汉坤 | 快评新《网络安全审查办法》

作者：汉坤律师事务所 段志超丨蔡克蒙丨胡敏喆

2022年1月4日，国家互联网信息办公室（简称“网信办”）、中国证券监督管理委员会等十三部委正式联合出台了修订后的《网络安全审查办法》（“新《审查办法》”），标志着业界关注已久的修改后的网络安全审查制度在新年伊始正式出台。新《审查办法》将于2022年2月15日正式实施。新的审查办法基本沿袭了此前13部委在2021年7月10日发布的《网络安全审查办法》（修订草案征求意见稿）（“征求意见稿”）所提出的制度框架，并在征求意见稿基础上做出了几处关键修订，本文将对这些修订进行简要解读。同时随附新《审查办法》与征求意见稿的对比，供读者参考。

新《审查办法》仍沿用了征求意见稿中“国外上市”的概念，并未对其进行进一步界定。但从《网络数据安全管理条例》（征求意见稿）区分“赴香港上市”和“国外上市”网络安全审查申报标准之后，又在新《审查办法》将主动申报义务限定在“国外上市”来看，新《审查办法》应旨在免除赴香港上市的运营者主动申报网络安全审查的义务，但这一理解仍有待通过监管机构的后续实践加以验证。此外，由于新《审查办法》与此前审查办法及征求意见稿均赋予了监管机构主动依职权开展网络安全审查的权力，因此不排除在实践中部分赴香港上市企业如涉及大量敏感数据处理活动时，出于谨慎考虑主动申报网络安全。

与此前征求意见稿相同，新《审查办法》并未对受审查的上市方式进行限定，只是在申报材料中将需申报的材料更严谨的界定为“首次公开募股（IPO）等上市申请文件”。我们仍然认为除IPO（首次公开募集股份并上市）外，中概股公司在美国上市可能采取的SPAC（特殊目的收购公司）并购、RTO（反向兼并/借壳上市）、Direct Listing（直接上市）等方式均应主动申请申报网络安全审查。

新《审查办法》规定“掌握超过100 万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。”这一规定仍沿袭了此前征求意见稿对需开展申报的上市地及用户数量标准的界定，但将申请主体由此前的“数据处理者”改为“网络平台运营者”。新《审查办法》本身未对“网络平台运营者”的概念进行界定。网信办此前公布的《网络数据安全管理条例》（征求意见稿）曾将“互联网平台运营者”界定为“为用户提供信息发布、社交、交易、支付、视听等互联网平台服务的数据处理者”。按通常理解，“网络平台运营者”的范围应小于此前的“数据处理者”，似不包含不提供线上平台服务的各类消费品公司的自营电商服务。但由于“网络平台运营者”这一概念较为模糊，监管机关在实践中仍有较大的解释空间要求“掌握超过100 万用户个人信息”的各类运营者均需主动申报网络安全审查。

根据新《审查办法》答记者问，网络平台运营者应在向国外证券监管机构提出上市申请之前，申报网络安全审查。申报的结果可能包括，一是无需审查；二是启动审查后，经研判不影响国家安全的，可继续赴国外上市程序；三是启动审查后，经研判影响国家安全的，不允许赴国外上市。在前两种情况下，运营者可以继续向国外证券监管机构提出上市申请，但根据此前证监会发布的《境内企业境外发行证券和上市备案管理办法》（征求意见稿），企业需要在上市申请提交后三个工作日向证监会履行备案手续。

新《审查办法》的审查流程总体沿用了现行审查办法及征求意见稿的流程，只是将在出现网络安全审查工作机制成员单位、相关部门意见不一致情况下，需征求有关部门意见并报中央网络安全和信息化委员会批准的特别审查流程期限由征求意见稿规定的3个月进一步延长至90个工作日，且情况复杂的仍可以延长。按照新《审查办法》，审查流程总体如下图所示。

新《审查办法》第16条新增规定“为了防范风险，当事人应当在审查期间按照网络安全审查要求采取预防和消减风险的措施。”从此前实践来看，“预防和消减风险的措施”可能包括暂停新用户注册、暂停APP下载等，还可能包括剥离相关数据资产甚至暂停相关网络产品服务等。

值得注意的是，在新《审查办法》出台同时，网信办在答记者问上正式公布了审查申报和受理的途径，明确“网络安全审查办公室设在国家互联网信息办公室，具体工作委托中国网络安全审查技术与认证中心承担。中国网络安全审查技术与认证中心在网络安全审查办公室的指导下，承担接收申报材料、对申报材料进行形式审查等任务。中国网络安全审查技术与认证中心设立网络安全审查咨询窗口。”我们也期待网络安全审查办公室及中国网络安全审查技术与认证中心后续尽快出台更明确的申报指南，为企业履行申报义务提供更加明确的指引。