数据合规与网络安全审查：上市前要过的那一关
全球上市那些事 · 约 5,800 字 · 读完约 12 分钟
数据合规在上市里不是一个独立章节，它藏在三个地方：上市地的选择、境外架构里的数据流向、招股书风险因素里那几段话。哪一处没想清楚，都可能变成时间表上最慢的一环。
一家做企业服务软件的公司准备去美国上市。注册用户四百多万，付费企业客户一万多家，客户员工的信息也存在它的云上。境外律师的问题清单里有一条：「请确认公司是否需要申报网络安全审查，以及预计耗时。」
创始人的第一反应是：「我们又不是平台，是 To B 的。」
另一家做智能硬件的公司，产品卖到四十多个国家，设备数据回传到新加坡的服务器，研发在深圳。它准备在港股上市，觉得「香港不是国外，网络安全审查和我们没关系」。
两个判断都只对了一半。To B 不等于不掌握个人信息，去香港不等于没有数据出境。上市前的数据合规要分开回答三个问题：要不要申报网络安全审查；数据出境走哪条路径；日常处理有没有大缺口。规则口径截至 2026 年 10 月。
《网络安全审查办法》（2022-02-15 施行）：第七条，掌握超过 100 万用户个人信息的网络平台运营者赴国外上市，必须申报网络安全审查。第十一条、第十四条：初步审查 30 个工作日，复杂的延长 15 个工作日；特别审查一般 90 个工作日，复杂的可以延长；补充材料时间不计入。第十六条：成员单位认为可能影响国家安全的，可依职权启动审查。
《网络数据安全管理条例》（2025-01-01 施行）：第十三条为一般性国家安全审查要求；处理 1,000 万人以上个人信息的，适用重要数据处理者的部分义务。征求意见稿里单列的「赴香港上市」审查条款，正式版没有保留。
《个人信息保护合规审计管理办法》（2025-05-01 施行）：处理超过 1,000 万人个人信息的，每两年至少开展一次合规审计。
《促进和规范数据跨境流动规定》（2024-03-22 施行）：非关键信息基础设施运营者，当年累计出境 100 万人以上个人信息或 1 万人以上敏感个人信息、或提供重要数据的，申报安全评估；10 万至 100 万人、或不满 1 万人敏感个人信息的，标准合同或认证；不满 10 万人（不含敏感）的免予；履行个人合同、跨境人力资源管理等确有必要的可豁免。安全评估结果有效期 3 年。
境外上市配套：《境内企业境外发行证券和上市管理试行办法》把「经审查认定可能危害国家安全」列为不得境外上市的情形；保密和档案管理规定要求向境外中介、境外监管提供敏感资料履行程序，境内工作底稿原则上存放境内。
招股书里，美股看「Risk Factors」和「Regulation」；港股看「监管概览」「风险因素」及「业务」里的数据隐私小节；A 股看「业务与技术」的行业监管部分和问询回复里关于数据来源合法性的答复。
第一问：要不要申报网络安全审查
第七条有三个要件：网络平台运营者、掌握超过 100 万用户个人信息、赴国外上市。
「网络平台运营者」没有详细的官方定义，实务中倾向从宽理解。开头那家 To B 公司，客户员工在它的系统里登录、留下姓名和手机号，这些人算不算它的「用户」，是律师要回答的问题。这一点目前说不准，稳妥的做法是在启动阶段就和网络安全审查办公室沟通。
「100 万」看的是「掌握」，不是活跃用户，也不是付费用户。历史留存的个人信息一般也要算。
「国外」不包括香港。去香港上市不触发主动申报，但第十六条的依职权审查不区分上市地。准确的说法是：不用主动申报，不等于不会被审查。A 股上市不适用第七条，但审核同样会问数据来源合法性、用户授权和泄露事件。
第二问：数据出境走哪条路
这一问和上市地无关，只和数据流向有关。数据存在境外服务器、境外关联方能访问境内数据、境外母公司汇总全球用户数据，都属于出境。红筹企业常见的盲区：开曼上市主体的财务、法务、投资者关系团队要看业务数据，这本身就是出境；上市过程中境外中介的尽调调取，也要按保密和档案规定走程序。
第三问：日常合规有没有大缺口
三个市场都会问：隐私政策和用户授权是否完整，第三方 SDK 是否合规，是否发生过泄露、被通报或处罚、App 被下架，数据分类分级做没做，重要数据有没有识别。
某消费类 App 公司，境内注册用户 600 万（含敏感个人信息约 5 万人），每年向新加坡分析中心传输约 30 万人的个人信息（不含敏感）。
| 事项 | A 股 | 港股 | 美股 |
|---|---|---|---|
| 主动申报审查 | 不适用 | 不适用 | 需要 |
| 依职权审查风险 | 一般性存在 | 一般性存在 | 一般性存在 |
| 传输 30 万人 | 标准合同或认证 | 标准合同或认证 | 标准合同或认证 |
| 含敏感 ≥ 1 万人 | 安全评估 | 安全评估 | 安全评估 |
| 时间表影响 | 无额外审查期 | 无额外审查期，备案时会关注 | 初审 30 个工作日起；特别审查 90 个工作日起 |
示意，不对应任何公司。审查时限不含补充材料时间。
第一，出境路径和上市地无关。中间两行三栏完全一样。只要业务上有数据出境，不上市也要做；上市只是让它被认真检查一遍。
第二，美股多出来的是一段不确定的时间。初审 30 个工作日加延长 15 个，已经两个多月；特别审查 90 个工作日起算，「复杂的可以延长」没有上限。这段时间要和证监会备案并行排进时间表。
第三，敏感个人信息的门槛低两个数量级。健康、金融账户、行踪轨迹、生物识别、14 岁以下未成年人信息都是敏感个人信息。做医疗、金融、出行、教育的企业，很容易越过 1 万人这条线。
「当年累计」怎么数。每月传输约 2.5 万人，到 4 月底累计 10 万人，跨过标准合同门槛；若每月夹带约 1,000 人的健康数据，到 10 月底累计 1 万人，跨过安全评估门槛。出境路径不是年初定一次就完事，要按月盯累计量，接近门槛前三个月启动下一档程序。
选上市地之前，先做一次数据摸底。个人信息远超 100 万、又涉及敏感数据的公司，美股时间表里多了一段无法预估长度的审查期，港股和 A 股没有。这个差别可能比估值差别更影响选择。第 2 期讲过用四个问题筛上市地，数据规模可以算第五个。
「To B」「不是平台」不要当结论。是否属于网络平台运营者、是否「掌握」个人信息，是律师和监管沟通的结果，越早沟通越不被动。
整改比申报更花时间。分类分级、重要数据识别、隐私政策重写、SDK 清理、标准合同备案、合规审计，每一项都要几个月，放在申报前一年做比较从容。
红筹架构要画一张数据流向图。不画股权图，画数据图：数据存在哪里，谁能访问，境外主体为什么要访问。出境路径、保密要求、招股书风险因素都能从这张图推出来。
港股的「不用申报」不要说满。我们更愿意写「目前不触发主动申报义务，但不排除依职权审查的可能」。这一点目前说不准，取决于具体业务和数据规模。
「去香港，网络安全审查和我们无关。」主动申报不适用，依职权审查和出境规则仍适用。
「我们是 To B，没有个人用户。」客户员工的姓名、手机号、工号同样是个人信息。
「100 万指活跃用户。」看的是掌握的个人信息，历史留存一般也算。
「数据在国内服务器，就不涉及出境。」境外主体远程访问也可能被认定为出境。
「标准合同签了就行。」要备案、做影响评估；累计量变化后可能要升级为安全评估。
「审查 30 个工作日就结束。」那是初审；还有延长、特别审查和不计时的补充材料期。
附：上市前数据合规十问
| 1 | 个人信息总量是否超过 100 万人、1,000 万人 |
| 2 | 敏感个人信息涉及哪些类别、多少人 |
| 3 | 是否识别出重要数据，是否做年度风险评估 |
| 4 | 是否存在出境（含远程访问），当年累计量多少 |
| 5 | 出境路径是否落实：安全评估、标准合同或认证、豁免 |
| 6 | 上市地是否为「国外」，是否已与审查办公室沟通 |
| 7 | 隐私政策、用户授权、第三方 SDK 是否梳理完毕 |
| 8 | 报告期内有无泄露、通报、下架或处罚 |
| 9 | 境外中介调取资料是否按保密和档案规定履行程序 |
| 10 | 招股书数据合规表述是否与实际一致 |
数据合规的结论，最终落在上市地和时间表上。我们在做上市前规划与资本化路径研判时，会把数据规模和出境情况放进上市地比较的第一轮；具体的合规评估、监管沟通和法律意见，由律师事务所等持牌机构承担。
下期预告 · 4 月 16 日 周五
上市之后 09｜上市公司并购重组：新规之后怎么做
「并购六条」和新版重组办法之后，上市公司买资产的路宽了哪些、窄了哪些？周五我们把新规下的几处关键变化拆开讲。
觉得有用，也欢迎把「全球上市那些事」推荐给身边做企业、做投资、做上市培育的朋友。
扫码添加道纳客服
上市路径、境外备案、上市前规范相关的具体问题，可以直接来聊
工作日 9:00–18:00 回复
本文为公开规则与一般性情形的讨论，文中数字均为示意，不对应任何公司，不构成投资建议，不构成法律意见，也不构成对任何企业上市结果的判断。规则口径截至 2026 年 10 月。
全球上市那些事 · 道纳出品