数据合规尽职调查实务要点总结.docxVIP

数据合规尽职调查实务要点总结

一、数据合规尽调应用场景及价值

目前数据合规尽职调查主要应用于三种场景：

（一）投资并购交易场景

一方面，数据合规尽职调查可以帮助投资方进行合理的计算和推演，判断数据资产在公司全部资产中的占比及重要性，并且帮助投资方准确计量数据资产的公允价值；另一方面，数据合规尽职调查能够在一定程度上解决信息不对称问题，提高投资方的谈判地位，为并购战略及方式提供具体参考。

（二）公司IPO场景

数据合规尽职调查将围绕监管部门对拟上市企业数据合规审查核心要点展开，目的是梳理数据在处理和安全保障方面的欠缺之处，提出基本应对策略，进而帮助企业落实整改，保证上市计划的顺利实施。另外，尽调报告本身也可以为监管机关重点关注的风险事项提供有效外部说明，帮助公司合理应对机构问询。

（三）企业内部搭建合规体系场景

数据合规尽职调查可以帮助了解企业的业务模式、业务流程及数据处理等情况，及时发现数据合规风险，并针对这些风险搭建具有针对性及操作性的数据合规体系。

二、数据合规尽调前置考量因素

一般情况下律师在做数据合规尽职调查之前应通过外部因素和内部因素共同对目标公司做出初步评估，以便后续制定更有针对性的尽调计划。

（一）外部因素

律师应了解目标公司所在行业现状（行业所属类别、行业所需数据类别、行业数据规模情况、行业重要数据范围、行业未来发展趋势等）、所处数据市场环境以及国家政策、监管机关以及行业协会的相关要求等。

（二）内部因素

律师应了解目标公司的实际规模、业务种类、内部数据管理制度、数据合规部门的设置模式、内部数据资产占比以及数据处理的复杂程度等。明确内部情况，是为了在尽调报告中重点关注数据合规规范的执行与遵守，帮助目标公司实现法律监管与业务发展之间的平衡。

三、数据合规尽调核心要点

结合我们以往数据合规尽调实务经验，在此总结以下五项核心要点，并逐一予以解析。

（一）关注目标公司的商业模式

常见的数据商业模式包括数据加工、数据导流、数据风控以及数据统计等，不同的数据商业模式我们应当关注差异化的法律风险，具体如下：

1.如果目标公司所涉主要商业模式为数据加工，则我们应当重点关注所加工数据来源的合法性及可获得性；

2.如果目标公司所涉主要商业模式为数据导流，则我们应当重点关注目标公司是否可能存在不正当竞争行为以及非法利用信息网络等情况；

3.如果目标公司所涉主要商业模式为数据风控，则我们应当重点关注企业制定的数据内部控制制度的有效性及程序的合理性；

4.如果目标公司所涉主要商业模式为数据统计，则我们应当重点关注统计数据的真实性及统计方法的客观性。

（二）识别目标公司数据资产类型

通常情况下，我们可将数据分为六个大类，即国家核心数据（《数据安全法》）、重要数据（《重要数据识别指南（征求意见稿）》）、个人信息（《个人信息保护法》）、企业经营信息（商业秘密保护层面考虑）、衍生数据（不正当竞争层面考虑）、公开信息/公共数据。

律师应根据目标公司数据属性、特点、数量、质量、格式、重要性、敏感程度等因素，科学划分数据类型和等级，并审查各类数据是否均依法配套相应的安全风险控制措施、是否依法保护数据安全和个人隐私。实践中我们可以将具有共同性质、属性或特征的数据归并在一起，再根据类别纳入不同的合规体系。

（三）掌握目标公司各环节的数据处理情况（以“个人信息”为例）

1.收集环节。在收集环节我们应重点关注目标公司以下事项：

（1）收集个人信息的目的、方式、范围是否满足合法、正当、最小必要及诚信原则；

（2）是否以清晰明确、易于理解的方式，向个人信息主体告知收集、使用个人信息的目的、方式和范围等；

（3）是否在个人信息主体明确知情的情况下，获取个人信息主体的同意；

（4）敏感个人信息是否单独获得同意；

（5）收集的个人信息的类型与实现产品或服务的业务功能是否有直接关联；

（6）是否存在一揽子授权的情况，以改善服务质量，提升用户体验等概括性表述收集大量用户个人信息；

（7）收集个人信息的频率应是实现产品或服务的业务功能所必需的最低频率；

（8）是否存在以强制用户同意的方式收集个人信息或要求个人信息主体提供不必要的授权；

（9）间接收集个人信息是否对数据来源尽到合规审查义务；

（10）收集公开数据是否存在危害他人计算机信息系统安全的情况；

（11）所收集的公开数据中是否包括个人信息、具有商业价值的衍生数据等情况。

2.储存环节。在数据储存环节我们应重点关注目标公司以下事项：

（1）存储个人信息是否符合境内存储的要求；

（2）存储时间是否为实现处理目的所必需的最短时间；

（3）行业主管部门对存储时间有特殊要求的，是否满足相关要求；

（4）是否进行加密存储以保证数据安全；

（5）是否对数据进行分级分类存储，并制定相关制度。

3.使用环境。在数据使用环节我们应重点关