收购过程中数据资产法律尽调要点简述

2021-03-24

前 言

近年来，随着大数据、云计算和移动互联网的突飞猛进，国内针对数据与个人信息的保护与监管也在不断加强，全国人大陆续制定了包括《网络安全法》《电子商务法》《民法典》（有关个人信息保护章节）等在内的一系列法律制度，《个人信息保护法（草案）》《数据安全法（草案）》也被列入立法规划。在此背景下对收购兼并中数据资产的评估、核查带来了新的挑战，尤其是对拥有较多数据资产的企业开展的法律尽职调查和全面规范显的尤为重要。

传统的收购兼并中对固定资产或无形资产的合法性的核查往往比较简单，是因为不论是固定资产或是无形资产的合法性都比较容易直观的查证和辨别。过去数据资产常常被裹挟在传统资产中作为其他资产的附属一并处理，通常不会过分注重它单独的合法合规性，但基于当下对数据与个人信息保护重要性的凸显，因此，数据资产应当作为单独的尽职调查对象进行合法合规性调查。

一、几起收购中的数据安全事件

过去数年，在实践中已经发生数起因收购中没有全面关注目标公司的数据安全或交易后数据整合时的不合规等情形，而影响交易价格或给企业带来巨额罚款的情况：

因此，在收购兼并中，应提高对数据合规的重视程度，通过关注数据控制者是否建立严密的数据合规体系、数据收集与使用方式是否合法合规等内容，避免因数据合规产生相应处罚或赔偿甚至损害商业交易的实现，在并购中兼顾数据的公共效益性和企业利益的保障。

二、收购各阶段数据资产法律尽调要点

（一）交易方式的选择阶段

收购的方式一般为股权收购和资产收购两种。针对股权收购，由于在收购后，往往目标公司仍具有一定独立性，收购方不一定需要全面整合公司的数据资源。根据收购方的经营战略，目标公司仍可以维持现有的合规体系，逐步与收购方进行对接。不过在收购前，对目标公司的法律尽调仍需涵盖对公司数据资产合法合规性的审核。

针对资产收购，由于资产收购更加注重单一资产或者资产包的合法合规性。而且随着资产权属的转移，风险也随之转移，对资产的合法合规性调查程度要严于股权收购。甚至在并购后期，收购方与并购方需要进行全面数据整合，使双方的数据合规体系进行接轨。

（二）交易前的尽调阶段

在交易前，收购方需要对被收购方进行尽职调查，其中对于数据有关的尽职调查包括但不限于以下内容：

（三）正式谈判和签约阶段

在进行收购交易时，可以在拟定、签署正式交易文件的过程中，根据协商情况纳入与数据安全相关的陈述和保证条款，并且通过数据资产无权利负担承诺、责任承担、违约金等方式，降低交易双方的信息不对称程度，保障交易双方权利。

此外，对数据资产的交割方式和数据转递的安排以及过渡期对数据资产的监管应当在正式的交易文件里明确。

（四）交易实施与交割阶段

1.收购方的通知义务

在收购交易后，以交易前对目标公司的调查来判断交易后所要采取的数据融合方式。需要注意的是，目标公司和收购方如作为个人信息数据控制者，应当履行相应的告知义务。

在实践中的具体做法可以结合以下两类：

2.数据转递与技术安排

一般而言收购过程中若涉及数据资产，往往数量都比较大，从几十个TB到几百个TB都有可能。因此需要十分注意交割方式，采取包括但不限于服务器接管、物理介质转移、权限账号密码转移、监督销毁等措施。如涉及数据传输还需要技术人员确认适当的传输方式，例如隔离区、病毒查杀、SSL、加密传输等，如前所述，这类安排也需要在正式交易文本中体现。

3.过渡期监管

从股权转让基准日至管理权移交日被称为过渡期。在这段期间内，收购方通常会要求目标公司处于一定的约束之下。在此期间，应要求目标公司原则上不再签署其他涉及数据共享、转递的协议；数据处理不违背披露目的和方式；关键管理人员需要尽到善意注意义务。

4.收购后整合

一般在后期，收购方会委派人员对目标公司进行收购后的整合，针对不同收购方式，整合侧重点也有所不同。一般需完成以下两个流程：一是整合对接。对并购后的企业人事、制度规则做出调整和对接整合，对整体数据安全架构查漏补缺。二是合规性复核。再次确认数据处理的来源、目的、方式、存储、管理。

本文作者：