专业解读

摘要：2021年9月1日《中华人民共和国数据安全法》（以下简称《数据安全法》）已颁布实施。北交所在对公开发行并上市的企业进行信息披露审核时，增加了对拟上市企业，尤其是对科技公司的数据安全性及合规性的审查。在北交所网站公开的多份补充法律意见书中显示，北交所的《审查问询函》要求保荐机构或发行人律师核查发行人数据安全及合规性情况并发表明确的意见。本文将根据北交所公布的相关案例信息，梳理并总结监管部门对发行人的数据安全及合规性的审查要点，并提供应对措施。

一、数据安全及合规性审查要点

根据《北京证券交易所向不特定合格投资者公开发行股票并上市审核规则（试行）》（以下简称《发行上市审核规则》）中关于公开发行股票并上市的信息披露审核中重点关注的事项，并未明确包含对数据安全及合规性的审查，但是在北交所公布的诸多《审查问询函》中，均包含对上市公司尤其科技公司的数据安全及合规性的审查。

通过梳理《审查问询函》，监管部门对数据安全及合规性的审查的要点主要有3个方面：

一是公司是否存在收集或使用客户数据的情形；
二是公司是否存在对外采购原料数据的情形；
三是数据安全监管政策变动趋势对发行人的影响。

以2021年10月14日的《关于用友金融信息技术股份有限公司精选层挂牌申请文件的审查问询函》为例，《审查问询函》载明：“根据申请材料，公司所提供产品及服务融合了大数据、人工智能等技术，通过收集前台的各个行业的数据，为企业、金融机构及三方机构等提供产业数据基础，存在数据批量收集以及整理、分析的环节。”

具体审查要点如下：

审查要点一：公司是否存在收集或使用客户数据的情形

该审查要点要求公司披露公司及其员工在业务开展过程中是否存在收集、存储、传输、处理、使用客户数据或个人信息的情形，监管部门主要关注对相关信息或数据来源及使用的合法合规性、风险控制制度及执行情况的审查。

审查要点二：公司是否存在对外采购原料数据的情形

该审查要点要求公司结合研发模式、产品功能、大数据和人工智能等技术在公司产品中应用情况等，说明公司是否存在对外采购原料数据的情形。发行人应关注自身及其原料数据采集供应商相关数据的获取方式及其合规性，是否享有数据的所有权或获得相关数据主体的授权许可，相关授权许可是否存在使用范围、主体或期限等方面的限制，发行人及其原料数据采集供应商是否存在超出上述限制使用数据的情形，是否存在数据内容侵犯个人隐私或其他合法权益的风险。

审查要点三：数据安全监管政策变动趋势对发行人的影响

该审查要点是《数据安全法》《个人信息安全规范》等法律法规的出台对发行人业务开展或研发模式的具体影响，发行人应披露自身及其原料数据采集供应商（如有）是否存在违反上述法律法规规定的情形，发行人主要客户在使用发行人产品过程中是否存在违反上述法律法规规定的情形及对发行人的影响。

二、上市发行问询应对

2021年12月21日北交所公布了用友金融信息技术公司针对数据安全和合规性等问题的回复，具体如下：

▨ 审查要点一回复的重点：

▨ 审查要点二回复重点：

▨ 审查要点三回复重点：

三、结语

拟在北交所上市的企业，尤其科技企业，应关注研发产品、提供服务以及主要客户等各个环节涉及到的客户数据和个人信息的安全和合规性，重视对相关管理制度的完善，在提交上市申请材料时，对数据和信息的安全和合规性进行真实、完整的披露，避免补充提交相关法律意见，延长上市审查时间。