图解网络安全审查新规(修订草案)

文章摘要 本文以滴滴出行赴美上市后遭网络安全审查为背景,解析《网络安全审查办法(修订草案征求意见稿)》的核心修订方向。新规拟将数据运营者赴国外上市可能引发的国家安全风险纳入审查范围,反映数据安全监管进入新阶段。文章同时指出,草案在特别审查程序衔接、法律责任适用等方面仍有待细化。对企业而言,需高度关注数据出境合规审查要求,完善内部数据治理体系。本文为理解网络安全审查新规提供了实务视角。

前言

2021年6月30日,中国移动出行平台滴滴公司在纽约证券交易所成功上市。两天后,国家互联网信息办公室(以下简称“网信办”)发布一则简短的公告称,网络安全审查办公室按照《网络安全审查办法》,对“滴滴出行”实施网络安全审查;为配合网络安全审查工作,防范风险扩大,审查期间“滴滴出行”停止新用户注册。

7月4日,网信办又发布一则公告,由于滴滴出行等25款滴滴系APP严重违法违规收集使用个人信息,因此将该25款APP全部予以下架处理。

7月10日,网信办发布关于《网络安全审查办法(修订草案征求意见稿)》(以下简称《修订草案》)的通知,从立法层面将数据运营者赴国外上市可能导致的国家安全风险纳入监管范围。《修订草案》的主要修改内容如下:

结语

仅时隔一年,《网络安全审查办法》就迎来了重大修订,我们理解,这在很大程度上体现出国家对数据安全合规监管的重视和决心。不过我们也发现,《修订草案》在具体操作层面依然存在一些不足。例如,特别审查程序不够完善,一旦启动特别审查程序,如网络安全审查办公室与相关监管部门对审查结论建议仍无法达成一致意见,应当如何处理?对此,《修订草案》并未明确。又如,《修订草案》规定,违反该办法的,应依照《网络安全法》和《数据安全法》的规定处理,但该表述过于笼统,一旦数据运营者有相关违法行为,有权机关该如何适用前述两部法律予以惩戒?不过,《修订草案》尚在征求意见阶段,我们期待看到一个让企业有更明确预期且更具有可操作性的新规出台。

杨春宝一级律师简介

杨春宝一级律师,大成上海高级合伙人、资本市场部主任、国资基金研究中心主任,大成中国区私募基金专业带头人、科技与文化法律研究中心联合牵头人。执业30余年,长期从事私募基金、投融资、并购重组法律服务,尤其对对赌研究颇深且具有非常丰富的实战经验,并专注于金融机构股权投资业务。2004年起多次入选The Legal 500"私募基金"和"公司与商业"等境内外各类律师榜单,代理的中国法院首例适用外国法律审理外国公司的董事损害小股东权益纠纷案入选上海高院发布的《上海法院域外法查明典型案例》和威科先行"要案头条"。入选上海涉外法律人才库、上海市司法局鼎新法治人才库、上海国有企业改制法律顾问团,具有上市公司独立董事任职资格,系多家知名高校的兼职教授或兼职研究生导师及上海市商务委跨国经营人才培训班讲师。出版《私募股权投资基金风险防控操作实务》等16本投融资法律专著。了解更多

常见法律问题

网络安全审查的适用对象与触发条件是什么?

网络安全审查是我国为防范数据处理活动影响国家安全而设立的强制性审查机制,核心审查对象是掌握大量数据的关键信息基础设施运营者以及从事数据出境活动的数据运营者。当相关主体的上市、融资、数据跨境流动等行为可能影响国家安全时,即触发审查程序。审查关注数据处理活动的合法性、安全性以及数据出境对国家安全的潜在影响,并不以发生实际危害为前提。

滴滴出行在纽约证券交易所上市仅两天后,网信办即依据《网络安全审查办法》宣布对其启动网络安全审查,并同步要求停止新用户注册以防范风险扩大,随后25款滴滴系APP因严重违法违规收集使用个人信息被予以下架。这一案例说明,赴国外上市本身可能被视为影响国家安全的数据处理活动,即便企业已具备一定规模,仍可能随时被纳入审查范围。

企业应事先建立数据资产台账,准确识别是否处理重要数据或海量个人信息。在计划赴国外上市、跨境融资或向境外提供数据前,应主动开展国家安全影响评估,必要时向监管部门进行咨询或申报。同时,应避免因数据收集使用不规范而埋下违规隐患,尤其要防范在审查期间被采取停止新用户注册、应用下架等业务限制措施。

《网络安全审查办法(修订草案)》的主要修订方向有哪些?

从法律规则演进看,现行网络安全审查制度最初主要针对关键信息基础设施运营者,而修订草案将监管视野扩展至所有数据运营者,明确将赴国外上市行为纳入审查范围,强调任何可能影响国家安全的数据处理活动都应受到审查。这标志着数据安全审查从以设施为中心转向以数据为中心,体现了数据主权和数据安全保护理念的强化。

文章记载,滴滴出行事件发生后仅一年,网络安全审查办法即迎来重大修订,网信办于2021年7月发布修订草案征求意见稿,从立法层面将数据运营者赴国外上市可能导致的国家安全风险纳入监管范围。这充分说明监管层面对数据安全合规的重视和决心。同时,草案在特别审查程序方面仍存在不足,如审查办公室与监管部门意见不一致时缺乏明确的处理机制,法律责任条款表述也较为笼统,为企业合规带来不确定性。

企业应密切关注修订草案的最终落地版本,及时比对新旧规则差异。在正式规定出台前,可参照草案精神提前部署数据出境安全评估、数据分级分类管理等工作。此外,应特别关注特别审查程序触发后的应对预案,包括与监管机构的沟通机制、审查期间的业务连续性安排,以及针对法律责任条款的合规内控建设。

企业如何防范网络安全审查中的合规风险?

网络安全审查程序的法定要求包括企业主动申报、如实提交材料、配合询问调查以及执行审查结论。审查期间,监管部门有权采取临时限制措施以防范风险扩大。企业若违反审查义务,将依据网络安全法和数据安全法承担相应法律责任,包括责令改正、警告、罚款乃至暂停业务、吊销证照等后果。

滴滴出行案例展示了审查的强时效性和强威慑力:上市两天即被宣布审查,审查启动同日即被要求停止新用户注册,数日后25款APP被全部下架,理由是严重违法违规收集使用个人信息。这一系列动作说明,企业在境外上市等重大节点上,即使已经完成上市,也无法避免事后追溯和即时监管措施。文章还提示,修订草案对违法行为的法律责任表述比较笼统,给予执法部门较大裁量空间,企业违规的后果可能更为严重。

企业应在日常运营中将数据合规作为一项持续工作,而非上市前的临时工程。具体而言,要建立由法务、信息安全、业务部门组成的数据合规团队,定期开展个人信息保护影响评估;对数据来源合法性和授权链条进行专项审计;在涉及赴国外上市、重大投融资等场景前,进行模拟审查演练,提前准备申报材料。同时,与网信部门保持主动沟通,在审查过程中依法配合,及时整改,以最大程度降低风险。

以上内容仅供参考,不构成法律意见。如需专业法律服务,请联系杨春宝一级律师:chambers.yang@dentons.cn

  • 本站声明:本站所载之法律论文、法律评论、案例、法律咨询等,除非另有注明,著作权人均为站长杨春宝高级律师本人。欢迎其他网站链接,但是,未经书面许可,不得擅自摘编、转载。引用及经许可转载时均应注明作者和出处"法律桥",并链接本站。本站网址:https://lawbridge.org/。
  •  
  •         本站所有内容(包括法律咨询、法律法规)仅供参考,不构成法律意见,本站不对资料的完整性和时效性负责。您在处理具体法律事务时,请洽询有资质的律师。本站将努力为广大网友提供更好的服务,但不对本站提供的任何免费服务作出正式的承诺。本站所载投稿文章,其言论不代表本站观点,如需使用,请与原作者联系,版权归原作者所有。

发表回复