合规创造价值——新经济领域（拟）上市企业的若干合规要点分析
作者：
蒋蕙匡 贾申
李梦涵 于佳永 罗仪涵
2021年7月6日，中共中央办公厅、国务院办公厅发布《关于依法从严打击证券违法活动的意见》（“《意见》”）[1]，其中“完善数据安全、跨境数据流动、涉密信息管理等相关法律法规”，“切实采取措施做好中概股公司风险及突发情况应对”等意见，清晰指示了当前资本市场的又一个重要合规方向，充分体现了我国对上市公司监管的决心与力度。近期，中国网络安全审查办公室（“网信办”）接连对数家赴美上市的平台企业开展网络安全审查[2]，并于2021年7月10日发布了《网络安全审查办法（修订草案征求意见稿）》，引发了公众和业界对中国跨境数据安全监管和中概股公司跨境证券监管政策的强烈关注和广泛讨论。（相关解读：激活网络安全审查制度 筑牢数据安全防火墙——《网络安全审查办法（修订草案征求意见稿）》评析）2021年7月30日，美国证券交易委员会（SEC）主席Gary Gensler发表声明称，SEC将修改有关涉及中国企业境外上市的信息披露规则，增加特定的信息披露要求（包括说明VIE公司与发行人之间的财务关系、赴美上市是否获得政府批准等），以更好地保护投资人的利益。[3]
近年，各行业领域涉及境内外上市企业的司法、行政执法案件层出不穷，相关企业上市招股书中针对政府监管的风险提示说明和清单渐长，中概股合规问题同时引起了中美两国监管的高度重视，提高合规水平和完善合规制度对于（拟）上市企业的重要性愈加凸显。在此背景下，本文结合既往经验和观察，将从网络安全与数据合规、反垄断、反不正当竞争、行业性监管政策等方面，分析互联网平台等新经济领域（拟）上市企业的合规要点，以期为相关企业的合规建设和合规应对提供参考。
合规点一：
网络安全与数据合规
我国已出台的《网络安全法》《数据安全法》及即将出台的《个人信息保护法》构成了网络安全及数据安全合规领域的“三驾马车”。新经济领域的上市公司和拟上市公司通常掌握大量的各维度数据，应特别关注网络安全与数据合规的相关要求。
从近期监管趋势来看，跨境数据传输是新经济企业上市应特别关注的合规点。根据《网络安全法》和《数据安全法》规定，包括公共通信、信息服务、金融业和其他重要行业、领域的关键信息基础设施的运营者，应将境内运营期间收集和生成的个人信息和重要数据储存在境内，如需向境外传输，则应按相关规定进行安全性评估。[4]但是，对于如何进行此类安全评估，目前尚未出台正式的法规或指南。这可能对拥有多个数据中心、可能需要在不同国家地区之间传输某些个人数据的互联网公司造成影响，相关企业应密切关注这一领域的立法与执法动态。此外，《数据安全法》已明确提出要建立数据分级分类保护制度和国家核心数据管理制度：一方面，对于关系国家安全、国民经济命脉、重要民生、重大公共利益的国家核心数据实行更加严格的管理制度；另一方面，相关地区和部门将进一步制定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。[5]未来更详细的数据分级制度出台后，企业应依法依规做好数据分类工作，并严格采取相应的数据管理和保护措施。
在个人信息保护方面，无论相关企业是境外上市或是境内上市，数据合规问题均易引发媒体公众的高度关注，也会受到监管部门的重点问询，包括数据来源合法合规问题、数据使用合法合规问题、数据相关的业务经营问题等。
例如，对于掌握大量用户数据的互联网平台企业而言，应特别关注数据来源的合规性：
获取用户数据信息的来源、获取途径、授权方式及协议，授权是否明确且合法有效，收集用户信息时是否明确告知收集信息的范围及使用用途；
获取个人数据是否对用户有明确提示、收集的数据是否限制在必要范围内、是否仅概括性提示收集用户信息、是否超出用户授权范围使用数据、或存在未经其他平台的授权直接收取数据的行为；
通过APP以《用户协议》、《隐私政策》等协议约定获得用户授权过程中，收集个人用户信息、向个人用户推送广告等有无明确告知用户收集、使用信息的目的、方式和范围。
对于赴境外上市的公司而言，VIE架构是一种常见的公司架构，即由境外上市实体在境内设立外商全资子公司（Wholly Foreign Owned Enterprise, “WFOE”），其并不实际开展主营业务，而通过一系列协议安排等方式控制境内运营实体，使该运营实体成为上市公司的可变利益实体（“VIE实体”），并通过将VIE实体的利益转移至境外上市实体，使境外投资人实际享有利益。然而，这种架构可能存在数据合规方面的缺陷和风险。例如，通过协议安排，WFOE需要为VIE实体提供技术支持、业务外包等服务，也需要实现约定的“股东权利”，VIE实体可能会将其数据与WFOE共享。此时，如该等共享行为没有获得数据主体的有效授权，或采取“关联方共享”等概括授权的方式，或以模糊描述的方式违规披露，或提供数据不符合必要合理原则等，则可能存在较高的合规风险。对此，我们建议企业在搭建VIE架构和实际运营业务过程中，充分考虑业务类型和交易结构，系统、人员、设备设置，以及资金和数据流向，辅以完备的内部规章、协议、信息披露制度和授权安排，以充分遵循数据合规要求。
合规点二：
反垄断合规
反垄断合规作为热点领域，对于企业上市前后合规建设的重要性正逐渐凸显。今年以来，关于国内互联网巨头的各类反垄断处罚决定或传闻对于企业股价及市场均造成了一定的影响。例如，2021年4月10日，国家市场监督管理总局（“总局”）对某电商平台滥用市场支配地位“二选一”的垄断行为做出行政处罚决定[6]，对其处以2019年度中国境内销售额4%的罚款，共计182.28亿元，成为迄今中国反垄断执法机关开出的最高额罚单。（相关解读：从史上最高罚单看企业反垄断合规的重要性 ）同时，总局向该平台发出行政指导书，并于此后要求34家互联网平台企业做出《依法合规经营承诺》。一系列执法和行政指导举措均体现了企业在反垄断领域全面合规的重要性。
我们建议，新经济领域的平台企业（包括采取/拟采取VIE架构在境外上市的企业）应特别关注经营者集中反垄断申报的合规要求。国务院反垄断委员会发布的《关于平台经济领域的反垄断指南》（“《平台经济指南》”）第十八条规定，“涉及协议控制架构的经营者集中，属于经营者集中反垄断审查范围”，明确了VIE架构的企业开展经营者集中时，如营业额标准达标应触发反垄断申报义务。2020年以来，总局已陆续查处公布了超过40起涉及VIE架构的未依法申报经营者集中的行政处罚案件，众多国内知名互联网公司均有相关案例。特别值得关注的是，近期在平台经济领域的经营者集中审查和未依法申报审查方面，已出现了禁止集中交易和要求经营者针对应报未报交易采取必要措施恢复市场竞争状态的决定：
2021年7月10日，总局发布了禁止两游戏直播平台合并的反垄断审查决定[7]，并详细说明了认定此项集中具有排除、限制竞争效果的理由。该案是我国平台经济领域禁止经营者集中第一案，也是第一起仅涉国内企业的禁止经营者集中案件。
2021年7月24日，总局对某互联网平台违法实施经营者集中案作出行政处罚决定[8]，要求相关经营者采取必要措施恢复市场竞争状态，包括责令该平台采取解除独家版权等措施，降低市场进入壁垒，重塑相关市场竞争秩序。
此外，我们建议，新经济领域的企业还应特别关注数据合规与反垄断合规的交叉领域。《平台经济指南》明确提及了经营者利用数据或算法排除、限制竞争的多种行为模式。（相关解读：平台经济领域反垄断正当时？——相关指南意见稿亮点解读）如：
垄断协议与算法共谋：如经营者通过数据、算法、平台规则或者其他方式实质上达成协调一致的行为；
滥用市场支配地位限定交易：经营者通过平台规则、数据、算法、技术等方面的实际设置限制或者障碍的方式限定交易；
滥用市场支配地位实施差别待遇：基于大数据和算法，根据交易相对人的支付能力、消费偏好、使用习惯等，实行差异性交易价格或者其他交易条件；
此外，平台经营者掌握的数据情况对于认定经营者市场支配地位具有重要意义，《平台经济指南》明确提及，判断相关平台是否构成其他经营者进入相关市场的“必需设施”时，需要综合考虑该平台占有数据的情况和其他情况。
在当前监管形势下，反垄断合规的重要性已无需赘言，相关企业应持续关注反垄断领域的监管动态，不断提升自身的反垄断合规水平。
合规点三：
反不正当竞争合规
反不正当竞争合规是另一合规热点。互联网时代，信息传播的高频性缩短了时间差，竞争对手举报、消费者投诉举报、职业打假人的投诉举报、相关部门的强力监管等都会给企业带来相当大的压力，企业若无妥善的预案与风险管理，不仅可能面临当下的经营困境，也会给未来的上市之路带来巨大阻碍。以某陌生交友APP上市遇阻为例，其原本计划于6月24日上市，却于近日宣布暂停美股IPO流程，市场普遍认为，紧急暂停IPO或与其此前深陷与某竞品APP的不正当竞争案件不无关系。[9]
互联网领域不正当竞争行为主要包括两大类：一类是传统不正当竞争行为在互联网领域的延伸，例如利用互联网实施混淆仿冒、虚假宣传、商业诋毁等不正当竞争行为，另一类属于互联网领域特有的，利用技术手段实施的不正当竞争行为。[10]例如典型的不正当竞争行为“虚假宣传”，对其相关的规定散见于《广告法》、《互联网广告管理暂行办法》、《反不正当竞争法》及相关法规和规范性文件中。在日常运营及筹备上市的过程中，企业往往对如何保证宣传的真实性，规避“虚假宣传”的可能范围缺乏专业的认知，存在一些不完全引用、片面宣传、歧义性语言而遭受处罚的情况。此时企业应当需要借助专业团队，对风险进行预估，同时结合不同地域执法人员执法偏向、发布区域、覆盖人群等诸多因素进行预判。
自2020年起，众多互联网公司均陷入监管部门的反不正当竞争调查。2021年2月8日，总局发布针对某品牌特卖平台的行政处罚决定，认定该平台扰乱公平竞争市场秩序，处以300万元罚款[11]。这一案例充分说明，互联网商业模式的迭代和发展已催生更多不同类型的不正当竞争行为，数据的采集和应用方式的多样化也使得竞争行为更加隐蔽和复杂。随着执法态势的日趋严格，互联网行业经营者更应当采取合理、恰当的合规思路去进行合规体系的构建。
合规点四：
行业性监管政策变化与合规
今年以来，行业性监管政策的变化频繁，特别是在关系国计民生的重要领域，相关部门已明确透出强力监管的信号。以教育和交通行业为例，相关领域的平台企业应当密切关注行业性监管政策之下的合规要求。
近期，交通领域的企业受到监管部门的密切关注。2021年7月30日，交通运输新业态协同监管部际联席会议召开2021年第二次全体会议，审议《关于加强交通运输新业态从业人员权益保障工作的意见》，并提出要优化监管框架，加快实现事前事中事后全链条监管，特别加强反垄断监管和反不正当竞争，依法查处网约车和货运平台垄断、排除和限制竞争、扰乱市场秩序、侵害司机合法权益等违法行为。[12]此外，前述网信办对某出行服务平台发起的网络安全审查也充分说明，交通运输企业（特别是互联网新经济平台企业）应特别关注行业性监管政策的重点。交通行业的特殊性之一在于，相关互联网平台企业在经营过程中必然会掌握大量货运、城市交通、用户及司机的相关数据，应特别关注数据安全相关的合规要求。例如，交通运输行业的大量数据可能被纳入重要数据目录，而《数据安全法》对于重要数据的处理活动已明确提出若干数据安全保护义务，包括：
重要数据的处理者应当明确数据安全负责人和管理机构；
重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告；
对影响或者可能影响国家安全的数据处理活动进行网络安全审查；
关键信息基础设施的运营者在我国境内运营中收集和产生的重要数据的出境安全管理应遵守相关法律法规的规定。
同样，教育行业也属于民生领域的重点监管行业。今年以来，各大在线教育平台均面临着总局、教育部等多个部门的强力监管：
5月初，总局组织地方市场监管部门组建专案组，对15家校外培训机构进行重点检查后发现其分别存在虚假宣传或价格欺诈违法行为，对其分别予以顶格罚款，合计已超过3600万元。[13]
6月15日，教育部公布《关于成立校外教育培训监管司的通知》[14]，宣布成立校外教育培训监管司，将承担面向中小学生（含幼儿园儿童）的校外教育培训管理、党建指导与政策拟定。
近日，中共中央办公厅、国务院办公厅印发了《关于进一步减轻义务教育阶段学生作业负担和校外培训负担的意见》[15]，对于教育行业的互联网平台公司提出了更高的合规要求。
在行业重压之下，在线教育平台和各校外培训机构更应做好业务许可备案、机构备案审查、合规宣传，在师资合格、信息安全、收费监管等方面充分遵守法律法规的相关要求。
此外，《首次公开发行股票并上市管理办法》（2020修正）第十八条要求申报期内发行人不得存在重大违法行为。原则上，凡被相关行政机关给予一定金额以上行政处罚的行为，都可能被视为重大违法行为（即“最近36个月内违反工商、税收、土地、环保、海关以及其他法律、行政法规，受到行政处罚，且情节严重”），除非处罚实施机关认定该行为不属于重大违法行为并依法做出合理说明。因此，企业和中介机构还应审慎把握“重大违法行为”的审核尺度，例如，对于平台企业而言，网络安全与数据合规、反垄断、反不正当竞争等方面的重大行政处罚，并未被完全排除在“重大违法行为”的范畴之外，这也启示，相关企业在启动上市计划之前应充分重视各方面的合规建设和体系完善。
如前所述，《意见》特别强调对证券违法犯罪案件“坚持零容忍要求”，这呼应了2019年修订的《证券法》及2020年出台的《刑法修正案（十一）》，体现全面推行注册制改革下的强监管趋势。《意见》第二十条还着重强调，加强中概股监管，要求切实采取措施做好中概股公司风险及突发情况应对，推进相关监管制度体系建设。相关企业应重视监管政策的动态变化，无论是境内上市还是境外上市，互联网平台等新经济领域（拟）上市企业都应强化合规建设与违规风险防范，以合规创造价值。
[注]
The End
作者简介
蒋蕙匡 律师
北京办公室 合伙人
业务领域：反垄断和竞争法, 跨境投资并购, 合规和反腐败
特色行业类别：能源与自然资源, 通讯与技术, 健康与生命科学
贾申
北京办公室 顾问
业务领域：反垄断和竞争法, 贸易合规和救济, 诉讼仲裁
李梦涵
北京办公室 合规与政府监管部
于佳永
北京办公室 合规与政府监管部
罗仪涵
北京办公室 合规与政府监管部
作者往期文章推荐
《从史上最高罚单看企业反垄断合规的重要性》
特别声明：
以上所刊登的文章仅代表作者本人观点，不代表北京市中伦律师事务所或其律师出具的任何形式之法律意见或建议。
如需转载或引用该等文章的任何内容，请私信沟通授权事宜，并于转载时在文章开头处注明来源于公众号“中伦视界”及作者姓名。未经本所书面授权，不得转载或使用该等文章中的任何内容，含图片、影像等视听资料。如您有意就相关议题进一步交流或探讨，欢迎与本所联系。
点击“阅读原文”，可查阅该专业文章官网版。