赴美上市与网络、数据安全 | 美国法下获取我国赴美上市企业数据的可能性（上）

编者按

这是一个新开设的系列，旨在作为研究赴美上市的中国公司在网络、数据安全方面可能遇到的两国监管不同乃至于冲突方面问题的研究笔记，已经发表的文章如下：

前两篇笔记主要关注赴美上市的中国公司在上市前和日常运营中需要尽到的披露义务，特别是网络安全披露义务。这就包括滴滴、满帮、BOSS直聘，很可能需要对SEC披露目前正在接受国家互联网信息办公室的网络安全审查且期间新用户无法注册的相关情况。目前不明确国家互联网信息办公室对于SEC可能的披露要求的态度。总之，这些赴美上市公司正处于非常棘手的两难境地，还需要处理美国投资者的集体诉讼。进入庭审环节的话，可能还遇到美国司法系统的证据开示要求。第三篇笔记关注美国SEC针对具体的事件和对象，启动问询（an inquiry）或专门调查（investigation）时，要求被监管方提供信息的权力。第四篇研究笔记关注美国SEC针对会计师事务所从域外调取信息的权力和实践。第五篇研究笔记翻译了SEC于2018年发布的《关于上市公司网络安全信息披露的声明和指导意见》。第六篇是《外国公司问责法案》的简要分析和全文翻译。第七篇是关于SEC制定的Regulation S-K关于上市公司非财务声明的要求概览。第八篇是关于Regulation S-K中关于“重大合同”披露的有关要求。第九篇关注PCAOB为落实《外国公司问责法案》所制定的规则草案。第十篇关注美国政客为加速落实《外国公司问责法案》所采取的举动。

今天关注的是在美国法下，对在美发行美国存托凭证（ADR）的企业，美国司法部门、行政部门和其它实体获取企业数据的可能性。文章分为两次发表。作者朱悦是圣路易斯华盛顿大学职业法律博士（J.D.），另一作者颜欣是纽约大学法学硕士（LL.M.）。两位作者均以个人身份发表本文，内容不构成法律意见或建议。

我国企业赴美上市蕴涵的数据安全风险，业已引起广泛关注和制度应对。例如，左晓栋谈及：“[近期对滴滴的安全审查]主要关注的是，重要数据和公民个人信息的出境安全风险。”[1]因此，有必要梳理美国法下引致数据安全风险的可能性。更具体地说，有必要梳理美国法下，对在美发行美国存托凭证（ADR）[2]的企业，美国司法部门、行政部门和其它实体获取企业数据的可能性。

以下分四段展开。首先是司法系统，先简述作为证据开示前提的管辖和域外适用，再是开示，并以常常被忽视的对外监控法庭（FISC）监控令作结。其次是行政部门和与之有密切关系的独立组织，讨论法庭之友意见、披露、执法和现场验视各自对获取企业数据的影响。再次，提请注意律所、投行、会计师事务所等中介的工作实践，伴有一些推论。最后，试论国家安全审查的法治化。

司法部门：管辖、域外适用、证据开示和对外监控

美国司法部门[3]获取我国赴美上市企业内的重要数据或个人信息，至少存在两种比较重要的可能性：其一，在证券欺诈等案件中，法院要求企业将数据作为证据开示；其二，FISC发出监控令，授权行政机关搜查或监听我国企业数据。以下主要讨论前者，并简要述及后者涉及的风险。

就针对我国赴美上市企业的证券欺诈案件，因企业注册地位于美国境外，美国法院通常需要考虑至少三个环节：首先，建立对企业的管辖；其次，讨论有关法律的域外适用；最后，才是开示。每一环节上，都存在一定的复杂性。

管辖层面，Pinker诉Roche Holdings Ltd.案认可了美国联邦法院在证券欺诈案件中对ADR发行者的管辖权，也是相应议题上有影响力的主要先例[4]。本案中，原告诉称：被告未披露在全球范围内操纵维生素市场一事，构成证券欺诈[5]。联邦第三巡回法院的管辖权裁决，综合考虑了三方面因素：被告是否令自身享有美国法赋予的权利，以及，被告是否合理预期到卷入[美国法]诉讼的风险；被告是否存在有意将自身置于美国法下的行为；以及，传统的公平和实质正义观念[6]。本案中，即使被告所发行ADR并未在美国境内交易所挂牌交易，法院仍然认为：发行ADR本身即足以构成前述“有意行为”，享有在美国证券市场开展活动的权利，亦足以合理期待因欺诈性披露而卷入诉讼[7]。法院同时认为：因被告需在一定程度上遵守美国证券交易委员会（SEC）的披露要求，又因美国在推动证券监管政策方面有着重要的国家利益，对被告行使管辖并不违背传统的公平和实质正义观念[8]。综上，发行ADR通常足以建立管辖权。

域外适用层面，有关美国法下的证券欺诈相关法律是否适用、又在何种程度上适用于美国境外，素有争议[9]。在2010年判决的Morrison诉National Australia Bank一案中，美国联邦最高法院正面解答了这一问题，提出了“交易[地]检验”，亦即：如果涉案证券的交易发生在美国，或者涉案证券在美国国内的交易所挂牌交易，则适用相应的证券欺诈法律[10]。仅就本文关注的、我国企业赴美上市（发行ADR）问题而言，相应证券显然满足检验条件，故足以适用美国相关法律[11]。

前两项问题，在很大程度上是证据开示问题的“铺垫”。对美国司法系统获取我国企业数据、进而造成数据安全风险而言，管辖和适用只是开示的前提；数据的（违法违规）出境，终究需要通过开示而发生。在这一最为重要的问题上，亦即，当美国法院的开示要求与他国法律冲突时是否礼让，有两方面结论：一方面，在相对抽象的法律原则上，并不存在如管辖或适用般的清晰结论，美国各地法院依赖于复杂的多因素权衡；另一方面，在更为具体的裁决结果上，美国法院通常令开示要求优先于他国法律。法律原则方面，此处有拘束力的主要先例，是美国联邦最高法院在Societe Nationale一案中的判决[12].简言之，就民事诉讼开示冲突中的礼让，最高法院确定了分析礼让时应当平衡的五类因素：涉案数据的重要性、开示要求的确切程度、数据是否产生于美国境内、是否存在其它获取数据的手段、不遵从要求是否会严重损害美国或数据所在国利益[13]。相应分析原则延续至今。不过，多因素平衡，本即难言清晰；各巡回区间，在因素的具体内容、分析顺序或者相对权重上，也仍然存在差异[14]。

至于具体的数据开示冲突，《通用数据保护条例》（GDPR）已引起直接相关的案例。在涉及专利侵权的Finjan诉Zscaler案中，开示涉及受GDPR保护的个人邮件，且匿名化等方式不可行[15]。加利福利亚州北区联邦法院援引前述因素，作出了要求开示的裁决。本案中，法院首先指出：Societe Nationale案并未穷尽所有应予平衡的因素，法院尚可考量开示方在法律冲突中所面临的困难和相冲突法律各自执法时的遵从情况[16]。在几乎所有因素上，法院都倾向于开示[17]。尤其值得注意的，是“开示对美国或数据所在国利益的损害”这一因素上的分析。法院首先认定，美国保护本国专利的利益“十分有力”[18]。其次，尽管法院承认英国确有保护公民隐私的利益，然而，由于法院认为自身发出的、针对相应数据的保护令足以显著缩减英国的相应利益，同时，法院不清楚相应邮件“在何种程度上蕴涵了英国利益”，在“显著的、美国保护本国专利的利益”和“经缩减的、英国保护本国公民的利益”之间，这一因素显著地倾向于开示[19]。在相近的开示礼让案件中，本案有相当代表性[20]。

回到我国赴美上市企业可能面临的数据开示要求，除上述直接适用的案件外，还有三点值得注意。其一，国家安全显然不可简单与隐私利益等量齐观。批量个人信息或数据出境蕴涵的国家安全风险，也通常要显著高于开示特定个体邮件所蕴涵的风险。其二，尽管美国法院认为，就出境数据发出保护令，足以保护他国利益，其它主权国家恐怕难以信服这一观点。涉及国家安全风险时，他国法院的保护令意义如何，更为成疑。其三，一旦发生相应诉讼，即使我国有关部门出具对我国相关法律法规的权威解释，美国法院亦可能仅给予“尊重性的考量”，而不会作为“结论性”的解释[21]。如前，面对美国法院针对GDPR（数据）开示礼让的判决，一方面，既有判决强烈地倾向于开示；另一方面，在我国赴美上市企业数据安全这一语境下，担忧更加强烈。综之，美国法下美国法院通过开示获取企业数据一事，蕴涵了需要重视的风险。

在证券欺诈案件的证据开示以外，美国司法系统获取我国企业数据的另一可能性，是通过FISC发出的监控令。简言之，基于《对外情报监控法案》(FISA)，就美国政府针对特定个体的监控申请，如果FISC高度确信相应个体为从事特定活动的“外国势力”或“外国势力代理人”，则可以批出监控令[22]。FISC的运作始终处于秘密之中：案件、程序与判决一律保密，被监控方无法知晓、亦不可能参与相应程序。在很长一段时间内，我们无法确认是否存在针对我国企业的监控令。然而，2019年美国政府针对华为的诉讼[23]，确认了存在针对华为的监控令。具体而言，FISA规定：如果政府希望将监控所得信息列为诉讼证据，则应就此通知诉讼被告与审理法院[24]。因此，由于美国政府向华为发出了相应通知，可以确信FISC曾批出针对我国企业的监控令[25]。这是美国司法系统获取企业数据、造成安全风险的又一方式。

以上，总结了美国法院通过证据开示与批出监控令（后续可能成为证据）而获取我国赴美上市企业数据的可能性。第一种可能性与发行ADR关联紧密、相对透明、先例亦多。仅就目前进展而言，很难认为美国法院会在开示争议中充分尊重我国利益。第二种可能性与ADR大体无关、完全秘密、且缺乏先例。尽管如此，因确实存在针对我国企业的监控令，值得引起更多的注意。

参考文献和注记（部分）

[1] 见“南方周末”报道《中国信息安全研究院左晓栋：“对滴滴审查的重点是重要数据的出境安全风险”》，链接：https://www.infzm.com/contents/209140。最后访问日期：2021年7月25日。

[2] 这是我国企业赴美上市通行的形式。有关ADR的一般性介绍，见“SEC”给投资者的简介“Investor Bulletin: AmericanDepositary Receipts”，链接：https://www.sec.gov/investor/alerts/adr-bulletin.pdf。最后访问日期：2021年7月25日

[3] 本文暂不考虑根据各州法律获取企业数据的可能性。由于证券监管几乎完全属于联邦法，我们相信这不会影响本文的主要分析和结论。

[4] Pinker v. Roche Holdings Ltd.,292 F.3d 361 (3d Cir. 2002)。

[5] 同上。

[6] 同上。值得一提的是：前二者相合，即为美国法下建立管辖权的宪法性前提之一——“最小接触”。

[7] 同上。值得注意的是，被告在场外市场的交易量约为25000/日。

[8] 同上。

[9] 例如，可见Morrison v. NationalAustralia Bank Ltd., 561 U.S. 247中对各联邦巡回法院先前相关判决的讨论。此述“证券欺诈相关法律”，至少包括《1934年证券交易法》10(b)和《SEC规则》10(b)-5。

[10] Morrison v. National AustraliaBank Ltd.。

[11] 值得一提的是，由于ADR的类型相当丰富，美国证券欺诈相关法律适用于我国赴美上市企业发行的ADR，并不必然意味着相应法律适用于所有ADR。相关分析，例如，可见“Applying Morrison to American Depositary Receipts,” Insights(2017)。

[12] Societe Nationale IndustrielleAreospatiale v. U.S. Dist. Ct., 482 U.S. 522。值得注意的是，本案是针对法国阻断法案的判决。因此，就分析我国阻断规定与美国法的冲突而言，本案有直接意义。

[13] 同上。值得指出的是，联邦最高法院在此处大体认可了美国法学会1987年《对外关系法重述》的相应内容。由于相应重述在2018年有所更新，我们需要注意相应部分的细微调整。

[14] 此处存在数量颇为庞大的研究。新近且直接与数据开示相关的研究之一，例如，可见Burger, Corby F. "Domesticating Comity: Territorial USDiscovery in Violation of Foreign Privacy Laws." Cornell L. Rev.105 (2019): 549。

[15] Finjan, Inc. v. Zscaler, Inc.,No. 3:17-cv-06946, 2019 WL 665964 (N.D. Cal. Jan. 23, 2019)。

[16] 同上。

[17] 同上。值得指出的是，仅有的、法院不认为倾向于开示的因素是对开示方造成的困难，原因是开示方没有提供相关信息。

[18] 同上。此处引述了Work v.Bier, 106 F.R.D. 45, 55 (D.D.C. 1985)等先例。

[19] 同上。

[20] 另一得出方向相同结论的有影响力案件，可见SEC v. Telegram Group Inc., No.1:2019cv09439 (S.D.N.Y. 2020)。此外，可见以下研究对11个类似案例的综述：Gladstone, Michael H. "General Data Protection Regulation in USLitigation through Mid-Summer 2019." Def. Counsel J. 86 (2019): 1；同时，可见“JdSupra”上Melinda Levitt律师对美国法院就他国隐私、保密或阻断法案涉及的开示礼让判决的总结“GDPR and U.S. eDiscovery - Who Will Win the Game of Chicken”，链接：https://www.jdsupra.com/legalnews/gdpr-and-u-s-ediscovery-who-will-win-30037/。最后访问日期：2021年7月25日。又之，此处亦可与欧盟法院涉及欧美间数据跨境传输的Schrems II案对读。

[21] Animal Science Products v.Hebei Welcome Pharmaceuticals, 585 U.S. ___ (2018)。值得一提的是，本案涉及我国商务部对我国维生素C国际贸易管制规定的解释。一旦在国家安全领域再次发生涉及我国的类似诉讼，本案将有直接的意义。

[22] 一般地，见50 U.S.C. §§1801-1812 and 1821-1829。对相应法案的简介，一般地，可见McAdams III,James G. "Foreign Intelligence Surveillance Act (FISA): An Overview."(2021)。

[23] U.S. v. Huawei Tech. Co.,nyed-1:2018-cr-00457-421380。

[24] 50 U.S.C. §1806(c)。

[25] 此处存在另一值得关切的问题：为何FISC可以认定涉案华为公司是“外国势力”或“外国势力的代理人”？就此带有疑虑的深入分析，可见“Lawfare”上Bobby Chesney教授的讨论“Is Huawei a ‘Foreign Power’ or an ‘Agent of a Foreign Power’ UnderFISA? Insights From the Sanctions Case”，链接：https://www.lawfareblog.com/huawei-foreign-power-or-agent-foreign-power-under-fisa-insights-sanctions-case?__cf_chl_jschl_tk__=pmd_270dd。最后访问日期：2021年7月25日。

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

自动驾驶系列文章：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

数据跨境流动政策、法律、实践的系列文章：

传染病疫情防控与个人信息保护系列文章

人脸识别系列文章：

关于欧盟技术主权相关举措的翻译和分析：

关于数据与竞争政策的翻译和分析：

数据安全法系列文件：

中国个人信息保护立法系列文章：

健康医疗大数据系列文章：

网联汽车数据的系列文章：

人工智能安全和监管的系列文章：

关于中美与国家安全相关的审查机制的系列文章：

网络空间的国际法适用问题系列文章：