适用场景
计划进行海外并购或资产收购的中国出海企业，尤其是在交易涉及用户数据、健康信息等敏感资产时。
核心要点
1. 并购类型决定数据责任归属
股权收购中，数据资产仍归目标公司所有，买方承担间接责任；资产收购中，买方直接成为数据控制者，对合规风险负直接责任。理解这一区别是评估交易风险和后续管理的基础。
2. 卖方需前置布局数据合规以提升估值
卖方应在交易启动前完成数据合规自查与整改，避免在谈判期间“暴雷”。历史数据泄露事件会严重打压收购价格，甚至导致交易失败。日常全面的用户协议设计能为交易中的数据披露提供合法性基础。
3. 买方必须开展专项数据尽职调查
数据资产瑕疵与传统资产瑕疵同样影响交易价值与安全性。买方需对目标公司的数据处理全流程、安全技术、合规制度、历史处罚及跨境传输情况进行全面审查，以准确估值并规避收购后风险。
4. 交易各阶段需恪守数据最小化原则
在尽职调查等交易环节中，向对方提供数据时应优先采用匿名化统计信息。若必须提供可识别个人信息，须确保已获得用户对“并购交易使用”的授权，否则需重新获取单独同意。
5. 跨境并购面临多法域监管挑战
涉及多国业务的并购会触发美国、欧盟、澳大利亚等多地监管审查，关注点集中于数据垄断与隐私保护。企业需针对不同司法辖区制定合规策略，并积极与当地监管机构沟通，可能需做出长期行为承诺以获取批准。
实务建议
- 卖方应在启动出售流程前，聘请第三方进行数据合规尽职调查，提前识别并修复风险点。
- 在交易谈判中，使用虚拟数据室（VDR）时，必须实施严格的访问权限控制和活动日志记录。
- 买方应制定详尽的“数据合规尽调清单”，涵盖主体资质、处理行为、安全事件历史、制度建设和跨境传输等核心维度。
- 并购完成后若需转移用户数据，必须向用户告知接收方信息；若变更原处理目的，应重新获得用户明示同意（如采用选择加入机制）。
- 涉及健康、遗传资源等敏感数据的并购，必须额外审查行业特殊法规（如人类遗传资源管理条例）的合规性。
风险提示
- 切勿在尽职调查中未经脱敏处理就直接提供原始用户数据，这违反数据最小化原则并可能招致处罚。
- 忽视目标公司未公开的数据泄露历史是重大风险，买方应通过技术手段和条款承诺进行深入调查。
- 认为仅遵守中国或欧盟（GDPR）单一法规即可，实际上需同时满足所有业务所在国的数据保护要求。
- 并购完成后，忽略数据转移时的用户告知与同意要求，可能导致业务整合违法。
- 低估特殊行业（如医疗健康）的数据监管强度，未进行针对性尽调，将带来极高的合规风险。