易服務等六大核心服務(文中所涉IPO分銷業務及證券業務由富途旗下持牌子公司提供服務)。截至2021年底，富途企業服務累計服務客戶數超500家。

免責聲明：市場有風險，選擇需謹慎!此文僅供參考，不作買賣依據。

關鍵詞：