并购交易的合法合规性

疫情下的世界正在发生巨大的变化，这也给传统的商业模式和MA交易带来新的挑战。同时，随着互联网经济的快速发展和大数据、云计算、人工智能、IDC等新技术的兴起。过去几年，传统企业的数字化转型升级正在逐步深入，数字化的进度、速度和规模都在不断提升，数字资产的种类和数量也在呈几何级数增长。各国相继确立了“数字主权”和“数字单一市场”的立法目标，使得数据保护立法在世界范围内如火如荼。截至目前，已有120多个国家通过立法保护个人信息和数据安全。其中，结合市场规模、监管范围等因素，欧盟的《通用数据保护条例》和我国的《数据安全法》和《个人信息保护法》是最具影响力的法律文本。

数据保护立法的发展在许多方面影响了传统的贸易领域。不少网络巨头和新技术公司因并购、上市等交易中的数据合规问题被监管部门调查，并被重罚，甚至可能面临退市风险。由此可见，在目前的MA业务中，仅仅关注传统公司的资质、股权结构、资产负债等传统问题是远远不够的，交易双方还应足够重视数据合规性，从而更好地提升整体估值和协同效应，加强交易的确定性，最终促进MA交易的达成。

本文试图从不同交易类型、并购中的买卖双方、跨国并购中的跨国监管等角度，对企业并购中可能出现的高频数据合规问题进行分析和探讨。结合全球与数据保护相关的并购案例，旨在帮助交易双方明确与数据保护相关的法律要求，最大限度降低交易过程中的法律风险。

一、不同MA类型下的数据资产

在股权收购中，买方购买目标公司的股权，成为其股东。相关数据资产一般仍在目标公司名下，但买方并不直接持有。作为买方股东，将间接负责数据合规问题。在资产收购中，买方在交付完成后成为数据资产的所有者。作为数据资产的控制者，买方直接负责数据资产的合规风险。

二。MA交易中的卖方视角:日常运营和MA交易中的数据合规性

【案例1】2016年，美国电信巨头威瑞森宣布计划收购互联网门户网站雅虎，并提出了48.3亿美元的诱人报价。业内人士也看好这笔交易。然而，在双方接触的关键时刻，雅虎接连爆出数据泄露事件。2016年9月，雅虎被指控泄露至少5亿条账户信息。2016年12月披露的另一起事件更是震惊了业界:雅虎首席信息安全官鲍勃·洛德(Bob Lord)承认，他们发现3年前的一次泄露可能会影响10亿用户，被窃取的用户信息包括姓名、电子邮件地址、电话号码、出生日期等。两起事件一度让这笔交易的前景蒙上灰尘，也引发了美国证券交易委员会的介入。最终，威瑞森以44.8亿美元完成收购，数据安全事件导致雅虎收购价暴跌3.5亿美元。[1]

从这个案例可以看出，数据合规对卖家的意义重大。除了在日常运营中关注数据合规的建设，聪明的卖家会在MA工作开始前进行布局，委托外部专业机构进行数据合规调整，提前发现数据合规风险来源，及时采取整改措施，关闭或降低风险敞口。这种方法可以帮助卖家提高包括数据资产在内的资产估值。在保证交易安全的同时，也有助于赢得更有利的销售条件或吸引更好的买家。如果在MA进入实质性接触阶段出现数据安全“雷电”，或者买方在尽职调查中发现数据合规问题，可能会压低收购价格，提出更苛刻的条款条件，或者邀请政府主管机构介入，甚至导致交易终止。

谈判阶段的数据最小化原则

最低数据必要性原则已在许多司法管辖区的数据保护立法中得到确认，并已成为全球数据治理的共识。例如，GDPR第5条规定，个人数据的处理应限于数据处理的最低必要范围。《个人信息保护法》第六条规定，应当以对个人权益影响最小的方式处理个人信息。因此，在MA过程中，必须确保符合数据最小化原则。

在实际操作中，卖方需要向买方提供相应的数据，以促进交易。如果仅用于买方评估MA计划，卖方有义务对原始用户数据进行脱敏，采用匿名或化名的方式向买方提供符合行业标准且不能指向特定自然人的统计数据，而不是直接托盘出原始用户数据。

特殊情况下，需要向买家提供可识别的个人信息的，应当查阅用户协议和隐私条款，查看“MA交易使用”是否在用户约定的使用范围内，否则应当征得用户单独同意。在交易谈判的激烈阶段，对于“MA交易使用”无疑很难获得用户的唯一同意。因此，对于企业并购的有限数据披露和交换，在日常经营活动中制定完善的用户协议和隐私条款，并取得用户的充分同意，显得尤为重要。

和灾难恢复VDR合规性。

DR是一个物理上独立的空房间，大多设置在卖方公司，负责存放重要的交易文件，供双方律师和会计审核。随着信息技术的发展和新冠肺炎疫情的蔓延，为了降低交易成本和提高工作效率，通过限制和控制访问网站来设置VDR的方式被越来越广泛地使用。为保证DR和VDR的数据安全，应合理控制访客权限，避免交易过程中的数据泄露或数据滥用。

并购完成后的数据转移

GDPR第6.4条规定，只有当数据传输的目的与数据收集时数据处理的目的一致时，才无需获得数据主体的另一项明示同意。《个人信息保护法》第二十二条明确规定，个人信息处理者因合并、分立、解散、破产等原因需要转移个人信息的，应当告知个人接收方的名称和联系方式。接收方应继续履行个人信息处理者的义务。接受方改变原治疗目的和方法的，应当依照本法规定重新取得个人同意。

因此，MA建成后，在业务调整或跨部门数据共享的场景下，如果改变数据采集时承诺的用途，需要经过用户特别同意后才能进行数据转移。至于具体的同意方式，可以采用选择加入或者双重确认的框架来保证用户同意的有效性。

【Opt-in】Opt-in是指用户采取明确的行动表示同意。在个人信息保护领域，这种同意包括对基本隐私政策的同意，有时还包括订阅电子邮件和简讯邮件列表以及接受使用cookie等附属选项。在MA完成后的数据传输场景中，相关电子复选框应默认为未选中，以获得用户的明确同意。

[双重决定]双重选择加入是一种两级同意架构。典型的应用场景包括:用户提交个人信息进行注册后，发送带有确认链接的邮件，需要用户进行二次确认。这种架构设计可以避免用户身份的滥用或冒用，也有利于提高用户的效率。在MA建成后的数据传递场景中，这样的框架可以用于用户信息的用途变更和信息传递。通过收集用户个人信息的联系方式，发送二次确认的通知，收到二次确认的链接后再将信息入库。

三。MA交易中的买方视角:法律尽职调查中的数据保护调查

[案例2]2014年，在线旅游网站猫途鹰以2亿美元收购了旅游预订公司Viator。交易于2014年8月中旬交割。大约两周后，Viator宣布成为用户数据泄露的受害者。多达140万客户的个人数据和信用卡信息可能被泄露。消息传出后，猫途鹰的股票下跌了5%。[2]

从交易的角度来看，收购方要树立“有缺陷的数字资产和有负担的传统财产一样，会对收购乃至收购后的业务发展产生影响”的风险意识。此外，合格的数据尽职调查还可以帮助买方更全面合理地评估收购价格。在并购中，尤其是收购拥有庞大数字资产的互联网公司时，做好数据合规尤为重要。

数据合规性检查表的建议内容

1.数据处理器的主体身份

一般身份审查。目标公司是否具备数据相关运营资质；是否与境外实体存在连接，并已进行数据传输；是否被有关部门认定为关键信息基础设施运营商或为关键信息基础设施运营商提供产品或服务。

特殊行业专项检查。目标公司是否属于特殊规格的特殊行业，要根据行业的特殊规格进行特殊审查。比如在健康与生命科学领域，根据《人类遗传资源管理条例》第二条规定，人类遗传资源信息是指人类遗传资源产生的数据等信息材料，与人类遗传资源一样，属于人类遗传资源。但监管对“境外单位”采集、保存和利用人类遗传资源信息提出了更高的要求[3]。因此，如果买方是涉及该类业务的生物医药企业，则需要结合行业法规和监管逻辑判断是否为“外企”，从而更好地确定合规工作的要求和重点。

2.数据处理行为和数字产品或服务

处理数据全过程的合规性审查。根据GDPR和个人信息保护法的规定，数据处理涵盖数据收集、存储、使用、处理、传输、提供、披露、删除等过程。对于这些覆盖数据全生命周期的流程，要逐级排查风险源。

数字产品或服务的符合性审查。目标公司自用或对外提供的互联网产品；平台的安全状态和合规性。

技术审查。目标公司是否符合数据的技术分类和备份；是否采取了适当的隔离、加密、脱敏、分类和访问限制措施；SDK和API接口的使用是否合规。

3.数据安全历史

目标公司是否受到与网络安全或数据隐私相关的重大调查、质询或制裁，是否受到网信办、中国证监会或其他相关政府机构的网络安全审查，或因未遵守网络安全或数据隐私法律法规而受到任何重大罚款或其他重大处罚，以及受到民事起诉、行政执法调查或处罚、刑事调查或起诉等情况。

如果目标公司未被问询、处罚或起诉，但存在未披露的攻击或泄密行为，也应要求卖方公司说明情况或自行进行调查。

4.数据保护合规体系的构建

目标公司数据合规专门制度的建设情况。目标公司是否已建立数据安全防范机制、数据安全事故的响应机制、个人信息安全或者关键信息基础设施的评估制度，是否组建网络安全和数据安全的专业部门，建立网络安全监测预警和信息通报制度；是否定期进行网络安全审计，是否有受理并处理用户投诉和