没有100万用户、不去美国上市，可以不做网络安全审查吗？

2021年7月10日，《网络安全审查办法（征求意见稿）》（“征求意见稿”）发布。其中新增的第六条规定：“掌握超过100万用户个人信息的运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。”

按照该规定文义，凡满足条件的赴国外上市的企业，均需主动申报网络安全审查。但是，关于赴“一国两制”基本国策下特别行政区上市的企业，是否需要主动申报网络安全审查，《征求意见稿》并未予以明确。

我们理解，基于下列考虑，赴港澳地区上市企业、没有上市计划但已具备100万以上用户的企业，仍应考虑对标网络安全审查标准，依托第三方机构开展自查自纠。

1、 《征求意见稿》意在切实落实数据安全监管制度

近期中办、国办印发《关于依法从严打击证券违法活动的意见》中要求：“完善数据安全、跨境数据流动、涉密信息管理等相关法律法规。”同时，《数据安全法》第二十四条第一款规定：“国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。”

《征求意见稿》基于上述背景，除了新增第六条外，第十条还新增了一种国家安全风险情形：“核心数据、重要数据或大量个人信息被窃取、泄露、毁损以及非法利用或出境的风险。”

按照上述规定，《网络安全审查办法》的修定，意在切实落实中央精神，建立数据安全监管制度。具体而言，凡涉及核心数据、重要数据、或者大量个人信息被非法利用，存在危害国家安全可能性的情况下，均应当执行数据安全监管制度要求的工作，保护国家安全。为此，中央网信办已成立网络数据管理局，负责网络数据安全监管工作。

《征求意见稿》发布前，国家网络安全审查办公室针对部分赴海外上市企业已开展了网络安全审查活动。

尽管不少机构猜测，此次审查与美国SEC索要审计底稿的行为相关联，但事实上国家网络安全审查办公室，已在公告的第一行充分明确，数据安全才是现阶段的关注重点。

2、 除赴国外上市企业，其他持有重要数据、一定规模个人信息数据的运营者，也应尽快比照网络安全审查标准，开展数据安全风险自查自纠工作

根据《征求意见稿》规定，两类运营者应当申办网络安全审查，一类是关键信息基础设施运营者，即CIIO；另一类是网络完全审查机制成员单位认为网络产品和服务可能影响国家安全的运营者。

意即，网络安全审查并未限制在CIIO或者赴国外上市运营者之上。即使仅在国内运营，如果产品和服务可能影响国家安全的，也要申办网络安全审查。

3、 国内上市，但交易中包含国外因素的，仍可能被视为赴国外上市。

我们注意到，有部分机构认为，国外上市与境外上市的表述不同，境外上市是指大陆以外的市场上市，包括香港地区；国外上市是指大陆及港澳台以外地区上市。

我们理解，这种认识是基于原有证券业监管口径下的理解，并不能直接套用到网络安全、数据安全监管之上。

对于赴国外上市企业的数据安全监管而言，数据安全风险的核心是数据可能发生非法出境风险。国内上市企业，如果在任何一个交易环节包含境外因素，存在数据非法利用或非法出境可能性的，均应当按照赴国外上市的标准接受监管。

具体到跨境证券业实践中，常见的红筹结构、VIE结构，均可能因为设立在开曼的离岸公司环节而出现监管问题，WFOE与境内实体签署的VIE协议，亦可能产生数据违法出境的后果。在此种情况下，即使国内上市企业，若交易中包含国外因素的，仍可能被视为外赴国外上市。

此外，香港交易所（00388）也并非纯港资企业，其股权结构中有相当一部分为外资投行，是否会被视为国外因素的，有待监管机关审查。

4、 勿用行业惯例思维，错判国家安全底线

尽管在互联网行业甚至很多其他行业中，企业自行产生的数据属于自身资产，可以有条件的使用，百万用户量在互联网行业也很普遍。特别是不少行业执法机关会由于执法资源限制，产生监管漏洞，有的企业可能存在法不责众的侥幸心理。

但是，目前除了中央网信办组建网络数据管理局外，各地方网信办亦在抓紧开展执法人员培训，补充执法力量。我们同样可以看到，赴国外上市企业的审查标准被划定到100万这个体量。100万对于互联网行业而言是一个偏低的数字，但对于国家数据安全而言，100万已经相当高了。其间的差异，就是行业惯例思维与数据安全审查思维的差异。

综上，勿用行业管理思维，错判国家数据安全底线。

5、 建议有一定规模的互联网企业尽快开展数据安全自查

综合上述理解，有一定规模的互联网企业应当尽快开展数据安全自查，围绕数据的收集、存储、使用、处理、提供，特别是处理提供中的共享、转让、去标识与重标识、匿名化等，是否能够确保全流程安全，依托第三方机构，在加密、硬件、软件、集成、管理等多方面进行彻底审查。