中美热点法律问题和案例研究（一）：TikTok案｜跨境顾释
本文共计7,913字，建议阅读时间16分钟
美国当地时间2020年1月15日13时，经过中美两国经贸团队的不懈努力，在平等和相互尊重的基础上，中美双方在美国首都华盛顿特区正式签署了第一阶段经贸协议，为两国之间长达一年多的“贸易战”画上了休止符。尽管如此，有分析人士认为，两国在经济、政治、科技、法律等方面的竞争仍在加剧。
中美之间的“法律攻防战”，主要体现在近些年来，由美国司法部牵头并联合美国诸多行政机构对中国企业提出的政府调查，以及后续针对中国企业和高管的美国刑事诉讼。考虑到美国政府调查和刑事诉讼中蕴含的巨大法律风险，那些已经和中国企业签订商事合同的欧美企业，很可能会因此中止履行商事合同，甚至解约，从而造成中国企业在全球的“供应链”断裂，由此又引发了与欧美供应商之间的跨境商事争议。
在美国政府针对中国企业的诸多行动中，尤以2018年11月1日美国前司法部长Jeff Sessions 提出了“中国行动计划” （China Initiative）最为著名。根据该倡议，美国司法部专门设立了“中国问题小组”，由美国司法部副检察官John Demers领衔，并获得了美国联邦调查局一名高级主管，五位美国联邦检查官和数位司法部官员的配合和支持。（https://www.justice.gov/opa/page/file/1122686/download）
该倡议要求美国司法部：
1) 优先处理盗窃商业秘密案件，保证政府调查的资源充沛，并在尊重事实和法律的基础上，在较短时间内获得成果；
2) 建立针对“非传统信息搜集者”（例如，实验室、大学和国防工业基地中的研究者）的执行体系，以阻止这些人在遭到笼络后转让技术，以危害美国的国家利益；
3) 教育美国大专院校应对针对学术自由和公开讨论而产生的“影响力渗透”等潜在威胁；
4) 针对那些为了推动中国政治目标的未登记的代理人，适用《外国代理人登记法案》（the Foreign Agents Registration Act），并在适当时候对其执法；
5) 为美国司法部各地联邦检察官配备情报和物资支持，使得他们加强风险意识，并支持他们扩大执行工作的努力；
6) 执行《外国投资风险审查现代化法案》（the Foreign Investment Risk Review Modernization Act, “FIRMA”）；
7) 寻找机会宣讲“供应链”威胁，特别是在5G网络运行前，对美国通讯行业的威胁；
8) 寻找有关和美国公司竞争的中国公司涉及的《反海外腐败法》（the Foreign Corrupt Practices Act, “FCPA”）案件;
9) 提升中国方面对美国方面根据中美之间签署的《司法协助协定》（the Mutual Legal Assistance Agreement, MLAA）所提出的协助请求的回应；
10) 评估是否需要加入美国其他立法和行政机关的力量和资源，以保护美国的国家资产不受外国经济侵犯。
根据公开新闻报道，多家中国企业和高管遭到了美国政府的调查和刑事指控，由此可见美国司法部正在有计划地落实“中国问题倡议”中的行动内容。2018年12月1日，加拿大警方应美国政府司法互助的要求，逮捕了在温哥华转机的中国科技业巨头，5G技术的全球领导者——华为公司副董事长兼首席财务官孟晚舟女士。此外，美国政府还对华为公司提出了一系列的诉讼。
2019年4月30日，美国华盛顿特区联邦法院发布了首席法官Beryl A. Howell 在2019年3月18日作出的裁决意见。该意见要求强制执行针对三家中资银行的大陪审团传票和行政传票，要求它们提供和目前已经停业的香港明正公司的交易记录。该香港公司被指控是朝鲜国有银行的傀儡公司，涉嫌违反美国的经济制裁法律、法规（Economic Sanctions）。根据Howell 法官的裁决意见，美国政府正在调查这些银行的两项罪名：（i）洗钱，包括违反《银行保密法》和《爱国者法案》，以及（ii）违反依据《国际紧急状态经济权力法案》下达的行政命令（例如，Executive Order 13382）。
美东时间2019年7月22日，美国政府根据第13846号行政命令，对中国能源企业珠海振戎进行制裁。根据美国政府的指控，珠海振戎在美国允许的例外时间段截止后，仍然与伊朗方面进行原油交易，使得该公司及其法定代表人一并被列入“特别指定国民名单”（Specially Designated National, “SDN”）之中。
金融、能源和高科技制造行业，是美国经济中的“传统强项”。美国政府的调查程序，着重针对金融、能源和高科技行业中的中国企业。为了帮助这些行业中的中国企业加深对美国政府调查程序（Government Enforcement）的了解，防范因该等调查给中国企业及其高管带来的法律风险，并处置中国企业因“全球供应链”断裂而卷入的跨境商事争议，北京市天同律师事务所联合美国著名的佳利律师事务所（https://www.clearygottlieb.com），设立“中美热点法律问题和案例研究”课题，将从中国法、美国法、国际法以及中美司法体制之间的互动等多个角度，撰写文章并形成研究报告。该等研究成果，将首先在“跨境顾释”栏目上定期发布，并最终以完整的课题报告的形式，向感兴趣的机关、企业和单位定向呈报。
中美两国是伟大的文明国家，中美关系是全球最重要的双边外交关系，中美律师同行愿意借助自身的专业，就中美在竞争态势下所产生的法律问题，提出理性的、具有建设性的意见和建议。
中美热点法律问题和案例研究（一）：TikTok案
数据隐私保护是美国监管机构调查、处罚中国科技企业的法律依据之一。以此为由，美国监管机构可能会强迫字节跳动撤回其以十亿美元达成的对musical.ly的收购交易。
中美之间紧张的政治局势使中国企业愈发成为美国当局关注的焦点。过去的一年中，中国企业在美国各监管体系中面临着越来越严格的审查。TikTok（“抖音”国际版）即因涉及未成年隐私和国家安全的事由在美国遭到政府调查和司法审查。TikTok的境遇一方面展现了中国企业面临的来自美国监管机构的潜在挑战，另一方面也反映出美国监管机构是如何对跨境交易进行长臂管辖的。
案例背景
2017年11月，北京的传媒科技公司字节跳动（2018年底，字节跳动的估值为750亿美元，超过了当时市场估值第一的Uber）以10亿美元的价格收购了青少年音乐短视频应用Musical.ly。Musical.ly由中国企业家朱骏和阳陆育共同创立，最初隶属于知名社交媒体公司上海闻学网络科技有限公司。收购进行时，Musical.ly在美国和欧洲拥有6000万名用户。该次收购是字节跳动打入美国市场的策略之一。
字节跳动起初同意让Musical.ly独立运营，但随后还是将Musical.ly与字节跳动旗下的中文应用程序“抖音”合并，推出了“抖音”国际版——TikTok。2019年5月，注册于美国加州的原musical.ly实体公司正式更名为TikTok.Inc，负责运营TikTok美国业务。TikTok的增长壮大迅速推动了字节跳动的市场估值创下纪录，也使字节跳动成为少有的在中国市场之外拥有数亿用户的中国科技企业之一。
2019年，TikTok受到了美国多个监管部门的法律调查，其中最引人注目的是美国海外投资委员会（“CFIUS”）对其采取的国家安全审查。2019年10月起，字节跳动逐步将TikTok业务与中国“抖音”业务剥离。
那么，两家中国企业之间的交易为何会遭到美国监管机构的审查打击，甚至使得字节跳动可能要被迫出让TikTok的呢？中国科技企业进入美国市场时一般应注意哪些风险，又可以采取哪些合规措施来进行风险防控？
法律分析
美国海外投资委员会
CFIUS是一个跨机构委员会，负责审查境外人士收购美国经营实体（U.S. business）的交易对美国国家安全产生的影响。CFIUS根据1975年发布的第11858号总统行政命令成立，其主要适用法律包括《埃克森-弗洛里奥修正案》（1988年）《境外投资和国家安全法》（FINSA）（2007年）以及最近通过的《境外投资风险审查现代化法》（FIRRMA）（ 2018年）和相关实施条例管辖。CFIUS由美国财政部长担任主席，并由来自16个政府机构和办公室的代表组成，其中包括了国家情报局局长和劳工部长。
CFIUS有权审查“受监管交易（Covered Transactions）”，包括由“境外人士（foreign person）”发起或交易对象为“境外人士”，并可能导致“境外人士”取得对 “美国经营实体（U.S. business）”的“控制(control）”的“交易（transaction）”。
CFIUS的审查流程从其“受理（Acceptance）”企业的自行申报（Discretionary Filing）之时开始，审核一个存在实质性问题的交易需要4到8个月的时间。CFIUS审查的可能结果包括：无条件通过交易、附条件批准交易、或者建议美国总统否决或撤销交易。CFIUS不会向当事企业提供其作出决定的理由，而且根据法规，法院不会对CFIUS在国家安全方面做出的决定进行司法审查。
以往，对大多数交易来说，申报CFIUS是自愿性的，CFIUS会保留在交易完成之前或之后对其进行强制审查的权利。但是，随着为全面实施FIRRMA法案而颁布的新法规于2020年2月13日生效，对于（1）境外向开发“关键技术”的美国经营实体进行的投资，和（2）外国政府控制的实体从与其无附属关系并涉及关键技术、关键基础设施或敏感个人数据的美国经营实体（即美国TID企业）[1]处获得“重大利益”的交易，都增设了强制企业向CFIUS申报的要求。这些新规定与CFIUS近年来的审查方向是一致的。此外，CFIUS在近年还重点关注半导体、“大数据”、电信和网络安全等领域的交易以及国防工业和政府供应链的完整性。
CFIUS对TikTok的国家安全审查
由于Musical.ly是一家中国企业在美国注册的业务，字节跳动对其的收购属于受CFIUS管辖的交易（“受管辖交易”）。虽然字节跳动在进行收购时没有被强制要求向CFIUS申报，但CFIUS保留事后审查任何“受管辖交易”的权利。而且，即使交易已经完成，CFIUS也有权建议撤销该交易。
TikTok正是由于用户个人数据这一敏感问题而受到了CFIUS的审查。2019年9月，《卫报》发表了一篇文章[2]，指出TikTok根据中国在外交政策上的立场来审查其用户发布的内容。对此，一些参议员援引了国会有关个人数据保护的新规定，呼吁CFIUS对TikTok所造成的国家安全风险进行回溯性评估。而且，由于中国在2017年通过的《国家情报法》要求本国企业配合政府的情报收集工作，参议员还担心中国政府将据此获得访问TikTok美国用户的数据的权限。鉴于此，CFIUS随后对TikTok展开了调查。
CFIUS可能会要求字节跳动出售TikTok，就像它曾要求中国游戏公司昆仑万维在2020年6月之前出售其收购的广受欢迎的同性约会应用程序Grindr一样。昆仑万维当时也没有向CFIUS申报其对Grindr的收购交易，CFIUS同样以个人信息安全问题为由对昆仑万维进行了调查。媒体报道称，出售TikTok的股份可能会导致字节跳动即将进行的首次公开募股（IPO）计划被推迟。为此，TikTok与CFIUS进行了缓解谈判，讨论它可以采取哪些措施来避免对Musical.ly进行资产剥离。
核心启示
美国法律在数据隐私和国家安全等敏感领域对境外企业的管控愈发受到美国核心政策的影响。因此，境外企业应该积极而有策略性地思考要如何预见并提前解决可能引起监管审查的问题。针对TikTok的案例，可以总结出如下启示：
· 提前预见到CFIUS的审查：CFIUS对于会使境外人士控制美国经营实体和境外人士在涉及科技、基础建设和持有敏感个人信息的美国经营实体处获得非控制性权益的交易，都有强制申报的要求。希望投资美国业务的境外企业应当提前预见到CFIUS的审查，并在相关专家的帮助下将应对审查作为交易策略中的一部分来提前进行规划。
· 采取积极的风险防控措施：境外投资者应考虑与美国企业协商制定积极的风险防控措施。通常，这会涉及到对外方管理层结构进行变更，例如将美方人士引入董事会。虽然对外国国有或国有控股企业而言，进行这种操作可能不太现实，但此类境外实体也可以考虑其他替代方法，例如通过由美国人控制的中间层公司来设计其投资架构。企业也可以采取将美国和境外的业务分开的办法。例如，为应对CFIUS审查，TikTok在2019年年底将其产品、业务开发、营销和法律部门进行了分离。字节跳动还试图增进其在美国的业务，在美国建立额外的数据中心来隔离储存当地用户的信息。
· 聘请外部专家：在运营中引入外部专家——尤其是来自美国的顾问（如企业在美国开展经营或对美国提供产品和服务）或是在本国内有良好声誉的第三方专家——可能对企业应对监管审查有帮助。通过聘请外部专家，中国企业可以在美国当局面前增加其可信度，减轻美国当局认为其可能深受中国政府影响的担忧。同理，在交易初期就聘请在CFIUS事务方面有丰富经验的美国律师也是十分关键的。佳利律师事务所在此领域的经验可以参看：
· 实行透明的数据隐私及内容审查政策：作为对CFIUS调查的回应，TikTok针对其数据安全和内容审核政策发表了声明。TikTok打算将其所有美国用户的数据都存储在美国，并在新加坡备份。TikTok没有在中国建立数据中心，其数据均不受中国法律的约束。TikTok还有一个专门致力于处理网络安全、数据隐私和常规数据安全问题的团队，以及一个设在加利福尼亚州的内容审核小组，该小组专门负责审查产品内容是否符合美国的政策。此外，TikTok已经撤销了此前被《卫报》报道并引发美国监管机构关注的内容审查准则。
· 提前预见到审查可能造成的延迟：尽管CFIUS的审查有具体的期限——即最初的45天审阅期和（在初审发现潜在问题的情况下）随后45天的调查期——但实际的审查期往往会更长，因为CFIUS可以以多种原因“终止计时”，尤其常见的是要求企业进行重新申报，以此让审查过程从头开始。
【天同点评】
中国法下的个人信息保护
目前，中国尚未颁布统一的个人信息保护法。2019年12月20日，全国人大常委会法工委发言人岳仲明表示，中国将在2020年制定个人信息保护法、数据安全法等。
目前关于保护个人信息的法律规定散见于以《网络安全法》为中心的各项法律法规、部门规章和行业标准之中[3]。2017年6月1日生效的《网络安全法》明文规定了网络运营者[4]收集、使用个人信息的义务与责任。该法第七十六条将“个人信息”定义为：“以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等”。根据该定义，网络平台所收集的用户数据，包括注册信息、账户信息、支付信息、通讯和通信信息等，均属于《网络安全法》下“个人信息”的范畴。
《网络安全法》第四十二条规定了网络运营者对其收集的个人信息的严格保密义务及该等保密义务的例外情形。例如，《网络安全法》第二十八条规定：“网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助”，这意味着受《网络安全法》规制的企业在特定情形下有义务向执法机关提供其收集、存储的用户个人信息，而无需经被收集者事先同意。
但执法机关对个人信息的调取也存在一定的限制：（1）执法机关须经法律法规的授权；（2）调取信息的范围和程序应当遵守相关法律规定。下表将中国法下，有权向网络运营者收集个人信息的主要机关及其授权依据、调取信息的情形和范围及调取程序或限制进行列举[5]：
TikTok案例点评
那么，中国政府能否调取像字节跳动这样的中国科技企业在境外开展业务时所收集到的，包括个人信息在内的电子数据呢？我们认为，执法机关向有关单位调取数据的权力不是无限的，仍然受到中国法律的规制。
首先，虽然《网络安全法》的管辖效力可能及于境外企业，但一般不适用于不在中国开展业务的境外企业。《网络安全法》第二条规定，该法适用于在中华人民共和国境内建设、运营、维护和使用网络的活动，但并未解释“境内运营”的具体含义。根据全国信息安全标准化技术委员会发布的《信息安全技术数据出境安全评估指南》的阐释，网络运营者在“境内运营”指的是：（1）在中国境内开展业务，或（2）向中国境内提供产品或服务，具体表现包括：使用中文；以人民币作为结算货币；向中国境内配送物流等。据此，即使是在境外注册的公司，只要其存在向中国用户开展业务或提供商品、服务的情形，也可能被视为在“境内运营”，属于《网络安全法》的管辖范围，应当履行该法规定的配合披露义务。但如果Tik Tok. Inc. 作为境外公司，根本不参与在中国境内开展的业务，也不向中国境内的个人或组织提供任何产品或服务，其业务范围面向除中国内地以外的国际市场的话，则Tik Tok. Inc. 受到《网络安全法》管制的风险较低。
其次，对于在境外注册，且仅向境外用户开展业务，提供商品、服务的公司而言，如果在中国母公司和境外子公司之间，制定了数据互不共享的公司政策，并在技术上保证彼此之间的服务器或数据储存系统无法连接，则境外子公司受中国执法机关调取个人信息的可能性较低。例如在本案中，字节跳动就将TikTok和其在国内的抖音业务进行了分离，并将TikTok在美国的用户数据单独储存在美国的数据中心，在新加坡备份。但如果集团公司内部存在境内外数据共享的情形，例如，TikTok在其隐私政策中声明了其收集的数据可能会与集团公司共享[6]，则可能会增加披露境外公司用户个人信息的风险。
点击左下角“阅读原文”，查看本文英文版全文。
注释：
[1]CFIUS可能会认为FIRRMA法案中“美国经营实体”的定义可以延伸到企业在非美国地区的运营，这意味着CFIUS对非美国本土的运营活动也可能有管辖权。
[2]https://www.theguardian.com/technology/2019/sep/25/revealed-how-tiktok-censors-videos-that-do-not-please-beijing 访问时间：2020年3月16日
[3]中国已颁布的与个人信息保护相关的法律法规主要有：《网络安全法》、《互联网信息服务管理办法》、《电信和互联网用户个人信息保护规定》、《个人信息安全规范》。
[4]根据《网络安全法》第二条、第十条、第七十六条规定，“网络运营者”系网络的所有者、管理者和网络服务提供者。其中，“网络服务提供者”是指通过网络提供服务的主体。据此，《网络安全法》的适用对象不限于传统互联网企业，还包括所有通过网络提供产品和服务的商事活动主体。
[5]因篇幅所限，本表格为非穷尽式列举。
[6] https://www.tiktok.com/legal/privacy-policy?lang=en#privacy-eea访问时间：2020年3月16日
“跨境顾释”栏目由顾嘉律师主笔/主持，每周五与“巡回观旨”栏目交替发布。我们希望借助这个栏目，关注中国法下重大涉外法律问题，分享跨境争议解决的实务经验，介绍外国先进司法区内的最新法律发展和动态以及搭建一个中外法律界和商界的互动平台。如您有任何想法、意见、建议，欢迎点击文末留言.
向“跨境顾释”栏目投稿，欢迎发送邮件至：
david.gu@tiantonglaw.com
查看往期文章，请点击以下链接：