赴美上市与网络、数据安全 | 美国SEC关于“重大合同”的披露要求

编者按

这是一个新开设的系列，旨在作为研究赴美上市的中国公司在网络、数据安全方面可能遇到的两国监管不同乃至于冲突方面问题的研究笔记，已经发表的文章如下：

前两篇笔记主要关注赴美上市的中国公司在上市前和日常运营中需要尽到的披露义务，特别是网络安全披露义务。这就包括滴滴、满帮、BOSS直聘，很可能需要对SEC披露目前正在接受国家互联网信息办公室的网络安全审查且期间新用户无法注册的相关情况。目前不明确国家互联网信息办公室对于SEC可能的披露要求的态度。总之，这些赴美上市公司正处于非常棘手的两难境地，还需要处理美国投资者的集体诉讼。进入庭审环节的话，可能还遇到美国司法系统的证据开示要求。第三篇笔记关注美国SEC针对具体的事件和对象，启动问询（an inquiry）或专门调查（investigation）时，要求被监管方提供信息的权力。第四篇研究笔记关注美国SEC针对会计师事务所从域外调取信息的权力和实践。第五篇研究笔记翻译了SEC于2018年发布的《关于上市公司网络安全信息披露的声明和指导意见》。第六篇是《外国公司问责法案》的简要分析和全文翻译。第七篇是关于SEC制定的Regulation S-K关于上市公司非财务声明的要求概览。

今天这篇研究笔记关注的是Regulation S-K中关于“重大合同”披露的有关要求。

按照Regulation S-K的规定，一般来说，现行的第601(b)(10)条要求注册人（也就是在美上市公众公司）将其在过去两年内签订的或至少部分在未来履行的每份重要合同（material contracts）作为其适用的披露文件的附件提交。

显然，我们想知道重要合同的定义和范围。根据现行有效的规定，第601(b)(10)条关于重要合同的有关规定如下：

(10) 重要合同。(i)(A)对注册人具有重要意义的非正常经营过程中签订的，将在提交注册声明或报告时或之后全部或部分履行的每项合同。此外，对于新提交报告的注册人来说，对注册人具有重要意义的非正常经营过程中签订的每一份合同，且该合同是在该注册人的下列日期之前两年内签订的：

(1) 首次提交注册声明或报告；或

(2)完成了一项具有导致其不再是公众壳公司的效果的交易。

(B) 唯一需要提交的合同是注册人或注册人的子公司是一方或通过承担或转让继承一方的合同，或注册人或该子公司拥有受益权益的合同。

(ii) 如果合同是通常伴随着注册人及其子公司进行的那种业务，它将被视为在正常的业务过程中订立的，不需要归档，除非它属于以下一个或多个类别（在这种情况下，它应归档，除非在金额或数量方面不重要）：

(A) 董事、高级职员、发起人、投票权受托人、登记表或报告中提到的证券持有人或承销商为当事方的任何合同，但只涉及购买或出售具有可确定市场价格的流动资产的合同除外，以该市场价格为准。

(B) 注册人的业务在很大程度上依赖的任何合同，如销售注册人产品或服务的主要部分或购买注册人所需货物、服务或原材料的主要部分的持续合同，或使用注册人的业务在很大程度上依赖的专利、配方、商业秘密、工艺或商号的任何特许权或许可或其他协议。

(C) 要求收购或出售任何财产、厂房或设备的任何合同，其代价超过注册人此类固定资产在合并基础上的15%；或

(D) 注册人持有注册表或报告中所述财产的一部分的任何重大租赁。

(iii)(A) 任何管理合同或任何补偿性计划、合同或安排，包括但不限于与期权、认股权或权利、养老金、退休或递延报酬或奖金、奖励或利润分享有关的计划（如果没有在任何正式文件中规定，则为书面说明），其中注册人的任何董事或任何指定的行政官员，如项目402(a)(3)所定义（§229. 402(a)(3)）项所定义的注册人的任何董事或任何被提名的高管所参与的计划、合同或安排应被视为重要的，并应予以备案；注册人的任何其他高管所参与的任何其他管理合同或任何其他补偿性计划、合同或安排应予以备案，除非在金额或重要性上不重要。

(B) 任何未经证券持有人批准而采用的补偿计划、合同或安排，包括但不限于期权、认股权或权利（或如果没有在任何正式文件中列出，则为其书面说明），任何雇员（无论是否为注册人的高管）参与其中，除非数额或重要性不大，否则应予备案。注册人因合并、整合或其他收购交易而承担的补偿计划，根据该计划，注册人可进一步授予或奖励其股权证券，就前句而言，应视为注册人的补偿计划。

(C) 尽管有上述(b)(10)(iii)(A)段的规定，下列管理合同或补偿性计划、合同或安排不需要备案：

(1) 普通的采购和销售代理协议。

(2) 与连锁组织或类似组织中的商店经理的协议。

(3) 规定劳工或销售员奖金或支付给某类证券持有人的合同，如是。

(4) 任何补偿性计划、合同或安排，根据其条款，一般可供雇员、官员或董事使用，并且在运作中规定在管理层和非管理层参与者之间分配利益的相同方法。

(5) 任何补偿性计划、合同或安排，如果注册人是一个外国私人发行人，根据项目402(a)(1)(§229.402(a)(1))提供补偿性信息，并且该计划、合同或安排或其部分在注册人的本国不需要公开备案，注册人也没有公开披露。

(6) 任何补偿性计划、合同或安排，如果注册人是一家公司的全资子公司，该公司有一类证券根据《交易法》第12条注册或根据第15(d)条提交报告，并以10-K表提交报告或以S-1表注册非投票权证券的债务工具或优先股。

(iv) 注册人可以编辑本段(b)(10)要求提交的附录的具体规定或条款，如果注册人习惯上和实际上将该信息视为私人或机密，并且如果省略的信息不重要。如果它这样做，注册人应在附录索引上做标记，以表明附录的部分内容已被省略，并在经编辑的附录的第一页上包括一个明显的声明，即某些确定的信息已被排除在补录之外，因为它既不重要，也是注册人视为私人或机密的类型。注册人还必须在方括号中注明该信息在存档版本的附录中被省略的位置。如果委员会或其工作人员提出要求，注册人必须迅速提供一份未经编辑的附录及其重要性和隐私或保密性分析的副本。在对注册人的补充材料进行评估后，委员会或其工作人员可以要求注册人修改其申报材料，将任何以前被编辑的、没有得到注册人分析充分支持的信息纳入证据中。注册人可以根据本章第200.83条要求对根据本段(b)(10)(iv)提交的补充材料在委员会或其工作人员掌握期间进行保密处理。在完成对补充材料的审查后，如果注册人遵守本章第230.418条或240.12b-4条规定的程序，委员会或其工作人员将归还或销毁补充材料。

从上述规定来看，Regulation S-K要求披露的重大合同，很可能会包含的一些高度敏感的信息。如果这些信息并不重要，并且属于《信息自由法》的豁免范围，注册人可以申请保密处理，如果委员会批准（即按照第601(b)(10)（iv）的程序），将允许注册人从其公开提交给EDGAR的重要合同中编辑特定信息。

以上申请保密的程序，成为confidential treatment，即保密处理。美国《交易法》第24b-2条和《证券法》第406条规定了对根据《交易法》和《证券法》提交的证据获得保密处理的唯一程序。希望利用这些规则的注册人必须向委员会提交一份详细的申请，确定寻求保密处理的特定文本，说明豁免的法律依据，并解释为什么根据特定案件的事实和情况，披露信息对于保护投资者是不必要的。在收到被称为"保密处理请求"（confidential treatment requests）或"CTR"的申请后，委员会工作人员将评估该请求是否显得适当。

纸面上的规则简单来说就是这样。具体应当高度关注重大合同是否要披露供应链相关的合同，及SEC工作人员实际操作中的行为。这两点至关重要。

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

自动驾驶系列文章：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

数据跨境流动政策、法律、实践的系列文章：

传染病疫情防控与个人信息保护系列文章

人脸识别系列文章：

关于欧盟技术主权相关举措的翻译和分析：

关于数据与竞争政策的翻译和分析：

数据安全法系列文件：

中国个人信息保护立法系列文章：

健康医疗大数据系列文章：

网联汽车数据的系列文章：

人工智能安全和监管的系列文章：

关于中美与国家安全相关的审查机制的系列文章：