前 言
数据是现代企业的血液，以大数据或互联网为工具开发新型服务或产品的传统行业企业也依赖数据带来新的业务增长点。随着《中华人民共和国网络安全法》（“《网络安全法》”）正式生效并逐步深入落实，网络安全执法活动日趋活跃，科技企业的网络安全及数据保护合规状态亦成为监管机关的重点关注内容。
对于科技企业上市而言，数据不仅作为企业资产价值评估的重点，其全流程管理的合规现状也已成为上市审核的核心要素。从数据堂员工涉嫌刑事犯罪到墨迹天气上市申请被否，在《网络安全法》生效的不到三年内，数据合规问题逐渐从幕后走向台前，走入大众的视野，也落入上市审核机关的“射程”范围内。拟上市企业、保荐机构、会计师事务所与律师事务所若只关注企业盈利能力、关联交易、应收账款，而忽视了企业对数据的管理，数据合规问题则可能成为拟上市企业的阿克琉斯之踵。在数据收集、数据融合、数据的二次开发、数据流转、用户推送等环节稍有不慎，数据合规问题可能成为企业上市的“拦路虎”，甚至引发刑事责任：
2017年8月11日，数据堂（北京）科技股份有限公司因员工涉嫌侵犯公民个人信息罪而作出公司股票暂停转让的公告。[1]
2018年4月4日，中国证券监督管理委员会（“证监会”）第十七届发行审核委员会（“发审委”）2018年第57次发审委会议审核北京博睿宏远数据科技股份有限公司[2]（创业板）（首发）未通过。
2018年11月2日，北京瑞智华胜科技股份有限公司因涉及特大数据泄露案件于新三板终止挂牌。2019年10月28日，越城区人民法院宣判北京瑞智华胜科技股份有限公司犯非法获取计算机信息系统数据罪，判处罚金人民币10,000,000元，公司法定代表人及涉案员工共七人分别被判处2年至3年6个月不等刑期，并处罚金。
2019年3月5日，从事互联网数据服务的天聚地合（苏州）数据股份有限公司创业板上市申请终止审查。
2019年10月11日，发审委审核北京墨迹风云科技股份有限公司（创业板）（首发）未通过。
为了协助科技企业在申请上市过程落实数据合规工作，妥善回应发审委问询，降低拟上市企业潜在的数据合规风险，我们梳理了自《网络安全法》生效以来审核机关对主板、创业板、科创板上市（或拟上市）企业、新三板挂牌企业及上市重组的审核问询，涉及共27家企业数据收集、数据权属、数据使用和共享、第三方处理、数据安全、数据立法和监管对业务的影响等涵盖企业整个数据生命周期的问题。同时，我们对上市过程中审核机关关注的数据合规风险点进行了系统梳理并提出了相应合规建议，希望可以对拟上市科技企业开展数据合规工作提供帮助。
一、企业上市面临的数据合规挑战
基于我们对公开材料的梳理，分别有1家主板上市企业、12家创业板上市（或拟上市）企业、9家科创板上市（或拟上市）企业、2家新三板挂牌企业（包括1家已停牌企业）在申请上市或挂牌过程中接受了发审委或交易平台关于数据合规问题的问询。此外，3家创业板上市企业在开展并购重组项目中，也因标的公司的数据相关业务接受了证监会上市公司并购重组审核委员会的问询。我们基于上述27家企业的招股说明书、审查反馈意见、问询函、发审委会议审核公告等文件，汇总整理了发审委重点关注的九类数据合规问题：数据源合规、数据权属、数据使用、数据共享、第三方处理、数据安全、系统与技术、数据立法和监督、数据相关的业务经营。
* 为首发未通过、在审或停止挂牌企业
# 为匿名企业，以其所属行业或核心产品代称
表（一）
* 为首发未通过、在审或停止挂牌企业
# 为匿名企业，以其所属行业或核心产品代称
表（二）
二、企业上市须应对的数据合规重点问题
通过上述梳理，我们发现在创业板及科创板上市申报过程中，审核机关最关注的三类问题为数据源合规、数据安全及数据使用合规。这三类问题无疑应是拟上市企业数据合规治理的重中之重。在此，我们对百余个数据合规问题进行了梳理，以期全面展现拟上市企业将面临的数据合规问询。
表（三）
企业在创业板与科创板申请上市过程中涉及的上述数据合规的问询问题覆盖了企业数据全生命周期的管理活动。除此之外，我们观察到主板上市企业也在申请上市过程中被要求说明其系统是否安全稳定可靠，是否开展了IT审计，以及如何确保数据获取的可靠性与准确性。上市企业推进数据业务相关的并购重组项目时也会面临并购重组审核委员会对标的公司提出的类似问询，这对于拟上市企业也具备一定的参考价值。
同时，新三板挂牌企业同样面临数据合规问询以及数据合规风险，甚至涉及更为严重的刑事风险，如2017年8月11日，数据堂（北京）科技股份有限公司因员工涉嫌侵犯公民个人信息罪而作出公司股票暂停转让的公告，直至2018年9月11日才恢复转让[39]。2017年北京瑞智华胜科技股份有限公司申请新三板挂牌过程中被要求解释数据采集、使用的合法合规性问题。因涉嫌特大数据泄露案件，公司于2018年11月终止挂牌[40]。2019年公司被判非法获取计算机信息系统数据罪，判处罚金人民币10,000,000元。
《科技企业上市之数据合规》共分为上、中、下三篇，以上是上篇的全部内容。我们将在中篇梳理既往上市企业申报过程中面临的主要数据合规风险点，以期全面展现拟上市企业将面临的数据合规审查趋势。在下篇中，我们将分三个部分讨论拟上市企业如何开展数据合规治理工作，以妥善应对审核机关问询，并有效降低行政监管、民事甚至刑事风险。
[注]
[1] 《数据堂（北京）科技股份有限公司重大事项暂停转让公告》，2017年8月11日
[2] 公司的主要业务主动式检测的实施需要在APP或服务器安装SDK及探针
[3]《浙江每日互动网络科技股份有限公司创业板首次公开发行股票申请文件反馈意见》
[4]《中国证监会行政许可项目审查二次反馈意见通知书》；《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》
[5]《关于北京慧辰资道资讯股份有限公司首次公开发行股票并在科创板上市申请文件的第二轮审核问询函》
[6]《北京市万商天勤律师事务所关于公司首次公开发行人民币普通股（A股）股票并在创业板上市的补充法律意见书（四）》，口头反馈问题一（浙江每日互动网络科技股份有限公司）
[7]《关于对上海华铭智能终端设备股份有限公司的重组问询函》
[8]《中国证监会行政许可项目审查二次反馈意见通知书》；《北京市万商天勤律师事务所关于公司首次公开发行人民币普通股（A股）股票并在创业板上市的补充法律意见书（四）》，口头反馈问题一；《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》）
[9]《北京市万商天勤律师事务所关于公司首次公开发行人民币普通股（A股）股票并在创业板上市的补充法律意见书（四）》，口头反馈问题四（浙江每日互动网络科技股份有限公司）
[10]《中国证监会行政许可项目审查二次反馈意见通知书》；《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》
[11]《北京墨迹风云科技股份有限公司创业板首次公开发行股票申请文件反馈意见》
[12]《关于普元信息技术股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[13]《关于北京慧辰资道资讯股份有限公司首次公开发行股票并在科创板上市申请文件的第二轮审核问询函》
[14]《关于北京慧辰资道资讯股份有限公司首次公开发行股票并在科创板上市申请文件的第二轮审核问询函》
[15]《关于对北京梅泰诺通信技术股份有限公司的重组问询函》（现名为北京数知科技股份有限公司）
[16]《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》
[17]《关于北京慧辰资道资讯股份有限公司首次公开发行股票并在科创板上市申请文件的第二轮审核问询函》
[18]《关于普元信息技术股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[19]《关于普元信息技术股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[20]《关于请做好相关项目发审委会议准备工作的函》（北京科锐国际人力资源股份有限公司）
[21]《关于请做好发审会议准备工作的函》（深信服科技股份有限公司）
[22]《关于请做好发审会议准备工作的函》（深信服科技股份有限公司）
[23]《中国证监会行政许可项目审查二次反馈意见通知书》；《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》
[24]《关于杭州安恒信息技术股份有限公司首次公开发行股票并在科创板上市申请文件的第二轮审核问询函》
[25]《关于优刻得科技股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[26]《中国证监会行政许可项目审查二次反馈意见通知书》；《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》）
[27] 第十七届发审委2018年第57次会议审核结果公告，北京博睿宏远数据科技股份有限公司（首发）未通过
[28]《浙江每日互动网络科技股份有限公司创业板首次公开发行股票申请文件反馈意见》
[29]《北京市万商天勤律师事务所关于公司首次公开发行人民币普通股（A股）股票并在创业板上市的补充法律意见书（四）》，口头反馈问题三；《中国证监会行政许可项目审查二次反馈意见通知书》；《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》）
[30]《中国证监会行政许可项目审查二次反馈意见通知书》（浙江每日互动网络科技股份有限公司）
[31] 第十八届发审委2019年第142次会议审核结果公告，北京墨迹风云科技股份有限公司（首发）未通过
[32] 并购重组委2016年第47次会议审核结果公告，上海康耐特光学股份有限公司发行股份购买资产方案审核意见）（现名为旗天科技集团股份有限公司）
[33]《北京博睿宏远数据科技股份有限公司创业板首次公开发行申请文件反馈意见》
[34]《关于普元信息技术股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[35] 第十七届发审委2018年第57次会议审核结果公告，北京博睿宏远数据科技股份有限公司（首发）未通过
[36]《关于优刻得科技股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[37]《关于北京慧辰资道资讯股份有限公司首次公开发行股票并在科创板上市申请文件的第三轮审核问询函》
[38]《关于北京慧辰资道资讯股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[39]《数据堂（北京）科技股份有限公司关于股票恢复转让的公告》，2018年9月7日
[40]《北京瑞智华胜科技股份有限公司关于公司股票在全国中小企业股份转让系统终止挂牌的公告》，2018年11月1日
数据是现代企业的血液，以大数据或互联网为工具开发新型服务或产品的传统行业企业也依赖数据带来新的业务增长点。随着《中华人民共和国网络安全法》（“《网络安全法》”）正式生效并逐步深入落实，网络安全执法活动日趋活跃，科技企业的网络安全及数据保护合规状态亦成为监管机关的重点关注内容。
对于科技企业上市而言，数据不仅作为企业资产价值评估的重点，其全流程管理的合规现状也已成为上市审核的核心要素。从数据堂员工涉嫌刑事犯罪到墨迹天气上市申请被否，在《网络安全法》生效的不到三年内，数据合规问题逐渐从幕后走向台前，走入大众的视野，也落入上市审核机关的“射程”范围内。拟上市企业、保荐机构、会计师事务所与律师事务所若只关注企业盈利能力、关联交易、应收账款，而忽视了企业对数据的管理，数据合规问题则可能成为拟上市企业的阿克琉斯之踵。在数据收集、数据融合、数据的二次开发、数据流转、用户推送等环节稍有不慎，数据合规问题可能成为企业上市的“拦路虎”，甚至引发刑事责任：
2017年8月11日，数据堂（北京）科技股份有限公司因员工涉嫌侵犯公民个人信息罪而作出公司股票暂停转让的公告。[1]
2018年4月4日，中国证券监督管理委员会（“证监会”）第十七届发行审核委员会（“发审委”）2018年第57次发审委会议审核北京博睿宏远数据科技股份有限公司[2]（创业板）（首发）未通过。
2018年11月2日，北京瑞智华胜科技股份有限公司因涉及特大数据泄露案件于新三板终止挂牌。2019年10月28日，越城区人民法院宣判北京瑞智华胜科技股份有限公司犯非法获取计算机信息系统数据罪，判处罚金人民币10,000,000元，公司法定代表人及涉案员工共七人分别被判处2年至3年6个月不等刑期，并处罚金。
2019年3月5日，从事互联网数据服务的天聚地合（苏州）数据股份有限公司创业板上市申请终止审查。
2019年10月11日，发审委审核北京墨迹风云科技股份有限公司（创业板）（首发）未通过。
为了协助科技企业在申请上市过程落实数据合规工作，妥善回应发审委问询，降低拟上市企业潜在的数据合规风险，我们梳理了自《网络安全法》生效以来审核机关对主板、创业板、科创板上市（或拟上市）企业、新三板挂牌企业及上市重组的审核问询，涉及共27家企业数据收集、数据权属、数据使用和共享、第三方处理、数据安全、数据立法和监管对业务的影响等涵盖企业整个数据生命周期的问题。同时，我们对上市过程中审核机关关注的数据合规风险点进行了系统梳理并提出了相应合规建议，希望可以对拟上市科技企业开展数据合规工作提供帮助。
一、企业上市面临的数据合规挑战
基于我们对公开材料的梳理，分别有1家主板上市企业、12家创业板上市（或拟上市）企业、9家科创板上市（或拟上市）企业、2家新三板挂牌企业（包括1家已停牌企业）在申请上市或挂牌过程中接受了发审委或交易平台关于数据合规问题的问询。此外，3家创业板上市企业在开展并购重组项目中，也因标的公司的数据相关业务接受了证监会上市公司并购重组审核委员会的问询。我们基于上述27家企业的招股说明书、审查反馈意见、问询函、发审委会议审核公告等文件，汇总整理了发审委重点关注的九类数据合规问题：数据源合规、数据权属、数据使用、数据共享、第三方处理、数据安全、系统与技术、数据立法和监督、数据相关的业务经营。
* 为首发未通过、在审或停止挂牌企业
# 为匿名企业，以其所属行业或核心产品代称
表（一）
* 为首发未通过、在审或停止挂牌企业
# 为匿名企业，以其所属行业或核心产品代称
表（二）
二、企业上市须应对的数据合规重点问题
通过上述梳理，我们发现在创业板及科创板上市申报过程中，审核机关最关注的三类问题为数据源合规、数据安全及数据使用合规。这三类问题无疑应是拟上市企业数据合规治理的重中之重。在此，我们对百余个数据合规问题进行了梳理，以期全面展现拟上市企业将面临的数据合规问询。
表（三）
企业在创业板与科创板申请上市过程中涉及的上述数据合规的问询问题覆盖了企业数据全生命周期的管理活动。除此之外，我们观察到主板上市企业也在申请上市过程中被要求说明其系统是否安全稳定可靠，是否开展了IT审计，以及如何确保数据获取的可靠性与准确性。上市企业推进数据业务相关的并购重组项目时也会面临并购重组审核委员会对标的公司提出的类似问询，这对于拟上市企业也具备一定的参考价值。
同时，新三板挂牌企业同样面临数据合规问询以及数据合规风险，甚至涉及更为严重的刑事风险，如2017年8月11日，数据堂（北京）科技股份有限公司因员工涉嫌侵犯公民个人信息罪而作出公司股票暂停转让的公告，直至2018年9月11日才恢复转让[39]。2017年北京瑞智华胜科技股份有限公司申请新三板挂牌过程中被要求解释数据采集、使用的合法合规性问题。因涉嫌特大数据泄露案件，公司于2018年11月终止挂牌[40]。2019年公司被判非法获取计算机信息系统数据罪，判处罚金人民币10,000,000元。
《科技企业上市之数据合规》共分为上、中、下三篇，以上是上篇的全部内容。我们将在中篇梳理既往上市企业申报过程中面临的主要数据合规风险点，以期全面展现拟上市企业将面临的数据合规审查趋势。在下篇中，我们将分三个部分讨论拟上市企业如何开展数据合规治理工作，以妥善应对审核机关问询，并有效降低行政监管、民事甚至刑事风险。
[注]
[1] 《数据堂（北京）科技股份有限公司重大事项暂停转让公告》，2017年8月11日
[2] 公司的主要业务主动式检测的实施需要在APP或服务器安装SDK及探针
[3]《浙江每日互动网络科技股份有限公司创业板首次公开发行股票申请文件反馈意见》
[4]《中国证监会行政许可项目审查二次反馈意见通知书》；《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》
[5]《关于北京慧辰资道资讯股份有限公司首次公开发行股票并在科创板上市申请文件的第二轮审核问询函》
[6]《北京市万商天勤律师事务所关于公司首次公开发行人民币普通股（A股）股票并在创业板上市的补充法律意见书（四）》，口头反馈问题一（浙江每日互动网络科技股份有限公司）
[7]《关于对上海华铭智能终端设备股份有限公司的重组问询函》
[8]《中国证监会行政许可项目审查二次反馈意见通知书》；《北京市万商天勤律师事务所关于公司首次公开发行人民币普通股（A股）股票并在创业板上市的补充法律意见书（四）》，口头反馈问题一；《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》）
[9]《北京市万商天勤律师事务所关于公司首次公开发行人民币普通股（A股）股票并在创业板上市的补充法律意见书（四）》，口头反馈问题四（浙江每日互动网络科技股份有限公司）
[10]《中国证监会行政许可项目审查二次反馈意见通知书》；《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》
[11]《北京墨迹风云科技股份有限公司创业板首次公开发行股票申请文件反馈意见》
[12]《关于普元信息技术股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[13]《关于北京慧辰资道资讯股份有限公司首次公开发行股票并在科创板上市申请文件的第二轮审核问询函》
[14]《关于北京慧辰资道资讯股份有限公司首次公开发行股票并在科创板上市申请文件的第二轮审核问询函》
[15]《关于对北京梅泰诺通信技术股份有限公司的重组问询函》（现名为北京数知科技股份有限公司）
[16]《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》
[17]《关于北京慧辰资道资讯股份有限公司首次公开发行股票并在科创板上市申请文件的第二轮审核问询函》
[18]《关于普元信息技术股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[19]《关于普元信息技术股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[20]《关于请做好相关项目发审委会议准备工作的函》（北京科锐国际人力资源股份有限公司）
[21]《关于请做好发审会议准备工作的函》（深信服科技股份有限公司）
[22]《关于请做好发审会议准备工作的函》（深信服科技股份有限公司）
[23]《中国证监会行政许可项目审查二次反馈意见通知书》；《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》
[24]《关于杭州安恒信息技术股份有限公司首次公开发行股票并在科创板上市申请文件的第二轮审核问询函》
[25]《关于优刻得科技股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[26]《中国证监会行政许可项目审查二次反馈意见通知书》；《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》）
[27] 第十七届发审委2018年第57次会议审核结果公告，北京博睿宏远数据科技股份有限公司（首发）未通过
[28]《浙江每日互动网络科技股份有限公司创业板首次公开发行股票申请文件反馈意见》
[29]《北京市万商天勤律师事务所关于公司首次公开发行人民币普通股（A股）股票并在创业板上市的补充法律意见书（四）》，口头反馈问题三；《中国证监会行政许可项目审查二次反馈意见通知书》；《关于请做好浙江每日互动网络科技股份有限公司发审委会议准备工作的函》）
[30]《中国证监会行政许可项目审查二次反馈意见通知书》（浙江每日互动网络科技股份有限公司）
[31] 第十八届发审委2019年第142次会议审核结果公告，北京墨迹风云科技股份有限公司（首发）未通过
[32] 并购重组委2016年第47次会议审核结果公告，上海康耐特光学股份有限公司发行股份购买资产方案审核意见）（现名为旗天科技集团股份有限公司）
[33]《北京博睿宏远数据科技股份有限公司创业板首次公开发行申请文件反馈意见》
[34]《关于普元信息技术股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[35] 第十七届发审委2018年第57次会议审核结果公告，北京博睿宏远数据科技股份有限公司（首发）未通过
[36]《关于优刻得科技股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[37]《关于北京慧辰资道资讯股份有限公司首次公开发行股票并在科创板上市申请文件的第三轮审核问询函》
[38]《关于北京慧辰资道资讯股份有限公司首次公开发行股票并在科创板上市申请文件的审核问询函》
[39]《数据堂（北京）科技股份有限公司关于股票恢复转让的公告》，2018年9月7日
[40]《北京瑞智华胜科技股份有限公司关于公司股票在全国中小企业股份转让系统终止挂牌的公告》，2018年11月1日