GDPR、PIPL等数据法规在跨境转让中的尽调要点

在这个行业摸爬滚打九年，我经手过的大大小小企业并购案例没有一千也有八百了。回想刚入行那会儿，大家谈并购，眼睛里盯着的无非是财务报表、固定资产或者市场渠道，那时候数据资产？那不过是附在Excel表格里的一串串数字罢了。但现在不一样了，随着GDPR（通用数据保护条例）和PIPL（个人信息保护法）等一系列严苛法规的落地，数据合规已经成了跨境交易中那颗最不起眼却最具杀伤力的“”。我见过太多谈得好好的并购案，就因为在尽调阶段发现标的公司存在严重的数据跨境违规，要么交易价格被拦腰砍断，要么直接告吹。作为加喜财税的一名老兵，我想用这篇稍微有点“干货”的文章，跟各位聊聊在跨境转让的尽调工作中，我们究竟该如何把脉这些看不见的法规风险。

全量数据资产盘点与映射

在尽调的初期，我们首先要把标的公司手里到底有什么“货”给摸清楚，这里的“货”指的就是数据。很多时候，企业管理者自己也说不清他们到底存了用户什么信息。这时候，作为专业顾问，我们不能只听他们嘴上怎么说，必须深入到他们的业务流和数据库里去。我们需要构建一张完整的数据地图，明确数据从哪里来、存放在哪里、又要流向哪里。在这个过程中，数据分类分级是核心工作，要严格区分一般个人信息、敏感个人信息（如生物识别、健康数据、金融账户等）以及重要数据。

这不仅仅是技术问题，更是法律问题。在跨境场景下，GDPR对数据类型的敏感度划分非常细致，而PIPL对于“重要数据”和“个人信息”的出境有截然不同的监管要求。比如，我们在尽调中发现，很多跨国企业为了方便管理，习惯将所有员工数据，包括中国员工的身份证复印件、家庭住址等敏感信息，直接回传到总部的HR系统。如果这些数据没有经过本地化存储或合规出境评估，这就是一颗定时的合规。在加喜财税处理的这类项目中，我们会要求标的公司提供详细的数据流图（DFD），并逐一核对每一个数据节点的合法性。

我们还需要特别关注数据的留存期限。法规通常要求数据的保存应当遵循“最小必要”原则，不能无限期地保存。我们在尽调中经常发现标的公司为了“备用”，保留了大量已经失效业务的。这些“僵尸数据”在并购中不仅没有价值，反而因为可能涉及违规留存而成为买方的负债。在尽调报告中，我们必须明确指出这些数据资产的合规状况，并评估清理这些历史数据所需的成本和潜在风险。

这里有一个我经手的真实案例。一家总部位于欧洲的科技公司想要收购一家拥有大量国内用户的数据分析企业。在初期的财务尽调中，一切看起来都很美好，利润可观，增长强劲。但当我们深入进行数据尽调时，发现这家目标公司为了训练算法，未经用户同意抓取了大量社交媒体用户的公开及非公开信息，并且部分涉及到了用户的宗教信仰和 political 观点。在GDPR的框架下，这属于特殊的敏感数据类别，处理门槛极高。这一发现直接导致买方重新评估了收购价格，最终不得不在交易协议中增加了巨额的赔偿条款，并要求目标公司在交割前完成所有违规数据的清洗工作。

法律基础与同意链条的有效性

摸清了有什么数据，接下来就要问一个最根本的问题：他们凭什么持有这些数据？这就是法律基础的问题。在GDPR体系下，处理个人数据的法律基础包括同意、履行合同、法定义务等；而PIPL更是将“个人同意”作为核心基石之一，特别是在处理敏感个人信息和向境外提供个人信息时，要求取得个人的单独同意。在尽调中，我们不仅仅是看他们有没有让用户勾选那个“我同意”的框，而是要穿透表面，去看这个同意链条是否真实、有效。

我们经常遇到的情况是，标的公司提供的隐私政策还是五年前的版本，早已不符合现行法律的要求。更糟糕的是，有些App的弹窗是“捆绑同意”，如果不勾选同意所有条款（包括数据跨境传输），用户就无法使用服务。这种做法在现在的法律环境下是明令禁止的。如果买方接手了这样的公司，就相当于继承了这些无效的法律基础，未来面临监管处罚的风险极高。我们需要仔细审查他们的用户注册界面、隐私政策更新记录以及用户点击日志，确认每一次数据处理的合法性来源是否经得起推敲。

对于跨境业务来说，同意的撤回机制也是审查重点。用户是否有权随时撤回对数据跨境传输的同意？标的公司是否提供了便捷的撤回方式？如果没有，这种“只进不出”的数据流动模式也是违规的。记得在一个涉及跨境电商并购的案子里，我们发现目标公司虽然有用户同意条款，但用户如果想要撤回同意，必须发邮件到一个经常没人回复的海外邮箱。这种“形式主义”的合规在监管机构面前根本站不住脚。我们作为买方顾问，当时就指出了这一点，并要求卖方在交割前必须整改其用户权利响应机制，否则交易无法推进。

我们还要关注涉及员工的个人信息处理。在跨国并购中，员工尽职调查是不可避免的，买方通常需要了解目标公司核心员工的情况。获取这些员工信息（如薪酬记录、绩效评估、背景调查报告）必须有合法的法律基础。很多中国企业收购海外公司时，习惯把中国员工的信息直接拿来处理，这在海外极易引发劳动诉讼和数据合规投诉。核查目标公司是否与其员工签署了合规的数据处理协议，是否在并购过程中对员工信息进行了特别的保护，也是我们工作的重中之重。

跨境传输合规机制审查

既然是跨境转让，数据“出境”这个动作本身就是监管的重灾区。在这一环节，我们要审查标的公司是否建立了完善的数据跨境传输合规机制。这不仅仅是签一份合同那么简单，而是要构建一整套的法律保障体系。根据PIPL的规定，关键信息基础设施运营者（CIIO）和处理个人信息达到规定数量的处理者，确需向境外提供个人信息的，应当通过国家网信部门组织的安全评估；而对于其他企业，则可以采用专业机构认证、订立标准合同（SCC）或者法律规定的其他条件。

在尽调实操中，我们会重点核查目标公司是否与境外接收方签署了符合法律要求的标准合同条款。对于涉及欧盟业务的公司，是否使用了欧盟委员会最新版本的SCC，并根据传输的具体情况（如如双方角色为控制者还是处理者）完成了模块的填充？对于中国境内企业，是否已经在网信办备案了标准合同？这些都是硬性指标。我们曾遇到一家企业，虽然签了SCC，但合同版本还是十年前的老版本，其中的法律救济条款、数据本地化要求都与现行法规冲突，这就相当于签了一张废纸。

除了合同文本，我们还需要评估境外接收方所在国家的数据保护水平。如果数据被传输到一个没有完善数据保护法律的国家（或者被视为“高风险”国家），那么仅仅有SCC可能是不够的，还需要采取额外的补充保护措施。比如，数据是否进行了加密？密钥是否由境内方控制？是否实施了匿名化或假名化处理？这些技术层面的措施在尽调中往往容易被忽略，但却是监管机构检查的重点。我们会在加喜财税的尽调清单中，专门列出针对技术保障措施的核查项，确保数据的“出国之路”是全副武装的。

下表总结了在不同法规体系下，企业进行跨境数据传输时的主要合规路径及其适用场景，这也是我们在尽调中对照检查的基准：

历史数据泄露与合规历史

过去发生的伤痕，往往预示着未来的风险。在数据合规尽调中，目标公司的“历史病历”是我们必须深挖的内容。我们需要查询并核实目标公司在过去三到五年内，是否发生过数据泄露事件、是否遭受过网络攻击、是否收到过监管机构的问询或行政处罚。这些信息在常规的财务尽调中可能被归为“或有负债”，但在数据领域，它往往是“致命伤”。

很多时候，标的公司会试图隐瞒数据泄露的事实，生怕影响估值。这就需要我们利用专业的调查工具和渠道，去检索暗网数据、公开的监管执法数据库以及相关的新闻报道。有一次，我们在协助一家客户收购一家东南亚的支付公司时，通过暗网监测发现，该公司的两年前的一批用户数据正在被兜售。虽然标的公司的管理层矢口否认，但在我们拿出的铁证面前，他们不得不承认这起泄露事件，并承认当时并没有通知受影响的用户。这种隐瞒行为如果被监管发现，处罚金额会是泄露本身的数倍。我们的客户在得知这一消息后，果断调整了交易结构，将一部分尾款设定为“合规保证金”，以应对未来可能爆发的处罚。

除了主动泄露，我们还要关注被动违规的历史。比如，是否因为网站没有放置Cookie横幅而被GDPR监管机构投诉过？是否因为没有响应用户的数据删除请求（行使其“被遗忘权”）而被起诉？这些看似琐碎的小案子，往往反映了目标公司数据合规意识的薄弱和管理流程的混乱。如果一家公司连基本的用户权利请求都处理不好，那么在更复杂的跨境并购完成后，它怎么可能适应更严苛的合规环境呢？

在这一块的尽调中，我也曾遇到过一个非常棘手的挑战。一家被收购的企业声称他们的数据合规记录完美无瑕，所有文件都归档得整整齐齐。但我总觉得哪里不对劲，因为他们的业务量很大，却没有任何用户投诉记录，这在统计学上是不太可能的。后来，我通过侧面了解他们的技术人员，才发现他们其实有一个内部的“黑名单”，对于喜欢投诉或者维权意识强的用户，系统会自动屏蔽其部分功能，从而变相阻止了投诉。这种通过技术手段规避监管的行为，性质比单纯的违规更恶劣。我们将这一发现写进了尽调报告，并建议客户慎重考虑收购风险。

第三方供应商数据风险穿透

在现代商业环境中，企业的数据流很少是封闭的，它们往往会通过各种接口流向第三方供应商——云服务商、CRM提供商、数据分析公司、营销推广平台等等。在跨境并购尽调中，我们发现供应链上的数据风险往往被严重低估。目标公司自身合规做得再好，如果它的第三方供应商把数据卖了或者泄露了，责任最终还是要追溯到数据控制者（即目标公司）身上。这就是所谓的“穿透式”风险。

我们需要重点审查目标公司与第三方供应商签署的数据处理协议（DPA）。这些协议是否明确了双方的责任？是否限制了供应商将数据转交给其他次级处理者？是否要求供应商配合目标公司响应数据主体的权利请求？在实际案例中，我们发现很多中小企业为了省钱，使用的是免费版的SaaS软件，而这些免费软件的服务条款中往往包含“我们可以使用您的数据进行产品改进”之类的霸王条款。这意味着，目标公司的数据实际上被服务商免费拿去训练模型甚至商用，这在跨境语境下是绝对的红线。

特别是对于涉及税务居民身份敏感信息的处理，如果这些信息被传递给境外的会计师事务所或税务咨询公司，必须要有严格的加密传输和访问控制措施。我们曾在一个跨国并购案中发现，目标公司将所有员工的薪资数据通过未加密的电子邮件直接发送给位于境外的薪酬计算外包商。这不仅违反了数据保护法，还可能触犯各国的税务保密法规。我们立即建议买方要求卖方在交割前切断这一违规链条，重新寻找合规的供应商，或者至少建立安全的数据传输通道。

对于云服务商的选择也是尽调的重点。数据存储在哪个国家的服务器上，直接决定了数据管辖权的归属。如果目标公司使用了美国云服务商的服务节点，那么根据美国的《云法案》（CLOUD Act），这些数据可能会被美国调取，这与欧盟GDPR或中国PIPL的数据长臂管辖权存在潜在的冲突。在加喜财税的尽调流程中，我们会要求列出所有关键第三方服务商的清单及其数据存储地理位置，并评估其中的地缘政治法律冲突风险。

这一块工作的繁琐程度远超想象。有一次，为了理清一家电商公司背后的数据流向，我们追踪了二十多个第三方接口，从广告商到物流公司，每一家都要查合同、查服务器位置。过程虽然痛苦，但结果令人咋舌：竟然有三家供应商将数据传到了完全未被授权的地区。这种深度的穿透尽调，才是帮助客户规避跨境并购后“暴雷”的关键。

GDPR和PIPL等数据法规的出台，彻底改变了全球并购游戏的规则。数据合规不再仅仅是法律部门的事务，它已经成为了决定交易成败的核心商业指标。通过上述五个方面的深度尽调——从资产盘点、法律基础、传输机制、历史记录到第三方风险，我们实际上是在为买方绘制一张精确的“风险导航图”。在这个过程中，任何一个细节的疏忽，都可能在交割后演变成巨额的罚款或不可挽回的声誉损失。

作为一名在这个行业干了九年的“老兵”，我见证了无数企业因为忽视数据合规而付出的惨痛代价。但我也要强调，发现风险并不意味着交易的终结。相反，专业的尽调是为了让交易双方更清楚资产的真实状况，从而设计出更合理的交易结构，比如设立赔偿准备金、在交割前完成整改、或者将合规义务作为交割的先决条件。在这个数据为王的时代，合规能力本身就是一种核心竞争力。只有那些尊重数据、敬畏法规的企业，才能在跨境并购的浪潮中走得更远、更稳。我们不仅要帮客户看清数字背后的价值，更要帮他们守住数字背后的底线。

加喜财税见解

在加喜财税看来，数据合规尽调已不再是跨国并购中的“选修课”，而是事关交易生死的“必修课”。GDPR与PIPL的叠加效应，使得跨境数据传输的合规门槛显著提高。企业在进行并购决策时，必须将数据合规风险作为核心估值因子进行考量。我们的经验表明，许多潜在的合规隐患并非不可解决，关键在于尽调阶段能否精准识别。加喜财税始终建议客户采取“防御性”策略，即在交易完成前通过专业的法律与技术手段剥离或整改高风险数据资产。这不仅是规避监管罚款的需要，更是保障并购后业务平稳过渡、实现数据资产价值最大化的前提。