数据不安全,投资有风险

大队长金融 大队长金融
2022-03-08 14:51 1665 0 0
数据的价值,也使得投资并购和资本市场趋之若鹜,科技的含量将直接影响到目标企业的估值。

作者:薯条三兄弟

来源:大队长金融(ID:captain_financial)

随着移动互联网、物联网、高性能计算、大容量存储等信息技术的蓬勃发展,数据,作为一种新型的生产要素,正推动着数字经济时代的呼啸而来。
 
数据的价值,正在重塑行业的竞争格局:
 
互联网消费行业,人们早已耳熟能详的用户画像、个性化推荐、千人千面;
 
金融科技行业,金融机构的联合建模,进行数字营销、精准获客、智慧风控;
 
生命医疗行业,医药企业的病例共享提升医药研发效率;医疗和保险机构的数据融合,改善就医体验;
 
在政务、交通、环保、工业、电信等基础设施领域,数据治理已经成为智慧城市必不可少的部分。
 
数据的价值,也使得投资并购和资本市场趋之若鹜,科技的含量将直接影响到目标企业的估值。
 
所有命运馈赠的礼物,又在暗中标好了价格。
 
个人信息过度收集、数据泄露、网络环境入侵也会使得投资并购交易蒙受巨大损失。


数据既是战略高地,也是风险高发地。

防范数据风险的难点在于,数据处理的每个节点:收集、存储、使用、加工、传输、提供、公开、删除都可能成为数据安全的雷点。

监管部门显然也意识到了这一点。

2021年,《个人信息保护法》和《数据安全法》相继实施,与《网络安全法》共同构建了个人信息保护、数据与网络安全的监管框架;在此基础上,各类配套法规、国家标准、技术指南不断提升监管的精细度。

2022年,在监管环境和公司治理的双重要求下,投资并购交易势必要将个人信息保护、数据与网络安全要素考虑在内。
 
交易前通过专项数据尽职调查识别风险,交易中通过法律文件界定和处理风险,交易后履行合规承诺持续控制风险,才能让投资并购交易平稳实现预期的商业目的。
 
今天我们先从数据尽调讲起。

01/ 哪些目标企业的投资并购需要进行专项数据尽调?
 
无论是传统企业的数字化转型,还是新兴行业的数字化升级,在数字经济的时代,似乎没有哪一家企业能完全脱离互联网开展业务。
 
因此,我们仅将行业特征作为辅助判断,采取实质重于形式的方法,对符合下列情形的目标企业,我们建议在投资并购时将专项数据尽调作为必选项:
 
处理大量个人信息的企业

对于通过互联网平台(如APP、小程序、软件开发应用包(SDK))或者智能硬件设备等方式收集及处理个人信息的企业而言,数据泄露的风险显著高于其他行业。从工信部2021年通报的1680款APP及网信办2021年通报的695款APP案例来看,网络安全的监管部门最为关注的也是这类企业。其中需要重点关注的包括互联网消费平台、金融科技平台、先进制造业企业。

在涉及这类企业的投资并购中,我们需要对个人信息流转的全链路予以重点关注。

实践中容易忽视的一个技术细节是“数据处理者”的识别。出于ICP经营资质和分散风险的考虑,互联网平台的运营及平台上的产品提供,往往由集团内的多个法人主体分工完成。另一种常见的情形,出于数据融合的考虑,集团内多个法人主体收集个人信息后,再委托同一个主体(往往是体系内科技公司)进行深度处理。界定“共同处理”、“委托处理”的数据链路,识别主要的“数据处理者”是厘清数据尽调对象,提升项目效率的关键步骤。

另外,国家标准化管理委员会制定的“国家标准”及行业主管部门制定的“技术规范”也会成为重要的法律依据。例如《个人金融信息保护技术规范》对于“个人身份信息”和“金融交易信息”进行了界定,两者在“数据共享和委托处理”中会适用不同的合规要求,在尽调中对个人信息的内容和对应的个人信息处理场景就需要仔细甄别;再比如国标文件《信息安全技术汽车采集数据的安全要求》正在征求意见的阶段,对于智能汽车采集的数据,细分为车外数据及座舱数据。当车外数据包含了外部环境的人脸、车牌等个人信息时,这类数据的处理也会受到更严格的要求。

最后,综合《网络安全审查办法》、《互联网平台分类分级指南(征求意见稿)》、《互联网平台落实主体责任指南(征求意见稿)》的规定,对于年度活跃用户不低于5000万的目标企业(大型互联网平台)或者处理掌握超过100万用户个人信息的目标企业,适用的数据合规义务也会显著提高,相应地也需要提高数据尽调的颗粒度。

从事数据挖掘、分析处理并输出数据服务的企业

市场中的另一类玩家,并不直接收集用户的个人信息,也不面向个人用户提供产品,这类企业通常面向机构用户提供软件服务、云平台服务、数据咨询等基于数据的行业解决方案。其中需要重点关注的包括生命医疗行业(比如新药研发,CXO,互联网医疗,医疗人工智能等等)和大数据(人工智能)行业。

回溯数据链路的上游,我们会发现这类企业一方面可能通过爬虫等技术获取其他机构的公开数据,另一方面可能与其他机构建立合作获取数据,再基于自身的大数据分析和算法模型,形成特定行业的解决方案。

如果这类企业获取上游数据的方式或者上游数据来源存在合规瑕疵,那么风险就会传导至目标企业,在对外提供的数据和算法模型中留下合规风险。

在涉及这类企业的投资并购中,我们需要对数据链路的上游予以特别关注。

最后,随着《关于加强互联网信息服务算法综合治理的指导意见》及相关规定的颁布,算法的安全治理、分类分级和备案制度也会逐步确立,算法自身的合规性也会成为数据尽调中的新的关注事项。

涉及关键信息基础设施的企业

根据2021年《关键信息基础设施安全保护条例》的定义,关键信息基础设施是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

事实上,2016年《网络安全法》第一次提出关键信息基础设施的概念时,市场普遍缺乏直观的认识。经过近几年的摸索实践,今年已有部分金融机构向我们反馈,其接到了行业主管部门和公安部门的认定,成为了关键信息基础设施的运营者(CIIO)。由此我们预计CIIO认定工作在上述的各个重要行业和领域会逐步落地。

如果目标企业成为关键信息基础设施的运营者,那么对应的数据合规义务会升格成最高等级,例如CIIO在中国境内运营中收集和产生的个人信息和重要数据需要在境内存储,如果确需向境外提供的,需要按照国家网信等部门制定的办法进行安全评估。因此,境外投资者进入中国市场,除了考虑外商投资产业准入的要求,现在还需要进一步考虑被投企业的“数据身份”,预判数据跨境流动是否可行。要特别注意,采用VIE结构的协议控制,也需要遵循数据跨境传输的合规义务。

02/ 如何进行专项数据尽调?——以生命医疗行业数据合规尽调为例

专项数据尽调的工作流程与传统的法律尽调并无不同,一般而言包含五个步骤:
 
  • 准备尽调问卷
  • 尽调访谈和沟通
  • 核查尽调资料
  • 出具尽调报告(含合规差距分析及整改建议)
  • 协助目标企业完成整改

通常情况下,完整的专项数据尽调问卷会涵盖“个人信息保护”、“数据合规”与“网络安全”三个部分,如下图所示,我们常用的主表一共31页,约9700字,另有其他附件表格配套使用。

我们也充分考虑到不同投资项目对于尽调时间和业务偏重的关注不同,可以将该问卷进行模块化拆拼和调整(类似乐高组建的插拔),针对不同的行业适配本行业业务特点的尽调问卷,实现高效率发现未来影响投资项目退出路径的重大合规瑕疵并为后续交易文件起草和交割条件设置提供工作基础。


 

与传统法律尽调稍有不同,在专项数据尽调的访谈和沟通环节,通常需要邀请目标企业内部的法律合规、信息/网络安全、产品、营销、科技研发、运营等团队共同参与。

一方面,数据合规涉及大量的互联网技术细节,需要专业背景的团队理解相关问题并做出准确回复,其中法律合规团队熟悉制度流程及协议约定,信息/网络安全、科技研发团队熟悉系统架构和数据安全管理,产品及营销团队熟悉数据的流转和使用过程,三者相互印证才能反映实际情况;另一方面,数据合规需要排查数据在所有业务场景下的处理情况,邀请相关的各个团队一起参与访谈,才能对目标企业数据治理形成全景图。

以医疗企业尽调为例,由于医疗企业部门众多,且医疗数据种类繁杂,数据尽调首先需要与企业沟通,大致了解企业处理和使用数据的主要场景、场景下涉及的数据种类以及企业内的主要数据处理部门有哪些。比如,医疗企业的数据处理场景可能包括注册临床、科研合作、大数据应用研发、跨境数据合作等,涉及的数据种类可能包括临床数据、健康医疗大数据、遗传资源数据等多种类型。

尽调访谈可以重点关注人类遗传资源数据出境、临床试验研究活动中知情同意书的条款完备性、医疗企业内部患者数据管控平台完善程度、科研与营销活动中公开去标识化患者数据是否存在风险、用于注册的医疗数据是否可以回溯并按规定保存等等。

生命医疗企业内由于使用数据的部门条线众多,部门间可能存在数据混用的情形。比如,医疗企业内可能存在不顾及数据主体具体授权范围,将不同科研项目中取得的研究数据混用,后期可能造成数据超范围使用等一系列合规问题。另外,医疗企业不同部门间也可能出现对同一数据应用场景的描述不一致的情况。比如,医疗企业内可能有多个研发部门聘用了第三方临床外包机构进行试验数据处理,部分外包机构性质为CRO,部分为SMO,但由于研发部门无法区分外包机构数据处理角色的异同,造成访谈中描述情况不清晰或有矛盾。因此,尽调访谈后需及时以数据映射表的形式整理主要数据处理场景和每个场景中涉及的数据合规点,并通过法律合规团队进一步核实事实或取得书面材料。

其次,审查数据处理相关文件也是数据尽调的重要组成部分。审查生命医疗企业数据文本应至少从数据制度、数据授权和数据协议三方面衡量数据保护措施的充分性和合理性。数据制度(如健康数据管理制度、AI数据使用制度等)一般能反映医疗企业数据治理的整体框架;数据授权(如知情同意书等)是医疗企业直接采集数据的合法性基础;数据协议(如数据处理协议等)则是医疗企业管控数据合作方或合法间接收集数据的重要机制。

特别需要注意的是,在生命医疗行业,医药或者医疗器械企业在大多数情况下无法与患者直接接触并获取个人信息授权,即使发起药物临床实验研究活动可以获得参试者的知情同意,但是使用范围和目的依然有限。因此,如何探索去标识化技术并在满足一定效果等级的基础上使用统计数据,既能满足企业的业务需要,同时又能保护患者的隐私。目前国内企业大多借鉴美国HIPAA推荐的规则对患者18项识别信息进行去标识化处理,但是该方法是否符合中国法律与监管规定,以及如何在此基础上进行优化,以期达到《信息安全技术个人信息去标识化效果分级评估规范》规定的匿名化标准(医疗数据受限数据集)值得我们重点关注。

最后,尽调报告应总结数据尽调中发现的合规差距点,并从制度层面、授权协议文本层面和技术保护层面提出初步整改建议。改进措施的落实也将从这三方面展开。措施落地过程中,需要与法律合规团队、技术研发团队不断沟通,在数据合规要求和企业业务需求间找到合适的平衡点。

03/ 如果目标企业未来有境外上市计划,专项数据尽调应该前置做些什么?

由于市场格局的重大变化,我们观察到越来越多的境内企业选择中国香港作为境外上市的首选,其中不乏许多在美上市的企业考虑回流香港的资本市场。

2021年,境内企业在赴港上市过程中,个人信息保护、数据合规与网络安全的事宜也越发受到联交所的关注,上市企业的招股说明书也补充了风险披露事项。

网易云音乐 (9899.HK,2021年11月23日)在招股书风险章节中,对可能涉及的个人信息保护与网络数据安全相关的风险进行详细披露,包括:(1)安全漏洞及攻击,(2)个人信息保护、网络与数据安全相关的立法征求意见稿适用可能性,(3)因违反个人信息保护与网络数据安全相关合规义务而可能导致的行政处罚风险与品牌声誉风险。

2021年12月24日,《国务院关于境内企业境外发行证券和上市的管理规定(草案征求意见稿)》公开征求意见,可以预见,未来证监会在境外上市备案审查中将提高网络安全审查的关注程度。

2022年2月15日《网络安全审查办法》(国家互联网信息办公室令第8号)正式生效,进一步明确网络安全审查的适用情形。综合来看,不属于CIIO,也不涉及重要数据的企业,在赴港上市中无须主动申报网络安全审查,但这并不能完全排除被动审查的风险。

结合网络安全审查的要求,除数据尽调的工作内容外,对未来计划境外上市的目标企业,提前进行网络安全评估,对于是否存在“影响或可能影响国家安全的情形”形成专项分析报告。

节选如下图。


04/ 结语

长期以来,庞大的数据既是投资标的企业的“护城河”,也是核心竞争力之一。但是近年来不断加强的数据立法与执法监管活动,不但抬高数据优势维持成本,同时也使得传统的业务模式面临严峻的合规挑战,稍有不慎,可能埋下新的“雷点”。与其他领域法律合规有所不同的是,数据合规的难点从来不在于法律文件的解读。如何能让企业内的各部门都意识到,防守就是进攻,合规是为了合理的挖掘数据,释放数据所蕴含的巨大商业价值,这才是每个从业者的初心。

专项数据尽调的工作不仅仅是投资并购交易的第一步,而应当是企业数据治理的最后一步。

注:文章为作者独立观点,不代表资产界立场。

题图来自 Pexels,基于 CC0 协议

本文由“大队长金融”投稿资产界,并经资产界编辑发布。版权归原作者所有,未经授权,请勿转载,谢谢!

原标题: 数据不安全,投资有风险

【邀请函】万物焕新·2024资产界跨年演讲暨资产运营大会

大队长金融

大队长金融,读懂金融监管。微信号: captain_financial

70篇

文章

10万+

总阅读量

特殊资产行业交流群
热门文章
推荐专栏
更多>>
  • 资产界
  • 蒋阳兵
    蒋阳兵

    蒋阳兵,资产界专栏作者,北京市盈科(深圳)律师事务所高级合伙人,盈科粤港澳大湾区企业破产与重组专业委员会副主任。中山大学法律硕士,具有独立董事资格,深圳市法学会破产法研究会理事,深圳市破产管理人协会个人破产委员会秘书长,深圳律师协会破产清算专业委员会委员,深圳律协遗产管理人入库律师,深圳市前海国际商事调解中心调解员,中山市国资委外部董事专家库成员。长期专注于商事法律风险防范、商事争议解决、企业破产与重组法律服务。联系电话:18566691717

  • 刘韬
    刘韬

    刘韬律师,现为河南乾元昭义律师事务所律师。华北水利水电大学法学学士,中国政法大学在职研究生,美国注册管理会计师(CMA)、基金从业资格、上市公司独立董事资格。对法律具有较深领悟与把握。专业领域:公司法、合同法、物权法、担保法、证券投资基金法、不良资产处置、私募基金管理人设立及登记备案法律业务、不良资产挂牌交易等。 刘韬律师自2010年至今,先后为河南新民生集团、中国工商银行河南省分行、平顶山银行郑州分行、河南投资集团有限公司、郑州高新产业投资基金有限公司、光大郑州国投新产业投资基金合伙企业(有限合伙)、光大徳尚投资管理(深圳)有限公司、河南中智国裕基金管理有限公司、 兰考县城市建设投资发展有限公司、郑东新区富生小额贷款公司等企事业单位提供法律服务,为郑州科慧科技、河南杰科新材料、河南雄峰科技新三板挂牌、定向发行股票、股权并购等提供法律服务。 为郑州信大智慧产业创新创业发展基金、郑州市科技发展投资基金、郑州泽赋北斗产业发展投资基金、河南农投华晶先进制造产业投资基金、河南高创正禾高新科技成果转化投资基金、河南省国控互联网产业创业投资基金设立提供法律服务。办理过担保公司、小额贷款公司、村镇银行、私募股权投资基金的设立、法律文书、交易结构设计,不良资产处置及诉讼等业务。 近两年主要从事私募基金管理人及私募基金业务、不良资产处置及诉讼,公司股份制改造、新三板挂牌及股票发行、股权并购项目法律尽职调查、法律评估及法律路径策划工作。 专业领域:企事业单位法律顾问、金融机构债权债务纠纷、并购法律业务、私募基金管理人设立登记及基金备案法律业务、新三板法律业务、民商事经济纠纷等。

  • 睿思网
    睿思网

    作为中国基础设施及不动产领域信息综合服务商,睿思坚持以专业视角洞察行业发展趋势及变革,打造最具公信力和影响力的垂直服务平台,输出有态度、有锐度、有价值的优质行业资讯。

  • 破产圆桌汇
    破产圆桌汇

    勘破破产事,与君破僵局。

  • 负险不彬
    负险不彬

    王彬:法学博士、公司律师。 在娱乐满屏的年代,我们只做金融那点儿专业的事儿。微信号: fuxianbubin

微信扫描二维码关注
资产界公众号

资产界公众号
每天4篇行业干货
100万企业主关注!
Miya一下,你就知道
产品经理会及时与您沟通