解读《数据出境安全评估办法》，中概股境外上市该何去何从「政策与金融」

编 | 文 | Ian
阅读 | 6分钟
图 | 依版权出处

▽

2022年7月7日，国家互联网信息办公室公布《数据出境安全评估办法》（以下简称《办法》），自2022年9月1日起施行。

壹、《数据出境安全评估办法》

《办法》的出台旨在落实《网络安全法》、《数据安全法》、《个人信息保护法》的规定，规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动，切实以安全保发展、以发展促安全。

（一）《办法》所称数据出境活动

《办法》所规制的数据出境，包括两种情况：

（一）数据处理者将在境内运营中收集和产生的数据传输、存储至境外；（二）数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以访问或者调用。　

（二）申报数据出境安全评估的情形

《办法》第4条作出如下规定：“数据处理者向境外提供数据，有下列情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：

（一）数据处理者向境外提供重要数据；（二）关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；（三）自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；（四）国家网信部门规定的其他需要申报数据出境安全评估的情形。

图片来源：国家互联网信息办公室官网

贰、中概股是否为数据处理者

《办法》并为明确定义何为数据处理者，根据2021年11月14日发布的《网络数据安全管理条例（征求意见稿）》中描述：

数据处理者是指在数据处理活动中自主决定处理目的和处理方式的个人和组织。

根据2021年9月1日实施的《中华人民共和国数据安全法》第一章 第三条 中对数据处理的描述：

数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。

如果中概股境内企业存在前述数据处理的情形，则会被认定为属于数据处理者。

图片来源：中华人民共和国中央人民政府官网

叁、境外上市涉及数据出境的环节

★ 哪些环节涉及数据出境 ★

中概股境外上市的过程中，会涉及数据出境的，大概在【尽调】、【审计】等几个环节。具体的应用场景大约为：

（一）业务尽职调查

业务尽职调查中，境内企业向境外投行直接提供或披露境内企业经营相关的数据。

（二）财务尽职调查

财务尽职调查中，境内企业向境外会计师事务所直接提供境内企业在境内收集和产生的底稿文件。

（三）法律尽职调查

法律尽职调查中，境内企业向境外律师事务所直接提供境内企业在境内收集和产生的法律文件资料

（四）IT审计

IT审计中，境内企业授权境外IT审计机构或者个人访问境内企业的IT系统。

如果境内企业并未直接将数据或资料提供给这些境外机构，但将该等数据存储在服务器中供访问，或者直接存储在境外存储服务机构提供的虚拟数据室(Virtual Data Room)中，这些也都会涉及到数据出境。

★ 该环节是否需要进行安全评估 ★

不是的！并非所有环节都需要进行安全评估。

本文第一章第二小节描述了需要申报数据安全评估的四种情形。

只有符合上述四种情形的，才需要进行安全评估。

因此，中该股公司境外上市需结合出境数据的规模、范围、种类、敏感程度等因素综合判断是否需要进行数据出境安全评估。

内容来源：国家互联网信息办公室官网

肆、关于数据出境安全评估

（一）境外上市应在哪个阶段申请数据安全评估

如中概股公司境外上市过程中可能涉及向境外机构提供数据。我们需要根据上述四种情形分析是否需要进行安全评估。如经分析判断需要进行安全评估，我们建议应在尽调、审计等实质性工作环节展开之前申报数据出境安全评估。

此外，为避免因数据出境安全评估带来的时间问题，我们建议中介机构在辅导企业境外上市的过程中，将数据出境安全评估环节列为上市时间表中，以免因此延误后续整个上市进程。

（二）评估是事前评估还是事后评估？

数据出境安全评估为事前评估！

我们建议数据处理者在与境外接收方签订数据出境相关合同或者其他具有法律效力的文件（以下统称法律文件）前或者在允许境外接收方访问或者调用前，申报数据出境安全评估。如果在签订法律文件后申报评估，建议在法律文件中注明此文件须在通过数据出境安全评估后生效，以避免可能因未通过评估而造成损失。

（三）对企业境外上市时间的影响

根据《办法》第十二条的规定：

国家网信部门应当自向数据处理者发出书面受理通知书之日起45个工作日内完成数据出境安全评估；情况复杂或者需要补充、更正材料的，可以适当延长并告知数据处理者预计延长的时间。

此外，根据《办法》第十七条的规定：

国家网信部门发现已经通过评估的数据出境活动在实际处理过程中不再符合数据出境安全管理要求的，应当书面通知数据处理者终止数据出境活动。数据处理者需要继续开展数据出境活动的，应当按照要求整改，整改完成后重新申报评估。

因此，为避免影响上市时间表，中概股公司除了应提前准备相关工作外，还应注意持续符合数据出境安全管理的相关要求，避免在上市过程中被终止对外提供相关资料。

图片来源：迅实国际

伍、关于安全评估后会计底稿的提交

2022年4月2日，证监会会同财政部、国家保密局、国家档案局对《关于加强在境外发行证券与上市相关保密和档案管理工作的规定》(即“29号文”)进行修订，形成了《关于加强境内企业境外发行证券和上市相关保密和档案管理工作的规定(征求意见稿)》。

《规定》第三条明确，境内企业向有关证券公司、证券服务机构、境外监管机构等单位和个人提供、公开披露，或者通过其境外上市主体等提供、公开披露涉及国家秘密、机关单位工作秘密的文件、资料的，应当依法报有审批权限的主管部门批准，并报同级保密行政管理部门备案。

因此，若保密新规后续正式通过，中概股公司在对外提供会计底稿等数据时还应特别关注该等数据是否涉及国家秘密或机关单位工作秘密，从而导致需要向有关主管部门履行依法报批及备案程序。

内容来源：国家互联网信息办公室官网

陆、未遵守《办法》的具体责任

根据《办法》第十八条规定：

违反本办法规定的，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规处理；构成犯罪的，依法追究刑事责任。

具体法律责任视不同情形可能包括责令改正、罚款、责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照、没收违法所得等一种或多种；构成犯罪的，依法追究刑事责任。

对此，我们建议中概股公司境外上市前应当和中介机构沟通，在正式启动上市前进行数据出境安全评估分析，同时在上市过程中时刻警惕数据出境的任何行为，避免延误上市进程，造成不必要的损失。

内容来源：国家互联网信息办公室官网

咨询顾问：大伟 David

咨询热线：156
1833 0219（微信同号）

Consultant: David

Hotline: 156 1833 0219（Wechat）