(網(wǎng)經(jīng)社訊)在《網(wǎng)絡(luò)安全審查辦法》修訂稿正式發(fā)布的當(dāng)天，小貝說(shuō)安全總結(jié)了文件的幾個(gè)結(jié)論，提出了自己的認(rèn)識(shí)。鑒于這項(xiàng)制度影響深遠(yuǎn)，有必要對(duì)這些認(rèn)識(shí)進(jìn)一步展開(kāi)。
一、關(guān)于對(duì)香港上市的要求，不需要主動(dòng)申報(bào)審查，但不等于不審查
2020年以來(lái)，美國(guó)證券交易委員會(huì)（SEC）對(duì)中概股提出嚴(yán)格要求，中企赴美上市風(fēng)云突變；2021年7月，“滴滴”事件中，國(guó)家網(wǎng)絡(luò)安全審查之劍直指赴美上市的三家中國(guó)企業(yè)；同期，《辦法》征求意見(jiàn)稿明確指出，赴“國(guó)外”上市的國(guó)內(nèi)企業(yè)要接受網(wǎng)絡(luò)安全審查。這一度刺激了國(guó)內(nèi)企業(yè)轉(zhuǎn)而赴港上市的意愿。但2021年11月，《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》（以下簡(jiǎn)稱《條例》）征求意見(jiàn)稿第十三條又規(guī)定，數(shù)據(jù)處理者赴香港上市，影響或者可能影響國(guó)家安全的，也應(yīng)當(dāng)進(jìn)行網(wǎng)絡(luò)安全審查，這一情況使一大批擬赴港上市企業(yè)停下觀望。
應(yīng)該說(shuō)，前述的政策動(dòng)態(tài)，特別是不同時(shí)期征求意見(jiàn)稿的不同表述，本身是政策研究起草中的正?，F(xiàn)象，但確實(shí)會(huì)使很多企業(yè)有所擔(dān)心。而香港聯(lián)交所也注意到了內(nèi)地的政策動(dòng)態(tài)，多次要求境內(nèi)企業(yè)出具權(quán)威數(shù)據(jù)安全背書，這也加重了企業(yè)的焦慮。
如今政策已經(jīng)十分明朗——未對(duì)赴港上市企業(yè)提出主動(dòng)申報(bào)網(wǎng)絡(luò)安全審查的要求。
《辦法》與前不久由證監(jiān)會(huì)征求意見(jiàn)的《境內(nèi)企業(yè)境外發(fā)行證券和上市備案管理辦法》是一致的?！毒硟?nèi)企業(yè)境外發(fā)行證券和上市備案管理辦法》第五條指出，發(fā)行人應(yīng)當(dāng)向證監(jiān)會(huì)提交備案材料，包括有關(guān)部門出具的安全評(píng)估審查意見(jiàn)（如適用）。顯然，“如適用”這種表述，本身就是考慮到了并非所有赴境外上市企業(yè)都需要申報(bào)網(wǎng)絡(luò)安全審查的情況。即，赴美上市在達(dá)到一定條件時(shí)需要申報(bào)網(wǎng)絡(luò)安全審查，赴港上市不用申報(bào)網(wǎng)絡(luò)安全審查。
但是，必須強(qiáng)調(diào)另外一點(diǎn)：所謂的赴港上市不用申報(bào)網(wǎng)絡(luò)安全審查，是指企業(yè)在赴港上市時(shí)不需要主動(dòng)申報(bào)網(wǎng)絡(luò)安全審查，而不意味著不會(huì)受到網(wǎng)絡(luò)安全審查，因?yàn)榫W(wǎng)絡(luò)安全審查機(jī)制成員單位可以提請(qǐng)對(duì)企業(yè)進(jìn)行審查。為此，建議企業(yè)依然要主動(dòng)判斷赴香港上市是否會(huì)影響國(guó)家安全。
而且，《辦法》的發(fā)布也不意味著企業(yè)可以不履行數(shù)據(jù)安全義務(wù)和國(guó)家安全義務(wù)，不意味著企業(yè)不會(huì)因其他數(shù)據(jù)安全風(fēng)險(xiǎn)而受到網(wǎng)絡(luò)安全審查。后文將對(duì)此詳述。
二、關(guān)于《網(wǎng)絡(luò)安全審查辦法》與《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》的關(guān)系
2021年11月14日，《條例》公開(kāi)征求意見(jiàn)。其第十三條針對(duì)的是網(wǎng)絡(luò)安全審查制度，但在文字描述上與《辦法》的征求意見(jiàn)稿不完全相同。由于《條例》征求意見(jiàn)時(shí)間（11月）晚于《辦法》征求意見(jiàn)時(shí)間（7月），且《條例》定位于國(guó)務(wù)院行政法規(guī)，法律地位高于《辦法》作為部門規(guī)章的定位。故業(yè)內(nèi)曾一度認(rèn)為，《條例》代表了《辦法》的修訂方向。但最終的《辦法》卻依然與《條例》征求意見(jiàn)稿有所區(qū)別，特別是在關(guān)于赴港上市的問(wèn)題上。
于是問(wèn)題便產(chǎn)生了?！掇k法》層級(jí)低但已正式發(fā)布，《條例》層級(jí)高但是剛剛征求完意見(jiàn)，而在關(guān)鍵問(wèn)題上兩者表述不一致，怎么理解這種情況？即使《辦法》已經(jīng)最終發(fā)布，可能也依然不會(huì)打消社會(huì)上的顧慮。
從邏輯上講，《辦法》是部門規(guī)章，《條例》是國(guó)務(wù)院行政法規(guī)，后者的制定當(dāng)然不必受制于前者。因此，理論上《條例》如果在當(dāng)前起草和今后印發(fā)時(shí)發(fā)生任何與《辦法》文字不一致的情況，都是正常和合理的。
但是，受兩點(diǎn)因素決定，可以認(rèn)為國(guó)家關(guān)于網(wǎng)絡(luò)安全審查的制度規(guī)定已經(jīng)大局已定：
一是，《辦法》和《條例》的起草單位都是國(guó)家互聯(lián)網(wǎng)信息辦公室。因此，對(duì)于《條例》征求意見(jiàn)稿與《辦法》最終稿的區(qū)別，歸根結(jié)底是國(guó)家互聯(lián)網(wǎng)信息辦的內(nèi)部協(xié)調(diào)事項(xiàng)。故而，兩個(gè)文件中出現(xiàn)的不一致情況，屬于文件起草過(guò)程中不同階段對(duì)工作有不同認(rèn)識(shí)，應(yīng)當(dāng)以時(shí)間順序而不是文件級(jí)別來(lái)作判斷。目前，《條例》的征求意見(jiàn)期已經(jīng)結(jié)束，隨后會(huì)進(jìn)入修改階段，相信修改時(shí)會(huì)保持兩者的一致。
二是，《辦法》本身反映了多個(gè)部門的意見(jiàn)，《條例》在進(jìn)入后續(xù)立法程序時(shí)，其他部門料將不會(huì)再對(duì)網(wǎng)絡(luò)安全審查制度提出修改意見(jiàn)。按程序規(guī)定，國(guó)家互聯(lián)網(wǎng)信息辦在此輪修改完《條例》后，會(huì)提交司法部，由司法部組織征求意見(jiàn)，并向國(guó)務(wù)院常務(wù)會(huì)議提交審議。因此，理論上即使國(guó)家互聯(lián)網(wǎng)信息辦內(nèi)部已經(jīng)協(xié)調(diào)完畢的事項(xiàng)，也可能在后續(xù)立法程序中被其他部門提出進(jìn)一步意見(jiàn)。但問(wèn)題在于，《辦法》雖然是國(guó)家互聯(lián)網(wǎng)信息辦的部門規(guī)章，但卻是十三個(gè)部門聯(lián)合印發(fā)的，發(fā)文前已在各部門間達(dá)成了一致。這十三個(gè)部門涵蓋了與這項(xiàng)工作密切相關(guān)的政府機(jī)構(gòu)，其他部門在司法部征求意見(jiàn)或國(guó)務(wù)院常務(wù)會(huì)議審議時(shí)提出修改意見(jiàn)的可能性很小。
三、關(guān)于網(wǎng)絡(luò)安全審查與數(shù)據(jù)出境安全管理
如前所述，赴港上市不用主動(dòng)申報(bào)網(wǎng)絡(luò)安全審查。那么，企業(yè)應(yīng)該對(duì)此采取什么立場(chǎng)呢？是不是對(duì)數(shù)據(jù)安全就不用關(guān)注了？
當(dāng)然不是，企業(yè)赴香港上市依然應(yīng)當(dāng)認(rèn)真對(duì)待數(shù)據(jù)安全問(wèn)題。甚至在某種程度上，數(shù)據(jù)安全問(wèn)題依然是決定企業(yè)赴港上市成功與否的重要因素。
除了赴港上市還可能被審查機(jī)制成員單位要求進(jìn)行網(wǎng)絡(luò)安全審查外，另外一個(gè)重要原因是，企業(yè)無(wú)論在國(guó)外還是香港上市，都屬于數(shù)據(jù)出境行為，而我國(guó)正在建立數(shù)據(jù)出境安全管理制度。
將國(guó)外上市活動(dòng)納入網(wǎng)絡(luò)安全審查事項(xiàng)，最初因應(yīng)的是美國(guó)證券交易委員會(huì)（SEC）加大了對(duì)中概股的資料審核要求。如執(zhí)行SEC的新規(guī)定，企業(yè)的大量數(shù)據(jù)都可能被SEC及其他美國(guó)機(jī)構(gòu)掌握，這顯然為國(guó)家安全帶來(lái)了嚴(yán)重風(fēng)險(xiǎn)。本質(zhì)上，這是一種數(shù)據(jù)出境行為，當(dāng)然要進(jìn)行數(shù)據(jù)出境安全評(píng)估。但如果已經(jīng)對(duì)其進(jìn)行了網(wǎng)絡(luò)安全審查，則當(dāng)然不必再重復(fù)進(jìn)行出境安全評(píng)估，相關(guān)風(fēng)險(xiǎn)在審查中一并考慮即可。那么，現(xiàn)在既然赴香港上市不用主動(dòng)申報(bào)網(wǎng)絡(luò)安全審查，則就又回到了數(shù)據(jù)出境安全這個(gè)話題上，當(dāng)然要受這一制度管轄。
2021年10月，國(guó)家互聯(lián)網(wǎng)信息辦對(duì)《數(shù)據(jù)出境安全評(píng)估辦法》公開(kāi)征求意見(jiàn)。2021年11月，國(guó)家互聯(lián)網(wǎng)信息辦對(duì)《條例》公開(kāi)征求意見(jiàn)?！稐l例》規(guī)定，重要數(shù)據(jù)出境、關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者掌握的個(gè)人信息出境、掌握100萬(wàn)以上個(gè)人信息的數(shù)據(jù)處理者的個(gè)人信息出境，要通過(guò)國(guó)家網(wǎng)信部門組織的安全評(píng)估。其他情況下，個(gè)人信息出境雖然不必通過(guò)網(wǎng)信部門的安全評(píng)估，但依然需要符合特定的條件，如發(fā)送方和接收方均通過(guò)國(guó)家網(wǎng)信部門認(rèn)定的專業(yè)機(jī)構(gòu)進(jìn)行的個(gè)人信息保護(hù)認(rèn)證，或按照國(guó)家網(wǎng)信部門制定的關(guān)于標(biāo)準(zhǔn)合同的規(guī)定與境外數(shù)據(jù)接收方訂立合同。
在上述制度設(shè)計(jì)中，并沒(méi)有區(qū)分?jǐn)?shù)據(jù)是向香港還是國(guó)外傳輸。這就意味著，雖然企業(yè)赴香港上市不用申報(bào)網(wǎng)絡(luò)安全審查，但應(yīng)當(dāng)遵守關(guān)于數(shù)據(jù)出境安全管理的規(guī)定。當(dāng)然，出于支持香港數(shù)字經(jīng)濟(jì)發(fā)展的目的，未來(lái)不排除可能對(duì)內(nèi)地?cái)?shù)據(jù)向香港傳輸作出特別安排，但這是后話。
這其中還涉及另一個(gè)問(wèn)題：并不是將數(shù)據(jù)交給境外證券監(jiān)管機(jī)構(gòu)才屬于數(shù)據(jù)出境。事實(shí)上，赴境外上市企業(yè)在聘請(qǐng)機(jī)構(gòu)提供上市輔導(dǎo)過(guò)程中，不可避免要涉及到境外律所、審計(jì)事務(wù)所或其他機(jī)構(gòu)。即使企業(yè)在境內(nèi)接受上市輔導(dǎo)，數(shù)據(jù)被這些機(jī)構(gòu)接觸都屬于數(shù)據(jù)出境。因此，在企業(yè)赴境外上市這種場(chǎng)景中，數(shù)據(jù)出境風(fēng)險(xiǎn)源頭比較多，均是數(shù)據(jù)出境安全管理制度的規(guī)范對(duì)象。甚至企業(yè)因選擇外資機(jī)構(gòu)提供輔導(dǎo)，都有可能被認(rèn)為觸發(fā)數(shù)據(jù)安全風(fēng)險(xiǎn)。
最近幾家企業(yè)赴港上市案例中，大家都很關(guān)注律所對(duì)其數(shù)據(jù)安全風(fēng)險(xiǎn)出具的專業(yè)意見(jiàn)。從已披露情況看，這些意見(jiàn)的核心是兩點(diǎn)。一是網(wǎng)絡(luò)安全審查制度還沒(méi)有實(shí)施，企業(yè)沒(méi)有違反國(guó)家規(guī)定，但會(huì)謹(jǐn)慎關(guān)注后續(xù)政策出臺(tái)過(guò)程；二是企業(yè)的數(shù)據(jù)安全風(fēng)險(xiǎn)總體可控。實(shí)際上，這些意見(jiàn)是不全面的，數(shù)據(jù)出境安全風(fēng)險(xiǎn)不能不提及。而之所以這些上市成功的企業(yè)沒(méi)有受到影響，部分原因是《數(shù)據(jù)出境安全評(píng)估辦法》也還在征求意見(jiàn)，數(shù)據(jù)出境安全管理制度尚未建立起來(lái)。但這也只是暫時(shí)的。
因此，此次《辦法》發(fā)布后，只能說(shuō)赴香港上市企業(yè)的壓力比預(yù)期減小了，這是對(duì)企業(yè)的政策利好，但不意味著企業(yè)數(shù)據(jù)安全責(zé)任的降低。從長(zhǎng)遠(yuǎn)看，數(shù)據(jù)安全風(fēng)險(xiǎn)研判、整改和政策合規(guī)分析（不僅僅是網(wǎng)絡(luò)安全審查制度合規(guī)）將成為企業(yè)赴境外上市過(guò)程中必須開(kāi)展的工作和必須回答的問(wèn)題。
四、關(guān)于網(wǎng)絡(luò)安全審查與數(shù)據(jù)安全審查
2021年9月1日實(shí)施的《數(shù)據(jù)安全法》在第二十四條規(guī)定，國(guó)家建立數(shù)據(jù)安全審查制度，對(duì)影響或者可能影響國(guó)家安全的數(shù)據(jù)處理活動(dòng)進(jìn)行國(guó)家安全審查。因此，社會(huì)上在解讀《數(shù)據(jù)安全法》時(shí)，往往將滴滴等企業(yè)受到網(wǎng)絡(luò)安全審查，以及《辦法》對(duì)企業(yè)上市的網(wǎng)絡(luò)安全審查，都等同于數(shù)據(jù)安全審查制度。
這是不全面的。無(wú)論是《辦法》還是《條例》，從來(lái)使用的都是“網(wǎng)絡(luò)安全審查”。此次《辦法》第二十二條第二款指出，國(guó)家對(duì)數(shù)據(jù)安全審查、外商投資安全審查另有規(guī)定的，應(yīng)當(dāng)同時(shí)符合其規(guī)定。這意味著，官方首次明確，網(wǎng)絡(luò)安全審查與數(shù)據(jù)安全審查有所區(qū)別，但又緊密聯(lián)系。
那么，如何理解他們之間的關(guān)系呢？審查辦法是落實(shí)《數(shù)據(jù)安全法》的要求，是在網(wǎng)絡(luò)數(shù)據(jù)領(lǐng)域的安全審查。當(dāng)然，整個(gè)《數(shù)據(jù)安全法》的范圍更廣。
五、關(guān)于數(shù)據(jù)處理活動(dòng)與上市
《辦法》最主要的修訂，是在第二條中增加了“網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者開(kāi)展數(shù)據(jù)處理活動(dòng)”。即，網(wǎng)絡(luò)安全審查制度自2017年試行并于2020年正式建立以來(lái)，始終針對(duì)的是關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者采購(gòu)產(chǎn)品和服務(wù)可能為國(guó)家安全帶來(lái)的風(fēng)險(xiǎn)。此次則增加關(guān)注了對(duì)網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者開(kāi)展數(shù)據(jù)處理活動(dòng)時(shí)可能為國(guó)家安全帶來(lái)的風(fēng)險(xiǎn)。
人們自然會(huì)關(guān)心，《辦法》將數(shù)據(jù)處理活動(dòng)劃分了幾類呢？分別對(duì)應(yīng)什么樣的安全風(fēng)險(xiǎn)呢？
從《辦法》第二條之后的內(nèi)容看，其明確指出的“數(shù)據(jù)處理活動(dòng)”只有一種情況，即第七條提到的“掌握超過(guò)100萬(wàn)用戶個(gè)人信息的網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者赴國(guó)外上市”。這就產(chǎn)生了新的問(wèn)題，除了上市外，其他的數(shù)據(jù)處理活動(dòng)就不用進(jìn)行網(wǎng)絡(luò)安全審查了嗎？
回答這個(gè)問(wèn)題，需要深刻理解《辦法》第二條與其他條款的關(guān)系。第二條列出的是網(wǎng)絡(luò)安全審查的宗旨，即影響或可能影響國(guó)家安全的行為要受到審查。爾后幾條則是對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者采購(gòu)產(chǎn)品和服務(wù)，以及網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者赴國(guó)外上市進(jìn)行審查的程序性要求。需要注意，這些程序性要求針對(duì)的是主動(dòng)申報(bào)審查的情況，但不意味著其他不需主動(dòng)申報(bào)審查的活動(dòng)就一定不會(huì)受到網(wǎng)絡(luò)安全審查了。《辦法》第十六條指出，網(wǎng)絡(luò)安全審查機(jī)制成員單位認(rèn)為屬于影響或可能影響國(guó)家安全的行為，可以報(bào)請(qǐng)批準(zhǔn)后啟動(dòng)審查。這種審查，不限于是否屬于關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者采購(gòu)活動(dòng)，也不限于是否屬于國(guó)外上市活動(dòng)。
因此，對(duì)赴國(guó)外上市之外的其他數(shù)據(jù)處理活動(dòng)，不是不審查，而是在程序上不要求主動(dòng)申報(bào)審查。包括赴港上市，也只是不要求主動(dòng)申報(bào)審查。
另外還有一點(diǎn)需要注意，即使對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者采購(gòu)產(chǎn)品和服務(wù)的行為，《辦法》也并未要求必然進(jìn)行網(wǎng)絡(luò)安全審查，而是在“影響或者可能影響國(guó)家安全”的情況下才要求申報(bào)審查。但對(duì)于掌握超過(guò)100萬(wàn)用戶個(gè)人信息的網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者赴國(guó)外上市，《辦法》則使用的是“必須”申報(bào)網(wǎng)絡(luò)安全審查。這足以說(shuō)明在國(guó)外上市的敏感性。
六、關(guān)于“網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者”概念
《辦法》在2021年7月征求意見(jiàn)時(shí)，新增的被審查對(duì)象是“數(shù)據(jù)處理者”。而《辦法》最終發(fā)布時(shí)使用的是“網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者”。而且，根據(jù)《辦法》第七條規(guī)定，應(yīng)當(dāng)進(jìn)行審查的對(duì)象是掌握超過(guò)100萬(wàn)用戶個(gè)人信息的“網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者”。這必然會(huì)帶來(lái)一個(gè)問(wèn)題：有的企業(yè)雖然掌握了100萬(wàn)以上的用戶個(gè)人信息，但其屬于傳統(tǒng)企業(yè)（例如食品生產(chǎn)企業(yè)），明顯不是互聯(lián)網(wǎng)企業(yè)，那么其是否屬于被審查對(duì)象呢？
不僅如此，鑒于《辦法》本身沒(méi)有對(duì)“網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者”進(jìn)行定義，有人會(huì)參照《條例》去理解該概念?！稐l例》第七十三條規(guī)定，互聯(lián)網(wǎng)平臺(tái)運(yùn)營(yíng)者是指為用戶提供信息發(fā)布、社交、交易、支付、視聽(tīng)等互聯(lián)網(wǎng)平臺(tái)服務(wù)的數(shù)據(jù)處理者。按這一定義，“平臺(tái)運(yùn)營(yíng)者”的典型特征是兩個(gè)，一是為用戶提供平臺(tái)，相當(dāng)于“搭臺(tái)供唱戲”；二是平臺(tái)上的服務(wù)是特定的，主要是信息發(fā)布、社交、交易、支付、視聽(tīng)等。如遵照該定義，“網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者”是一個(gè)較小的子集。
當(dāng)然，也有人會(huì)參考國(guó)家市場(chǎng)監(jiān)管總局發(fā)布的《互聯(lián)網(wǎng)平臺(tái)分類分級(jí)指南（征求意見(jiàn)稿）》。該文件指出，對(duì)平臺(tái)進(jìn)行分類需要考慮平臺(tái)的連接屬性和主要功能。平臺(tái)的連接屬性是指通過(guò)網(wǎng)絡(luò)技術(shù)把人和商品、服務(wù)、信息、娛樂(lè)、資金以及算力等連接起來(lái)，由此使得平臺(tái)具有交易、社交、娛樂(lè)、資訊、融資、計(jì)算等各種功能。按照這一定義，實(shí)際上只要涉及互聯(lián)網(wǎng)應(yīng)用的，都能歸屬到上述其中一類。這是一種廣義的對(duì)“平臺(tái)運(yùn)營(yíng)者”的理解。
事實(shí)上，無(wú)論是狹義或廣義的理解，如今同互聯(lián)網(wǎng)完全無(wú)關(guān)的擬上市企業(yè)并不多。尤其是，當(dāng)企業(yè)掌握了100萬(wàn)以上用戶個(gè)人信息時(shí)，其如果不涉及通過(guò)網(wǎng)絡(luò)提供服務(wù)，這幾乎是不可想象的。
因此，“網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者”本身不是用來(lái)區(qū)分某企業(yè)是否應(yīng)該進(jìn)行網(wǎng)絡(luò)安全審查的依據(jù)。
七、關(guān)于上市網(wǎng)絡(luò)安全風(fēng)險(xiǎn)
《辦法》第十條指出了網(wǎng)絡(luò)安全審查重點(diǎn)評(píng)估的國(guó)家安全風(fēng)險(xiǎn)因素。其中第（六）項(xiàng)針對(duì)的是國(guó)外上市。即，上市存在的關(guān)鍵信息基礎(chǔ)設(shè)施、核心數(shù)據(jù)、重要數(shù)據(jù)或者大量個(gè)人信息被外國(guó)政府影響、控制、惡意利用的風(fēng)險(xiǎn)，以及網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)。
對(duì)比2021年7月的《辦法》征求意見(jiàn)稿，上述描述增加了“網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)”。那么，何以在“網(wǎng)絡(luò)安全”已經(jīng)成為通用詞匯的情況下，又使用“網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)”呢？這一概念反映出什么樣的國(guó)家安全風(fēng)險(xiǎn)關(guān)切呢？
該詞重點(diǎn)指向的是信息內(nèi)容安全風(fēng)險(xiǎn)，即違法有害信息大規(guī)模擴(kuò)散的情況。傳統(tǒng)上，信息內(nèi)容安全與信息技術(shù)安全有明確的界限。但隨著信息技術(shù)的進(jìn)步，利用人工智能、區(qū)塊鏈、深度偽造、定向推送等技術(shù)傳播違法有害信息、破壞網(wǎng)絡(luò)安全設(shè)施的事例越來(lái)越多，技術(shù)風(fēng)險(xiǎn)已經(jīng)與意識(shí)形態(tài)風(fēng)險(xiǎn)交織在一起，而赴國(guó)外上市活動(dòng)將直接與外國(guó)機(jī)構(gòu)打交道，這方面的風(fēng)險(xiǎn)不得不防。
八、關(guān)于網(wǎng)絡(luò)安全審查啟動(dòng)條件
很多人認(rèn)為，網(wǎng)絡(luò)安全審查只有一種啟動(dòng)條件，這來(lái)自于對(duì)文件字面意思的片面理解。正是這種認(rèn)識(shí)，導(dǎo)致2021年7月滴滴被審查時(shí)猜測(cè)滿天飛。甚至一些機(jī)構(gòu)基于個(gè)人認(rèn)識(shí)而發(fā)表了很多與事實(shí)不符的言論，誤導(dǎo)了輿論。
實(shí)際上，網(wǎng)絡(luò)安全審查的條件可以有三種。
第一種見(jiàn)《辦法》第二條，關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)，網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者開(kāi)展數(shù)據(jù)處理活動(dòng)，影響或者可能影響國(guó)家安全的，應(yīng)當(dāng)進(jìn)行網(wǎng)絡(luò)安全審查。這是絕大多數(shù)人理解的審查啟動(dòng)條件?！掇k法》修訂前，主要是關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者采購(gòu)產(chǎn)品和服務(wù)——也正因?yàn)槿绱?，滴滴被審查時(shí)，一些人誤會(huì)這意味著滴滴被認(rèn)定為關(guān)鍵信息基礎(chǔ)設(shè)施了，且滴滴在采購(gòu)產(chǎn)品或服務(wù)時(shí)觸發(fā)了國(guó)家安全風(fēng)險(xiǎn)。《辦法》此次修訂后，增加了企業(yè)赴國(guó)外上市的情況。
第二種見(jiàn)《辦法》第十六條，網(wǎng)絡(luò)安全審查工作機(jī)制成員單位認(rèn)為影響或者可能影響國(guó)家安全的網(wǎng)絡(luò)產(chǎn)品和服務(wù)以及數(shù)據(jù)處理活動(dòng)，由網(wǎng)絡(luò)安全審查辦公室按程序報(bào)中央網(wǎng)絡(luò)安全和信息化委員會(huì)批準(zhǔn)后，按規(guī)定進(jìn)行審查。這種啟動(dòng)條件直接針對(duì)任何可能影響國(guó)家安全的產(chǎn)品或服務(wù)，與是否屬于關(guān)鍵信息基礎(chǔ)設(shè)施，是否采購(gòu)產(chǎn)品或服務(wù)，是否屬于國(guó)外上市行為均無(wú)關(guān)。滴滴被審查便是由此而起。從這一邏輯看，雖然企業(yè)赴香港上市時(shí)不需申報(bào)網(wǎng)絡(luò)安全審查，但如果網(wǎng)絡(luò)安全審查工作機(jī)制成員中有任何單位認(rèn)為其上市行為存在國(guó)家安全風(fēng)險(xiǎn)，也依然可以對(duì)其啟動(dòng)審查。這樣一來(lái)，企業(yè)更不能對(duì)數(shù)據(jù)處理活動(dòng)的安全性掉以輕心。
第三種見(jiàn)《辦法》第三條和第十九條。第三條指出，網(wǎng)絡(luò)安全審查堅(jiān)持事前審查與持續(xù)監(jiān)管相結(jié)合、企業(yè)承諾與社會(huì)監(jiān)督相結(jié)合。第十九條指出，網(wǎng)絡(luò)安全審查辦公室通過(guò)接受舉報(bào)等形式加強(qiáng)事前事中事后監(jiān)督。這意味著，任何人或組織都可以向網(wǎng)絡(luò)安全審查辦公室舉報(bào)，對(duì)某產(chǎn)品或服務(wù)已經(jīng)或可能帶來(lái)的國(guó)家安全風(fēng)險(xiǎn)進(jìn)行反映。如審查辦公室認(rèn)為有必要進(jìn)行審查的，也可按規(guī)定啟動(dòng)審查。
當(dāng)然，也可以認(rèn)為，第三種與第二種是殊途同歸的。因?yàn)榻拥缴鐣?huì)舉報(bào)后，啟動(dòng)審查也是由網(wǎng)絡(luò)安全審查辦公室提出，只是最初的起點(diǎn)不同而已。但之所以要將其單列為第三種，是因?yàn)橐獜?qiáng)調(diào)社會(huì)監(jiān)督的作用。
九、關(guān)于處罰
處罰是以減損權(quán)益或者增加義務(wù)的方式予以懲戒的行為。網(wǎng)絡(luò)安全審查制度中，處罰手段有哪些？程度如何？這是大家都關(guān)心的事項(xiàng)。但討論這個(gè)問(wèn)題時(shí)，需要明確這個(gè)制度中列出了幾種需要施以處罰的行為。實(shí)踐中，這還要根據(jù)動(dòng)機(jī)、后果分不同的情況。
一是應(yīng)當(dāng)申報(bào)審查，而主觀上有意回避申報(bào)。這又要分兩種情況，第一種是關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)時(shí)，未判斷國(guó)家安全風(fēng)險(xiǎn)；第二種是關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者經(jīng)判斷存在國(guó)家安全風(fēng)險(xiǎn)而故意不申報(bào)。
二是應(yīng)當(dāng)申報(bào)審查，但因錯(cuò)誤判斷國(guó)家安全風(fēng)險(xiǎn)而未申報(bào)審查。這種情況往往是關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者能力水平等方面的原因，導(dǎo)致未能正確判斷國(guó)家安全風(fēng)險(xiǎn)，因而應(yīng)該申報(bào)而未申報(bào)。從動(dòng)機(jī)角度看，這種情況的違法程度要弱于第一種。
三是使用審查未通過(guò)的產(chǎn)品。這也分兩種情況，第一種是關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者申報(bào)審查后，擬采購(gòu)的產(chǎn)品或服務(wù)未能通過(guò)審查，但關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者繼續(xù)使用；第二種是其他網(wǎng)絡(luò)運(yùn)營(yíng)者使用了未通過(guò)審查的產(chǎn)品或服務(wù)。前者顯然應(yīng)當(dāng)受到嚴(yán)厲處罰；后者是否應(yīng)當(dāng)受處罰，要看具體情況，因?yàn)楫a(chǎn)品或服務(wù)的風(fēng)險(xiǎn)與具體使用場(chǎng)景有關(guān)。不是所有的網(wǎng)絡(luò)產(chǎn)品或服務(wù)只要有過(guò)未通過(guò)審查的記錄，就在任何地方都不能使用了。
四是應(yīng)當(dāng)申報(bào)審查的企業(yè)不經(jīng)審查而在國(guó)外上市。按照以前的管理模式，這是完全可能發(fā)生的行為，必然會(huì)受到嚴(yán)厲處罰。但一段時(shí)間以來(lái)，證監(jiān)會(huì)會(huì)同國(guó)務(wù)院有關(guān)部門研究起草了《國(guó)務(wù)院關(guān)于境內(nèi)企業(yè)境外發(fā)行證券和上市的管理規(guī)定》，并于2021年12月公開(kāi)征求意見(jiàn)。按該文件第六條規(guī)定，境內(nèi)企業(yè)境外發(fā)行上市的，應(yīng)當(dāng)向國(guó)務(wù)院證券監(jiān)督管理機(jī)構(gòu)履行備案程序，報(bào)告有關(guān)信息。文件的第八條進(jìn)一步規(guī)定，境內(nèi)企業(yè)境外發(fā)行上市的，應(yīng)當(dāng)嚴(yán)格遵守外商投資、網(wǎng)絡(luò)安全、數(shù)據(jù)安全等國(guó)家安全法律法規(guī)和有關(guān)規(guī)定，切實(shí)履行國(guó)家安全保護(hù)義務(wù)。涉及安全審查的，應(yīng)當(dāng)依法履行相關(guān)安全審查程序。這意味著，企業(yè)應(yīng)審而不審，繼而直接到國(guó)外上市的可能性已經(jīng)降為零，因?yàn)樵黾恿艘坏雷C監(jiān)會(huì)備案的強(qiáng)制要求。
這樣一來(lái)，違規(guī)行為中，只會(huì)出現(xiàn)證監(jiān)會(huì)在備案時(shí)發(fā)現(xiàn)企業(yè)未提交網(wǎng)絡(luò)安全審查結(jié)論，因而不予備案的情況，相當(dāng)于不發(fā)“路條”，而不會(huì)出現(xiàn)企業(yè)“搶跑”。但這也帶來(lái)另一個(gè)問(wèn)題：證監(jiān)會(huì)怎么知道一個(gè)擬赴國(guó)外上市企業(yè)是否符合審查標(biāo)準(zhǔn)？如果某企業(yè)向證監(jiān)會(huì)備案時(shí)聲稱其不必進(jìn)行網(wǎng)絡(luò)安全審查，證監(jiān)會(huì)將如何判斷？可以預(yù)見(jiàn)，證監(jiān)會(huì)此時(shí)將相當(dāng)謹(jǐn)慎，作為非網(wǎng)絡(luò)安全、數(shù)據(jù)安全專業(yè)部門，其很可能將會(huì)商有關(guān)部門。以上情況如出現(xiàn)，將大大延緩企業(yè)的備案速度。如企業(yè)存在僥幸心理，主張自己雖赴國(guó)外上市但不屬于應(yīng)申報(bào)審查情況，可能要承擔(dān)很大的風(fēng)險(xiǎn)，企業(yè)為此要有充分準(zhǔn)備。
五是網(wǎng)絡(luò)安全審查工作機(jī)制成員單位認(rèn)為某網(wǎng)絡(luò)產(chǎn)品和服務(wù)以及數(shù)據(jù)處理活動(dòng)影響或者可能影響國(guó)家安全，或者社會(huì)舉報(bào)了某網(wǎng)絡(luò)產(chǎn)品和服務(wù)以及數(shù)據(jù)處理活動(dòng)，國(guó)家按程序?qū)ζ溥M(jìn)行審查。此時(shí)，審查的技術(shù)層面操作與平時(shí)無(wú)異，但由于審查是由監(jiān)測(cè)或舉報(bào)觸發(fā)的，往往國(guó)家安全風(fēng)險(xiǎn)已經(jīng)發(fā)生，故還存在一個(gè)風(fēng)險(xiǎn)處置的問(wèn)題?！掇k法》第十六條指出，為了防范風(fēng)險(xiǎn)，當(dāng)事人應(yīng)當(dāng)在審查期間按照網(wǎng)絡(luò)安全審查要求采取預(yù)防和消減風(fēng)險(xiǎn)的措施。這可以認(rèn)為是一種處罰措施，例如要求產(chǎn)品下架、停止注冊(cè)新用戶。但需要指出，這種處罰措施一般只適用于第十六條（以及社會(huì)舉報(bào)），一般不適用于按照正常程序主動(dòng)申報(bào)審查的情況。
十、關(guān)于“上市”的概念
《辦法》對(duì)赴國(guó)外上市活動(dòng)提出了網(wǎng)絡(luò)安全審查要求，但如何定義“上市”，這決定了網(wǎng)絡(luò)安全審查制度監(jiān)管對(duì)象的范圍，是一個(gè)不可繞過(guò)的話題。
但有三個(gè)方面的原因，導(dǎo)致這個(gè)問(wèn)題帶有一定的復(fù)雜性。
一是境內(nèi)企業(yè)很多采取VIE（可變利益實(shí)體）架構(gòu)，導(dǎo)致“境內(nèi)企業(yè)”“經(jīng)營(yíng)”等傳統(tǒng)概念需要有新的適應(yīng)性解釋。為此，《國(guó)務(wù)院關(guān)于境內(nèi)企業(yè)境外發(fā)行證券和上市的管理規(guī)定（草案征求意見(jiàn)稿）》第二條引入了境內(nèi)企業(yè)境外直接發(fā)行上市和間接發(fā)行上市的概念。后者特指主要業(yè)務(wù)經(jīng)營(yíng)活動(dòng)在境內(nèi)的企業(yè)，以境外企業(yè)的名義，基于境內(nèi)企業(yè)的股權(quán)、資產(chǎn)、收益或其他類似權(quán)益在境外發(fā)行證券或者將證券在境外上市交易。因此，可以認(rèn)為這個(gè)問(wèn)題已經(jīng)解決，VIE架構(gòu)已被納入監(jiān)管。
二是海外上市的手法眾多。除了IPO（首次公開(kāi)募股）外，重組上市、買殼上市、造殼上市等也是可選的上市途徑，這些活動(dòng)中的數(shù)據(jù)安全、網(wǎng)絡(luò)安全風(fēng)險(xiǎn)同樣不可忽視。
三是一些企業(yè)試圖剝離數(shù)據(jù)業(yè)務(wù)，以此規(guī)避上市網(wǎng)絡(luò)安全審查。例如，成立獨(dú)立公司，將數(shù)據(jù)處理業(yè)務(wù)從擬上市企業(yè)中剝離出來(lái)，轉(zhuǎn)移給獨(dú)立公司，并與該公司簽署數(shù)據(jù)服務(wù)合同，從而使擬上市公司不掌握數(shù)據(jù)。
網(wǎng)絡(luò)安全審查制度的關(guān)注焦點(diǎn)是上市行為是否會(huì)導(dǎo)致數(shù)據(jù)安全、網(wǎng)絡(luò)安全或信息內(nèi)容安全風(fēng)險(xiǎn)，這是網(wǎng)絡(luò)安全審查制度中定義“上市”行為的判斷準(zhǔn)則。故在制度實(shí)施中，不會(huì)只拘泥于上市的形式，而將抽絲剝繭關(guān)注數(shù)據(jù)處理行為。故可以得出結(jié)論，試圖通過(guò)改變形式而規(guī)避網(wǎng)絡(luò)安全審查的渠道基本走不通。
網(wǎng)絡(luò)安全審查制度是一項(xiàng)重要且內(nèi)涵豐富的制度，而且是一項(xiàng)在發(fā)展中的制度，特別是在數(shù)據(jù)安全風(fēng)險(xiǎn)防范方面。本文所作分析，僅代表了作者的粗淺認(rèn)識(shí)，希望拋磚引玉，引起更多人對(duì)網(wǎng)絡(luò)安全審查制度的關(guān)注。
