赴香港上市企业的网络安全和数据合规能力已成为联交所关注重点，数据出境合规正是其中的重要一环。通常来说，境内企业赴港上市过程中的数据出境情形包括向境外的证券公司、证券服务机构或监管机关提供文件或资料或境外机构访问境内企业存储在境内的数据等。目前，我国对于境内企业境外发行的数据安全管理趋严，《关于依法从严打击证券违法活动的意见》要求完善有关数据安全、跨境数据流动和涉密信息管理的法律法规，建议修改关于加强境外证券发行上市保密和档案管理的规定，压实境外上市公司信息安全责任，加强跨境信息提供机制与流程的规范管理。《国务院关于境内企业境外发行证券和上市的管理规定（草案征求意见稿）》将境内企业境外直接和间接发行上市纳入统一监管，要求建立健全保密制度，境内企业境外发行上市涉及向境外提供个人信息和重要数据的，应当符合国家法律法规和有关规定。《关于加强境内企业境外发行证券和上市相关保密和档案管理工作的规定（征求意见稿）》（下称“《保密和档案管理规定（征求意见稿）》”）衔接前述规定，进一步为境内企业境外发行上市活动在保密和档案管理和向境外提供方面提供更清晰明确的指引。

一赴香港上市过程中主要涉及三种数据出境场景

《数据安全法》将数据定义为任何以电子或者其他方式对信息的记录，同时该法第五十三条规定，开展涉及国家秘密的数据处理活动，适用《保守国家秘密法》等法律、行政法规的规定。在统计、档案工作中开展数据处理活动，开展涉及个人信息的数据处理活动，还应当遵守有关法律、行政法规的规定。可见《数据安全法》所界定的数据涵盖的范围非常广泛，包括重要数据、档案、国家秘密和个人信息等以电子或其他方式对信息的记录。但由于涉及国家秘密的数据处理活动，统计、档案工作中的数据处理活动以及涉及个人信息的数据处理活动具有其特殊性，《数据安全法》排除涉及国家秘密的数据处理活动的适用，并要求在统计、档案工作中开展数据处理活动及开展涉及个人信息的数据处理活动时既要遵守《数据安全法》，又要遵守《统计法》《档案法》和《个人信息保护法》等法律、行政法规的规定。

基于上述分析并结合《保密和档案管理规定（征求意见稿）》，可将赴香港上市过程中涉及的主要数据出境活动分为如下三种场景：

（1）境内企业在境外直接发行上市或间接发行上市过程中向境外有关证券公司、证券服务机构披露有关数据；

（2）境外会计师事务所从事境内企业境外发行证券和上市相关审计业务，查看境内企业在境内收集和产生的数据；

（3）境内企业申请境外发行上市过程中及上市后履行披露义务并接受监管，向境外监管机关提供有关数据。

二赴香港上市过程中的数据出境法律要求梳理

在赴香港上市这个特定场景中，除遵守《网络安全法》《数据保护法》《个人信息保护法》《数据出境安全评估办法（征求意见稿）》及《网络数据安全管理条例（征求意见稿）》等法律法规规定的一般性要求外，发行人或境内企业开展数据出境活动还需符合《证券法》《关于依法从严打击证券违法活动的意见》《国务院关于境内企业境外发行证券和上市的管理规定（草案征求意见稿）》与《保密和档案管理规定（征求意见稿）》等法律法规对涉密文件、资料，会计档案及工作底稿等提出的特别要求。下表梳理了在赴香港上市过程中可能涉及的不同数据类型应遵守的出境要求：

三建议开展数据分类分级工作，制定数据出境计划并完善保密和档案管理制度

如证监会在《保密和档案管理规定（征求意见稿）》答记者问中所言，该稿的修订旨在进一步加强境内企业境外发行上市相关保密和档案管理工作，明确上市公司信息安全责任，维护国家信息安全，减少不必要的涉密敏感信息进入工作底稿。因此，建议发行人或境内企业采取如下措施防范在赴香港上市过程中的数据出境风险：

（一）开展数据分类分级工作

数据分类分级工作是落实数据安全管理义务的第一步，在开展数据出境活动时亦不例外。只有先识别数据的类型和风险等级，才能有的放矢地落实不同数据的各项出境要求。

（二）制定数据出境计划并与境外接收方签署保密协议

在识别并区分各类数据后，建议境内企业根据不同数据的涉密等级和泄露所可能带来的国家安全或公共利益的不利影响梳理具有提供和披露必要性的数据，并结合不同数据的出境要求制定数据出境计划，尽量避免涉密、涉安资料、重要档案、重要数据及大量个人信息等数据出境。

在确定数据出境计划后，建议境内企业与相应境外接收方签署保密协议或数据保护协议，明确各方的保密及数据安全管理义务，保障数据出境过程中及出境后的数据安全。

（三）履行相应数据出境程序

如前表所梳理，我国法律对不同类型的数据提出了申请审批、进行备案或通过安全评估等多项前置性要求。对于必须向境外提供的数据，建议发行人将相应数据出境程序的履行纳入上市时间表，提前准备无法通过相应程序的应对方案。

（四）完善保密和档案管理规章制度

证监会发布的《【2019年更新】股份有限公司境外公开募集股份及上市（包括增发）审核关注要点》将“发行人及各下属公司是否建立健全了完备、规范的保密和档案规章制度并落实到位”列为证监会的审核关注要点。《保密和档案管理规定（征求意见稿）》更是进一步细化境内企业境外发行证券和上市相关保密和档案管理要求。由于涉密数据、档案与一般数据在保密要求、处理目的和处理方式等方面存在较大不同，建议境内企业在建立通用数据安全管理制度的基础上，进一步建立健全保密和档案规章管理制度。

四落实安全评估、网络安全审查及数据安全审查要求

根据《境内企业境外发行证券和上市备案管理办法（征求意见稿）》第五条，境内企业境外直接或间接发行上市的，发行人或发行人指定的一家主要境内运营实体应当在发行人在境外提交首次公开发行上市申请文件后3个工作日内，向中国证监会提交备案材料，其中包括有关部门出具的安全评估审查意见（如适用）。这意味着若赴香港上市行为落入数据出境安全评估或网络安全审查、数据安全审查的适用范围之内，相应的安全评估和审查意见亦可能影响上市进程。

安全评估制度是我国数据出境制度的重要组成部分，前有《网络安全法》《数据安全法》《个人信息保护法》接连明确重要数据和个人信息出境的安全评估要求，后有《个人信息和重要数据出境安全评估办法（征求意见稿）》《个人信息出境安全评估办法（征求意见稿）》《数据出境安全评估办法（征求意见稿）》《网络数据安全管理条例（征求意见稿）》不断探索数据出境安全评估制度建设。境内企业赴香港上市的，需考虑是否存在应申请安全评估的数据出境活动。鉴于目前该项制度的具体操作有待进一步细化，建议发行人可预先开展自评估，对存在较高风险的数据出境活动及时准备应对方案。

数据出境安全评估不同于网络安全审查或数据安全审查。在之前分享的《〈网络安全审查办法〉对赴香港上市企业的影响》一文中，我们分析了赴香港上市的非CIIO一般无需主动申报网络安全审查，但也同时提示仍存在被动网络安全审查的可能性。发行人是否适用网络安全审查也是证监会的关注点之一，比如在2021年圆心科技和珠海万达赴香港上市案例中，证监会国际部即要求补充说明是否适用网络安全审查。

此外，《数据安全法》第二十四条规定国家对影响或可能影响国家安全的数据处理活动进行国家安全审查，依法作出的安全审查决定为最终决定。当数据出境行为存在影响或可能影响国家安全的风险时，境内企业还可能被启动数据安全审查。

往期精彩回顾：（点击文字内容可直接跳转页面）

港股IPO系列｜《网络安全审查办法》对赴香港上市企业的影响

作者：吴丹君律师团队

来源：微信公众号“大数据法律研究”