从数据治理角度浅析新《公司法》的三大影响

观点摘要
01 新《公司法》引入了单层制公司治理结构，公司在优化调整公司治理结构过程中，需注意设立数据治理委员会董事会决议的有效性，以及数据治理委员会成员的任职要求。
02 新《公司法》未限制符合条件的数据资产作价入股，但是为了防范出资不实导致的相关风险，相关方可以考虑以数据交易来替代数据资产作价入股，但需注意关联交易的合规性要求，避免承担连带责任风险。
03 新《公司法》从法律层面明确了横向法人人格否认制度，建议集团公司明确旗下各公司的数据法角色定位及各公司之间的数据法关系，并由各公司根据自身的数据法角色定位依法落实相应的数据合规义务，避免出现数据混同，从而引发人员混同、财务混同、业务混同等问题，从而降低穿透风险。
前言
2023年12月29日，新修订的《中华人民共和国公司法》（以下简称“新《公司法》”）正式发布，并将于2024年7月1日起施行。新《公司法》对公司治理结构、股东出资责任、横向法人格否认等方面作出了重大调整，对公司的数据治理工作提出了新的挑战。立足数字经济时代，本文将从数据治理视角，浅析新《公司法》对公司数据治理组织体系的搭建、数据资产作价入股、集团公司内部数据流转及其法律责任认定，以期为相关企业提供参考。
一、企业数据治理组织体系，该如何搭建？
新《公司法》引入了单层制公司治理结构[1]，公司可以在董事会中设置由董事组成的审计委员会，行使监事会的职权，不设监事会或者监事[2]。可以预见，在新《公司法》正式实施后，公司治理结构的优化调整将迎来一波高潮。
在数字经济时代，搭建企业数据治理组织体系不仅是落实法定义务的要求（如《数据安全法》规定“重要数据的处理者应当明确数据安全负责人和管理机构”[3]、《个人信息保护法》规定“处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人”[4]），也是盘活数据资产、发挥数据价值的必然选择。
在优化调整公司治理结构过程中，公司新设的审计委员会和数据治理委员会之间有什么关系？搭建公司数据治理委员会需要注意哪些合规要点？对此，我们理解，审计委员会是公司章程规定的公司治理机构之一，数据治理委员会一般属于公司内部管理机构，由董事会决定其设置。在搭建公司数据治理委员会过程中，需注意相关董事会决议的有效性，数据治理委员会的成员建议具备相关工作经历及专业知识，对负责人建议事先进行必要的背景审查；此外，个人信息保护“守门人”需注意成立主要由外部成员组成的独立机构[5]。
二、数据资产作价入股，如何防范连带责任风险？
在数字经济时代，数据资产作价入股作为一种新的出资形式引起了广泛讨论，北京在2023年7月发布的《关于更好发挥数据要素作用进一步加快发展数字经济的实施意见》中提出“探索市场主体以合法的数据资产作价出资入股企业”[6]、青岛在2023年8月率先开展“数据资产作价入股签约”[7]。
随着2024年1月1日《企业数据资源相关会计处理暂行规定》[8]的正式实施，数据资产作价入股是否存在空间？各地市场监督管理部门态度如何？什么叫做数据资产出资到位？在新《公司法》强化股东出资责任背景下，如果股东以数据资产作价入股，如何防范其出资不实导致的相关法律风险？数据资产具有无形性、可复制性，如何理解其入股和抽逃出资的关系？
对此，我们理解，新《公司法》未限制符合条件的数据资产作价入股，数据资源登记、数据知识产权登记[9]、数据资源“入表”等积极探索，为数据资产作价入股创造了可能性。但是，目前我国数据基础制度尚不完善，数据产权问题、数据价值评估、数据合规标准等难点问题仍未形成共识性的解决方案。因此，从股东或股权受让人角度，为防范出资不实导致的连带责任风险，建议关注以数据资产作为出资形式的股权；从董、监、高人员角度，为防范出资不实导致的赔偿责任风险及抽逃出资导致的连带责任风险，建议聘请第三方专业机构重点核查数据资产作价入股的合法性，要求公司为自己购买责任保险；从公司角度，为避免引起未来投资人的顾虑、上市过程中被过度关注，可以考虑以数据交易、数据交互等来替代数据资产作价入股，但需注意关联交易的合规性要求。
三、集团公司内部如何规范数据共享活动？
最高院2013年发布的第15号指导案例[10]确立了横向法人人格否认的先例，《全国法院民商事审判工作会议纪要》[11]对“公司人格否认”的具体适用规则进行了详细论述，新《公司法》从法律层面明确了横向法人人格否认制度[12]，股东利用其控制的两个以上公司，滥用公司法人独立地位和股东有限责任、逃避债务、严重损害公司债权人利益，各公司需对任一公司的债务承担连带责任。
在数字经济时代，集团公司内部如何规范数据共享活动、如何建立数据流通的风险隔离措施，以避免母公司为某一或者多个子公司的数据处理违规行为“买单”？2022年网信办对某互联网公司作出的80.26亿元行政处罚，对于今天企业完善自身集团数据治理结构，仍具有重大警示意义。
四、小结
根据新《公司法》及《网络安全法》《数据安全法》《个人信息保护法》等相关法律的规定，结合相关行政执法案例、司法判例，参考行业良好实践，我们建议，无论采取何种数据治理模式（如集中式、分散式、混合式等模式），集团公司均需明确旗下各公司在主营业务或者重点场景下的不同数据法角色定位（如数据处理者、数据处理受托人），以及明确各公司之间的数据法律关系（如委托处理、共同处理、第三方独立接入等），并由各公司在具体的数据法律关系中，结合其自身的数据法角色定位，依法落实相应的数据合规义务（包括设立数据安全管理机构、明确数据安全负责人、制定数据安全管理制度、落实数据安全管理和技术措施等），避免在数据治理上出现数据混同，从而导致业务混同、财务混同、人员混同等一系列问题，从而降低穿透风险。
数据治理的核心目标之一，就是降本增效。随着数字经济时代的发展，数据的价值将更加深入人心。而在面对大模型的发展，“百模大战”下，AIGC企业之间比拼的，除了充沛的算力和高质量的数据以外，不可忽略的是科学的企业治理结构。因为它是AIGC企业的长远发展的基石。而对于AIGC企业来说，数据治理必然是其公司治理中的重中之重。为此，有人戏说“得数据者，得天下”“得高质量数据者，将形成独有的护城河”。但是我们也不得不正视，笑到最后的，则可能是“数据治理水平”更高的企业。所以，我们应该学习新《公司法》，并带着数据治理的视角去完善自身的治理结构。
[1] 参见：《单层制公司董事会监督功能构造》，载“政法论坛”微信公众号，https://mp.weixin.qq.com/s/onHtq34BoMYfHaPO5nEoqg，最后访问时间为2024年1月7日。
[2] 新《公司法》第六十九条有限责任公司可以按照公司章程的规定在董事会中设置由董事组成的审计委员会，行使本法规定的监事会的职权，不设监事会或者监事。公司董事会成员中的职工代表可以成为审计委员会成员。
第一百二十一条第一款 股份有限公司可以按照公司章程的规定在董事会中设置由董事组成的审计委员会，行使本法规定的监事会的职权，不设监事会或者监事。
[3] 《数据安全法》第二十七条第二款 重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。
[4] 《个人信息保护法》第五十二条第一款处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。
[5] 《个人信息保护法》第五十八条提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务：
（一）按照国家规定建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督；……
[6] 参见：《中共北京市委北京市人民政府印发<关于更好发挥数据要素作用进一步加快发展数字经济的实施意见>的通知》,载北京经信局官网，https://jxj.beijing.gov.cn/zwgk/zcwj/bjszc/202307/t202307073157870.html，最后访问时间为2024年1月7日。
[7] 参见：《推动数据资产化释放数据新价值青岛率先开展“数据资产作价入股签约”》，载“青岛市大数据发展管理局”微信公众号，https://mp.weixin.qq.com/s/a6M0qe-WvlKTx27Hd3m99Q，最后访问时间为2024年1月7日。
[8] 参见：《财政部关于印发<企业数据资源相关会计处理暂行规定>的通知》，载国务院官网，https://www.gov.cn/gongbao/2023/issue10746/202310/content6907744.html，最后访问时间为2024年1月7日。
[9] 参见：《我国已颁发数据知识产权登记证书超2000份（知识产权报）》，载国家知识产权局官网，https://www.cnipa.gov.cn/art/2023/11/17/art55_188600.html，最后访问时间为2024年1月7日。
[10] 参见：《指导案例15号：徐工集团工程机械股份有限公司诉成都川交工贸有限责任公司等买卖合同纠纷案》，载最高院官网，https://www.court.gov.cn/shenpan-xiangqing-13321.html，最后访问时间为2024年1月7日。
[11] 参见：《最高人民法院关于印发<全国法院民商事审判工作会议纪要>的通知》，载最高院官网，https://www.court.gov.cn/zixun-xiangqing-199691.html，最后访问时间为2024年1月7日。
[12] 新《公司法》第二十三条第二款 股东利用其控制的两个以上公司实施前款规定行为的，各公司应当对任一公司的债务承担连带责任。