首頁 > 資訊 > 聚焦 > 正文

富途企業(yè)服務智庫平臺專家施忞旻：境外上市企業(yè)如何實現(xiàn)數(shù)據(jù)安全合規(guī)

2022-08-06 17:52:14來源：財訊網(wǎng)

施忞旻律師

，北京國楓(上海)律師事務所合伙人

，執(zhí)業(yè)十多年來專注于境內(nèi)外私募基金的設立

、投資

，境內(nèi)及跨境企業(yè)兼并收購、企業(yè)合規(guī)

、數(shù)據(jù)合規(guī)等業(yè)務領(lǐng)域的法律服務，持續(xù)服務于人民幣美元頭部基金

，國有投資平臺

，國內(nèi)外知名醫(yī)療健康、半導體科技

、數(shù)字經(jīng)濟

、大消費

、文化娛樂

、金融服務等諸多領(lǐng)域的企業(yè)和機構(gòu)。施忞旻律師持有歐盟EXIN DPO數(shù)據(jù)合規(guī)官認證資格

。

7月21日，國家互聯(lián)網(wǎng)信息辦公室依據(jù)《網(wǎng)絡安全法》《數(shù)據(jù)安全法》《個人信息保護法》《行政處罰法》等法律法規(guī)

，對滴滴全球股份有限公司處人民幣80.26億元罰款。隨后滴滴出行發(fā)布公告回應誠懇接受此次處罰

，并積極配合監(jiān)管完成整改

。

然而

，不僅僅是滴滴。在我國不斷提高數(shù)據(jù)合規(guī)安全意識以及美國《外國公司問責法案》的雙重壓力下

，如何完善數(shù)據(jù)合規(guī)管理成為企業(yè)上市前的重要議題之一

。

北京國楓(上海)律師事務所合伙人施忞旻律師作為富途企業(yè)服務智庫平臺榮譽專家

，受邀梳理了境內(nèi)企業(yè)赴境外上市數(shù)據(jù)合規(guī)安全相關(guān)的政策，并分享了對企業(yè)數(shù)據(jù)安全管理實操層面的建議

。

本期分享內(nèi)容要點：

- 企業(yè)境外上市的數(shù)據(jù)合規(guī)相關(guān)法律法規(guī)盤點- 已在港上市企業(yè)的數(shù)據(jù)合規(guī)相關(guān)披露內(nèi)容- 上市企業(yè)數(shù)據(jù)合規(guī)業(yè)務特點和方法論

2020年12月

，《外國公司問責法案》生效，美國證券交易委員會(SEC)于次年12月公布了該法案的實施細則

，美國公眾公司會計監(jiān)督委員會(PCAOB)又于該月發(fā)布《〈外國公司問責法〉認定報告》

，認定60余家在美注冊中國會計師事務所“無法完成檢查或調(diào)查” 1

。

截至美東時間7月21日，SEC公布的預摘牌名單已經(jīng)達到152只2

，其中就包含了京東

、網(wǎng)易等

。這對在美中概股意味著

，如遵守《問責法案》

，則中國公司要接受PCAOB對會計底稿的審查，否則將于2024年4月左右被迫從美股退市

。

然而

，接受會計底稿的審查與我國《證券法》第177條關(guān)于單位和個人不得擅自向境外提供與證券業(yè)務活動有關(guān)的文件和資料的規(guī)定3

，以及財政部關(guān)于我國內(nèi)地公司委托境外會計師事務所審計的底稿應當存放在境內(nèi)相關(guān)要求4產(chǎn)生沖突。

企業(yè)境外上市相關(guān)法律法規(guī)

2022年4月

，證監(jiān)會公布的《關(guān)于加強境內(nèi)企業(yè)境外發(fā)行證券和上市相關(guān)保密和檔案管理工作的規(guī)定(征求意見稿)》，也對相關(guān)事項作出了回應

，在跨境取證和檢查方面從我國監(jiān)管機構(gòu)為主導的模式轉(zhuǎn)變?yōu)橥ㄟ^跨境監(jiān)管合作機制進行5

，為中美證券監(jiān)管合作帶來一個積極信號

。因此，從短期來看

，SEC和PCAOB的規(guī)定對中概股將造成一定市場壓力及震蕩

，但從長期來看

，美股市場的大門對符合相應規(guī)定和披露要求的中國民營企業(yè)來說并未關(guān)閉。

下表對企業(yè)在上市過程中涉及的網(wǎng)絡安全審查

、數(shù)據(jù)安全評估、上市規(guī)則和數(shù)據(jù)出境的原則性規(guī)定進行了梳理

。

針對國家網(wǎng)信辦于近期公布的《數(shù)據(jù)出境安全評估辦法》

，有關(guān)負責人答記者問時介紹

，該《辦法》所稱數(shù)據(jù)出境活動主要包括兩大方面，一是數(shù)據(jù)處理者將在境內(nèi)運營中收集和產(chǎn)生的數(shù)據(jù)傳輸

、存儲至境外;二是數(shù)據(jù)處理者收集和產(chǎn)生的數(shù)據(jù)存儲在境內(nèi)

，境外的機構(gòu)

、組織或者個人可以訪問或者調(diào)用6。因此

，我國赴境外上市企業(yè)可能落入《辦法》審查對象的范圍

。

已在港上市企業(yè)的披露內(nèi)容

我們可以從近期港股上市的若干案例中

，對于上市企業(yè)在數(shù)據(jù)合規(guī)的披露方面基本遵循類似的體例

。比如

，知乎于2022年4月在香港聯(lián)交所二次上市，消費級基因檢測平臺美因基因于2022年6月在港交所上市

，這兩家上市企業(yè)招股說明書的相關(guān)披露內(nèi)容如下圖所示

。

由此可見，無論上市企業(yè)是否申報網(wǎng)絡安全審查

，發(fā)行人均披露他們采取了數(shù)據(jù)安全及合規(guī)的相關(guān)措施

，以表明發(fā)行人對現(xiàn)有數(shù)據(jù)的處理行為合法合規(guī)

，并且在披露內(nèi)容方面

，也顯得較為謹慎

。

上市企業(yè)數(shù)據(jù)合規(guī)

業(yè)務特點和方法論

對于擬上市的企業(yè)來說，為滿足數(shù)據(jù)合規(guī)的要求

，其做的準備工作具有如下特點：

(1)時間緊

、任務重

。企業(yè)在上市前需要開展數(shù)據(jù)資產(chǎn)梳理

、風險評估

、差距分析等前期工作

，并通過相應整改完成數(shù)據(jù)安全治理;

(2)更新迭代頻率高

。企業(yè)須持續(xù)對上市前開展的業(yè)務進行自查更新

，并針對突發(fā)情況準備好應急預案;

(3)顆粒度的判定

。企業(yè)需應對保薦人

、中介機構(gòu)

、上市地證券監(jiān)管機構(gòu)各方面

、各種顆粒度和層次的問詢;

(4)數(shù)據(jù)合規(guī)律師身份特殊。數(shù)據(jù)合規(guī)律師應在協(xié)助企業(yè)做數(shù)據(jù)合規(guī)梳理及整改中關(guān)注利益沖突問題

。

從實踐角度

，企業(yè)應在上市申請?zhí)峤磺胺謩e進行數(shù)據(jù)安全風險評估

、差距分析，通過整改完成合規(guī)工作

。具體而言

，企業(yè)在籌備上市的過程中

，以及在上市后的日常經(jīng)營中

，均可以運用如下“從零到一”的方法論開展數(shù)據(jù)合規(guī)工作：

(1)對企業(yè)自身進行主體識別和行業(yè)識別，目的在于明確企業(yè)所需要符合的有關(guān)法律、行政法規(guī)

、部門規(guī)章

、司法解釋

、國家標準、行業(yè)標準、團體標準

、技術(shù)文件、地方性法規(guī)等構(gòu)成的監(jiān)管框架

。在主體識別上

，企業(yè)可從幾個方面入手——企業(yè)業(yè)務地域范圍(是否涉及跨境業(yè)務)

、股權(quán)性質(zhì)和結(jié)構(gòu)(例如是否有外資成分

、是否有國資背景)

、對數(shù)據(jù)處理是否有決策權(quán)(例如是否為數(shù)據(jù)控制者)、是否屬于有特別限制或義務的主體類別(例如是否屬于關(guān)鍵信息基礎(chǔ)設施運營者

、互聯(lián)網(wǎng)平臺運營者等等)。其中尤為重要的一環(huán)是從法規(guī)中進一步歸納總結(jié)

，對包括數(shù)據(jù)分級分類的規(guī)則

、數(shù)據(jù)傳輸和共享的規(guī)則

、個人信息保護的規(guī)則等在內(nèi)的各項監(jiān)管主題進行梳理;

(2)對企業(yè)的業(yè)務場景和特定需求進行識別，以厘清具有合規(guī)需求的業(yè)務場景

，并對需要重點關(guān)注的特定監(jiān)管要素進行梳理;

(3)對企業(yè)進行數(shù)據(jù)資產(chǎn)盤點

，具體包括數(shù)據(jù)來源識別

、確定數(shù)據(jù)類別與分類分級情況

，從而判斷這些數(shù)據(jù)是否構(gòu)成《數(shù)據(jù)安全法》下的國家核心數(shù)據(jù)

、重要數(shù)據(jù)或一般數(shù)據(jù)

，然后在此基礎(chǔ)上形成數(shù)據(jù)資產(chǎn)分類分級清單。如果企業(yè)尚有余力

，還可從技術(shù)、制度流程

、組織結(jié)構(gòu)等角度進一步優(yōu)化數(shù)據(jù)分類分級

，例如建立數(shù)據(jù)資產(chǎn)動態(tài)管理平臺、明確數(shù)據(jù)分類分級及變更的內(nèi)部流程機制

，以及量化評估方式等;

(4)結(jié)合具體的業(yè)務場景對企業(yè)進行數(shù)據(jù)全生命周期的映射和管理。該步需要在前述識別的業(yè)務場景下

，通過上述的數(shù)據(jù)類別和分類分級情況對數(shù)據(jù)的收集

、存儲、使用

、加工、傳輸

、提供

、公開

、刪除等整個生命周期的行為進行一一映射，以確定處理這些數(shù)據(jù)是否存在合法性基礎(chǔ)

、識別收集了哪些數(shù)據(jù)

、這些數(shù)據(jù)存儲在哪里

、誰可以使用以及如何使用這些數(shù)據(jù)

，這些數(shù)據(jù)提供給了哪些第三方等等

，然后對照監(jiān)管重點進行核查確認

，確保對信息主體權(quán)利予以有效落實

。

(5)對前述過程進行循環(huán)往復不斷迭代

，對數(shù)據(jù)情況進行持續(xù)的動態(tài)監(jiān)測。具體而言

，要定期進行企業(yè)數(shù)據(jù)合規(guī)情況的內(nèi)部評估和第三方評估以查缺補漏

，不斷完善數(shù)據(jù)合規(guī)管理體系

，同時要重點關(guān)注行業(yè)監(jiān)管政策法規(guī)及熱點動態(tài)，做好有關(guān)應對工作

。

此外，企業(yè)應在完成數(shù)據(jù)合規(guī)治理工作后做好“驗收準備”

，有效應對保薦人、中介機構(gòu)及上市地證券監(jiān)管機構(gòu)和交易所就相關(guān)事項提出的各類問詢

。

對于不同類型的企業(yè)來說，其合規(guī)工作的側(cè)重點也有所不同。

結(jié)語

企業(yè)在上市過程中

，應持續(xù)關(guān)注我國關(guān)于數(shù)據(jù)以及個人信息保護的法律法規(guī)和監(jiān)管動態(tài)

，及時完善數(shù)據(jù)合規(guī)管理體系

，在發(fā)生重大安全事件或者公司業(yè)務模式、信息系統(tǒng)等發(fā)生重大變更時

，及時進行數(shù)據(jù)安全影響評估

。隨著上市的推進，企業(yè)還應定期審查相關(guān)制度是否有效落地

，對發(fā)現(xiàn)的問題、整改情況與監(jiān)管的動態(tài)變化進行比對并不斷調(diào)整與優(yōu)化

，以形成一個有效的合規(guī)閉環(huán)

。只要在數(shù)據(jù)治理的方法上庖丁解牛，主觀上運籌帷幄

，就能推進上市數(shù)據(jù)合規(guī)項目的有效落地

。

【注】

[1] HFCAA Determination Report

[2] sec.gov/hfcaa

[3] 我國《證券法》第177條第2款規(guī)定，“境外證券監(jiān)督管理機構(gòu)不得在中華人民共和國境內(nèi)直接進行調(diào)查取證等活動。未經(jīng)國務院證券監(jiān)督管理機構(gòu)和國務院有關(guān)主管部門同意

，任何單位和個人不得擅自向境外提供與證券業(yè)務活動有關(guān)的文件和資料

。”

[4] 財政部制定的《會計師事務所從事中國內(nèi)地企業(yè)境外上市審計業(yè)務暫行規(guī)定》第5條規(guī)定，“中國內(nèi)地企業(yè)依法委托境外會計師事務所審計的

，該受托境外會計師事務所應當與中國內(nèi)地會計師事務所開展業(yè)務合作。雙方應當簽訂業(yè)務合作書面協(xié)議

，自主協(xié)商約定業(yè)務分工以及雙方的權(quán)利和義務

，其中在境內(nèi)形成的審計工作底稿應由中國內(nèi)地會計師事務所存放在境內(nèi)

。”

[5] 《關(guān)于加強境內(nèi)企業(yè)境外發(fā)行證券和上市相關(guān)保密和檔案管理工作的規(guī)定(征求意見稿)》第11條規(guī)定，“境外證券監(jiān)督管理機構(gòu)及有關(guān)主管部門提出就境內(nèi)企業(yè)境外發(fā)行證券和上市相關(guān)活動對境內(nèi)企業(yè)以及為該等企業(yè)境外發(fā)行證券和上市提供證券服務的證券公司

、證券服務機構(gòu)進行調(diào)查取證或開展檢查的

，應當通過跨境監(jiān)管合作機制進行，證監(jiān)會或有關(guān)主管部門依據(jù)雙多邊合作機制提供必要的協(xié)助

。”

[6] 《數(shù)據(jù)出境安全評估辦法》答記者問，中國網(wǎng)信網(wǎng)

富途企業(yè)服務智庫平臺

富途企業(yè)服務智庫平臺研究內(nèi)容覆蓋股權(quán)激勵

、稅務政策解讀

、融資上市、金融前沿趨勢等領(lǐng)域

，致力于使智庫平臺內(nèi)的各主體間在價值創(chuàng)造、資源互換

、合作創(chuàng)新等方面保持高度協(xié)同，實現(xiàn)共贏

。目前，已與行業(yè)內(nèi)多家知名機構(gòu)合作

，集聚了投資銀行