数据出境新指引，深度解读《境外发行证券与上市保密新规》!

本文特邀作者

中伦律师事务所合伙人律师  樊晓娟

算力说

2020年的瑞幸咖啡事件，时隔两年后，余波未息，犹如拉开了中概股的梦魇，在今年上半年集中上演。
进入3月份以来，已经连续四批23家中概股公司被SEC（美国证券交易委员会）纳入预摘牌名单，其中不乏百度、微博、爱奇艺、富途控股等知名企业，核心背景在于2020年12月18日，《控股外国公司问责法案》（Holding Foreign Companies Accountable Act, HFCAA）在美国立法。该法案旨在解决于美国上市的中概股公司因为中国法律的规定，不满足美国关于审计检查要求这一长期引起关注的问题，其中重点内容则包括要求被识别公司向美国证监会提交资料证明其并非境外审计机构注册法域政府所有或者控制；这与中国《数据安全法》中对于数据出境的相关条例规制或有冲突，因而中概股公司深陷数据跨境合规的“两难”困境。
为探索出解决机制，此前3月16日，国务院金融稳定发展委员会召开的专题会议对中概股进行了讨论。4月2日，中国证监会则公布了《关于加强境内企业境外发行证券和上市相关保密和档案管理工作的规定（征求意见稿）》（以下简称“《保密新规》”），向社会公开征求意见，意在为数据出境提供具体清晰的合规指引，弥合分歧，为目前处境并不算太好的中概股公司吃下一颗“强心丸”。
强心之后，对于企业而言，《保密新规》该如何遵循？涉密敏感信息如何处理？会计底稿如何管理？这些实操层面的问题有待厘清明确，本文特邀中伦律师事务所合伙人律师樊晓娟带来《保密新规》的资深解读，或可指路。

2022年4月2日，中国证券监督管理委员会（以下简称“证监会”）公布《关于加强境内企业境外发行证券和上市相关保密和档案管理工作的规定（征求意见稿）》（以下简称“《保密新规》”），向社会公开征求意见。
《保密新规》在《关于加强在境外发行证券与上市相关保密和档案管理工作的规定》（证监会公告〔2009〕29号）（简称“《2009年保密规定》”）的基础上对境内企业境外发行上市相关保密和档案管理工作有重大更新。我们注意到，《保密新规》与《国务院关于境内企业境外发行证券和上市的管理规定（草案征求意见稿）》（以下简称“《管理规定》”）、《境内企业境外发行证券和上市备案管理办法（征求意见稿）》（以下简称“《备案办法》”）、2021年12月新修订的《网络安全审查办法》等新规定或正在制定中的新规定互相衔接。本文将结合各项规定对境内企业[1]境外发行证券和上市的数据合规、网络安全合规等合规要点进行解读和梳理。

适用范围

《保密新规》、《管理规定》[2]和《备案办法》[3]均对境内企业境外发行上市相关数据合规工作有所涉及，并从不同层面对数据合规予以规范。
（一） 适用的具体商业活动范围
《保密新规》第二条规定了，该规定适用“境内企业境外发行证券和上市活动中”的保密和档案管理工作。《管理规定》第二条将境内企业境外直接发行上市[4]和境内企业间接发行上市[5]均纳入境内企业境外发行上市范畴。《保密新规》以《管理规定》为依据，结合《管理规定》规定境内企业境外发行上市的范围，我们理解，《保密规定》至少适用于以下具体商业活动中的信息披露、资料提供：
1、境内企业境外直接发行上市，例如：H股、GDR、D股等公开发行；
2、境内企业境外间接发行上市，例如：借壳上市或通过与SPAC并购上市、红筹企业境外发行上市（包括采用VIE架构的企业境外发行上市）；以及
3、上市公司履行持续披露义务和接受监管，例如，年报、半年报等定期报告，配合境外监管机构调查等。
（二） 监管对象

较《2009年保密规定》，《保密新规》第二条将监管对象从“境外上市公司”调整为“境内企业”以及提供相关证券服务的“证券公司、证券服务机构”。根据《保密规定》第二条，简要说明如下：

涉密、涉安资料和重要档案范围

2022年4月2日，证监会有关部门负责人答记者问指出，本次修订旨在“明确上市公司信息安全责任，维护国家信息安全，减少不必要的涉密敏感信息进入工作底稿。”根据《保密新规》第三条至第六条规定，境内企业就公开披露及提供涉密、涉安资料、重要档案应严格履行相应程序。
涉密、涉安资料和重要档案的范围包括：

需要注意的是，其中，境内企业如果涉及数据处理，尤其是涉及关键基础设施运营的企业，其可能会掌握涉密资料、涉安资料和重要档案。因此，数据处理企业和关键基础设施运营者在直接或通过境外上市主体向有关证券公司、证券服务机构、境外监管机构等单位和个人提供、公开披露时尤其应注意相关合规程序。
境内企业必须正确判别资料属性，如果无法判断，应当根据《保密新规》报相应保密行政机关或业务主管机关判断。

建立健全保密和档案管理规章制度

根据证监会发布的《【2019年更新】股份有限公司境外公开募集股份及上市（包括增发）审核关注要点》，“发行人及各下属公司是否建立健全了完备、规范的保密和档案规章制度并落实到位”属于证监会的审核关注要点。《管理规定》、《备案办法》均有关于境内企业应当建立健全保密和档案管理规章制度的要求。对于具有境外上市计划的境内企业。
因此，境外上市发行申报前，境内企业及相关主体应当已经建立和完善保密和档案管理制度。我们理解，保密和档案管理制度包括数据合规和网络安全管理制度。

网络安全审查

根据《保密新规》第四条规定，境内企业向有关证券公司、证券服务机构、境外监管机构等单位和个人提供、公开披露，或者通过其境外上市主体等提供、公开披露涉安资料的，应当按照国家有关规定，严格履行相应程序。从数据合规的角度，其中的相应程序包括网络安全审查程序。
而根据《管理规定》和《备案办法》，境内企业直接或间接在境外上市将统一实施备案管理；对涉及外商投资安全审查、网络安全审查等法律法规规定范围内的企业境外上市，在提交备案申请前，企业应当依法申报安全审查。
因此，无论是从保密和档案管理工作合规的层面，还是从履行境外上市备案程序的层面，对境内企业来说，如果落入网络安全审查范围，那么网络安全审查环境是绕不开的。

根据《关键信息基础设施安全保护条例》、《网络安全审查办法》以及参照2021年11月14日发布的《网络数据安全管理条例（征求意见稿）》，至少以下情形，将落入网络安全审查范围：

1、数据处理活动影响或可能影响国家安全；

2、掌握或处理超过100万用户个人信息的数据处理者赴国外上市；

3、数据处理者赴香港上市，影响或者可能影响国家安全的；

4、汇聚掌握大量关系国家安全、经济发展、公共利益的数据资源的互联网平台运营者实施合并、重组、分立，影响或者可能影响国家安全的。

另外，需要提示的是，根据《网络安全审查办法》，从初次提交材料到审查全部完成，网络安全审查时限可能长达数月。因此，有境外上市计划的境内企业，特别是数据处理企业来说，务必将网络安全审查纳入上市时间表的考虑范畴。

对外提供和公开披露涉密资料、涉安资料的程序

如境内企业在直接或间接对外提供、披露的数据属于涉密资料、涉安资料的，除网络安全审查外，还应履行以下程序。
1、涉密资料依法报有审批权限的主管部门批准，并报同级保密行政管理部门备案；涉安资料依照国家有关规定办理；
2、向证券公司、证券服务机构提供涉密、涉安资料时，还应当就前述报批、备案及相应程序提供书面说明；
3、与证券公司、证券服务机构签订保密协议，明确相应主体的保密义务和责任；
4、国家秘密已经泄露或者可能泄露的，应当立即采取补救措施并及时向有关机关、单位报告。

境外上市中的数据出境

根据《保密规定》第八条，境内企业直接或间接对外提供重要档案的，应当履行相应程序。《档案法》第二十五条：“属于国家所有的档案和本法第二十二条规定的档案及其复制件，禁止擅自运送、邮寄、携带出境或者通过互联网传输出境。确需出境的，按照国家有关规定办理审批手续。”因此，重要档案的出境需根据《档案法》办理出境审批手续。根据《保密新规》第九条，工作底稿应当存放于中国境内，且未经有关主管部门批准，不得以任何方式出境。该条规定中的审计底稿，包括审计工作底稿，也包括证券公司、证券服务机构的其他工作底稿。进一步的，《网络安全法》第三十七条要求“关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。” 鉴于上述规定，重要档案和工作底稿、关键信息基础设施运营者于境内运营中收集和产生的个人信息和重要数据，以境内保存为原则，如需出境的，必须履行批准审批手续或安全评估。
因此，境内企业应当尽可能避免、减少属于涉密资料、涉安资料、重要档案或其他敏感信息的数据，尤其是关键信息基础设施运营者于境内运营中收集和产生的个人信息和重要数据进入工作底稿；如必须对外提供的，则应履行相应的批准或安全评估程序。

总 结

数据合规和网络安全已不局限于企业的日常运营合规，对境内企业境外上市也至关重要，可能会影响企业的上市进程，甚至会左右上市的成败。因此，对于有境外上市的企业，尤其是涉及数据处理的企业，应当尽早重视数据合规问题，在律师指导下建立和完善数据合规体系，并在上市计划充分考虑数据合规及网络安全对上市时间表的影响。
当然，《网络数据安全管理条例》、《保密新规》、《管理规定》、《备案办法》均处于征求意见中，我们也会随时关注。

声明本文旨在法规之一般性分析研究或信息分享，不构成对具体法律的分析研究和判断的任何成果，亦不作为对读者提供的任何建议或提供建议的任何基础。作者在此明确声明不对任何依据本文采取的任何作为或不作为承担责任。如需转载或引用本文的任何内容，请联系作者 ([e-mail]);未经作者同意，不得转载或引用本文的任何内容。

注 释

[1] 本文中的“境内企业”特指《保密新规》中定义的境内企业。

[2]《管理规定》第十六条：“境内企业境外发行上市的，应当严格遵守国家法律法规和有关规定，建立健全保密制度，采取必要措施落实保密责任，不得泄露国家秘密，不得损害国家安全和公共利益。境内企业境外发行上市涉及向境外提供个人信息和重要数据的，应当符合国家法律法规和有关规定。”

[3]《备案办法》第十八条：“境内企业境外发行上市相关主体应当严格遵守国家有关法律法规及关于境外发行上市保密和档案管理的有关规定，建立健全保密和档案管理规章制度，做好保密和档案管理工作。”

[4]《管理规定》第二条第二款：“境内企业直接在境外发行证券或者将其证券在境外上市交易（以下简称境内企业境外直接发行上市），是指注册在境内的股份有限公司在境外发行证券或者将其证券在境外上市交易。”

[5]《管理规定》第二条第三款：“境内企业间接在境外发行证券或者将其证券在境外上市交易（以下简称境内企业境外间接发行上市），是指主要业务经营活动在境内的企业，以境外企业的名义，基于境内企业的股权、资产、收益或其他类似权益在境外发行证券或者将证券在境外上市交易。具体标准由国务院证券监督管理机构规定。”

END

● 往期推荐

欢迎投稿

  [e-mail]  

• 文章所载观点仅代表作者本人

• 且不构成投资建议

• 敬请注意投资风险

你“在看”我吗？