數據處理者赴香港上市是否需要申報網絡安全審查，關鍵要看是否會影響或者可能影響國家安全，如果存在影響或者可能影響國家安全的情形，就應當申報網絡安全審查，否則，就無需申報網絡安全審查。
來源：法治日報-法治網
作者 | 王春暉
2月15日，由國家網信辦等13個部門聯合修訂發佈的《網絡安全審查辦法》（以下簡稱《辦法》）正式施行。《辦法》最受外界關注的是第七條，「掌握超過100萬用戶個人信息的網絡平台運營者赴國外上市，必須向網絡安全審查辦公室申報網絡安全審查。」這是一條強制性規定，也是一條不可逾越的紅線，任何網絡平台運營者都必須嚴格遵守。
那麼，赴香港上市的「網絡平台運營者」，是否需要申報網絡安全審查呢？《辦法》沒有作出規定。但是，這是否意味着，網絡平台運營者或數據處理者赴香港上市，就不需要申報網絡安全審查了呢？並不是。
2021年11月14日，國家網信辦公布《網絡數據安全管理條例（徵求意見稿）》（以下簡稱《條例》），依據《條例》第十三條規定，數據處理者開展以下活動，應當按照國家有關規定，申報網絡安全審查：（一）匯聚掌握大量關係國家安全、經濟發展、公共利益的數據資源的互聯網平台運營者實施合併、重組、分立，影響或者可能影響國家安全的；（二）處理一百萬人以上個人信息的數據處理者赴國外上市的；（三）數據處理者赴香港上市，影響或者可能影響國家安全的；（四）其他影響或者可能影響國家安全的數據處理活動。
《條例》屬於國務院條例，其實施後的法律階位高於《辦法》；如果正式實施後的《條例》第十三條（二）和（三）將數據處理者赴國外上市和赴香港上市分開表述，其內涵在於香港是中華人民共和國香港特別行政區，屬於中國主權範圍，基本不存在《辦法》第十條（六）關於「上市存在關鍵信息基礎設施、核心數據、重要數據或者大量個人信息被外國政府影響、控制、惡意利用的風險」等因素。因此，《辦法》對國內網絡平台運營者或數據處理者赴香港上市是否需要申報網絡安全審查沒有作出要求。
2021年12月，中國證監會發佈《國務院關於境內企業境外發行證券和上市的管理規定（草案徵求意見稿）》（以下簡稱《規定》），《規定》總體上支持依法合規的境內企業利用境外資本市場融資發展，不額外設置門檻和條件，但明確對四類情形實施嚴格的監管紅線，不得赴境外上市：一是法律法規明確禁止上市融資；二是危害國家安全；三是存在重大權屬糾紛；四是存在違法犯罪行為。
在以上的規定中分別出現了「國外」和「境外」的表述，《辦法》明確提出是「國外」上市；《條例》將「國外」和「香港」上市分開表述；《規定》則規定了「境內企業境外發行上市」。這裡需要明確，《辦法》和《條例》中的「國外」與《規定》中「境外」有何區別；「國外」比較好理解，指中國以外的其他國家，但是「國外」與「境外」的法律語境相同嗎？
根據2013年7月1日起施行的《中華人民共和國出境入境管理法》（以下簡稱《出境入境管理法》）第八十九條第一款的規定：「出境，是指由中國內地前往其他國家或者地區，由中國內地前往香港特別行政區、澳門特別行政區，由中國大陸前往台灣地區。」可見，《出境入境管理法》對「出境」（境外）的定義有三層含義，一是指由中國內地前往其他國家或者地區；二是由中國內地前往香港特別行政區、澳門特別行政區，這裡的香港和澳門屬於中國的特別行政區，特別行政區內實行「一國兩制」，相對於「香港和澳門」，中國稱之為「中國內地」；三是中國大陸前往台灣地區，台灣地區屬於中國領土的區域，但中國尚未對其實施行政管轄，相對於「台灣」地區，中國稱之為「中國大陸」。由此，《規定》中的「境外」應當包括國外和我國香港地區。
《規定》第八條規定：「境內企業境外發行上市的，應當嚴格遵守外商投資、網絡安全、數據安全等國家安全法律法規和有關規定，切實履行國家安全保護義務。涉及安全審查的，應當依法履行相關安全審查程序。」
《規定》第十六條對境內企業境外上市涉及損害國家安全以及向境外提供個人信息和重要數據的，提出了嚴格的監管要求，即「境內企業境外發行上市的，應當嚴格遵守國家法律法規和有關規定，建立健全保密制度，採取必要措施落實保密責任，不得泄露國家秘密，不得損害國家安全和公共利益。境內企業境外發行上市涉及向境外提供個人信息和重要數據的，應當符合國家法律法規和有關規定。」
由此可以看出，國內網絡平台運營者或數據處理者無論是赴國外上市還是赴香港上市，只要其開展數據處理活動，就應當嚴格遵守外商投資、網絡安全、數據安全等國家安全法律法規和有關規定。
但是，從《條例》第十三條（二）和（三）的表述上可以看出，數據處理者赴國外上市和赴香港上市，實施網絡安全審查的條件有所不同，前者（二）數據處理者赴國外上市，只要處理一百萬人以上個人信息，必須申報網絡安全審查；後者（三）則要求，數據處理者赴香港上市，影響或者可能影響國家安全的，應當申報網絡安全審查。
換言之，數據處理者赴香港上市是否需要申報網絡安全審查，關鍵要看是否會影響或者可能影響國家安全，如果存在影響或者可能影響國家安全的情形，就應當申報網絡安全審查，否則，就無需申報網絡安全審查。
然而，根據《境外上市管理規定》的要求，涉及安全審查的，應當依法履行相關安全審查程序。筆者認為，網絡平台運營者或數據處理者，只要涉及數據處理，尤其是處理個人信息超過一百萬人以上，赴香港上市最好主動申報網絡安全審查，是否影響或可能影響國家安全，由網絡安全審查辦公室研判。
