赴香港上市过程中的数据出境合规要点_企业
一、赴香港上市过程中主要涉及三种数据出境场景
但由于涉及国家秘密的数据处理活动，统计、档案工作中的数据处理活动以及涉及个人信息的数据处理活动具有其特殊性，《数据安全法》排除涉及国家秘密的数据处理活动的适用，并要求在统计、档案工作中开展数据处理活动及开展涉及个人信息的数据处理活动时既要遵守《数据安全法》，又要遵守《统计法》《档案法》和《个人信息保护法》等法律、行政法规的规定。
基于上述分析并结合《保密和档案管理规定(征求意见稿)》， 可将赴香港上市过程中涉及的主要数据出境活动分为如下三种场景:
(1)境内企业在境外直接发行上市或间接发行上市过程中向境外有关证券公司、证券服务机构披露有关数据;
(2)境外会计师事务所从事境内企业境外发行证券和上市相关审计业务，查看境内企业在境内收集和产生的数据;
二、赴香港上市过程中的数据出境法律要求梳理
在赴香港上市这个特定场景中，除遵守《网络安全法》《数据保护法》《个人信息保护法》《数据出境安全评估办法(征求意见稿)》及《网络数据安全管理条例(征求意见稿)》等法律法规规定的一般性要求外，发行人或境内企业开展数据出境活动还需符合《证券法》《关于依法从严打击证券违法活动的意见》《国务院关于境内企业境外发行证券和上市的管理规定(草案征求意见稿)》与《保密和档案管理规定(征求意见稿)》等法律法规对涉密文件、资料，会计档案及工作底稿等提出的特别要求。
下表梳理了在赴香港上市过程中可能涉及的不同数据类型应遵守的出境要求:
出境要求
(1)CIIO和处理个人信息达到国家网信部门规定数量的个人信息处理者在中国境内收集和产生的个人信息原则上存储在境内，确需向境外提供的，应当通过国家网信部门组织的安全评估;
(2)满足告知和获取单独同意要求;
《个人信息保护法》第三十八条、第三十九条、第四十条
《数据出境安全评估办法(征求意见稿)》
(1) 原则上存储于境内 ;
属于国家所有的档案和对国家和社会具有重要保存价值或者应当保密的档案及其复印件
(1) 原则上存储于境内
属于国家所有的档案和对国家和社会具有重要保存价值或者应当保密的档案及其复印件禁止擅自运送、邮寄、携带出境或者通过互联网传输出境。
(2) 申请批准
前述档案及其复印件确需出境的，按照国家有关规定办理审批手续。
《档案法》第二十二条
涉及国家秘密、机关单位工作秘密的文件、资料
(1) 申请批准及备案
(2) 签署保密协议
证券公司、证券服务机构应当遵守我国保密及档案管理的要求，妥善保管获取的上述文件、资料。
(3) 提供书面说明
证券公司、证券服务机构应当妥善保存上述书面说明以备查。
《保密和档案管理规定(征求意见稿)》
第三条、第五条、第六条
其他泄露后会对国家安全或者公共利益造成不利影响的文件、资料
(1)按照国家有关规定，严格履行相应程序;
(2)签署保密协议;
第三条、第四条、第六条
审计工作底稿和会计档案或复印件
(1) 审计工作底稿应当存放在境内
(2) 境内企业不得向未履行相应程序的境外会计师事务所提供会计档案 。
(3)境内企业向有关证券公司、证券服务机构、境外监管机构等单位和个人提供对国家和社会具有重要保存价值的会计档案或会计档案复制件的， 应当按照国家有关规定履行相应程序 。
《会计师事务所从事中国内地企业境外上市审计业务暂行规定》
第五条、第八条
在境内形成的工作底稿等档案
(1) 以境内存储为原则
跨境监管所需数据
(1) 通过跨境监管合作机制获取
境外证券监督管理机构及有关主管部门提出就境内企业境外发行证券和上市相关活动对境内企业以及为该等企业境外发行证券和上市提供证券服务的证券公司、证券服务机构进行调查取证或开展检查的，应当通过跨境监管合作机制进行，证监会或有关主管部门依据双多边合作机制提供必要的协助。
(2) 在获取批准后方可向境外提供与证券业务活动有关的文件和资料
境内有关企业、证券公司和证券服务机构，在配合境外证券监督管理机构或境外有关主管部门调查、检查或提供文件资料前，应当事先向证监会或有关主管部门报告。
三、建议开展数据分类分级工作，制定数据出境计划并完善保密和档案管理制度
因此， 建议发行人或境内企业采取如下措施防范在赴香港上市过程中的数据出境风险:
(一) 开展数据分类分级工作
(二) 制定数据出境计划并与境外接收方签署保密协议
(三) 履行相应数据出境程序
如前表所梳理，我国法律对不同类型的数据提出了申请审批、进行备案或通过安全评估等多项前置性要求。
(四) 完善保密和档案管理规章制度
《保密和档案管理规定(征求意见稿)》更是进一步细化境内企业境外发行证券和上市相关保密和档案管理要求。
四、落实安全评估、网络安全审查及数据安全审查要求
根据《境内企业境外发行证券和上市备案管理办法(征求意见稿)》第五条，境内企业境外直接或间接发行上市的，发行人或发行人指定的一家主要境内运营实体应当在发行人在境外提交首次公开发行上市申请文件后3个工作日内，向中国证监会提交备案材料，其中包括有关部门出具的安全评估审查意见(如适用)。
安全评估制度是我国数据出境制度的重要组成部分，前有《网络安全法》《数据安全法》《个人信息保护法》接连明确重要数据和个人信息出境的安全评估要求，后有《个人信息和重要数据出境安全评估办法(征求意见稿)》《个人信息出境安全评估办法(征求意见稿)》《数据出境安全评估办法(征求意见稿)》《网络数据安全管理条例(征求意见稿)》不断探索数据出境安全评估制度建设。
数据出境安全评估不同于网络安全审查或数据安全审查。
此外，《数据安全法》第二十四条规定国家对影响或可能影响国家安全的数据处理活动进行国家安全审查，依法作出的安全审查决定为最终决定。