适用场景
计划或正在进行境外上市、并购重组、业务扩张，特别是处理大量个人信息或重要数据的中国出海企业，尤其是大型互联网平台和科技公司。
核心要点
1. 企业重大交易触发数据合规报告义务
企业在进行合并、重组、分立等重大交易时，若涉及重要数据或超过一百万人的个人信息，需向设区的市级主管部门报告。这项义务旨在让监管部门提前掌握企业动态，特别是可能涉及境外上市的计划。
2. 境外上市面临全链条数据安全监管
赴国外或香港上市，若处理超过一百万人个人信息或可能影响国家安全，需申报网络安全审查。上市后，企业还需每年进行数据安全评估并提交报告，形成上市前、中、后期的持续监管闭环。
3. 大型互联网平台境外设立机构需报备
用户超五千万、具有市场支配地位的大型互联网平台运营者，在境外设立总部、运营中心或研发中心时，需向国家网信部门和主管部门报告，以便监管部门掌握其出海动向。
4. 企业终止运营时需妥善处理数据
企业解散或宣告破产时，必须向主管部门报告，并依法完成数据的移交或删除工作，确保数据安全贯穿企业生命始终。
实务建议
- 在筹划重大交易（如重组、上市）前期，立即评估业务是否涉及重要数据或超百万个人信息，判断是否触发报告或审查义务。
- 设计交易时间表时，必须为可能触发的网络安全审查预留充足时间（一般程序约3.5个月，特别程序可能超过6个月）。
- 在尽职调查和交易文件中，明确数据合规状态的核查条款及责任归属，必要时敦促目标公司与监管部门提前沟通。
- 建立并维护常态化的数据合规管理体系，确保能满足上市后的年度数据安全评估与报告要求。
- 密切关注《网络数据安全管理条例》等法规的最终落地及实施细则，及时调整合规策略。
风险提示
- 切勿低估‘涉及重要数据和一百万人以上个人信息’这一报告门槛，实践中监管部门可能对‘或’关系作宽泛解释，满足其一即可能触发义务。
- 赴港上市‘影响国家安全’的标准存在模糊性，企业应做最谨慎评估，避免因误判导致上市进程受阻。
- 网络安全审查具有高度不确定性，一旦启动将严重影响交易时间表，务必在交易前期进行充分排查与预案。
- 即使成功上市，后续的年度评估报告义务也不容忽视，未履行将面临合规风险。