境外投资人来了，资料还能不能给？——跨境尽调中的数据出境合规边界
一家国内人工智能企业准备引入境外战略投资者。交易进入尽职调查阶段后，对方律师很快发来一份数百项的资料清单，并要求目标公司开放线上资料室Virtual Data Room（VDR），供投资人、律师、会计师、技术顾问同步查阅。项目团队对此并不陌生，在他们看来，开放资料室只是跨境交易中的标准流程。然而，当员工花名册、客户信息、研发文档、系统日志乃至模型训练数据陆续上传后，一个原本很少被关注的问题开始浮现：这些资料可以被境外机构在线访问，本身是否已经构成数据出境？
不少企业对此仍存在误解，认为数据并未实际传输至境外服务器，只是赋予境外团队在线查看权限，因此不属于数据出境。但国家网信办《数据出境安全评估申报指南（第三版）》已经明确，将境内运营中收集和产生的数据提供给境外主体查询、调取、下载、导出，或者允许境外主体处理境内自然人的个人信息，都属于数据出境活动。换句话说，在跨境投资项目中，数据风险往往不是发生在交割之后，而是在尽职调查阶段就已经开始。
近年来，随着人工智能、生物医药、智能汽车、金融科技、跨境电商等行业快速发展，企业价值越来越多地建立在数据资产之上。对于境外投资人而言，仅仅查看财务报表和合同已经无法完成商业判断，他们更关注用户画像、算法训练数据、业务运营数据、日志数据、供应链数据以及研发体系。这意味着，传统意义上的法律尽调、财务尽调和技术尽调，正在不可避免地与数据出境合规发生交叉。
真正需要关注的，并不是"有没有传数据"，而是"传了什么数据"。
实践中，很多企业习惯于将姓名、身份证号码、手机号码删除，认为资料已经完成脱敏，可以放心提供给境外投资人。但《个人信息保护法》采用的是"可识别自然人"标准，而不是"是否出现姓名"标准。如果境外接收方仍可以结合员工编号、岗位信息、项目记录、设备标识符、交易流水等信息重新识别特定个人，这些资料仍然属于个人信息。只有经过匿名化处理，并且无法识别、不能复原，相关信息才可能脱离个人信息监管范围。
相比普通个人信息，敏感个人信息的风险更高。身份证号码、面部识别信息、健康数据、金融账户、行踪轨迹、未成年人信息，以及能够反映收入水平、绩效考核、纪律处分等情况的资料，都可能属于敏感个人信息。这类资料一旦纳入尽调范围，企业不仅需要证明披露的必要性，还应采取更加严格的访问控制和保护措施，而不是简单地上传至资料室供所有尽调人员浏览。
除了个人信息，越来越多企业开始面临另一个更复杂的问题——重要数据。
《数据安全法》建立了数据分类分级保护制度，《网络数据安全管理条例》进一步要求重点保护重要数据。《促进和规范数据跨境流动规定》则明确，企业应结合行业、地区以及主管部门发布的重要数据目录，对拟出境数据进行识别和判断。对于人工智能企业而言，大规模训练数据、模型运行数据、行业数据集等，都可能需要进一步评估；对于智能汽车、医疗健康、测绘地理信息、金融等行业，由于本身存在专门监管规则，相关数据是否属于重要数据，更需要结合行业规定综合判断，而不能简单依据企业自身理解作出结论。
跨境尽职调查中，另一个经常被忽略的问题，是很多企业将注意力全部放在"服务器是否位于境内"，却忽视了监管关注的重点并非服务器，而是访问权限。
目前大量跨境交易都会使用线上系统进行资料管理，境外投资人、境外律师、会计师、财务顾问、技术顾问甚至投资委员会成员，都可能拥有不同层级的访问权限。即使资料全部保存在境内服务器，只要境外主体能够在线查询、下载或者导出相关资料，依照现行监管口径，仍可能构成数据出境。因此，企业真正需要管理的不是服务器所在地，而是数据访问的对象、权限、范围、期限以及用途。
事实上，很多项目并不是因为监管审批而延期，而是因为企业直到签署交易文件时才意识到资料已经涉及数据出境。等到项目进入排他期、投资协议基本谈妥之后，再回头梳理数据分类、评估出境路径、准备安全评估材料或者补充标准合同，往往已经打乱整个交易节奏。
因此，数据治理应当前移到尽调准备阶段，而不是等资料上传完成后再进行补救。企业完全可以按照交易推进节奏实施分阶段披露：交易初期主要开放公司治理文件、公开工商资料、财务报表等低风险信息；进入排他谈判后，再逐步开放部分经营数据；对于涉及敏感个人信息、重要数据或者核心算法的数据，可以由境内律师、会计师或技术顾问完成现场核查，仅向境外投资人出具尽调结论，而非直接开放原始数据。这种安排既能够满足投资人的商业判断需求，也能够有效降低数据出境风险。
与此同时，线上资料室本身也应当成为数据治理的重要对象。不同角色应当设置不同权限，敏感资料原则上仅限必要人员在线查阅，限制下载、复制和打印，并通过动态水印、访问日志、到期关闭权限等技术措施实现全过程留痕。如果项目涉及重要数据或者行业监管数据，还应进一步核查资料室服务商所在地、服务器部署位置以及技术支持团队的访问权限，避免形成新的合规风险。
值得注意的是，很多企业认为交易交割完成后，数据问题已经结束。事实上，真正的大规模数据流动往往发生在投后整合阶段。境内公司接入境外集团统一ERP、CRM、人力资源、财务或者数据仓库系统后，数据出境的目的、规模、频率和接收主体都会发生实质变化，此时仍需重新判断是否触发新的数据出境合规要求，而不能简单沿用尽调阶段的处理方式。
可以预见，随着跨境投资持续活跃，数据出境已经不再只是互联网企业关注的话题，而正在成为所有跨境交易必须面对的法律问题。从交易设计到尽职调查，从协议谈判到交割整合，数据治理正在逐渐成为与税务、外汇、出口管制同等重要的合规议题。对于企业而言，尽职调查的真正目标从来不是"尽可能多地披露资料"，而是在保障交易顺利推进的同时，准确划定数据披露的法律边界。未来，能够决定一项跨境交易效率的，或许不只是估值和价格，更是企业的数据治理能力与合规管理水平。
请先 登录后发表评论 ~