赴美上市与网络、数据安全 | 美国《外国公司问责法案》（全文翻译）
编者按
这是一个新开设的系列，旨在作为研究赴美上市的中国公司在网络、数据安全方面可能遇到的两国监管不同乃至于冲突方面问题的研究笔记，已经发表的文章如下：
前两篇笔记主要关注赴美上市的中国公司在上市前和日常运营中需要尽到的披露义务，特别是网络安全披露义务。这就包括滴滴、满帮、BOSS直聘，很可能需要对SEC披露目前正在接受国家互联网信息办公室的网络安全审查且期间新用户无法注册的相关情况。目前不明确国家互联网信息办公室对于SEC可能的披露要求的态度。总之，这些赴美上市公司正处于非常棘手的两难境地，还需要处理美国投资者的集体诉讼。进入庭审环节的话，可能还遇到美国司法系统的证据开示要求。
第三篇笔记关注美国SEC针对具体的事件和对象，启动问询（an inquiry）或专门调查（investigation）时，要求被监管方提供信息的权力。第四篇研究笔记关注美国SEC针对会计师事务所从域外调取信息的权力和实践。第五篇研究笔记翻译了SEC于2018年发布的《关于上市公司网络安全信息披露的声明和指导意见》。
今天与大家分享的是《外国公司问责法案》的简要分析和全文翻译。由于这个系列到目前为止都在研究SEC对赴美上市公司披露方面的要求，许多朋友一直在问公号君是不是认为披露信息和审计底稿里面存在用户的原始记录（例如出行订单）和相关原始数据（例如地图数据），在此公号君做一个澄清，公号君从一开始就不认为SEC有权力获得单个用户的具体订单信息，以及原始地图数据。
此系列确实一开始从SEC入手，但后续的研究笔记将会持续关注赴美上市公司受其他法律或美国机关管辖的情况。总的来说，这个系列的目的是搞清楚——由于赴美上市，我国公司将受到哪些美国法律和机关的管辖。因此，这是个基础性的全面研究计划。
《外国公司问责法案》（HFCA法案）于2020年12月18日由前总统特朗普签署成为法律。HFCA法案要求美国证券交易委员会（SEC）确定使用注册公共会计师事务所（审计师）的报告上市公司，其所使用的注册公共会计师事务所的分支机构或办事处位于公共公司会计监督委员会（PCAOB）确定其无法"完全检查或调查，因为外国管辖区的当局采取的立场"。符合上述特征的上市公司，在该法案中称为“委员会认定的发行人”。确定哪些上市公司属于“委员会认定的发行人”，即是HFCA法案的核心任务。
HFCA法案第2条要求委员会认定的发行人提交文件，证明其不为PCAOB无法完全检查或调查的审计师所在的外国司法管辖区的政府实体所拥有或控制，并要求SEC在连续三年不检查后（一般是指“委员会认定的发行人”被SEC认定的任何一年），禁止此类“委员会认定的发行人”的证券在美国市场交易。
此外，属于外国发行人的“委员会认定的发行人”（在该法案中称为"委员会认定的外国发行人"）须遵守以下HFCA法案第3条规定的额外披露要求。委员会认定的外国发行人在其为每个非检查年度提交的年度报告中提供以下具体的额外披露信息：
在表格所涵盖的期间内，注册会计师事务所为发行人编制了一份审计报告。
发行人成立或以其他方式组织的外国司法管辖区的政府实体拥有发行人股份的百分比。
在适用的外国司法管辖区，与该注册会计师事务所有关的政府实体是否对发行人有控制性的财务利益。
担任发行人或与发行人有关的经营实体的董事会成员的每位中国共产党官员的姓名；及
发行人的公司章程（或同等的组织文件）是否包含任何中国共产党的宪章，包括任何此类宪章的文本。
额外的披露，包括最后两个要点的要求，证明HFCA法案的一个主要目标是解决中国对PCAOB检查中国公共会计师事务所的能力的限制。
注：标黄部分即为《外国公司问责法案》对《萨班斯-奥克斯利法案》法案的新增部分。
域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：
DPO线下沙龙的实录见：
自动驾驶系列文章：
数据安全法系列文章：
个人数据与域外国家安全审查系列文章
围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：
第29条工作组/EDPB关于GDPR的指导意见的翻译：
关于美国出口管制制度，本公号发表过系列文章：
供应链安全文章：
数据跨境流动政策、法律、实践的系列文章：
传染病疫情防控与个人信息保护系列文章
人脸识别系列文章：
关于欧盟技术主权相关举措的翻译和分析：
关于数据与竞争政策的翻译和分析：
数据安全法系列文件：
中国个人信息保护立法系列文章：
健康医疗大数据系列文章：
网联汽车数据的系列文章：
人工智能安全和监管的系列文章：
关于中美与国家安全相关的审查机制的系列文章：