马自达服务器被入侵，大批个人信息泄露一企业IPO数据合规的审核要点
引言：
近些年来，随着互联网应用的愈发广泛和完善，越来越多的数据信息泄露、数据入侵、数据产权不明晰等事件危害着国家、企业以及个人的权力，数据资源的安全也越来越受到重视。近日新闻显示，汽车公司马自达宣称公司内部服务器遭到入侵，导致员工以及客户超过十万份个人信息数据被泄露；荷兰消费者协会起诉谷歌公司在数据收集方面侵犯隐私；以及特斯拉数据泄露事件等，越来越多的数据资源和数据信息安全开始更受重视。再加上最新的政策显示24年开始，数字资源将会计入财务报表，更会大幅度引起社会对数字资源重视的同时，引起监管部门的更加关注。本文将从数据合规以及数据资源的角度入手，探索企业IPO过程中，监管部门对于数据方面的核查要点。
内容：
其实，在这篇文章之前，小编也有专门写过一篇关于《企业数据合规的关注要点—IPO案例分析》的文章，如果想要详细了解，可以关注宜久审计公众号，进行文章的阅读和了解。本篇文章，小编就简单的进行相关内容的总结。
企业在IPO过程中，针对数据，监管部门主要审核以下几点内容：
①业务合规性
对于拟上市公司，监管部门会首先就其业务模式对合法合规性进行询问，并关注公司业务经营是否符合《个人信息保护法》、《数据安全法》、《网络安全法》等法律法规的规定。根据业务的复杂程度，监管部门也会具体询问信息的内容和表现形式、数据的数量以及是否需要授权等方面的问题。这样做的目的是为了了解公司的主营业务情况，以及是否涉及相关的数据安全和信息保护领域，从而为进一步的询问提供基础。
最明显的关注或者说提问方式就是：发行人的互联网相关业务是否为客户提供个人数据存储及运营的相关服务，是否存在收集、存储个人数据，对相关数据挖掘及提供增值服务等情况；数据的收集、存储、使用是否已经取得客户的授权或同意；公司相关业务经营是否符合《个人信息保护法》《数据安全法》《网络安全法》等法律法规的规定。
②数据的来源
根据业务模式的不同，企业数据的来源可主要分为三种类型：企业自主收集、供应商采购、客户提供。监管部门对于不同类型的数据来源都关注数据来源的合法合规性，但在具体侧重上有所差异。对于企业自主收集的数据（包括从C端用户或公开渠道获取的数据），关注是否获得个人的知情同意，以及采集技术、程序和内容是否合法合规；对于下游客户或供应商提供的数据，除关注是否需要获得知情同意外，还会关注企业对于外部数据来源的内部保障措施和审核管理方式是否完善。
在这一要点中，监管部门的提问方式主要是：该类数据的采集时候合法合规？采用的技术以及采集数据的程序是否合法合规？该项数据的采集以及应用目的等是否告知用户并征得用户的明确同意？
③数据的使用
企业对于数据的使用可以分为内部使用和外部共享。内部使用是指企业在自身业务流程中利用所收集的数据，例如进行个性化营销宣传、获取定位信息以提供出行服务等；而外部共享则是将相应的数据根据对外输出和分享的需求进行共享，比如在用户协议中约定第三方共享清单并提供给关联企业，或者提供给客户使用。
主要的提问集中在：关于数据安全及用户隐私保护。请发行人披露并说明发行人获取数据进行商业化变现的合规性；是否存在使用范围主体或期限等方面的限制，发行人是否存在超出上述限制使用数据的情形？
④数据的安全
数据安全涉及到数据的存储、访问和使用权限的配置，以及预防数据泄露等问题。这不仅是拟上市企业内部管理制度需要关注的核心问题之一，同时也是法律法规监管的重要方面。根据《数据安全法》第27条的规定，进行数据处理活动时应建立完善的全流程数据安全管理制度，组织开展数据安全教育培训，并采取相应的技术和其他必要措施来保障数据安全。《民法典》、《个人信息保护法》等相关法律法规也对数据安全提出了明确的监管要求。
常见的问询方式和内容有：请发行人披露并说明：(3)明在对用户信息进行加工、处理存储及传输过程中避免或防止泄露用户隐私的具体制度及相关安排；(4) 用户信息保护技术体系，尤其是防止外部黑客攻击和内部人员恶意导致的数据泄露的技术措施；数据安全以及用户的隐私保护是否到位？是否建立数据安全机构、采取了哪些安全保障措施以及人员保密和权限管理等情况？
⑤网络安全审查
如前所述，国家安全层面的数据合规主要涉及拟上市企业是否符合网络安全审查的要求。根据《关键信息基础设施安全保护条例》的相关规定，如果拟上市企业被分类为“关键信息基础设施运营者”或网络平台运营者，并且涉及到可能影响国家安全的数据处理活动，就需要按照《网络安全审查办法》的要求进行网络安全审查。
具体的问询方式和内容包括但不限于：请发行人结合产品和服务应用场景以及实际经营情况，进一步说明认为自身无需主动申报网络安全审查的依据是否充分，客观披露若客户要求发行人配合其进行网络安全审查，是否存在无法满足监管要求而影响自身持续经营能力的风险？发行人提供的主要产品和服务是否属于《关键信息基础设施安全保护条例》规定的安全可信的网络产品和服务，是否需配合网络安全审查？是否存在违反国家有关数据安全的相关规定、是否存在数据泄密风险？
⑥数据出境安全评估
如果拟上市企业涉及境外经营业务，监管部门可能会关注企业是否需要进行数据出境安全评估。根据《数据出境安全评估办法》第四条规定，在以下情况下，数据处理者应通过所在地省级网信部门向国家网信部门申报数据出境安全评估：（一）向境外提供重要数据的数据处理者；（二）关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；（三）自上年1月1日起累计向境外提供10万人个人信息或1万人敏感个人信息的数据处理者向境外提供个人信息；（四）国家网信部门规定的其他需要申报数据出境安全评估的情况。如果拟上市企业符合上述情况之一，就需要向网信部门申报数据出境安全评估。
具体的审核问询包括：请发行人说明是否掌握重要数据或掌握 100 万人以上个人信息？是否存在规避海关、外汇、税收、反洗钱、数据出境等方面规定和监管的情形？
⑦数据的立法和监管
鉴于近年来有关数据合规、信息保护等议题的法律法规体系逐渐完善，现有法律框架下对于数据合规的监管要求也越来越严格。面对外部监管形势的变化，监管部门也着重关注拟上市企业是否能够适应新的法律法规要求，并评估这是否会对其业务产生不利影响。此外，监管部门还会关注拟上市企业在过去的业务经营中是否存在侵害数据安全的行为，并因此受到行政处罚或整改通知，以及是否存在纠纷或潜在的纠纷情况。
具体可能存在的问询内容和要点有：请发行人说明是否存在非法
侵入用计算机、手机或其他移动设备的行为，发行人用户信息等数据的获取、使用、维护是否合法合规，是否存在侵犯用户个人隐私的情形，是否存在纠纷或潜在纠纷？近年关于数据安全、个人信息保护等立法对发行人研发、采购、销售等的影响，发行人业务开展是否符合该等法律法规规定，是否存在本次发行上市未履行的前置程序或其他障碍，相关风险揭示是否充分？
⑧数据的披露
数据的披露其实比较广泛，之前数据资产未入表时，监管部门关注更多的就是财务数据、非财务数据的一些披露的充分性、完整性、或准确性等，后续数据资产入表之后，监管部门对于数据信息还会更多关注互联网等各项信息的披露，除了上面的七点细节性的关注方向之外，剩下的比较主要的就是披露的准确性、完整性和充分性。
比如需要披露：数据信息的获取方式：监管机关较为关注企业获取的个人数据的具体内容，如数据的具体类型及占比，以文字、图像、视频何形式为载体，是否涉及个人信息、重要数据、商业秘密及其他非公开信息，不同渠道获取数据内容差异性。数据信息的使用方式：技术大数据核心技术（如算法的训练、系统的搭建等）是否涉及大量的数据的应用，主动式数据采集技术和被动式数据采集技术的异同点。
总结：
如今，网络安全，网络数据，数据信息等内容，其实越来越受监管部门的关注，想要进行IPO的企业以及正在筹备IPO的企业需要对这方面内容多加关注，提前了解和筹备，避免因为这方面内容的不到位而影响整个的上市进程。
