日韩中文在线中文网三级,日韩欧美精品免费,欧美成年人视频网站欧美

背景

數據跨境新規的頒布，是主管機構在秉持創新與治理雙輪驅動、安全與發展良性互動監管方向上的向前一步，體現了切實呼應高水平對外開放的決心，利好外商對華投資、私募股權投資、境內企業出海投資等各類境內外投資項目。

2024年3月22日，國家互聯網信息辦公室（“網信辦”）發布《促進和規范數據跨境流動規定》，同時配套發布了《數據出境安全評估申報指南（第二版）》《個人信息出境標準合同備案指南（第二版）》（合稱“數據跨境新規”“規定”或“新規”）。

本文第一部分介紹《促進和規范數據跨境流動規定》的核心內容。第二部分介紹規定對外商直接投資項目的影響。第三部分介紹規定對私募股權投資或并購項目的影響。第四部分介紹規定對境內企業“走出去”進行海外投資布局的影響。

一、新規核心內容速覽

《促進和規范數據跨境流動規定》實質性地簡化了企業數據出境的行政側合規程序，呼應了國家數據局等部門于2023年12月發布的《“數據要素×”三年行動計劃（2024—2026年）》提出的“開放融合，安全有序”原則，為數據實現有序跨境流動提供制度框架上的依據和保障。

為使讀者就《促進和規范數據跨境流動規定》內容具有總體性的了解，以更好地開展后續對境內外投資項目的分析，我們就《促進和規范數據跨境流動規定》簡要梳理如下。為閱讀便利，以下將數據出境安全評估和個人信息出境標準合同備案統稱為“數據跨境合規申報”。

數據跨境新規-1.png

以上總結可以看出：

● 新規明確規定了若干不需要開展數據跨境合規申報的場景。

● 新規顯著提高了需要進行數據跨境合規申報的門檻，實質性地減少了需要進行申報的情形。

● 新規明確強調了自貿區可以有自己先行先試的政策，其中的負面清單制度，可能進一步利好外商對華投資，從而影響部分行業和業務的外商對華投資的區域選擇。

以上三個特征，整體利好境內外各類投資項目，緩釋了這些投資項目中對數據跨境因素以及相伴的監管申報風險的考量。

二、新規對外商直接投資項目的影響

（一）外商投資項目落地后的個人信息出境更加便捷

作為商業活動，外商投資決策評估以經濟利益為目標、以商業分析為支點。但是，境外投資者在進行投資項目落地的評估過程中，也特別關注合規成本和后續數據傳輸布局的便利性。

例如，境外投資者（特別是產業、實業投資者）重點關注IT物理設備的選址、系統部署、數據中心和云服務選擇以及數據流轉關系。在此過程中，除關注物理設備、系統、云服務等采購成本外，數據流轉方式以及涉及重要數據、個人信息的出境機制的便利性，也是重要的考量因素。特別是，大量外商投資項目在落地后，由于在中國本土設點，本土所設公司的人力資源信息、客戶信息、合作伙伴信息以及部分或全部業務信息，在很多情況下確實有必要傳輸給境外，所以境外投資者特別關注此類信息向境外傳輸的合規要求，是否便利，合規成本是否過高。

根據《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》（“《個人信息保護法》”）及其配套規定和要求，外商投資項目落地后，在本土所設企業若涉及重要數據或個人信息出境的，應當根據相關法律法規的要求進行數據出境安全評估，簽訂個人信息出境標準合同并備案，或進行個人信息保護認證（含出境）。

其中，尤其是個人信息出境標準合同備案，此前觸發備案的門檻極低。根據《個人信息出境標準合同辦法》第四條的規定，任何向境外傳輸個人信息的行為均可能觸發簽訂標準合同的義務，無論傳輸個人信息的數量和敏感程度。

但實踐中，對于外商投資企業，基于公司業務管理和人力資源管理往往需要將相關個人信息傳輸出境，例如：

● 公司業務管理：作為外商投資企業，其業務自身往往與境外產生諸多關聯，在經營管理的過程中，不可避免的會將業務聯系人、供應商合作伙伴聯系人等少量個人信息進行出境。

● 人力資源管理：境外投資者在境內設點后，對于招聘的員工，往往有全球統一管理的需求，其中特別是對于員工總體福利的保持和特定福利事項的采購、一定層級以上員工晉升的考核、部分違紀員工的調查等事項涉及的員工信息，往往確實需要傳輸到境外（例如總部），進行全球協調。

● IT系統全球部署：境外投資者在向中國投資前，往往已經在境外統一布置中心化服務器和管理系統，以對全球業務信息和人力資源信息進行統一管理；因此，大量的外商投資企業均客觀上需要因為全球統一IT系統部署而將境內相當數量的信息傳輸到境外。對一些公司而言，由于IT結構的設計原因，導致單獨在中國境內設立全套單獨的服務器和系統可能要花費極長的時間或者需要極高的成本。

在新規頒布之前，由于不存在任何豁免性條款，導致相當大部分外商投資企業需要履行數據跨境合規申報義務。特別是對于相當一部分傳輸數量很少（有的甚至只有幾名或十幾名員工的個人信息）的外商投資企業，該等義務的履行成為比較重的負擔。基于上述理由，《促進和規范數據跨境流動規定》的頒布對于外商投資企業而言可謂“重大利好”，特別是對于部分行業的外商投資企業來說，整體免除了申報義務。

1. 外商投資企業向境外傳輸個人信息的最主要場景之一是人力資源管理，有機會豁免申報義務

根據《促進和規范數據跨境流動規定》第5條第2款提及，如果外商投資企業“按照依法制定的勞動規章制度和依法簽訂的集體合同實施跨境人力資源管理，確需向境外提供員工個人信息的”，可豁免數據跨境合規申報義務。

不過應當注意，《促進和規范數據跨境流動規定》第5條第2款的豁免前提是“按照依法制定的勞動規章制度和依法簽訂的集體合同實施跨境人力資源管理”，因此外商投資企業應當根據相關法規要求，制定勞動規章制度或簽署集體合同，才符合《促進和規范數據跨境流動規定》規定的豁免條件。

2. 履行數據跨境合規申報義務的數據量門檻大幅提高

從傳輸個人信息數量角度而言，新規大幅提高了需要履行數據跨境合規申報義務的門檻。

對于不涉及敏感個人信息的跨境傳輸行為，新規已經將個人信息出境標準合同備案的門檻提高至自當年1月1日起累計超過10萬人，對于傳輸不滿10萬人信息的外商投資企業豁免個人信息出境標準合同備案義務。同時，如果外商投資企業自當年1月1日起，個人信息跨境傳輸數量累計超過100萬人，才會觸發數據出境安全評估義務。

上述規定與原先的規定相比，大幅提升了門檻。從實務操作角度而言，除天然服務大量個人，且由于技術、服務、行業等特殊原因很可能必需有海量個人信息出境的外商投資企業（例如汽車行業的企業）以外，其他大部分外商投資企業的每年個人信息出境數量一般不會超過10萬人，超過100萬人的情況則更為罕見。因此，對于絕大部分外商投資企業而言，該等觸發門檻大大減輕了數據出境的合規申報義務。

鑒于此，在外商投資項目論證過程中，外國投資者僅需大致估算可能需要出境的個人信息主體人數，且相對容易得出合規成本評估結論。結合上述行業豁免和數量門檻，外商投資企業一般不會輕易達到個人信息出境標準合同備案或者申報數據出境安全評估的門檻。

3. 部分行業的外商投資企業明確不需要履行申報義務

從行業角度而言，部分行業天然性的無需根據《個人信息保護法》第38條的規定履行數據跨境合規申報義務。

例如，《促進和規范數據跨境流動規定》第5條第1款規定，在個人信息主體作為簽署合同的一方的前提下，如果外商投資企業涉及“跨境購物、跨境寄遞、跨境匯款、跨境支付、跨境開戶、機票酒店預訂、簽證辦理、考試服務”等業務場景，上述場景不需要根據《個人信息保護法》第38條規定履行數據跨境合規申報義務。

實踐中，這些例外明確涵蓋了一部分具有數據跨境“剛需”的行業。例如境外考試機構在中國設點并舉辦考試，考試結果和對應的個人信息必需傳輸到境外，否則沒有辦法對應具體個人進行評估、打分、頒布考試結果。例如相當一部分跨境支付企業，跨境電商企業，由于境內用戶的需求就是跨境付款、跨境購物，所以有關的個人信息不可避免需要傳輸出境，用于清分結算或者物流運輸，否則境內用戶的合同目的根本無法完成。這些行業，相對明確地可以適用新規規定的例外，大幅度減輕申報義務。

（二）外商投資項目中的“重要數據”認定顧慮有望消除

在一些外商投資項目中，部分外商投資企業可能涉及處理重要數據的行為或者和相關重要數據處理者開展商業合作從而觸及重要數據的情形。對于重要數據處理活動，《促進和規范數據跨境流動規定》并未對進行數據安全評估的要求進行放松。因此，如果外商投資企業跨境傳輸重要數據，依舊需要履行數據出境安全評估的義務。

但是，《促進和規范數據跨境流動規定》對于重要數據的認定予以了明確界定，即“只要未被相關部門、地區告知或者公開發布為重要數據的，數據處理者不需要作為重要數據申報數據出境安全評估”。

目前，僅有汽車等少數行業對于重要數據的定義提供了一定程度的行業性規定（但依舊不甚明確）。大部分行業和地區，沒有專門頒布過重要數據目錄或認定規則。對于外商投資企業，如果其監管相關部門、所在地區或所屬行業未頒布相關的重要數據目錄或認定規則，則其就跨境申報義務來說，無需考慮相關數據是否涉及重要數據的問題，因此無需顧慮是否因為可能涉及重要數據而需要進行數據出境安全評估。

該等事項的處理機制與關鍵信息基礎設施運營者的法定要求類似。從《中華人民共和國網絡安全法》的角度而言，關鍵信息基礎設施運營者的概念比較模糊；但實踐中，僅有在被相關監管部門正式通知的情況下，企業才會被認定為關鍵信息基礎設施運營者。因此，大量企業一般而言不需要實質性擔心其是否需要履行關鍵信息基礎設施運營者的數據跨境申報義務。

另外，在實踐中，部分地方自貿區已經對重要數據目錄進行探索和實踐。例如，上海臨港新片區已經頒布《臨港新片區數據跨境流動分類分級管理辦法（試行）》，旨在做好跨境數據的分類管理，并盡快明確“核心數據”“重要數據”“一般數據”的界定范圍；該片區有望結合《工業和信息化領域數據安全管理辦法（試行）》盡快形成一批地方性的重要數據目錄，指導可能涉及重要數據的企業進行重要數據申報。

同時，部分外商投資企業出于全球數據統一管理的考量，也嘗試在我國一些自貿區內設立了數字業務公司，以期一定程度上獲得自貿區的數據業務和數據跨境傳輸便利性紅利。上述實踐操作亦體現了我國進一步擴大高水平對外開放、鼓勵自貿區先行先試的重要意義。

（三）敏感個人信息出境的嚴格把控

根據《促進和規范數據跨境流動規定》第8條，除了上述規定完全豁免的個人信息出境場景外，外商投資企業如果涉及敏感個人信息跨境傳輸，且從當年1月1日起跨境傳輸不到1萬人的，應當進行個人信息出境標準合同備案；如果從當年1月1日起出境數量超過1萬人的，則應當進行數據出境安全評估。

某些特定行業，企業必需（或者很容易涉及）處理敏感個人信息，例如醫療、基因企業，往往涉及個人健康生理信息；例如金融行業，往往涉及個人賬號信息等個人金融信息，甚至用于識別驗證身份的個人生物識別信息；例如汽車行業、出行行業和智能網聯汽車業務，可能涉及到行蹤軌跡等敏感個人信息。對于上述行業的外商投資項目決策，應當對敏感個人信息跨境事項予以特別關注。

即使從敏感個人信息傳輸管理來看，新規也已經降低了部分要求。原《數據出境安全評估辦法》第4條規定，自上一年1月1日起，累計跨境傳輸敏感個人信息達到1萬人的，應當進行數據出境安全評估。而新規將計算起始點改為自本年度1月1日起，累計向境外提供1萬人以上敏感個人信息。相比而言，在時間維度上，監管要求的門檻已經有顯著降低。

值得注意的是，部分企業可能會因此促生和開展對敏感個人信息傳輸出境前的處理工作，比如更多采取本地化存儲、避免跨境傳輸，比如盡量進行匿名化處理等形式。

此外，在《促進和規范數據跨境流動規定》頒布前夕，《數據安全技術數據分類分級規則》提供的“附錄H：一般數據分級參考”當中，對于去標識化的敏感個人信息，其數據分級標準也有所降低，甚至達到一般個人信息的分級程度。因此，外商投資企業可以考慮采取更大力度的去標識化等技術措施，以爭取在一定情況下將敏感個人信息的性質變為一般個人信息，以避免因傳輸大量敏感個人信息而觸發相關個人信息出境申報機制門檻的情形。

三、新規對私募股權投資或并購項目的影響

（一）新規發布前投資并購項目就數據跨境申報的實踐處理

如上文所述，在新規發布前，數據跨境傳輸場景下的合規申報義務適用范圍較為寬泛，且存在模糊地帶。可能導致海量場景都需要進行數據跨境合規申報。因此，大量股權投資或并購項目中的標的公司（即數據處理者），一旦涉及數據跨境，則普遍存在需要開展數據跨境合規申報的現象，但難以準確把握自身是否有重要數據出境、該適用何種數據出境渠道的問題。

與前述合規義務適用不確定性相對的，是數據跨境合規申報程序對投資并購項目時間表確實可能產生很實質的影響，如影響交易確定性，甚至于交易意愿。僅從規則層面來看、不考慮申報材料準備所需時間的情況下，個人信息標準合同備案審查期限為15個工作日，如要求補充材料的，申請人應當在10個工作日內補充完成。數據出境安全評估的持續時間則更久，一般在57個工作日以內完成，但如果國家網信部門認為需要補充材料或情況復雜的，可以延長。根據筆者辦理的多項數據出境安全評估項目和個人信息標準合同備案項目，實際所花時間遠長于上述時間。

這對上述難點，在新規發布前，一些投資并購項目實踐中已對交易推進安排和條款機制作出了針對性的處理。在部分投資并購項目中，尤其是業務上存在數據跨境客觀需求的標的公司項目（如需向位于境外的研發設計中心、測試實驗中心傳輸數據，需向位于境外的關聯公司傳輸員工或客戶個人信息進行分析處理，需向境外的供應商、客戶傳輸數據完成交付等），投資方可能會視個案談判情勢，考慮：

1. 將完成數據跨境合規申報義務作為項目交割的前提條件之一；如預期難以在短時間內履行完畢該等義務、業務側項目落地需求迫切的，且存在投資方的多筆付款安排的，則考慮將完成數據跨境合規申報義務作為投資方支付第二筆、第三筆等非首筆款項的先決條件。該等處理常見于標的公司所屬行業、處理的數據字段較為敏感，處理數據量級較大或適用的數據合規出境渠道明確的投資并購項目。

2. 將完成數據跨境合規申報義務作為標的公司的交割后承諾之一。即，標的公司與投資方預計，在項目預期的時間表下，等到標的公司完成全部數據跨境合規申報工作再交割的決策可能無法滿足市場發展或企業融資需求。投資方可能要求標的公司承諾，其將在給定的合理時限內，恰當落實數據跨境合規申報義務，并承擔未能按時履行該等義務或在此期間被主管部門監察、受到處罰時的合同責任。該等處理常見于標的公司所屬行業、處理的數據字段敏感程度有限，處理數據量級較小，或適用的數據合規出境渠道尚不明確的投資并購項目。

（二）新規發布后投資并購項目就數據跨境申報的選項

新規發布后，銜接了《個人信息保護法》第三十八條的兜底性規定“國家網信部門規定的其他條件”，實質性限縮了需要開展數據跨境合規申報的范圍，并通過厘清“重要數據”概念邊界，明確了對投資并購項目時間表影響最為顯著、實踐中申報難度最大的合規渠道——數據出境安全評估的適用范圍。該部分內容前文均有涉及，此處不再贅述。

基于新規，我們預計，數據跨境場景下的合規申報義務給投資并購項目帶來的不確定性將顯著降低。一方面，投資或并購項目的時間表將更加明確，交易進程推進受限的行政性程序可能減少；各方就數據合規專項條款的應用和談判有望減少。

如前所述，新規明確規定部分場景（例如合同履行所必需、跨境人力資源管理、保護人身財產安全以及非關鍵基礎設施運營者少量非敏感個人信息跨境情況）不需要進行申報，實質上免除了一部分存在業務性、日常性、非敏感、低量級數據出境的標的公司的合規義務。

相應的，在交易文件中通過交割先決條件、交割后承諾等機制，要求標的公司在落實數據跨境合規申報義務后才能獲得融資，或應當在一定時間內履行申報義務的條款設置必要性顯著降低。

另一方面，由于數據跨境合規申報義務豁免機制的存在，相關投資或并購項目的標的公司需要論證，投資人也需要判斷，標的公司涉及的數據處理情形是否確實落入豁免范疇；這可能引發新的交易條款談判。

例如，如果標的公司主張自身不需要履行數據跨境合規申報義務，則投資人可能考慮在交易文件條款上做特別處理；如：

1. 要求標的公司在交易文件中作出陳述和保證，例如，明確聲明標的公司于交割日前開展的數據跨境傳輸行為不需要開展個人信息出境標準合同備案，個人信息保護認證工作，或數據出境安全評估。

2. 要求標的公司在交易文件中作出適當承諾，例如，明確承諾其將在被任何主管部門或適用規范性文件要求就數據跨境行為開展數據跨境合規申報時，應當在投資人給定或者相關規定性文件要求的時間內（以更早到期的時間為準），落實相關義務。

（三）新規對投資并購項目中數據跨境盡職調查核查要點的影響

投資并購項目中，數據合規盡職調查在數據跨境方面的核查要點需要根據新規的要求進行更新。

舉例而言，在新規發布前，投資人往往關注標的公司是否本身屬于處理（而非向境外傳輸）達100萬人以上個人信息的處理者。新規發布后，標的公司自身處理的個人信息體量已經不再作為數據跨境領域的核查要點（當然，其可能仍在其他數據合規領域下被關注，如掌握超過100萬用戶個人信息的網絡平臺運營者赴國外上市，必須申報網絡安全審查）。

相對的，標的公司注冊地址應當引起項目參與方的注意。如標的公司注冊于自由貿易試驗區內，且相關自由貿易區對于數據跨境已經制定有數據負面清單，則應當進一步參考負面清單提出的細化合規要求。

我們也就新規發布前后，數據跨境領域盡職調查核查維度變化情況整理如下：

（四）新規對上市節點數據合規監管關注要點的影響

新規發布前，作為近幾年數據合規領域的熱點，標的公司往往需要在上市階段，就是否涉及數據跨境傳輸、是否已經辦結適用的數據跨境合規申報程序進行說明或應答問詢。

新規發布后，更多的擬上市企業，在情況可能適用的情況下，往往有更大動力論證自身屬于《促進和規范數據跨境流動規定》規定的、免于開展數據跨境合規申報的情況，上市主管部門在該領域的合規關注點可能發生變化：

1. 上市監管部門可能會關注，主張免于開展數據跨境合規申報的擬上市企業，其就數據處理活動情況作出的說明是否確實符合《促進和規范數據跨境流動規定》的豁免規定。同時，“形式性申報”的可行性及其作用也值得投資并購項目各方關注。即，擬上市企業在對自身是否需要開展個人信息標準合同備案或數據出境安全評估等作出初步判斷后，形式上，是否可以考慮向所在地省級網信部門發送情況說明郵件或提交材料或訪談咨詢，從而獲得相關主管部門確認擬上市企業不需要開展相關申報的回復。該等“形式性申報”是否可能得到主管部門的書面/口頭回復，是否會被擬上市企業納入上市文件用以佐證自身免于開展申報工作的合規性，有待進一步觀察實操處理。

2. 在確認不適用數據跨境合規申報義務后，上市監管部門可能會對擬上市企業是否落實個人信息跨境其他配套合規義務作出關注。新規指出，數據處理者向境外提供個人信息的，應當按照法律、行政法規的規定履行告知、取得個人單獨同意、進行個人信息保護影響評估等義務。我們理解，新規出臺，并不會實質性削弱數據跨境在數據合規領域的關注度以及監管力度。但是，在更為外化的行政性申報義務適用性降低后，上市監管部門可能會更實質性的關注，擬上市企業是否恰當落實跨境傳輸個人信息其他配套通用的合規要求。

綜上，考慮到企業上市確實是投資方或并購方最關注的退出渠道或階段性重要目標之一，建議投資方對于標的公司，尤其是處于Pre-IPO輪次的標的公司開展預先溝通，就標的公司是否涉及數據跨境傳輸、數據跨境是否需要開展行政性申報進行摸底。如標的公司涉及開展行政性申報工作的，宜提示標的公司盡早準備材料，并預估該等申報流程對于上市時間表的可能影響；如認為標的公司不需要開展數據跨境合規申報的，則宜關注實踐中成功上市企業對于自身不需要開展評估、認證或備案工作的論述邏輯，并盡早和標的公司律師溝通開展“形式性申報”的必要性與可行性。

四、新規對中企出海項目的影響

（一）數據跨境布局更為靈活

中國企業在出海時，由于業務管理和人力資源管理的需求，有相當一部分境內的員工個人信息、合作伙伴個人信息、業務聯系人個人信息需要傳輸到境外。典型如員工外派、境內外供應商和合作伙伴信息打通等。

在新規頒布以前，個人信息跨境傳輸的合規義務對于中國企業而言，帶來的負擔相對較重。由于新規的頒布，中國企業出海時，員工個人信息出境事項可以考慮適用不滿足“當年1月1日起累計向境外提供10萬人以上”從而豁免合同備案（前提是沒有敏感個人信息），或者考慮適用履行人力資源管理所必須這一條豁免規定。

需要特別注意的是，對于汽車、醫療、金融等特別行業，鑒于其所屬行業可能涉及大量敏感個人信息的處理活動，因此中國出海企業若涉及未被豁免的個人信息出境情形，則應當及時根據新規的要求進行數據跨境合規申報，或者對擬出境的信息進行去標識化或盡量進行匿名化處理。

（二）一般數據跨境流動更為便捷

此前，中國企業在進行出海投資時，由于重要數據定義的模糊以及具體重要數據目錄的空白，對于重要數據的定義和是否因此觸發數據出境安全評估，往往存在判斷的困難。在新規頒布后，結合其第2條規定，如果相關數據未被監管部門明確列為重要數據的，則中國出海企業無需將上述數據作為重要數據申報數據出境安全評估。

該條規定將大大促進一般數據的流動，也將提升中國企業海外業務擴張、投資過程中，進行決策、判斷不需要進行數據出境安全評估的確定性。

但是，出海企業也需要關注，在明確重要數據監管邊界和定義的同時，重要數據目錄的制定將在未來作為監管部門和行業主管機關的重要工作，因此中國出海企業應當緊跟不同部門重要數據目錄出臺動向，對出境數據及時進行識別，及時發現可能需要進行數據出境安全評估的情況。

結語

海問在大量外商投資、私募股權投資、中國企業出海投資項目中，提供數據合規整體服務，其中特別是包括協助與數據出境有關的分析和備案、申報工作。我們密切關注立法和執法動態，為項目參與方設計切實可行的方案與結構，解決復雜場景面臨的問題。

作者信息

傅鵬

私募股權投資，知識產權，數據合規與網絡安全

在线观看一区二区三区三州_日韩精品免费播放_日韩中文娱乐网_日韩欧美一区二

數據跨境新規對境內外投資項目的影響