網上投稿
境內企業境外上市，作為企業走出去戰略的重要一環，為中小企業和一些獨角獸公司的融資，提供了便捷的通道。境外上市因其能夠提供快速便捷的融資平臺和靈活的退出機制有利于企業國際化，也由于具有創造更多的國際合作機會和提高國際知名度等優勢，被不少企業家接受和利用。
但是，境內企業境外上市由于涉及到好幾個法域的法律制度、監管制度等原因，有很多法律問題需要理順、協調。其中不乏紅籌架構、境外投資備案、境外投資者并購境內企業、境內企業完善內控制度、境內企業和境外殼公司的合并報表等一系列問題。但是這些比較傳統的法律問題已經有很多專家進行詳細講解，在此不再贅述，我們今天要探討的是境外上市企業的數據出境問題。
一、數據出境的相關法律規定
按照我們國家的法律規定及實踐來看，數據一般可以分為個人信息和其他數據兩大類。由于個人信息的敏感性，我們國家專門針對個人信息安全問題作出了專門的法律規定。當然，個人信息作為數據的重要組成部分，也是納入數據信息的保護范圍進行統一管理的。
我們國家第一次對數據跨境做出規定的法律是《中華人民共和國網絡安全法》（2017年6月1日開始實施），該法第三十七條規定：關鍵信息基礎設施的運營者在中華人民共和國境內運營中收集和產生的個人信息和重要數據應當在境內存儲。因業務需要，確需向境外提供的，應當按照國家網信部門會同國務院有關部門制定的辦法進行安全評估；法律、行政法規另有規定的，依照其規定。后來制定的《中華人民共和國數據安全法》（2021年9月1日開始實施）也對數據出境做出了相關規定，該法第十一條規定：國家積極開展數據安全治理、數據開發利用等領域的國際交流與合作，參與數據安全相關國際規則和標準的制定，促進數據跨境安全、自由流動。
就個人信息的保護而言，《中華人民共和國個人信息保護法》（2021年11月1日正式實施）專門規定了個人信息的出境問題。該法第四十條規定：關鍵信息基礎設施運營者和處理個人信息達到國家網信部門規定數量的個人信息處理者，應當將在中華人民共和國境內收集和產生的個人信息存儲在境內。確需向境外提供的，應當通過國家網信部門組織的安全評估。并在第三章規定了個人信息跨境提供的具體路徑：數據出境安全評估、個人信息保護認證、個人信息出境標準合同及其他條件。
上述法律作為上位法，只是提出了對數據出境和個人信息出境的總體性、原則性規定，但是具體的安全審查、安全評估、審核、備案等，沒有做出詳細規定。根據上述幾個上位法，國家互聯網信息辦公室（以下“網信辦”）對數據出境的安全評估、個人信息出境備案等制定了一系列的操作性規范。2022年9月1日開始實施的《數據出境安全評估辦法》，明確了必須申報數據出境安全評估的情形，以及自評估-申請評估-重新申報評估的評估流程框架，并對部分細節進行了更新。同時，網信辦也公布了《數據出境安全評估申報指南（第一版）》，指導了數據處理者申報數據出境安全評估的具體方法。而2023年6月1日開始實施的《個人信息出境標準合同辦法》和《個人信息出境標準合同備案指南（第一版）》，則是對個人數據出境的相關備案管理提出了較為詳細的規定。
根據我國數據安全管理的各項規定要求，數據主要分為禁止出境的數據，需要本地化儲存并在出境時進行安全評估的數據，出境時通過標準合同進行備案的數據等三類。
（一）國家機密以及工信部門劃定為核心數據的，均禁止出境；（二）重要數據出境，關鍵信息基礎設施運營者和處理100萬人以上個人信息的數據處理者擁有的個人信息出境，自上年1月1日起累計向境外提供10萬人個人信息或者1萬人敏感個人信息的數據處理者向境外提供個人信息，均需進行數據出境安全評估；（三）除了上面數據意外以外的其他個人信息出境，個人信息處理者通過與境外接收方訂立標準合同的方式向境外提供個人信息，向境外提供個人信息前，需要對提供的信息做個人信息保護影響評估，且該標準合同需向省級網信辦進行備案。
二、境外上市公司涉及的數據出境問題
2021年的某打車軟件境外上市事件后，我國將赴境外上市納入網絡安全審查范疇內，加強對赴境外上市企業的管理。因此，境內企業在境外上市過程中涉及向境外主管機關公開披露大量文件，因此需要由公司及中介團隊慎重評估這些提供的數據是否會觸犯上述各項法律法規的規定。如果企業的數據提供給境外有可能給我國的國家安全和公共利益造成嚴重傷害或者可能發生重大風險的，企業要慎重考慮直至停止境外上市。境外上市企業的數據出境，大體來講分為個人信息的出境以及其他敏感信息的出境問題。
（一）個人信息的出境問題
根據《網絡安全審查辦法》（2022年2月1日起實施）規定，掌握超過100萬用戶個人信息的網絡平臺運營者赴國外上市，必須向網絡安全審查辦公室申報網絡安全審查。企業申報網絡安全審查，應當提交（一）申報書；（二）關于影響或者可能影響國家安全的分析報告；（三）采購文件、協議、擬簽訂的合同或者擬提交的首次公開募股（IPO）等上市申請文件；（四）網絡安全審查工作需要的其他材料。網絡安全審查辦公室應當自收到審查申報材料起10個工作日內，確定是否需要審查并書面通知當事人。
值得商榷的是，上述辦法中的術語不是“境外上市”，而是“國外上市”。我們所說的“境外”一般包括香港、澳門、臺灣地區，但是“國外”就不應包括上述三個地區。那么《網絡安全審查辦法》中規定“國外上市”企業需要接受網絡安全審查，是否意味著豁免了赴香港上市的企業申報網絡安全審查的義務？如果嚴格按照字面意義解釋，應該是可以豁免，但是是否在實務中豁免這一義務，有待相關部門的操作細則或者相關的實踐來進一步驗證。
除此之外，“掌握超過100萬用戶個人信息的網絡平臺運營者”以外的其他企業在上市過程中需要向境外披露個人信息的，要按照《數據出境安全評估辦法》和《個人信息出境標準合同辦法》的標準，根據個人信息的出境數量，做相應的申報。需要注意的是，在上市企業和境外的券商、中介簽署個人信息出境標準合同過程中，有可能發生境外接收個人信息的一方不愿意簽署該協議的問題。尤其是是歐美的一些機構，不能排除他們提出所謂的“長臂管轄”等借口，拒絕簽署該協議的可能性。這需要企業在上市籌備過程中與境外的券商、中介機構進行溝通確認，如果有不愿意簽署的，應在上市啟動前變更中介團隊，以免上市過程中導致拖延。
（二）其他信息的出境問題
如果不是處理大規模個人信息的企業在境外上市，除了個人信息的出境以外，其實上市過程中需要披露的一些重要信息以及上市后披露的信息（尤其是關于審計的信息）出境，對境外上市企業來講更為重要。企業除了滿足網信部門的要求外，還需滿足證監會關于保密和檔案管理的相關規定。
2023年2月24日，中國證監會、財政部、國家保密局、國家檔案局聯合發布修訂后的《關于加強境內企業境外發行證券和上市相關保密和檔案管理工作的規定》（2023年3月31日開始實施）（以下“保密規定”），相比于之前的規定，加強了對境外上市企業重要數據的監管。
首先，是將適用范圍從原來的直接上市公司擴大至境外間接上市企業。原保密規定的適用范圍為“發行境外上市外資股的境內公司”，并規定境外中資控股上市公司的境內股權持有單位參照執行。但是修訂后的保密規定中對“境外上市的境內企業”定義為包括直接境外發行上市的境內股份有限公司和間接境外發行上市主體的境內運營實體。即，搭建紅籌架構和VIE架構的境內企業也將受到該規定的限制。
其次，保密規定對境內企業境外上市過程中將會計檔案、工作底稿等數據的出境，提出了監管要求。即，境內企業向有關證券公司、證券服務機構、境外監管機構等單位和個人提供會計檔案或會計檔案復制件的，應當按照國家有關規定履行相應程序；為境內企業境外發行上市提供相應服務的證券公司、證券服務機構在境內形成的工作底稿應當存放在境內。需要出境的，按照國家有關規定辦理審批手續。
一般情況下，境外的證券公司和監管機構不太關注律師工作底稿，基本不會要求律師提供工作底稿。因此上述規定中需要關注的是“會計檔案”和“審計工作底稿”的出境問題。這里的“審計工作底稿”比較好理解，但是“會計檔案”的具體范圍，很多企業并不太了解。根據《會計檔案管理辦法》的相關規定，會計檔案是指單位在進行會計核算等過程中接收或形成的，記錄和反映單位經濟業務事項的，具有保存價值的文字、圖表等各種形式的會計資料，包括通過計算機等電子設備形成、傳輸和存儲的電子會計檔案。以下資料均屬于會計檔案：
1)會計憑證，包括原始憑證、記賬憑證;
2)會計賬簿，包括總賬、明細賬、日記賬、固定資產卡片及其他輔助性賬簿;
3)財務會計報告，包括月度、季度、半年度、年度財務會計報告;
4)其他會計資料，包括銀行存款余額調節表、銀行對賬單、納稅申報表、會計檔案移交清冊、會計檔案保管清冊、會計檔案銷毀清冊、會計檔案鑒定意見書及其他具有保存價值的會計資料。
那么，“按照國家有關規定履行相應程序”應該如何理解？這一塊，保密規定沒有具體列明操作方式，但是根據作者理解，企業提供的會計檔案，應按照相關保密等級進行分類，再根據相應的保密等級進行處理。如果會計檔案涉及國家秘密、國家機關工作秘密，企業應當按照保密規定向主管部門報批、報備；如果屬于泄露后會對國家安全或公共利益造成不利影響的文件、資料，則應當按照前面提到的數據出境的相關規定進行網絡安全審查、數據出境安全評估、標準合同備案等。同時，境內企業還應當向檔案接收方提供書面說明，并且雙方應當簽署保密協議。
實際上，在2016年1月1日以前，《會計檔案管理辦法》明確規定我國境內所有單位的會計檔案不得攜帶出境。而根據《會計檔案管理辦法》的上位法《中華人民共和國檔案法》(以下“《檔案法》”)第二十五條規定，屬于非國有企業、社會服務機構等單位和個人形成的檔案及其復印件，對國家和社會具有重要保存價值或者應當保密的，禁止擅自運送、郵寄、攜帶出境或者通過互聯網傳輸出境。確需出境的，按照國家有關規定辦理審批手續。國家檔案局1999年發布的《中華人民共和國檔案法實施辦法》（以下《檔案法實施辦法》）中規定，檔案出境實行分級審批制度。據此，《會計檔案管理辦法》在2015年12月作出了相應的修改，根據修改后的《會計檔案管理辦法》規定，單位的會計檔案及其復制件需要攜帶、寄運或者傳輸至境外的，應當按照國家有關規定執行。
根據《檔案法實施辦法》的規定，檔案出境的分級審批制度如下：
1)各級國家檔案館館藏的一級檔案嚴禁出境；
2)各級國家檔案館館藏的二級檔案需要出境的，必須經國家檔案局審查批準；
3)各級國家檔案館館藏的三級檔案、各級國家檔案館館藏的一、二、三級檔案以外的屬于集體所有、個人所有以及其他不屬于國家所有的對國家和社會具有保存價值的或者應當保密的檔案及其復制件，各級國家檔案館以及機關、團體、企業事業單位、其他組織和個人需攜帶、運輸或者郵寄出境的，必須經省級檔案管理部門審查批準，海關憑批準文件查驗放行。
上述規定中“對國家和社會具有保存價值的或者應當保密的檔案”，屬于集體所有、個人所有以及其他不屬于國家所有的，由省級檔案管理部門征得國家檔案局同意后確定具體范圍。企業應當提前向當地檔案管理部門了解“對國家和社會具有保存價值的或者應當保密的檔案”的具體范圍，以確定其向境外提供會計檔案是否屬于需要經過主管部門的審批的范圍。
關于工作底稿出境，目前尚未對相關出境審批手續作進一步規定，但是這些底稿也是屬于數據，應按照前面提到的數據出境的相關規定進行數據出境安全評估以及網絡安全審查。關于工作底稿出境的具體操作，就涉及到下面第三點——雙邊合作機制。
第三，明確境外證券監督管理機構及有關主管部門提出就境內企業境外發行上市相關活動對境內企業以及為該等企業提供相應服務的境內證券公司、證券服務機構進行檢查或調查取證的，應當通過跨境監管合作機制進行，證監會或有關主管部門依據雙多邊合作機制提供必要的協助，為安全高效開展跨境監管合作提供制度保障。
鑒于中國赴美上市企業較多，而會計審計領域的問題也時有發生，中國證監會、財政部于2022年8月26日與美國公眾公司會計監督委員會（PCAOB）簽署《審計合作檢查協議》，允許美國上市公司會計監督委員會的檢查人員和調查人員至香港審閱在美上市中國公司的審計資料，包括所有信息的完整審計底稿。《審計合作檢查協議》內容目前沒有公布，但中國證監會負責人答記者問中提到了數據出境程序的問題，稱，合作協議對于審計監管合作中可能涉及敏感信息的處理和使用作出了明確約定，針對個人信息等特定數據設置了專門的處理程序，為雙方履行法定監管職責的同時保護相關信息安全提供了可行路徑。
不過考慮到中美的博弈的復雜性，即便《審計合作檢查協議》已經簽署，但在具體實施過程中是否會遇到阻礙，尚未可知。但是既然已經簽署了，就意味著雙方在很多方面達成了共識，雙方都有合作的意愿。后續還要觀察更多案例的積累和雙方合作的穩定性等。
在其他國家和地區上市的境內企業，尚無類似雙邊條約可供執行，但是中美審計監管合作陸續開展，審計工作底稿的出境已有實際案例。因此，境外上市的企業可以通過與中國證監會等相關監管部門溝通，了解出境審批手續的具體流程。
三、結語
總體來看，在我國政府日益加強對數據出境監管的大背景下，赴境外上市的境內企業需要高度重視境外發行上市過程中的保密工作，建立健全的保密和檔案管理制度，嚴格保守國家秘密;特別在涉及檔案出境時，各方更應該多方面統籌考慮其可能造成的影響。企業和各中介機構可以按照如下思路來管理其數據出境的具體實施。
（一）需要整理其數據類型，根據各類數據規模等情況，評估數據出境的難度
企業首先要將需要出境的數據分門別類，根據出境的數據類型及所涉業務，統計公司需要出境的數據規模和出境的個人信息數量、數據保密等級、敏感度等，將數據分為不能出境的數據、需要獲得批準的數據、需要經過安全評估的數據、需要進行標準合同備案的數據等，以便后續做相應的審批、審查、備案。
需要注意的是，在涉及個人信息的時候，企業不能采取數量拆分等手段，將依法應當通過出境安全評估的個人信息通過訂立標準合同的方式向境外提供。
（二）根據數據分類結果，選擇適當的出境方式
需要出境的數據分類情況，企業應盡快對照各項法律法規中規定的審查、評估內容，準備相應材料，以便后續提交，且應妥善保存評估結果。如果屬于必須通過出境審批或出境安全評估才可以出境的情形，企業應盡快完成完成評估和審批手續，以免耽誤上市材料的準備。
（三）經營過程中對數據進行科學管理，保障出境數據安全
企業應根據自身情況，建立數據庫管理體系，對擁有的數據、資料等進行分類分級管理；完善合規體系，建立合規組織機構和管理流程。企業應對數據采取合理的保密措施，技術上對數據儲存的安全技術措施，例如在存儲過程中進行脫敏處理和加密存儲；數據傳輸過程進行加密傳輸；在訪問和使用過程中進行訪問者的身份認證、權限控制等。有條件的企業可以定期開展內部或第三方審查；組織教育培訓，提高員工數據安全和個人信息保護意識；定期編制數據出境安全報告，評估數據出境風險。
滬公網安備 31010402007129號
