中概股上市視閾下數據跨境風險的域外管轄

□ 文 王諾方

0 引言

國家互聯網信息辦公室發布《網絡安全審查辦法（修訂草案征求意見稿）》自2022年2月15日起施行，重點放在數據“出境”和國外上市的關鍵信息基礎設施（“關基”）所掌握數據“被國外政府影響、控制、惡意利用”的風險，監管對象直指赴美上市中概股暗含的國家數據及網絡安全問題。數據作為企業重要發展資源，其顯著特征是以大量的個人信息和社會交往信息為積累基礎，形成數據分析與算法的優勢。然而，隨著企業所攜大量數據的重要性程度加深，其赴境外上市的行為也自然關涉國家數據安全和數據跨境問題。

1 中概股數據資產應用與國家安全風險

本文選取從2020年1月1日到2021年6月30日止，赴美上市的共71家中概股企業為研究對象，其中68家中概股均為在開曼或英屬維京群島注冊、以小紅籌模式境外上市的離岸公司。

首先，對數據應用型中概股進行篩選，包含擁有數據資源和使用數據統合或分析支持經營共54家。需要強調的是，任何企業經營均可能形成各類業務、財務、管理數據并加以分析運用，但此處數據應用型企業特指在《網絡安全法》和《數據安全法》規制內，形成于大數據時代的，包含平臺用戶信息、人口信息、地理信息等關鍵信息基礎設施相關。同時，區分了企業技術支持與數據支持的差別，前者例如以實業產品/服務制造銷售、人工智能研發、服務器管理等為主營業務的企業，所掌握的數據多為商業及技術秘密，不在本文關注范圍內，后者則為利用數據收集與積累進行分析計算，并將之作為成果應用于提供服務，除了需要遵守個人信息隱私保護的規制外，尚有考慮國家安全的必要性。

其中，“用戶數據”包括平臺注冊用戶的個人財務信息、訂單信息、住房信息、健康信息、醫療記錄、生物識別信息、血液樣本信息等來自個體的數據。“超100萬用戶數據”根據企業披露文件中截止最新時間的累積用戶數量計算。“重要數據”與“其他數據”的劃分標準源于對信息安全標準化技術委員會《信息安全技術數據出境安全評估指南（征求意見稿）》對金融、人口健康、電子商務、交通運輸業的企業所掌握的歸類為重要數據，例如保險、地理、腫瘤基因數據等。在企業擁有數據資源的基礎上，細分依靠數據收集與分析進行經營的企業和數據處理成為核心技術產生競爭優勢的企業，兩者的區別在于對數據要素利用程度的不同。如表1。

表1 2020、2021年上市中概股企業數據應用情況

可以發現，近兩年內赴美上市中概股中涉及數據資產的比例高達79%，超百萬用戶數據的運營比例達37%，47%的企業均使用數據資源驅動技術與經營，其中81%的企業將數據分析與測算列為企業核心競爭優勢之一。而且，根據企業披露，至少有87%的數據應用型企業的數據均主要來源于境內。如圖1。

圖1 68家中概股的各行業占比

根據披露文件中關于風險披露和法律法規列示，僅15%數據應用型企業在披露《網絡安全法》的同時提示了國家對關基的監管要求，僅有9%的企業全面揭示了關基運營者的數據跨境風險和對境內數據本土化的規制。如表2。

表2 數據應用型中概股的數據風險披露情況

隨著中概股企業對數據資產應用的程度不斷加深，企業經營對大數據積累下的分析計算依賴漸強，數據及網絡安全風險的重要性也正在凸顯。理論上，中概股境外上市并不涉及直接的數據出境行為，其主要營業地和總部仍設于境內，收集并處理數據的行為也依靠境內服務器進行。但是，中概股的數據風險恰不在于數據本身的直接轉移，而在于其作為離岸注冊公司在境外上市后處于別國證券監管之下存在的安全隱患，如在美國《澄清域外合法使用數據法案》即CLOUD法案賦予美國監管主體的域外資產的審查資格的背景下，數據“本地化”的失靈。中概股迫于別國監管壓力仍可能在數據與服務器不直接轉移的前提下，向境外披露審計底稿、經營信息和數據資產。

根據2015年7月1日通過的《國家安全法》第25條，國家對關基和重要領域信息系統及數據擁有主權。該概念來源于數據是國家，人、事、物在網絡空間中的記錄，應受領土主權管轄的邏輯，系主權國家最高權力在本國數據領域的外化，協調數據跨境流動需求和公共利益安全管控。這使得中概股企業持有的國家級基礎及重要數據與國家安全、公共利益和社會穩定息息相關，而不僅僅局限于個人作為信息產生主體的隱私保護要求，2021年6月10日通過的《數據安全法》更是直接將數據安全提升至國家安全層面。

2 域內外數據跨境流動規制分析

2.1 “隱私導向”與“市場導向”的規制模式

歐盟于1995年的《個人數據保護指令》（EU Directive 95/46 EC）（以下簡稱《指令》）提出了數據向第三國流動的著名認定標準——“充分保護”原則，2018年《通用數據保護條例》（以下簡稱GDPR）將這一標準下的管轄權擴大到向歐盟公民提供服務或在歐盟市場內經營的公司。這代表了對于數據跨境問題基本采取了“隱私導向”的規制模式。但是，中概股視閾下的數據安全問題并不僅僅來自于對個人隱私信息的擔憂，個人數據“充分保護”標準的要求可以解決數據直接跨境中的個人權益問題，卻無法回應我國對“關鍵信息基礎設施運營者”和國家數據安全的關切。

反觀美國，借2004年亞太經合組織APEC的《隱私保護框架》初步確立了促進跨境數據自由流動的主旨。2013年通過的《跨境隱私規則體系》引入隱私執法機構和問責制，形成建立在國際條約上有較強影響力的數據自由流動的市場自律模式。而其與歐盟間的數據跨境協定《安全港協議》和《隱私盾協議》卻二度無效。究其根本，不僅僅是因為兩者在數據保護理念和體系上的差異，更因美國不斷擴張的“國家安全”霸權，借由企業的全球化優勢與歐盟間形成實質單向的數據跨境流動，進而影響歐盟的“技術主權”。

對比美國數據跨境的自由度、市場導向的行業自律模式和對企業組織的問責制執法路徑，我國現行立法中對數據跨境呈現出嚴格限制。但必須澄清的是，我國并未否定數據跨境，而諸如《網絡安全法》《數據安全法》的數據本地化要求和《證券法》對外禁止提供資料要求，是在“關鍵信息基礎設施運營者”概念上提出的，針對的是境外注冊并上市的大型中概股企業。換角度看，美國數據自由市場化的前提也正是其問責制和監管管轄的強力和有效性，然而中概股受制于其自身的VIE結構，實際脫離了營業地國家的法律管轄，是我國無法效仿美式做法的直接理由，也是我國目前正積極建立安全審查執行權的直接原因。

2.2 數據主權下的國家安全審查路徑

數據出境方面，2017年和2019年的個人信息和重要數據出境安全評估二意見稿，正式提出了安全評估辦法，并以“50萬人以上個人信息”“數據量超過1000GB”“核設施、化學生物、國防軍工、人口健康等領域數據”“關鍵信息基礎設施運營者向境外提供”等作為觸發安全評估的條件。同時，對數據跨境可能給“國家政治、經濟、科技、國防”安全帶來風險，影響“國家安全、社會公共利益”的情形作為跨境限制。

此次網絡安全審查則來自于由《網絡安全法》《關鍵信息基礎設施安全保護條例》《網絡安全審查辦法》形成的規制框架。根據法規，關鍵信息基礎設施指“一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益”的重要網絡設施和信息系統，具體包括公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域。以上運營者負有境內收集和產生的個人信息等重要數據的本地化存儲和配合網絡安全審查的義務。其中，針對“用戶數量超100萬”的運營者“赴國外上市”事項，增設網絡安全審查。以樣本數據分析，符合這一特征的中概股達37%，而“國外上市”表述可理解為赴港上市將不屬于此條規制范圍。如表3。

表3 我國中概股數據跨境相關法律規定框架

如果將“良好的數據保護”“跨境數據自由流動”和“數據保護自主權”以三元悖論的架構進行分析，我國目前數據跨境監管的態度正處在保證數據保護自主權的基礎上，在數據保護和自由流動之間，亦即歐盟數據跨境的充分保護和美國的自由流動之間。基于我國融數據安全、經濟安全、文化安全、資源安全等一體的“綜合安全觀”，《數據安全法》明確了“中央國家安全領導機構”對數據安全事宜的主管地位，還明確了“總體國家安全觀”的統領作用。

3 中概股數據跨境風險規制路徑

3.1 中概股域外管轄權基礎

傳統國際法將屬地管轄作為原則，屬人管轄權、保護管轄權和普遍管轄權均歸為“域外管轄權”。歐盟便是在保護、屬人、屬地管轄權混合的法理基礎上確立了數據跨境規制的域外管轄權，GDPR規定對在其境內的數據主體的個人數據處理行為都需要受到該法管轄，即遵循“效果原則”對任何處理歐盟居民信息并提供服務的企業施加個人數據保護法律責任。同樣的，美國CLOUD法案授權美國監管、執法、司法部門通過國內法律程序調取美國公司儲存在境外的數據。以上均為國際上數據立法中業已確立的域外管轄權，為的是在數據治理上確保不輸于別國的話語權。

我國對中概股數據跨境風險問題在國家安全審查的基礎上，可能的構建路徑是以《證券法》第2條第4款和第224條為基礎的保護管轄。《證券法》規定國家對“擾亂境內市場秩序，損害境內投資者合法權益”的境外證券發行和交易活動具有管轄權，結合條款文義亦包含境外發行人股票、存托憑證在境外市場的上市、發行行為。盡管中概股對數據資產的使用處理不在證券法的管轄范圍內，但其赴國外的上市行為卻應當屬于《證券法》規范的證券市場活動。在境內市場秩序或投資者利益的“實質性”影響認定上，由于中概股企業大量經營業務均在境內進行，其在境外的信息披露與受到的審查均將直接影響到境內業務的開展，《證券法》亦未將市場秩序限制于證券市場，仍存在合理解釋的空間。

3.2 域外管轄的行使標準

結合中概股企業的數據持有特征，需要在細節制定時特別注意該類組織的商業性質、經營模式和發展方向。證券法對中概股的管轄權的介入標準可借由安全審查進行，但是如此一來，以靜態的數據持有量、所持數據重要性和企業社會身份的關鍵程度來劃歸的關鍵信息基礎設施運營者也將是靜態的。然而，隨著企業業務的擴張和發展，其重要程度亦在變化。只有搭建柔性靈活的安全審查觸發標準，才足以充分關注到企業成為關基運營者具有過程性。

一方面，《網絡安全審查辦法》修訂征求意見稿中新增要求“超過100萬用戶個人信息”的持有企業赴國外上市需要進行審查，以上市前過百萬用戶作為觸發審查的臨界點。不禁讓人疑惑在上市前未到百萬，卻在上市后進一步發展擁有百萬用戶的企業是否最終應該與前者具有一樣的重要性判斷。因此，用戶數量僅應作為安全審查必要性的考慮因素之一，最起碼需要從企業自有的業務模式和經營目標預測其發展近況，對其所經營的內容進行實質審查。

另一方面，用戶數量的計算宜以企業開展業務收集數據時的來源方，信息主體數量為準。不以“客戶”和“最終用戶”進行是否穿透的劃分，有助于標準統一，否則往往會產生在少量直接客戶和大量最終用戶數據接觸間難以抉擇和評判的困境。行業劃分上，現有關基運營者的界定尚較籠統，初步判斷樣本中概股中約有70%符合關基的行業判斷。未來是否需要以及如何限縮定義建議通過制定《數據安全法》中“重要數據”標準或行業內部識別細則處理。

而非關基運營的數據處理者，同樣需要細化數據處理行為的國家安全審查，以對邊界線處的企業有所重視。例如對以大數據分析挖掘為核心業務技術的企業加強監管，其隨著數據量的累積，亦可能成為潛在的關基運營者。小紅籌模式企業應統一納入基本審查范圍，并以實際控制人的國別身份和國內實體在總資產、營業收入等所占比例判斷。同時，除了區分關基與非關基并施加不同的監管力度外，對于國家級核心或重要數據列為外商投資負面清單也是可行的舉措之一。

4 結束語

中概股的監管空隙由來已久，其中既有國家政策鼓勵企業創新和全球化發展的主動放權，也有監管資源無暇顧及導致對境外上市中國背景公司監管不足的被動擱置。準確了解中概股企業的發展新況是有效監管的前提，隨著數據資源在全球經營企業中的重要性日漸顯著，確立符合我國國情的跨境風險管理與規范是現階段數據安全立法的首要任務。當下相關法規相繼出臺，更不可忽視其規則制定的細致性，并堅實其執法權來源的基礎理論。