并购交易实务之——从合规和资产视角看数据（中）

本系列上一篇文章《并购交易实务之–从合规和资产视角看数据（上）》，介绍了并购交易视角下的数据合规监管现状，目标公司常见数据合规风险及并购方的关注要点，以及未恰当履行数据合规义务的后果和影响。
本篇中，我们主要分析如下内容：并购交易中，哪些行业中的目标公司需要特别关注数据问题甚至进行专项数据合规尽调；在交易过程中收集和处理个人信息需要注意的问题；以及，如何在交易中处理数据合规发现。
一、需就数据合规问题予以更高关注的典型行业/企业
尽管个人信息和数据安全相关法律法规对泛行业、全领域的个人信息处理者/数据处理者提出了合规要求，数据合规问题仍保留明显的行业特征，不同行业的并购交易所需要的关注度也不尽相同。我们认为，以如下四类企业作为标的的并购交易中，收购方需要对目标公司的数据合规风险识别工作给予高度重视；该等企业指“数据业务型”企业、“数据驱动型”企业、“数据密集型”企业和“特别监管型”企业。
1.数据业务型企业

2.数据驱动型企业

3.数据密集型企业

4.特别监管型企业

二、尽调和投资并购交易过程中如何收集和处理个人信息
并购方在尽职调查过程中，经常需要收集一部分个人信息，出售方和目标公司也会向并购方及其顾问提供个人信息。这些行为同样受到个人信息保护一般规则的规制，并且需要在尽职调查的不同环节中，按照这些环节的特点，予以特别关注。
1.个人信息保护基本规则同样适用
尽职调查过程中的个人信息收集和提供，与其他正常业务经营场景中的个人信息收集和提供一样，需要受到个人信息保护和处理规则的规制。
首要地，尽职调查过程中的个人信息处理需要具有合法性基础。个人信息主体的“同意”是最为常见的合法性基础；针对其他的合法性基础，在适用的过程中，往往存在无法匹配的问题。例如，作为常见常用的合法性基础之一的“履行合同所必须”，往往因为目标公司的员工或个人用户并非并购交易的合同一方，而难以适用。
除合法性基础以外，个人信息处理的其他要求，例如适用于跨境、对外提供、委托处理等行为的要求，在并购项目的尽职调查中也应该遵守。
2.常见的问题和关注要点
(a)并购方可能直接接触个人信息主体的情形
第一种可能出现的场景是，并购方的尽职调查需要收集一些个人信息，且并购方可能接触到相关个人信息主体。尽管本情况出现的机会和频率相对有限，但在该情况下，并购方有机会就其个人信息处理行为直接取得个人信息主体的同意。
例如，并购方在尽职调查中有很多机会直接接触、访谈创始人及核心员工团队，不论是以当面或远程的形式，甚至是书面采访的形式。这一过程中，如果创始人或核心员工主动提供了其个人信息，则属于个人信息主体主动提供。
但是，如果相关信息被提供到并购方的境外人员或者境外顾问时，则属于个人信息出境行为，宜在访谈中明确告知受访对象出境目的、接收方的信息等。
另应注意，这类场景下收集的个人信息，仅能用于受访者（尽调对象）所知的目的，例如尽职调查结果的整理、分析以及对并购交易项目本身的评估等，而不应用于其他目的。
(b)并购方无法直接接触个人信息主体的情形
第二种可能出现的场景是，并购方意图收集一些个人信息，但无法直接接触到个人信息主体。典型的场景是目标公司将部分员工的个人信息（如简历、薪酬、股权激励安排、绩效评定结果等）提供给并购方。
此时，并购方需要考虑采取一定风险管控措施。例如，在并购交易双方签署的保密协议或其他流程性协议文件中，考虑加入目标公司和出售方的陈述保证，描述目标公司和出售方已经就其所提供的个人信息，向个人信息主体进行告知并获得个人信息主体的同意，或者已经具有其他适当的合法性基础。
(c)遵守个人信息处理的“最小必要”原则
根据个人信息处理的“最小必要”原则，并购方在尽调中，宜审慎考虑拟收集信息是否确实是尽职调查所需。考虑到尽调过程中并购方缺少直接接触个人信息主体的机会，难以取得这些个人信息主体的同意，遵守 “最小必要”原则的要求就更为重要。
其实，除了对创始人和少量核心团队成员的个人信息确有了解必要，对于目标公司其他员工的个人信息，并购方往往并没有切实的必要进行收集。例如，为判断交易可行性和目标公司运营风险，并购方并无必要知悉每个员工的姓名、联系方式、职级或报酬，具有汇总性质的信息与资料通常足以满足并购方的需求。
因此，在尽调过程中，特别是尽调材料收集阶段，建议并购方对公司提出更为精确的资料提供要求，可以明确公司可以不用提供某些类型、场景或者范围的个人信息，或者明确公司应提供某一统计口径下的、不具有识别或关联到具体个人颗粒度的汇总数据（例如当前期权发放的总体数量、确权的总体数量、薪资最高的若干名员工的薪酬总额等）。
3.跨境交易中个人信息出境的特别关切
跨境交易中，需要关注个人信息出境的问题。个人信息出境的方式有两类：一是目标公司作为境内个人信息处理者，将境内个人信息提供给境外接收方；二是并购方的境内人员及主体，作为境内的个人信息处理者，将境内个人信息提供给境外接收方。
在第一类情况下，如果并购方的主要执行团队的劳动或服务关系位于境外，且目标公司将个人信息直接提供给并购方的执行团队，或位于境外的服务器（不论是电子邮件服务器还是文档存储服务器），则可能构成目标公司将境内的个人信息提供给并购方（作为境外接收方）。这种情况下，目标公司应确保符合个人信息出境的合规要求，例如获得个人信息主体的单独同意，进行个人信息出境的评估，在符合条件的范围内选择并遵守《中华人民共和国个人信息保护法》第38条下的三重出境路径（评估/认证/跨境合同范本）的要求。
在第二类情况下，如果并购方的主要执行团队的劳动或服务关系位于境内，目标公司将个人信息提供给并购方的境内执行团队或境内关联实体，而境内团队进一步将个人信息作为尽调资料的一部分，传输给并购方位于境外的同事、服务器，则可能构成并购方的境内主体作为个人信息出境的处理者，将个人信息传输给并购方的境外主体（作为境外接收方）。此时，并购方的境内主体需要完成个人信息出境的合规要求，而这个工作往往存在各种现实的难度。
三、重大数据合规问题在交易文件中的处理
1.与核心业务模式有关的数据合规问题可能左右项目推进与否
一些目标公司的底层或核心业务模式与数据处理高度相关，甚至主营业务本身就依赖于数据处理或数据共享，例如上文提及的“数据业务型”企业或“数据驱动型”企业。此类企业业务模式如存在根本性的数据合规问题，可能影响并购方对是否推进交易的评判。
在过去相当一段时间内，部分中小规模的、以“数据业务”作为主营业务的企业，在数据（特别是个人信息）的处理方面存在较大瑕疵。典型如部分在线人力资源大数据公司、助贷公司（特别是提供借款人信用评分或资质评级服务的公司）等；部分此类公司出于成本考虑，加之合规意识薄弱等问题，存在大量未经同意收集个人信息的情况，包括使用爬虫通过网络渠道不当爬取个人信息，乃至从第三方购买或以资源交换个人信息等。
这些活动存在明显数据合规瑕疵，且直接关系到企业主营业务的核心资产或核心模式（例如核心的数据资产，或作为核心业务模式的个人信息中介及提供活动），一旦被主管机关关注，或被用户发现其违规行为，容易在行政执法、诉讼等活动中失去核心资产或丧失持续稳定经营的能力。对于这类目标公司，并购方需要对其核心价值进行重新评估与考量，综合考虑是否继续推进交易。
2.与部分业务模式有关的数据合规问题，可能需要剥离相关业务板块或调整目标公司估值
如果目标公司拥有多个独立业务板块，其中部分业务板块的核心业务模式面临严重的数据合规问题，并购方及出售方可能考虑的方案之一是将其剥离，将其他业务纳入并购交易考量的范围。比如，一些主营业务较为“传统”的企业，对“线上化”和“数据化”的新兴业务进行探索尝试，开拓了“线上”等新业务，此类新业务往往带有较为浓厚的“数据”色彩，涉及大量数据处理活动。如果该类新业务存在严重的数据合规瑕疵，不直接影响作为基本盘的主营业务的合规性，可能考虑剥离或关停新业务。
需要注意的是，业务板块的剥离需要具备一定的剥离条件。如果原先的传统业务和存在严重合规瑕疵的新兴业务都是使用同一业务主体开展，人员也存在一定混同，甚至新兴业务的业务数据和收集的个人信息与目标公司其他数据及信息相对混同，缺少隔离管控，则即使关停了新业务，可能也无法较为明晰地切断新业务造成的合规风险，因为此前的数据处理活动已经产生了法律责任风险，关停业务不一定能确保在并购交易完成后目标公司不受到处罚或不面临诉讼的实质风险。
对于有出售计划的目标公司，在开展新兴的、“线上化”、“数据化”业务时，应尽可能采取主体分离、人员分离、数据分离等措施，以在新兴业务存在重大合规问题时能够及时进行剥离。
3.结合并购方的身份背景和商业需求，对并购后是否额外产生数据出境需求进行预判，并对数据出境情况进行预评估
如果目标公司及其股东都是中国本地主体，并购方是境外的主体（特别是境外的具有产业背景的并购方），可能产生目标公司的数据出境需求及风险。该种情形下，并购方可能存在内部业务整合、集团内数据打通，或者全球统一进行人力资源管理和部分业务数据管理的现实需要。为满足这些需求，并购方需要将目标公司的个人信息或其他数据传输到境外的并购方总部。
这类传输行为构成典型的数据出境，需要根据具体出境的数据类型（例如是否涉及个人信息、敏感个人信息、重要数据、特定行业中受到特别监管的数据等）和数据量，对出境的可行性和合规义务进行事先评判。例如，如果涉及到地理位置原始信息、人类遗传资源信息等，可能涉及前置审批；如果涉及国家秘密，则原则上不应出境；如果涉及向境外传输大量个人信息（例如上年1月1日以来累计超过10万人个人信息或超过1万人的敏感个人信息）或重要数据，则需要进行数据出境安全自评估，并需要向网信部门申请数据出境安全评估，且需要就个人信息出境部分，获得个人信息主体单独同意、开展个人信息保护影响评估等工作。如果上述法规要求和合规义务对于并购方来说存在实质困难，并购方应事先考虑是否能够接受数据继续本地化、不向境外总部传输的替代处理方案。
4.对不实质性影响业务模式的数据合规问题的处理
如果数据合规问题不影响业务的可持续性或基本面，则各方可以回到“陈述保证”、“交割条件”、“赔偿”等惯常的交易保护框架内，对数据合规问题引发的潜在风险，利用这些交易保护和风险分担机制，推进并购交易的达成。
并购方能够获得何种交易保护条款，与交易各方谈判地位、时间表以及数据合规问题本身的严重程度、整改难易度直接相关。针对陈述保证、交割条件、交割后承诺、一般性和特别赔偿等机制的利弊，适用于对各类尽调发现的处理，与数据合规问题并不直接关联，本文不再赘述。值得注意的是，对于数据合规瑕疵，特别是涉及到个人信息保护方面的问题，个保法规定了较为宽泛的责任区间（对于情节严重的违法行为，主管机关不仅可以没收违法所得，还可以处五千万元以下或者上一年度营业额百分之五以下罚款），交易各方必须对具体的数据合规问题（包括事实、性质、违规程度等）做细致的调查和评估。在此类监管处罚事件频发、各地上市审核机构重点关注的背景下，实践中，并购方在数据合规方面往往要求更为全面和严格的保护，我们预计该等取向在相当长的时间内仍将持续。