导读
中央网信办网站2日发布消息，为防范国家数据安全风险，维护国家安全，保障公共利益，依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》，网络安全审查办公室按照《网络安全审查办法》，对“滴滴出行”实施网络安全审查。为配合网络安全审查工作，防范风险扩大，审查期间“滴滴出行”停止新用户注册。
而四天之前的6月30日，成立9年的滴滴正式在纽交所挂牌上市，股票代码为 "DIDI"。
消息一出，一石激起千层浪，众说纷纭。为什么滴滴在此时被实施网络安全审查? 要回答这个问题，我们需要理清以下的几个子问题：
- 滴滴是谁？
- 网络安全审查制度是怎么运行的？
- 美国的上市监管和长臂管辖
- 什么原因触发了审查机制？
01 滴滴是谁？
1） 滴滴是平台企业
滴滴与百姓生活关系密切，印象中是一个打车软件。实际上，滴滴出行不但是涵盖了出租车、专车、滴滴快车、顺风车、代驾及大巴、货运等多项出行业务，而且还集成了电商、互金、骑行等功能，是一个综合性平台。
2） 滴滴上市架构是VIE架构
滴滴上市采用的是VIE架构。VIE(Variable Interest Entity)来源于财务概念，即可变利益实体，亦被称为“协议控制”。大体上是指外国投资者通过一系列协议安排控制境内运营实体，取得境内运营实体经济利益，但无须收购境内运营实体股权的一种投资结构。
VIE架构通常用于外国投资者投资中国限制或禁止外商投资领域的实体。比如，在国内运营云服务需要从工信部取得增值电信业务IRCS牌照，而这些牌照是禁止或限制外资取得的，有些投资就采用VIE架构取得了所需要的牌照。
下图是滴滴上市文件披露的公司架构，是一种典型的VIE架构。
3） 滴滴的基本数据
6月11日，滴滴出行正式向美国证券交易委员会递交了IPO招股书，依照招股书，我们可以窥见滴滴的基本体量：
营收状况：2018年、2019年和2020年，滴滴的营收分别为1353亿元（单位：人民币，下同）、1548亿元和1417亿元。在截至2021年3月31日的三个月间，滴滴实现营收为422亿元。
而在注册用户方面，招股书披露了下图的数据。其中，业务涵盖15个国家、4000个城市，年活跃用户在4.93亿，司机则有一千五百万。
（FORM F-1 REGISTRATION STATEMENT UNDER THE SECURITIES ACT OF 1933）
在国内网约车APP竞争状况方面，依照艾媒的分析数据，从2020年4-8月网约车APP月活跃用户数数据来看，整体来看滴滴出行APP越月活越用户数远超于其他APP，其中4月滴滴出行4月份月活跃用户数为5064.1万人，8月滴滴出行份月活跃用户数为5487.1万人。
至此，我们能够对滴滴有了一个比较全面的了解，简单而言，它是一个有着4.9亿年活用户的平台，在国内网约车APP中占有绝对优势的地位，且与大众生活密切关联。
02 什么是“网络安全审查”？
1） 网络安全审查源于国家安全审查
网络安全审查制度法律基础来源于《国家安全法》第五十九条，国家建立国家安全审查和监管的制度和机制，对影响或者可能影响国家安全的网络信息技术产品和服务得以进行国家安全审查；以及《网络安全法》第三十五条，关键信息基础设施的运营者（Critical Information Infrastructure Operator，“CIIO”）采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。
通俗一点儿讲，CIIO在采购网络产品/服务之前，得先搞清楚是否影响国家安全，如影响国家安全的话，这事儿就不能做。
2020年4月27日，国家互联网信息办公室（“国家网信办”）会同国家发展和改革委员会等12部局联合发布《网络安全审查办法》（“2020版审查办法”），取代国家网信办2017年发布的《网络产品和服务安全审查办法（试行）》（“2017版审查办法”），并于2020年6月1日正式实施。
下图是网络安全审查的基本流程。可以看出，整个审查程序中，CIIO是主要的责任主体，也是网络安全审查制度监管实施的抓手。
2） 关键信息基础设施
既然网络安全审查的抓手是CIIO，那CIIO又是什么呢？按照《网络安全法》的规定， 国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施实施重点保护。
《网络安全法》颁布后，有关部门就开始了《关键信息基础设施安全保护条例》的制定工作，历经数年，仍未落地。根据之前发布的征求意见稿，关键信息基础设施是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能会严重危害国家安全、国计民生、公共利益的网络设施、信息系统等。
《关键信息基础设施安全保护条例》不落地，CII的范围和识别标准就不清晰，很多企业就不清楚自己是否构成CIIO。还好，从最近国务院的《国务院2021年立法工作计划》看， 《关键信息基础设施安全保护条例》列入了2021的年度立法计划。
说了这么多，滴滴出行平台构成关键信息基础设施吗？从行业、用户数、公共利益等多因素考量，应该是。
3） 重要数据
还有一个值得讨论的概念是“重要数据”，这个概念与网络安全审查密切相关。
《网络安全法》第三十七条规定，CIIO在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。
《网络安全审查办法》规定，网络安全审查重点评估采购网络产品和服务可能带来的国家安全风险，包括“重要数据被窃取、泄露、毁损的风险”。
最近颁布的《数据安全法》又重申和加强了重要数据保护制度，并规定，重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。
至此，那什么是重要数据？重要数据很重要，又是强监管，但遗憾的是重要数据识别的配套法规和标准尚未落地，《信息安全技术 重要数据识别指南》标准的制定还在进行。参照《重要数据识别指南》草案，重要数据目前可以理解为，我国政府、企业、个人在境内收集、产生的不涉及国家秘密，但与国家安全、经济发展以及公共利益密切相关的数据（包括原始数据和衍生数据），一旦未经授权披露、丢失、滥用、篡改或销毁，或汇聚、整合、分析后，可能对国家安全、国家经济和金融安全、社会公共利益、个人合法权益等造成相关严重后果的数据。
那滴滴平台收集的数据是重要数据吗？应该是的。
4） 滴滴是什么？
看到此，关于CIIO和重要数据的界定也就基本清晰了。
03 信息披露、“长臂管辖权” 和制裁反制裁
在美国上市，意味着上市公司需要进行持续性的信息披露。美国公开发行证券采用注册制，注册制的核心即为持续性信息披露。一旦成为公众公司，需要将公司的经营数据和资料持续提交和披露。这涉及数据的跨境传输和披露。
“长臂管辖权”是一个法律用语。美国法院对外国或外州非居民被告所主张的特别管辖权称为“长臂管辖权”。“长臂管辖”的基本法理依据是“最低限度联系理论”和所谓“效果原则”。在美国上市明显地建立了和美国法的链接点。
继华为和中兴制裁事件后，2020年8 月，美国总统特朗普签署行政令，将在 45 天后禁止任何美国个人或实体与抖音海外版(TikTok)、微信（WeChat）及其中国母公司进行任何交易。虽然此禁令由于司法审查的介入和总统选举等因素没有得以实施，但确实为公司的正常运营带来了非常大的不确定性。
6月10日，全国人大通过《中华人民共和国反外国制裁法》，自公布之日起施行。外国国家违反国际法和国际关系基本准则，以各种借口或者依据其本国法律对我国进行遏制、打压，对我国公民、组织采取歧视性限制措施，干涉我国内政的，我国有权采取相应反制措施。
这是放在国际大环境中看这件事。
04 回答为什么
1） 滴滴的澄清
作为一个多年经历风雨的大型平台企业，合规制度应该是全面的，滴滴不会这样做。
2） 是因为滴滴采购了关键网络产品没有申报？
依照《网络安全审查办法》第五条规定， 运营者采购网络产品和服务的，应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的，应当向网络安全审查办公室申报网络安全审查。
猜测之一是，滴滴采购了网络产品和服务，应该预判风险及申报，而没有这么做。此猜想的可能性不大，如果单纯是因为采购了网络产品和服务，那这件事就简单多了。
3） 应当综合地看这次审查
不要忘记，除了CIIO的预判和申报而启动网络安全审查程序外，《网络安全审查办法》还规定了网络安全审查办公室可以依职权启动审查程序。 第十五条规定， 网络安全审查工作机制成员单位认为影响或可能影响国家安全的网络产品和服务，由网络安全审查办公室按程序报中央网络安全和信息化委员会批准后，依照本办法的规定进行审查。
因此，综合以上的分析，网络安全审查办公室依职权启动了审查程序的可能性大。
05 逐渐被建立或激活的工具箱
通过立法和有效执法，国家安全审查体系在不断完善，目前法律制度下所包含的有效国家安全审查制度构成如下图。 在滴滴之前，网络安全审查也可能实施过，但以明确公告的方式来实施还是第一次，这有助于有效激活这项重要的国家安全审查制度。
党的十九大报告中提到，新时代中国特色社会主义建设需要坚持总体国家安全观。总体国家安全观是新时代党中央对我国面临的各种安全问题和安全挑战的系统回应。
中央网信办网站2日发布消息，为防范国家数据安全风险，维护国家安全，保障公共利益，依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》，网络安全审查办公室按照《网络安全审查办法》，对“滴滴出行”实施网络安全审查。为配合网络安全审查工作，防范风险扩大，审查期间“滴滴出行”停止新用户注册。
而四天之前的6月30日，成立9年的滴滴正式在纽交所挂牌上市，股票代码为 "DIDI"。
消息一出，一石激起千层浪，众说纷纭。为什么滴滴在此时被实施网络安全审查? 要回答这个问题，我们需要理清以下的几个子问题：
- 滴滴是谁？
- 网络安全审查制度是怎么运行的？
- 美国的上市监管和长臂管辖
- 什么原因触发了审查机制？
01 滴滴是谁？
1） 滴滴是平台企业
滴滴与百姓生活关系密切，印象中是一个打车软件。实际上，滴滴出行不但是涵盖了出租车、专车、滴滴快车、顺风车、代驾及大巴、货运等多项出行业务，而且还集成了电商、互金、骑行等功能，是一个综合性平台。
2） 滴滴上市架构是VIE架构
滴滴上市采用的是VIE架构。VIE(Variable Interest Entity)来源于财务概念，即可变利益实体，亦被称为“协议控制”。大体上是指外国投资者通过一系列协议安排控制境内运营实体，取得境内运营实体经济利益，但无须收购境内运营实体股权的一种投资结构。
VIE架构通常用于外国投资者投资中国限制或禁止外商投资领域的实体。比如，在国内运营云服务需要从工信部取得增值电信业务IRCS牌照，而这些牌照是禁止或限制外资取得的，有些投资就采用VIE架构取得了所需要的牌照。
下图是滴滴上市文件披露的公司架构，是一种典型的VIE架构。
3） 滴滴的基本数据
6月11日，滴滴出行正式向美国证券交易委员会递交了IPO招股书，依照招股书，我们可以窥见滴滴的基本体量：
营收状况：2018年、2019年和2020年，滴滴的营收分别为1353亿元（单位：人民币，下同）、1548亿元和1417亿元。在截至2021年3月31日的三个月间，滴滴实现营收为422亿元。
而在注册用户方面，招股书披露了下图的数据。其中，业务涵盖15个国家、4000个城市，年活跃用户在4.93亿，司机则有一千五百万。
（FORM F-1 REGISTRATION STATEMENT UNDER THE SECURITIES ACT OF 1933）
在国内网约车APP竞争状况方面，依照艾媒的分析数据，从2020年4-8月网约车APP月活跃用户数数据来看，整体来看滴滴出行APP越月活越用户数远超于其他APP，其中4月滴滴出行4月份月活跃用户数为5064.1万人，8月滴滴出行份月活跃用户数为5487.1万人。
至此，我们能够对滴滴有了一个比较全面的了解，简单而言，它是一个有着4.9亿年活用户的平台，在国内网约车APP中占有绝对优势的地位，且与大众生活密切关联。
02 什么是“网络安全审查”？
1） 网络安全审查源于国家安全审查
网络安全审查制度法律基础来源于《国家安全法》第五十九条，国家建立国家安全审查和监管的制度和机制，对影响或者可能影响国家安全的网络信息技术产品和服务得以进行国家安全审查；以及《网络安全法》第三十五条，关键信息基础设施的运营者（Critical Information Infrastructure Operator，“CIIO”）采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。
通俗一点儿讲，CIIO在采购网络产品/服务之前，得先搞清楚是否影响国家安全，如影响国家安全的话，这事儿就不能做。
2020年4月27日，国家互联网信息办公室（“国家网信办”）会同国家发展和改革委员会等12部局联合发布《网络安全审查办法》（“2020版审查办法”），取代国家网信办2017年发布的《网络产品和服务安全审查办法（试行）》（“2017版审查办法”），并于2020年6月1日正式实施。
下图是网络安全审查的基本流程。可以看出，整个审查程序中，CIIO是主要的责任主体，也是网络安全审查制度监管实施的抓手。
2） 关键信息基础设施
既然网络安全审查的抓手是CIIO，那CIIO又是什么呢？按照《网络安全法》的规定， 国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施实施重点保护。
《网络安全法》颁布后，有关部门就开始了《关键信息基础设施安全保护条例》的制定工作，历经数年，仍未落地。根据之前发布的征求意见稿，关键信息基础设施是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能会严重危害国家安全、国计民生、公共利益的网络设施、信息系统等。
《关键信息基础设施安全保护条例》不落地，CII的范围和识别标准就不清晰，很多企业就不清楚自己是否构成CIIO。还好，从最近国务院的《国务院2021年立法工作计划》看， 《关键信息基础设施安全保护条例》列入了2021的年度立法计划。
说了这么多，滴滴出行平台构成关键信息基础设施吗？从行业、用户数、公共利益等多因素考量，应该是。
3） 重要数据
还有一个值得讨论的概念是“重要数据”，这个概念与网络安全审查密切相关。
《网络安全法》第三十七条规定，CIIO在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。
《网络安全审查办法》规定，网络安全审查重点评估采购网络产品和服务可能带来的国家安全风险，包括“重要数据被窃取、泄露、毁损的风险”。
最近颁布的《数据安全法》又重申和加强了重要数据保护制度，并规定，重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。
至此，那什么是重要数据？重要数据很重要，又是强监管，但遗憾的是重要数据识别的配套法规和标准尚未落地，《信息安全技术 重要数据识别指南》标准的制定还在进行。参照《重要数据识别指南》草案，重要数据目前可以理解为，我国政府、企业、个人在境内收集、产生的不涉及国家秘密，但与国家安全、经济发展以及公共利益密切相关的数据（包括原始数据和衍生数据），一旦未经授权披露、丢失、滥用、篡改或销毁，或汇聚、整合、分析后，可能对国家安全、国家经济和金融安全、社会公共利益、个人合法权益等造成相关严重后果的数据。
那滴滴平台收集的数据是重要数据吗？应该是的。
4） 滴滴是什么？
看到此，关于CIIO和重要数据的界定也就基本清晰了。
03 信息披露、“长臂管辖权” 和制裁反制裁
在美国上市，意味着上市公司需要进行持续性的信息披露。美国公开发行证券采用注册制，注册制的核心即为持续性信息披露。一旦成为公众公司，需要将公司的经营数据和资料持续提交和披露。这涉及数据的跨境传输和披露。
“长臂管辖权”是一个法律用语。美国法院对外国或外州非居民被告所主张的特别管辖权称为“长臂管辖权”。“长臂管辖”的基本法理依据是“最低限度联系理论”和所谓“效果原则”。在美国上市明显地建立了和美国法的链接点。
继华为和中兴制裁事件后，2020年8 月，美国总统特朗普签署行政令，将在 45 天后禁止任何美国个人或实体与抖音海外版(TikTok)、微信（WeChat）及其中国母公司进行任何交易。虽然此禁令由于司法审查的介入和总统选举等因素没有得以实施，但确实为公司的正常运营带来了非常大的不确定性。
6月10日，全国人大通过《中华人民共和国反外国制裁法》，自公布之日起施行。外国国家违反国际法和国际关系基本准则，以各种借口或者依据其本国法律对我国进行遏制、打压，对我国公民、组织采取歧视性限制措施，干涉我国内政的，我国有权采取相应反制措施。
这是放在国际大环境中看这件事。
04 回答为什么
1） 滴滴的澄清
作为一个多年经历风雨的大型平台企业，合规制度应该是全面的，滴滴不会这样做。
2） 是因为滴滴采购了关键网络产品没有申报？
依照《网络安全审查办法》第五条规定， 运营者采购网络产品和服务的，应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的，应当向网络安全审查办公室申报网络安全审查。
猜测之一是，滴滴采购了网络产品和服务，应该预判风险及申报，而没有这么做。此猜想的可能性不大，如果单纯是因为采购了网络产品和服务，那这件事就简单多了。
3） 应当综合地看这次审查
不要忘记，除了CIIO的预判和申报而启动网络安全审查程序外，《网络安全审查办法》还规定了网络安全审查办公室可以依职权启动审查程序。 第十五条规定， 网络安全审查工作机制成员单位认为影响或可能影响国家安全的网络产品和服务，由网络安全审查办公室按程序报中央网络安全和信息化委员会批准后，依照本办法的规定进行审查。
因此，综合以上的分析，网络安全审查办公室依职权启动了审查程序的可能性大。
05 逐渐被建立或激活的工具箱
通过立法和有效执法，国家安全审查体系在不断完善，目前法律制度下所包含的有效国家安全审查制度构成如下图。 在滴滴之前，网络安全审查也可能实施过，但以明确公告的方式来实施还是第一次，这有助于有效激活这项重要的国家安全审查制度。
党的十九大报告中提到，新时代中国特色社会主义建设需要坚持总体国家安全观。总体国家安全观是新时代党中央对我国面临的各种安全问题和安全挑战的系统回应。