赴美上市与网络、数据安全 | 对证监会关于保密和档案管理工作新规的分析

编者按

本系列旨在作为研究赴美上市的中国公司在网络、数据安全方面可能遇到的两国监管不同乃至于冲突方面问题的研究笔记，已经发表的文章如下：

今天，公号君分享自己对《关于加强境内企业境外发行证券和上市相关保密和档案管理工作的规定（征求意见稿）》的初步分析。

一、四种类型的数据

中国证监会在《关于加强境内企业境外发行证券和上市相关保密和档案管理工作的规定（征求意见稿）》中，提到了四种类型的数据，分别是：

类型一：涉及国家秘密、机关单位工作秘密的文件、资料（第三段）

类型二：其他泄露后会对国家安全或者公共利益造成不利影响的文件、资料（第四段）

类型三：对国家和社会具有重要保存价值的会计档案或会计档案复制件（第八段）

类型四：提供相关证券服务的证券公司、证券服务机构在境内形成的工作底稿等档案（第九段）

这四种类型的数据，分别对应不同的法律法规。

涉及国家秘密、机关单位工作秘密的文件、资料（第三段）	《中华人民共和国保守国家秘密法》
其他泄露后会对国家安全或者公共利益造成不利影响的文件、资料（第四段）	《中华人民共和国国家安全法》（事实上也包括《中华人民共和国数据安全法》）
对国家和社会具有重要保存价值的会计档案或会计档案复制件（第八段）	《中华人民共和国档案法》
提供相关证券服务的证券公司、证券服务机构在境内形成的工作底稿等档案（第九段）	《中华人民共和国证券法》及《国务院关于境内企业境外发行证券和上市的管理规定（征求意见稿）》

二、四种类型的数据分别对应不同的程序

1、涉及国家秘密、机关单位工作秘密的文件、资料

境内企业的任何的提供和公开披露行为（包括向有关证券公司、证券服务机构、境外监管机构等单位和个人），以及境内企业的通过其境外上市主体等的任何的提供、公开披露行为，分三种情况：

1. 应当依法报有审批权限的主管部门批准，并报同级保密行政管理部门备案；

2. 是否属于国家秘密不明确或者有争议的，应当报有关保密行政管理部门确定；如果是，则回到情况a)

3. 是否属于机关单位工作秘密不明确或者有争议的，应当报有关业务主管部门确定；如果是，则回到情况a)

2、其他泄露后会对国家安全或者公共利益造成不利影响的文件、资料

境内企业的任何的提供和公开披露行为（包括向有关证券公司、证券服务机构、境外监管机构等单位和个人），以及境内企业的通过其境外上市主体等的任何的提供、公开披露行为，“应当按照国家有关规定，严格履行相应程序”。

此处的“国家有关规定”，可以理解为关于重要数据的出境安全评估程序或者网络安全审查程序。这两个程序由中央网信办负责。

3、对国家和社会具有重要保存价值的会计档案或会计档案复制件

境内企业的任何的提供和公开披露行为（包括向有关证券公司、证券服务机构、境外监管机构等单位和个人），应当按照国家有关规定履行相应程序。

此处的“国家有关规定”，例如《档案法》第二十五条：“属于国家所有的档案和本法第二十二条规定的档案及其复制件，禁止擅自运送、邮寄、携带出境或者通过互联网传输出境。确需出境的，按照国家有关规定办理审批手续。”（《档案法》第二十二条：“非国有企业、社会服务机构等单位和个人形成的档案，对国家和社会具有重要保存价值或者应当保密的，档案所有者应当妥善保管。”）

4、提供相关证券服务的证券公司、证券服务机构在境内形成的工作底稿等档案

• 要求1：应当存放在境内。

• 要求2：未经有关主管部门批准，不得通过携带、寄运等任何方式将其转移至境外或者通过信息技术等任何手段传递给境外机构或者个人。

• 要求3：涉及对国家和社会具有重要保存价值的档案或档案复制件需要出境的，按照国家有关规定办理审批手续。（回到了第三个类型的数据）

三、跨境监管合作机制

境外证券监督管理机构及有关主管部门，针对（限定场景：就境内企业境外发行证券和上市相关活动）境内企业和为该等企业境外发行证券和上市提供证券服务的证券公司、证券服务机构，开展调查取证或开展检查时，会涉及上述四个类型的数据。

此时，《关于加强境内企业境外发行证券和上市相关保密和档案管理工作的规定（征求意见稿）》强调必须通过跨境监管合作机制进行。

在这个机制中，首先，证监会或有关主管部门依据双多边合作机制提供必要的协助；其次，境内有关企业、证券公司和证券服务机构在配合检查、调查或提供文件资料时，应事先向证监会或有关主管部门报告。

四、总结和疑问

首先，分析至此，可得到如下结论。

数据类型	法律渊源	主管部门
涉及国家秘密、机关单位工作秘密的文件、资料（第三段）	《中华人民共和国保守国家秘密法》	企业所在的行业主管部门和保密部门
其他泄露后会对国家安全或者公共利益造成不利影响的文件、资料（第四段）	《中华人民共和国国家安全法》（事实上也包括《中华人民共和国数据安全法》）	中央网信办
对国家和社会具有重要保存价值的会计档案或会计档案复制件（第八段）	《中华人民共和国档案法》	国家档案主管部门
提供相关证券服务的证券公司、证券服务机构在境内形成的工作底稿等档案（第九段）	《中华人民共和国证券法》及《国务院关于境内企业境外发行证券和上市的管理规定（征求意见稿）》	证监会。 涉及范围是（证券法第一百六十二条规定的：证券服务机构应当妥善保存客户委托文件、核查和验证资料、工作底稿以及与质量控制、内部管理、业务经营有关的信息和资料，任何人不得泄露、隐匿、伪造、篡改或者毁损。上述信息和资料的保存期限不得少于十年，自业务委托结束之日起算。）

同时也带来一个疑问。《关于加强境内企业境外发行证券和上市相关保密和档案管理工作的规定（征求意见稿）》中提到的“跨境监管合作机制”，是由证监会牵头建立，各部门参与其中？还是各个部门自己建立？

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

关于欧盟技术主权相关举措的翻译和分析：

关于保护网络和信息系统安全的相关文章包括：

中国个人信息保护立法的相关文章包括：

《网络数据安全管理条例（征求意见稿）》系列文章：

《数据安全法》的相关文章包括：

关于健康医疗数据方面的文章有：

关于人工智能安全和监管，本公号发布过以下文章：

关于中美与国家安全相关的审查机制，本公号发布过以下文章：

数据的安全、个人信息保护、不正当竞争等方面的重大案例：

关于数据执法跨境调取的相关文章：

业务场景中的数据跨境流动的文章如下：

数字贸易专题的系列文章有：

行为定向广告（behavioral targeting advertising）系列的文章包括：

关于数据要素治理的相关文章包括：

人脸识别系列文章：

地缘政治与跨国科技公司运营之间的互动影响：