㈠ 网络安全合规涉及的监管部门主要包括国家网信部门、电信主管部门、公安部门对不是错
是不对的，《网络安全法》第八条提出国家网信部门负责统筹协调网络安全工作和相关监督管理工作。电信主管部门、公安部门和其他有关机关依照本法和有关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作。
2015年6月，第十二届全国人大常委会第十五次会议初次审议了《中华人民共和国网络安全法（草案）》。 网络安全法草案于2015年7月6日至2015年8月5日在中国人大网上全文公布，并向社会公开征求意见。
《中华人民共和国网络安全法》一共分七章七十九条。2017年6月1日，不仅仅是一年一度的儿童节，还是《中华人民共和国网络安全法》正式生效的日子。
从今日起，我国网络安全工作有了基础性的法律框架，针对网络亦有了更多法律约束，中国信息安全行业进入新的时代。
㈡ 数据爬虫行为如何合规
前言
由于网络数据爬取行为具有高效检索、批量复制且成本低廉的特征，现已成为许多企业获取数据资源的方式。也正因如此，一旦爬取的数据设计他人权益时，企业将面临诸多法律风险。本文将从数据爬取行为的相关概述、数据爬取相关立法规定，结合数据爬取行为近期典型案例，探讨数据爬取行为的合规要点。
一、数据爬取行为概述
数据爬取行为是指利用网络爬虫或者类似方式，根据所设定的关键词、取样对象等规则，自动地抓取万维网信息的程序或者脚本，并对抓取结果进行大规模复制的行为。
使用爬虫爬取数据的过程当中，能否把握合法边界是关系企业生死存亡的问题。近些年大数据、人工智能的广泛使用，对各种数据的刚性需求，使数据行业游走在“灰色边缘”。面对网络数据安全的“强监管”态势，做好数据合规、数据风控刻不容缓。当前我国并没有相关法律法规对数据爬取行为进行专门规制，而是根据爬取数据的不同“质量”，主要通过《中华人民共和国着作权法》（以下简称“《着作权法》）、《中华人民共和国反不正当竞争法》（以下简称“《反不正当竞争法》”）、《中华人民共和国刑法》（以下简称“《刑法”》）等现有法律法规进行规制。
二、数据爬取相关法律责任梳理
（一）承担刑事责任
1、非法侵入计算机信息系统罪
《刑法》第285条第1款规定了“非法侵入计算机信息系统罪”，违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。
典型案例：李某等非法侵入计算机信息系统罪(2018)川3424刑初169号
本案中，被告人李某使用“爬虫”软件，大量爬取全国各地及凉山州公安局交警支队车管所公告的车牌放号信息，之后使用软件采用多线程提交、批量刷单、验证码自动识别等方式，突破系统安全保护措施，将爬取的车牌号提交至“交通安全服务管理平台”车辆报废查询系统，进行对比，并根据反馈情况自动记录未注册车牌号，建立全国未注册车牌号数据库。之后编写客户端查询软件，由李某通过QQ、淘宝、微信等方式，以300-3000元每月的价格，分省市贩卖数据库查阅权限。
法院认为，被告人李文某为牟取私利，违法国家规定，侵入国家事务领域的计算机信息系统，被告人的行为均已构成非法侵入计算机信息系统罪。
2、非法获取计算机信息系统数据罪
《刑法》第285条第2款规定如下，违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。同时，《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用刑事案件应用法律若干问题的解释》第1条对“情节严重”作出了具体的规定：“非法获取计算机信息系统数据或者非法控制计算机信息系统，具有下列情形之一的，应当认定为刑法第二百八十五条第二款规定的“情节严重”：（一）获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息十组以上的；（二）获取第（一）项以外的身份认证信息五百组以上的；（三）非法控制计算机信息系统二十台以上的；（四）违法所得五千元以上或者造成经济损失一万元以上的；（五）其他情节严重的情形。”
典型案例：李某、王某等非法获取计算机信息系统数据、非法控制计算机系统案（2021）沪0104刑初148号
本案中，益采公司在未经淘宝（中国）软件有限公司授权许可的情况下，经李某授意，益采公司部门负责人被告人王某、高某等人分工合作，以使用IP代理、“X-sign”签名算法等手段突破、绕过淘宝公司的“反爬虫”防护机制，再通过数据抓取程序大量非法抓取淘宝公司存储的各主播在淘宝直播时的开播地址、销售额、观看PV、UV等数据。至案发，益采公司整合非法获取的数据后对外出售牟利，违法所得共计人民币22万余元。法院认为被告人李某、王某、高某等人构成非法获取计算机信息系统数据罪，分别判处有期徒刑二年六个月、一年三个月不等，并处罚金。
法院认为，被告人李文某为牟取私利，违法国家规定，侵入国家事务领域的计算机信息系统，被告人的行为均已构成非法侵入计算机信息系统罪。
3、提供侵入、非法控制计算机信息系统程序、工具罪
《刑法》第285条第3款对该罪规定如下，提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依照前款的规定处罚。《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用刑事案件应用法律若干问题的解释》中还列举了“具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权获取计算机信息系统数据的功能的”等类型的程序、工具。
典型案例：陈辉提供侵入、非法控制计算机信息系统程序、工具罪（2021）粤0115刑初5号
本案中，被告人陈辉为牟取非法利益，在本区编写爬虫软件用于在浙江淘宝网络有限公司旗下的大麦网平台上抢票，并以人民币1888元到6888元不等的价格向他人出售该软件，非法获利人民币12万余元。2019年7月11日，被告人陈辉被公安机关抓获。经鉴定，上述爬虫软件具有以非常规的方式构造和发送网络请求，模拟用户在大麦网平台手动下单和购买商品的功能；具有以非常规手段模拟用户识别和输入图形验证码的功能，该功能可绕过大麦网平台的人机识别验证机制，以非常规方式访问大麦网平台的资源。
本院认为，被告人陈辉提供专门用于侵入、非法控制计算机信息系统程序、工具，情节特别严重，依法应予惩处。
4、 侵犯公民个人信息罪
《刑法》第253条中规定了该罪，违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。
典型案例：杭州魔蝎数据 科技 有限公司、周江翔、袁冬侵犯公民个人信息罪（2020）浙0106刑初437号
本案中，被告人周江翔系魔蝎公司法定代表人、总经理，负责公司整体运营，被告人袁冬系魔蝎公司技术总监，系技术负责人，负责相关程序设计。魔蝎公司主要与各网络贷款公司、小型银行进行合作，为网络贷款公司、银行提供需要贷款的用户的个人信息及多维度信用数据，方式是魔蝎公司将其开发的前端插件嵌入上述网贷平台A**中，在网贷平台用户使用网贷平台的APP借款时，贷款用户需要在魔蝎公司提供的前端插件上，输入其通讯运营商、社保、公积金、淘宝、京东、学信网、征信中心等网站的账号、密码，经过贷款用户授权后，魔蝎公司的爬虫程序代替贷款用户登录上述网站，进入其个人账户，利用各类爬虫技术，爬取（复制）上述企、事业单位网站上贷款用户本人账户内的通话记录、社保、公积金等各类数据。
法院认为，被告单位杭州魔蝎数据 科技 有限公司以其他方法非法获取公民个人信息，情节特别严重，其行为已构成侵犯公民个人信息罪。被告人周江翔、袁冬分别系对被告单位魔蝎公司侵犯公民个人信息行为直接负责的主管人员和其他直接责任人员，其行为均已构成侵犯公民个人信息罪。
5、侵犯着作权罪
根据《刑法》第217条规定，以营利为目的，有下列侵犯着作权或者与着作权有关的权利的情形之一，违法所得数额较大或者有其他严重情节的，处三年以下有期徒刑，并处或者单处罚金；违法所得数额巨大或者有其他特别严重情节的，处三年以上十年以下有期徒刑，并处罚金：（一）未经着作权人许可，复制发行、通过信息网络向公众传播其文字作品、音乐、美术、视听作品、计算机软件及法律、行政法规规定的其他作品的；（二）出版他人享有专有出版权的图书的；（三）未经录音录像制作者许可，复制发行、通过信息网络向公众传播其制作的录音录像的；（四）未经表演者许可，复制发行录有其表演的录音录像制品，或者通过信息网络向公众传播其表演的；（五）制作、出售假冒他人署名的美术作品的；（六）未经着作权人或者与着作权有关的权利人许可，故意避开或者破坏权利人为其作品、录音录像制品等采取的保护着作权或者与着作权有关的权利的技术措施的。
典型案例：谭某某等侵犯着作权罪（2020）京0108刑初237号
本案中，被告鼎阅公司自2018年开始，在覃某某等12名被告人负责管理或参与运营下，未经掌阅 科技 股份有限公司、北京幻想纵横网络技术有限公司等权利公司许可，利用网络爬虫技术爬取正版电子图书后，在其推广运营的“鸿雁传书”“TXT全本免费小说”等10余个App中展示，供他人访问并下载阅读，并通过广告收入、付费阅读等方式进行牟利。根据经公安机关依法提取收集并经勘验、检查、鉴定的涉案侵权作品信息数据、账户交易明细、鉴定结论、广告推广协议等证据，法院查明，涉案作品侵犯掌阅 科技 股份有限公司、北京幻想纵横网络技术有限公司享有独家信息网络传播权的文字作品共计4603部，侵犯中文在线数字出版集团股份有限公司享有独家信息网络传播权的文字作品共计469部。
法院认为，鼎阅公司、直接负责的主管人员覃某某等12名被告人以营利为目的，未经着作权人许可，复制发行他人享有着作权的文字作品，情节特别严重，其行为均已构成侵犯着作权罪，应予惩处。
（2） 构成不正当竞争
我国《反不正当竞争法》第12条规定：“经营者利用网络从事生产经营活动，应当遵守本法的各项规定。经营者不得利用技术手段，通过影响用户选择或者其他方式，实施下列妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的行为：（一）未经其他经营者同意，在其合法提供的网络产品或者服务中，插入链接、强制进行目标跳转；（二）误导、欺骗、强迫用户修改、关闭、卸载其他经营者合法提供的网络产品或者服务；（三）恶意对其他经营者合法提供的网络产品或者服务实施不兼容；（四）其他妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的行为。
典型案例：深圳市腾讯计算机系统有限公司、腾讯 科技 （深圳）有限公司与被告某新媒体公司不正当竞争纠纷案
本案中，两原告系微信公众平台的经营者和管理者，被告某新媒体公司系某网站经营者，利用爬虫技术抓取微信公众平台文章等信息内容数据，并通过网站对外提供公众号信息搜索、导航及排行等数据服务。原告诉称，被告利用被控侵权产品，突破微信公众平台的技术措施进行数据抓取，并进行商业化利用，妨碍平台正常运行，构成不正当竞争。被告辩称，爬取并提供公众号数据服务的行为不构成不正当竞争，其爬取的文章并非腾讯公司的数据，而是微信公众号的用户数据，且其网站获利较少。
法院认为，被告违背诚实信用原则，擅自使用原告征得用户同意、依法汇集且具有商业价值的数据，并足以实质性替代其他经营者提供的部分产品或服务，损害公平竞争的市场秩序，属于《反不正当竞争法》第十二条第二款第四项所规定的妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的行为，构成不正当竞争。
（3） 行政责任
我国当前关于爬虫行为所应承担的行政责任主要规定在《网络安全法》中，其中涉嫌违反第27条规定的：“任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。”，需要承担一定的行政责任。该法第63条对违反第27条还规定了具体的行政处罚措施，包括“没收违法所得”“拘留”“罚款”等处罚。同时，对违反27条规定受到处罚的相关人员也作出了任职限制规定。
此外，《数据安全管理办法（征求意见稿）》第16条对爬虫适用作出了限流规定：“网络运营者采取自动化手段访问收集网站数据，不得妨碍网站正常运行；此类行为严重影响网站运行，如自动化访问收集流量超过网站日均流量三分之一，网站要求停止自动化访问收集时，应当停止。”同时，第37条也规定了相应的行政责任：网络运营者违反相关规定的，由有关部门给予公开曝光、没收违法所得、暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或吊销营业执照等处罚。
三、数据爬取行为的合规指引
（一）严格规范数据爬取行为
1、如果目标网站有反爬取协议，应严格遵守网站设置的 Robots协议。Robots协议(也称为爬虫协议、机器人协议等)的全称是“网络爬虫排除标准”，网站通过Robots协议告诉搜索引擎哪些页面可以抓取，哪些页面不能抓取。该协议尊重信息提供者的意愿，并维护其隐私权;保护其使用者的个人信息和隐私不被侵犯。Robots协议代表一种契约精神，互联网企业只有遵守这一规则，才能保证网站及用户的隐私数据不被侵犯。可以说，无论从保护网民隐私还是尊重版权内容的角度，遵守robots协议都应该是正规互联网公司的默之举，任何违反robots协议的行为都应该为此付出代价。
2、合理限制抓取的内容。在设置抓取策略时，应注意编码禁止抓取视频、音乐等可能构成作品的、明确的着作权作品数据，或者针对某些特定网站批量抓取其中的用户生成内容；在使用、传播抓取到的信息时，应审查所抓取的内容，如发现属于用户的个人信息、隐私或者他人的商业秘密的，应及时停止并删除。对于内部系统数据，严格禁止侵入。
3、爬取行为不应妨碍网站的正常运行。企业应当合理控制爬取的频率，尽可能避免过于频繁地抓取数据，特别是如果超过了《数据安全管理办法（征求意见稿）》明确规定的“自动化访问收集流量超过网站日均流量三分之一”的要求，就应当严格遵守网站的要求，及时停止数据抓取。
（二）爬取个人信息时恪守合法、正当、必要原则
在我国，合法、正当、必要原则散见于《消费者权益保护法》、《网络安全法》、《全国人大常委会关于加强网络信息保护的决定》、《个人信息安全规范》等法律与规范之中。网络经营者拟爬取用户个人信息的，应当严格遵守上述法律法规的规定，以取得个人用户的事前同意为原则，避免超出用户的授权范围爬取信息。同样地，数据接受方也应当对以爬虫方式获取的他人信息进行合法性审查，了解个人信息主体是否同意共享个人信息数据。
（三）爬取商业数据时谨防构成不正当竞争
在数字内容领域，数据是内容产业的核心竞争资源，内容平台经过汇总分析处理后的数据往往具有极高的经济价值，因此非法爬取行为在某些具体应用场景下会被认定为构成不正当竞争。尤其是对于双方商业模式相同或近似、获取对方的信息会对对方造成直接损害的，企业应重点予以防范。如果存在此种情形，则应当谨慎使用爬取获取被爬取网站的数据。
四、结语
随着大数据时代的来临以及数字技术的蓬勃发展，数据的价值日益凸显，部分企业通过数据爬取技术更加高效地获取和深度地利用相关数据，从而弥补企业自身数据不足的现状，支撑企业的商业化发展。对于这些企业而言，“网络爬虫如何爬取信息数据才是合法的？”“爬取数据时如何做到合规？”是亟待解决的一大难题。作为法律工作者，应当从法律的专业角度给企业提供强有力的合规指引，为促进高新技术企业的发展，进而全面提升国家 科技 创新能力做出应有的贡献。
㈢ 专家：车企网络和数据安全将照“章”操作
中新经纬4月2日电 (孙庆阳)近期，工信部印发《车联网网络安全和数据安全标准体系建设指南》(下称《指南》)，明确了中国车联网网络安全和数据安全标准体系的发展时间表，以及阶段性任务。
当下，联网数据被过度采集和滥用、数据被窃取和篡改造成安全事件频发。大数据安全即掌握核心技术又关系国计民生，车联网网络安全如何从中突围，最终实现高质量发展？
消费者对车联网信息安全仍存顾虑
自2021年9月中国第一部《数据安全法》正式出台以来，车联网数据安全领域已逐渐出现业务落地场景，整个车联网数据安全行业处于快速起步时期。但随着智能网联技术发展， 汽车 智能化正成为“移动智能终端”。当下，越来越多的 汽车 企业在后台收集并使用这些海量用户数据，这也对个人隐私带来了潜在的风险。
对此，全国乘用车市场信息联席会秘书长崔东树也给出了“整体信心一般”的类似观点，他表示，隐私信息“安全感”的缺失主要是有些功能需要权限，进而被滥用，用户却无法专业判断。
补足标准才能推动新技术发展
《指南》将车联网网络安全和数据安全标准体系划分为六大部分共20类标准，几乎涵盖网安领域所有细分小项，其中重点涉及到的安全领域包括为数字证书、密码应用、物联网安全、通信安全、身份认证、数据安全等。
崔东树对中新经纬研究院表示，标准应对了智能化、网联化发展新趋势，加速测试应用的环境保障和法规支持，有利于智能网联 汽车 的发展。
《指南》提出到2023年底，初步构建起车联网网络安全和数据安全标准体系，完成50项以上急需标准的研制；到2025年，形成较为完善的车联网网络安全和数据安全标准体系，完成100项以上标准的研制。
“以建立安全标准的方式，来维护车联网网络安全和数据安全”，盘和林总结出《指南》的三方面亮点：一是坚持需求导向，产学研用融合，共同来推动网络安全和数据安全标准的建立；二是坚持市场主体企事业单位的参与，让车联网企业参与到标准制定上来，而非一刀切的推进；三是重点、急用先行，在标准制定上区分轻重缓急，而非所有标准一起推进，有侧重的推出一部分标准以推动车联网快速发展。
盘和林进一步强调，车联网、自动驾驶系统研发企业将获益，当前中国自动驾驶企业蓬勃发展，但距离自动驾驶技术应用场景落地尚有距离，其主要原因是当前缺乏自动驾驶普及的软环境，而网络安全和数据安全标准是自动驾驶、车联网落地的重要一环，只有补足了标准，才能推动新技术的发展。
前瞻产业研究院指出，中国车联网市场规模有望在2026年达到8千亿元人民币，2021-2026年平均复合增长率将达到30.36%。另据中汽协预测，2025年中国 汽车 销量或将达到3000万，新增智能网联 汽车 的销量约为900万。
车企数据安全管理需合法合规
值得注意的是，与2021年6月发布的《车联网(智能网联 汽车 )网络安全标准体系建设指南》(征求意见稿)相比，“数据安全”在《指南》中被提升到了与网络安全同等重要的地位。但近年来有关智能 汽车 数据安全纠纷屡现。2021年上海车展期间特斯拉女车主维权事件，特斯拉的数据保存与使用安全风险曾引起激烈讨论。
企业意图利用数据“金矿”，来改善产品性能，进而提升用户体验。但用户在让渡隐私与获得便利性的同时，企业却屡现数据处理问题。针对此类情况，盘和林给出建议：首先要透明。“采用哪些数据，哪些敏感，存放在哪，平台有哪些信息保护规则？”都需要告知消费者，未经同意则不得随意收集相关数据；其次要监管。数据使用规则需要递交监管备案，而监管也要验证企业的数据安全措施是否到位；再次要标准。数据使用、储存、处理等，都要建立安全标准，不符合标准的企业不得使用用户信息数据；最后要技术。比如通过隐名化和匿名化来打包数据，比如完善数据安全技术，比如利用分布式数据存储。
那么， 汽车 厂商该如何完善数据安全管理？盘和林表示，可以通过组建数据信息安全管理部门来应对数据安全和网络安全，亦可考虑通过合格第三方，将数据存放和管理的责任进行外包，“专业的人做专业的事”。同时也要增加相关方面的人才储备，建设安全团队。
南开大学竞争法研究中心主任、法学院教授陈兵则表示， 汽车 厂商需要积极跟进国内外车联网数据安全、数据出境方面的标准、法律及监管规范的最新要求，在坚决维护国家安全和用户安全的基础上合法合规经营。同样，算法治理作为整个数字经济整体治理与系统治理的关键环节，不仅涉及到市场治理，还涉及到 社会 治理与国家总体安全。
中国随着《数据安全法》《网络安全法》《关键信息基础设施安全保护条例》等法律法规的出台，从持续开展违法违规收集使用个人信息专项治理，到国家安全机关等协同配合做好网络安全防范工作，各地各部门不断加大对相关违法犯罪活动的整治打击力度。如今的网络安全，不仅关乎个人和企业安全，也关乎国家安全。“筑牢数字安全屏障”已成为国家发展的重要议题。(中新经纬APP)
㈣ 网络安全是指在法律合规下保护产品
网络安全是指在法律合规下保护产品、解决方案和服务的可用性、完整性、机密性、可追溯性和抗攻击性
网络安全是一门涉及计算机技术、网络技术、通信技术、应用密码学技术、管理技术等多领域的综合性学科。重点解决分布式计算环境(主要是互联网环境)中，网络设施与网络信息资源设计、实现和使用过程的安全性问题，以保障网络数据的传输安全、网络用户与系统资源和信息资源的访问安全以及网络应用系统与网络基础设施的运行安全。
㈤ 合规创造价值：新经济领域（拟）上市企业的若干合规要点分析
走出去智库观察
近来，滴滴被查引发了人们对上市企业跨境数据合规的的热议。今年上半年，国内互联网企业扎堆奔赴美股，但因跨境数据安全问题引发的系列影响，使这些企业不得不重新审视相关合规问题。
走出去智库（CGGT）特约法律专家、中伦律师事务所顾问贾申认为，从近期监管趋势来看，跨境数据传输是新经济企业上市应特别关注的合规点。根据《网络安全法》和《数据安全法》规定，包括公共通信、信息服务、金融业和其他重要行业、领域的关键信息基础设施的运营者，应将境内运营期间收集和生成的个人信息和重要数据储存在境内，如需向境外传输，则应按相关规定进行安全性评估。
新经济领域（拟）上市企业如何做好跨境数据合规？今天，走出去智库（CGGT）刊发中伦律师事务所蒋蕙匡、贾申、李梦涵、于佳永、罗仪涵的文章，供关注跨境数据合规的读者参考。
要 点
CGGT，CHINA GOING GLOBAL THINKTANK
1、对于赴境外上市的公司而言，VIE架构是一种常见的公司架构，建议企业在搭建VIE架构和实际运营业务过程中，充分考虑业务类型和交易结构，系统、人员、设备设置，以及资金和数据流向，辅以完备的内部规章、协议、信息披露制度和授权安排，以充分遵循数据合规要求。
2、新经济领域的企业还应特别关注数据合规与反垄断合规的交叉领域。《平台经济指南》明确提及了经营者利用数据或算法排除、限制竞争的多种行为模式。
3、行业性监管政策的变化频繁，特别是在关系国计民生的重要领域，相关部门已明确透出强力监管的信号。以教育和交通行业为例，相关领域的平台企业应当密切关注行业性监管政策之下的合规要求。
正 文
CGGT，CHINA GOING GLOBAL THINKTANK
作者简介
蒋蕙匡 律师
北京办公室 合伙人
业务领域： 反垄断和竞争法, 跨境投资并购, 合规和反腐败
特色行业类别： 能源与自然资源, 通讯与技术, 健康 与生命科学
贾申
北京办公室 顾问
业务领域： 反垄断和竞争法, 贸易合规和救济, 诉讼仲裁
李梦涵
北京办公室 合规与政府监管部
于佳永
北京办公室 合规与政府监管部
罗仪涵
北京办公室 合规与政府监管部
2021年7月6日，中共中央办公厅、国务院办公厅发布《关于依法从严打击证券违法活动的意见》（“《意见》”），其中“完善数据安全、跨境数据流动、涉密信息管理等相关法律法规”，“切实采取措施做好中概股公司风险及突发情况应对”等意见，清晰指示了当前资本市场的又一个重要合规方向，充分体现了我国对上市公司监管的决心与力度。近期，中国网络安全审查办公室（“网信办”）接连对数家赴美上市的平台企业开展网络安全审查，并于2021年7月10日发布了《网络安全审查办法（修订草案征求意见稿）》，引发了公众和业界对中国跨境数据安全监管和中概股公司跨境证券监管政策的强烈关注和广泛讨论。（相关解读： 激活网络安全审查制度 筑牢数据安全防火墙——《网络安全审查办法（修订草案征求意见稿）》评析 ）2021年7月30日，美国证券交易委员会（SEC）主席Gary Gensler发表声明称，SEC将修改有关涉及中国企业境外上市的信息披露规则，增加特定的信息披露要求（包括说明VIE公司与发行人之间的财务关系、赴美上市是否获得政府批准等），以更好地保护投资人的利益。
近年，各行业领域涉及境内外上市企业的司法、行政执法案件层出不穷，相关企业上市招股书中针对政府监管的风险提示说明和清单渐长，中概股合规问题同时引起了中美两国监管的高度重视，提高合规水平和完善合规制度对于（拟）上市企业的重要性愈加凸显。在此背景下，本文结合既往经验和观察，将从 网络安全与数据合规、反垄断、反不正当竞争、行业性监管政策 等方面，分析互联网平台等新经济领域（拟）上市企业的合规要点，以期为相关企业的合规建设和合规应对提供参考。
合规点一：网络安全与数据合规
我国已出台的《网络安全法》《数据安全法》及即将出台的《个人信息保护法》构成了网络安全及数据安全合规领域的“三驾马车”。新经济领域的上市公司和拟上市公司通常掌握大量的各维度数据，应特别关注网络安全与数据合规的相关要求。
从近期监管趋势来看，跨境数据传输是企业上市应特别关注的合规点。根据《网络安全法》和《数据安全法》规定，包括公共通信、信息服务、金融业和其他重要行业、领域的关键信息基础设施的运营者，应将境内运营期间收集和生成的个人信息和重要数据储存在境内，如需向境外传输，则应按相关规定进行安全性评估。但是，对于如何进行此类安全评估，目前尚未出台正式的法规或指南。这可能对拥有多个数据中心、可能需要在不同国家地区之间传输某些个人数据的互联网公司造成影响，相关企业应密切关注这一领域的立法与执法动态。此外，《数据安全法》已明确提出要建立数据分级分类保护制度和国家核心数据管理制度：一方面，对于关系国家安全、国民经济命脉、重要民生、重大公共利益的国家核心数据实行更加严格的管理制度；另一方面，相关地区和部门将进一步制定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。未来更详细的数据分级制度出台后，企业应依法依规做好数据分类工作，并严格采取相应的数据管理和保护措施。
在个人信息保护方面，无论相关企业是境外上市或是境内上市，数据合规问题均易引发媒体公众的高度关注，也会受到监管部门的重点问询，包括数据来源合法合规问题、数据使用合法合规问题、数据相关的业务经营问题等。
例如，对于掌握大量用户数据的互联网平台企业而言，应特别关注数据来源的合规性：
获取用户数据信息的来源、获取途径、授权方式及协议，授权是否明确且合法有效，收集用户信息时是否明确告知收集信息的范围及使用用途；
获取个人数据是否对用户有明确提示、收集的数据是否限制在必要范围内、是否仅概括性提示收集用户信息、是否超出用户授权范围使用数据、或存在未经其他平台的授权直接收取数据的行为；
通过APP以《用户协议》、《隐私政策》等协议约定获得用户授权过程中，收集个人用户信息、向个人用户推送广告等有无明确告知用户收集、使用信息的目的、方式和范围。
合规点二：反垄断合规
反垄断合规作为热点领域，对于企业上市前后合规建设的重要性正逐渐凸显。今年以来，关于国内互联网巨头的各类反垄断处罚决定或传闻对于企业股价及市场均造成了一定的影响。例如，2021年4月10日，国家市场监督管理总局（“总局”）对某电商平台滥用市场支配地位“二选一”的垄断行为做出行政处罚决定，对其处以2019年度中国境内销售额4%的罚款，共计182.28亿元，成为迄今中国反垄断执法机关开出的最高额罚单。（相关解读：从史上最高罚单看企业反垄断合规的重要性）同时，总局向该平台发出行政指导书，并于此后要求34家互联网平台企业做出《依法合规经营承诺》。一系列执法和行政指导举措均体现了企业在反垄断领域全面合规的重要性。
我们建议，新经济领域的平台企业（包括采取/拟采取VIE架构在境外上市的企业）应特别关注经营者集中反垄断申报的合规要求。国务院反垄断委员会发布的《关于平台经济领域的反垄断指南》（“《平台经济指南》”）第十八条规定，“涉及协议控制架构的经营者集中，属于经营者集中反垄断审查范围”，明确了VIE架构的企业开展经营者集中时，如营业额标准达标应触发反垄断申报义务。2020年以来，总局已陆续查处公布了超过40起涉及VIE架构的未依法申报经营者集中的行政处罚案件，众多国内知名互联网公司均有相关案例。特别值得关注的是，近期在平台经济领域的经营者集中审查和未依法申报审查方面，已出现了禁止集中交易和要求经营者针对应报未报交易采取必要措施恢复市场竞争状态的决定：
2021年7月10日，总局发布了禁止两 游戏 直播平台合并的反垄断审查决定，并详细说明了认定此项集中具有排除、限制竞争效果的理由。该案是我国平台经济领域禁止经营者集中第一案，也是第一起仅涉国内企业的禁止经营者集中案件。
2021年7月24日，总局对某互联网平台违法实施经营者集中案作出行政处罚决定，要求相关经营者采取必要措施恢复市场竞争状态，包括责令该平台采取解除独家版权等措施，降低市场进入壁垒，重塑相关市场竞争秩序。
此外，我们建议，新经济领域的企业还应特别关注数据合规与反垄断合规的交叉领域。《平台经济指南》明确提及了经营者利用数据或算法排除、限制竞争的多种行为模式。（相关解读：平台经济领域反垄断正当时？——相关指南意见稿亮点解读）如：
垄断协议与算法共谋：如经营者通过数据、算法、平台规则或者其他方式实质上达成协调一致的行为；
滥用市场支配地位限定交易：经营者通过平台规则、数据、算法、技术等方面的实际设置限制或者障碍的方式限定交易；
滥用市场支配地位实施差别待遇：基于大数据和算法，根据交易相对人的支付能力、消费偏好、使用习惯等，实行差异性交易价格或者其他交易条件；
此外，平台经营者掌握的数据情况对于认定经营者市场支配地位具有重要意义，《平台经济指南》明确提及，判断相关平台是否构成其他经营者进入相关市场的“必需设施”时，需要综合考虑该平台占有数据的情况和其他情况。
在当前监管形势下，反垄断合规的重要性已无需赘言，相关企业应持续关注反垄断领域的监管动态，不断提升自身的反垄断合规水平。
合规点三：反不正当竞争合规
反不正当竞争合规是另一合规热点。互联网时代，信息传播的高频性缩短了时间差，竞争对手举报、消费者投诉举报、职业打假人的投诉举报、相关部门的强力监管等都会给企业带来相当大的压力，企业若无妥善的预案与风险管理，不仅可能面临当下的经营困境，也会给未来的上市之路带来巨大阻碍。以某陌生交友APP上市遇阻为例，其原本计划于6月24日上市，却于近日宣布暂停美股IPO流程，市场普遍认为，紧急暂停IPO或与其此前深陷与某竞品APP的不正当竞争案件不无关系。
互联网领域不正当竞争行为主要包括两大类：一类是传统不正当竞争行为在互联网领域的延伸，例如利用互联网实施混淆仿冒、虚假宣传、商业诋毁等不正当竞争行为，另一类属于互联网领域特有的，利用技术手段实施的不正当竞争行为。例如典型的不正当竞争行为“虚假宣传”，对其相关的规定散见于《广告法》、《互联网广告管理暂行办法》、《反不正当竞争法》及相关法规和规范性文件中。在日常运营及筹备上市的过程中，企业往往对如何保证宣传的真实性，规避“虚假宣传”的可能范围缺乏专业的认知，存在一些不完全引用、片面宣传、歧义性语言而遭受处罚的情况。此时企业应当需要借助专业团队，对风险进行预估，同时结合不同地域执法人员执法偏向、发布区域、覆盖人群等诸多因素进行预判。
自2020年起，众多互联网公司均陷入监管部门的反不正当竞争调查。2021年2月8日，总局发布针对某品牌特卖平台的行政处罚决定，认定该平台扰乱公平竞争市场秩序，处以300万元罚款。这一案例充分说明，互联网商业模式的迭代和发展已催生更多不同类型的不正当竞争行为，数据的采集和应用方式的多样化也使得竞争行为更加隐蔽和复杂。随着执法态势的日趋严格，互联网行业经营者更应当采取合理、恰当的合规思路去进行合规体系的构建。
合规点四：行业性监管政策变化与合规
今年以来，行业性监管政策的变化频繁，特别是在关系国计民生的重要领域，相关部门已明确透出强力监管的信号。以教育和交通行业为例，相关领域的平台企业应当密切关注行业性监管政策之下的合规要求。
近期，交通领域的企业受到监管部门的密切关注。2021年7月30日，交通运输新业态协同监管部际联席会议召开2021年第二次全体会议，审议《关于加强交通运输新业态从业人员权益保障工作的意见》，并提出要优化监管框架，加快实现事前事中事后全链条监管，特别加强反垄断监管和反不正当竞争，依法查处网约车和货运平台垄断、排除和限制竞争、扰乱市场秩序、侵害司机合法权益等违法行为。此外，前述网信办对某出行服务平台发起的网络安全审查也充分说明，交通运输企业（特别是互联网新经济平台企业）应特别关注行业性监管政策的重点。交通行业的特殊性之一在于，相关互联网平台企业在经营过程中必然会掌握大量货运、城市交通、用户及司机的相关数据，应特别关注数据安全相关的合规要求。例如，交通运输行业的大量数据可能被纳入重要数据目录，而《数据安全法》对于重要数据的处理活动已明确提出若干数据安全保护义务，包括：
重要数据的处理者应当明确数据安全负责人和管理机构；
重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告；
对影响或者可能影响国家安全的数据处理活动进行网络安全审查；
关键信息基础设施的运营者在我国境内运营中收集和产生的重要数据的出境安全管理应遵守相关法律法规的规定。
同样，教育行业也属于民生领域的重点监管行业。今年以来，各大在线教育平台均面临着总局、教育部等多个部门的强力监管：
5月初，总局组织地方市场监管部门组建专案组，对15家校外培训机构进行重点检查后发现其分别存在虚假宣传或价格欺诈违法行为，对其分别予以顶格罚款，合计已超过3600万元。
6月15日，教育部公布《关于成立校外教育培训监管司的通知》，宣布成立校外教育培训监管司，将承担面向中小学生（含幼儿园儿童）的校外教育培训管理、党建指导与政策拟定。
近日，中共中央办公厅、国务院办公厅印发了《关于进一步减轻义务教育阶段学生作业负担和校外培训负担的意见》，对于教育行业的互联网平台公司提出了更高的合规要求。
在行业重压之下，在线教育平台和各校外培训机构更应做好业务许可备案、机构备案审查、合规宣传，在师资合格、信息安全、收费监管等方面充分遵守法律法规的相关要求。
此外，《首次公开发行股票并上市管理办法》（2020修正）第十八条要求申报期内发行人不得存在重大违法行为。原则上，凡被相关行政机关给予一定金额以上行政处罚的行为，都可能被视为重大违法行为（即“最近36个月内违反工商、税收、土地、环保、海关以及其他法律、行政法规，受到行政处罚，且情节严重”），除非处罚实施机关认定该行为不属于重大违法行为并依法做出合理说明。因此，企业和中介机构还应审慎把握“重大违法行为”的审核尺度，例如，对于平台企业而言，网络安全与数据合规、反垄断、反不正当竞争等方面的重大行政处罚，并未被完全排除在“重大违法行为”的范畴之外，这也启示，相关企业在启动上市计划之前应充分重视各方面的合规建设和体系完善。
如前所述，《意见》特别强调对证券违法犯罪案件“坚持零容忍要求”，这呼应了2019年修订的《证券法》及2020年出台的《刑法修正案（十一）》，体现全面推行注册制改革下的强监管趋势。《意见》第二十条还着重强调，加强中概股监管，要求切实采取措施做好中概股公司风险及突发情况应对，推进相关监管制度体系建设。相关企业应重视监管政策的动态变化，无论是境内上市还是境外上市，互联网平台等新经济领域（拟）上市企业都应强化合规建设与违规风险防范，以合规创造价值。
注释：
[1] 参见：中共中央办公厅 国务院办公厅印发《关于依法从严打击证券违法活动的意见》，访问地址：https://www.spp.gov.cn/zdgz/202107/t20210706_523196.shtml。
[2] 参见：《网络安全审查办公室关于对“滴滴出行”启动网络安全审查的公告》，访问地址：http://www.cac.gov.cn/2021-07/02/c_1626811521011934.htm；《网络安全审查办公室关于对“运满满”“货车帮”“BOSS直聘”启动网络安全审查的公告》，访问地址：http://www.cac.gov.cn/2021-07/05/c_1627071328950274.htm
[3] 参见：Statement on Investor Protection Related to Recent Developments in China,访问地址：https://www.sec.gov/news/public-statement/gensler-2021-07-30
[4] 参见《网络安全法》第三十七条及《数据安全法》第三十一条。
[5] 参见《数据安全法》第二十一条。
[6] 参见：《市场监管总局依法对某电商平台在中国境内网络零售平台服务市场实施"二选一"垄断行为作出行政处罚》，访问地址：http://www.samr.gov.cn/xw/zj/202104/t20210410_327702.html。
[7] 参见：《市场监管总局依法禁止A公司与B有限公司合并》，访问地址：http://www.samr.gov.cn/xw/zj/202107/t20210710_332525.html。
[8] 参见：《市场监管总局依法对某控股有限公司作出责令解除网络音乐独家版权等处罚》，访问地址：http://www.samr.gov.cn/xw/zj/202107/t20210724_333016.html。
[9] 根据上海市高级人民法院官网信息，U公司诉S公司其他不正当竞争纠纷在2021年4月21日立案，U公司要求赔偿2693万元，并向法院申请了财产保全。5月11日，S公司向美国证券交易委员会提交招股书，申请在纳斯达克上市，5月21日，法院冻结S公司2693万元，并在月底确定案件开庭时间为6月29日。
[10] 《反不正当竞争法》新增了“互联网专条”（第十二条），要求经营者不得利用技术手段，通过影响用户选择或者其他方式，实施下列妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的行为：（一）未经其他经营者同意，在其合法提供的网络产品或者服务中，插入链接、强制进行目标跳转；（二）误导、欺骗、强迫用户修改、关闭、卸载其他经营者合法提供的网络产品或者服务；（三）恶意对其他经营者合法提供的网络产品或者服务实施不兼容；（四）其他妨碍、破坏其他经营者合法提供的网络产品或者服务正常运行的行为。
[11] 参见：市场监管总局发布对某品牌特卖公司不正当竞争案行政处罚决定书，访问地址：http://gkml.samr.gov.cn/nsjg/jjjzj/202102/t20210210_326097.html。其不正当竞争行为包括：开发并使用巡检系统以获取同时在本公司和其他公司上架销售的品牌经营者信息，利用供应商平台系统、智能化组网引擎、运营中台等提供的技术手段，通过影响用户选择，及限流、屏蔽、商品下架等方式，减少品牌经营者的消费注意、流量和交易机会，限制品牌经营者的销售渠道，妨碍、破坏了品牌经营者及其他经营者合法提供的网络产品和服务正常运行。
[12] 参见：《交通运输新业态协同监管部际联席会议召开2021年第二次全体会议》，访问地址：https://www.mot.gov.cn/jiaotongyaowen/202107/t20210730_3613683.html。
[13] 参见：《市场监管总局就强化校外培训机构市场监管有关情况举行专题新闻发布会》，访问地址：http://www.samr.gov.cn/xw/xwfbt/202106/t20210601_330032.html。
[14] 参见：《教育部办公厅关于成立校外教育培训监管司的通知》，访问地址：http://www.moe.gov.cn/srcsite/A04/s7051/202106/t20210615_538134.html。
[15] 参见：中共中央办公厅 国务院办公厅印发《关于进一步减轻义务教育阶段学生作业负担和校外培训负担的意见》，访问地址：http://www.moe.gov.cn/jyb_xxgk/moe_1777/moe_1778/202107/t20210724_546576.html。
来源: 中伦视界