一、结论先行：数据负债会随交易一并继承
并购交易中最容易被低估的风险，是标的公司的数据合规负债。它的特点是隐蔽、滞后、连带：违规收集行为发生在收购前，行政处罚或民事索赔可能在交割后一两年才出现；而收购方作为权利义务承继者，往往难以切割。
以股权收购为例，标的公司的法人主体不变，此前的违法行为、未履行的合规义务、潜在的索赔请求权，全部留在同一个主体内，收购方通过持股间接承担。即使是资产收购，若一并受让了用户数据库、系统平台、客户合同，数据处理者身份随之转移，义务也随之转移。
因此，数据合规尽调不是「加分项」，而是定价与条款设计的事实基础。尽调发现的每一项缺陷，都应在价格、赔偿、交割条件三个工具中找到对应安排。
二、尽调的八个维度
| 维度 | 核查内容 | 关键文件 |
|---|---|---|
| 数据资产 | 业务场景、系统清单、数据类别与量级、存储位置、流转路径 | 数据地图、系统清单、数据库字典 |
| 合法性基础 | 告知与同意机制、单独同意情形、非同意路径的依据 | 隐私政策及历史版本、同意记录样本、合法性评估说明 |
| 制度与组织 | 制度体系、负责人设置与备案、影响评估与合规审计 | 制度汇编、备案回执、评估与审计报告 |
| 第三方管理 | SDK 清单、委托处理与共享协议、受托方监督 | SDK 台账、数据处理协议、审计记录 |
| 数据出境 | 出境场景、已采取路径、合同备案、人数测算 | 安全评估或标准合同文件、出境台账 |
| 重要数据与关基 | 识别结论、申报记录、认定文件 | 识别报告、申报回执、认定通知 |
| 安全事件与监管互动 | 历史泄露与事件、通报、整改通知、处罚 | 事件报告、整改回复、处罚决定书 |
| 争议与刑事风险 | 涉数据诉讼、投诉举报、员工涉数据案件 | 诉讼清单、投诉台账、判决裁定 |
尽调方法上，文件核查必须与技术验证交叉。只看隐私政策，看不到实际收集了哪些字段；只访谈管理层，听不到一线运维的真实操作。建议至少做三项技术验证：抓包看 App 实际调用的第三方域名、查数据库看敏感字段是否加密、看日志系统是否留存导出记录。
三、红旗清单：见到就要重点处理
- 隐私政策长期未更新，或政策文本与实际收集字段明显不符。
- 存在「一揽子同意」「默认勾选」「拒绝即不能使用」等设计。
- App 或网站嵌入大量第三方 SDK，但没有清单、没有协议、没有披露。
- 数据出境但无任何申报、备案或合同文件，或人数测算明显偏低。
- 曾发生数据泄露但无事件报告、无用户通知、无整改记录。
- 收到过监管整改通知，回复材料与实际整改情况不一致。
- 核心数据字段明文存储、密钥硬编码、生产数据流入测试环境。
- 存在买卖、交换数据的合同或流水记录。
- 员工批量导出数据的日志异常，且无调查结论。
- 数据来源依赖爬取，且抓取方式存在突破技术措施的情形。
四、数据负债怎么量化
量化不是精算，但要有结构。可按四类成本估算：
| 成本类型 | 构成 | 估算方法 |
|---|---|---|
| 整改成本 | 系统改造、SDK 替换、加密改造、制度重构、人员配置 | 按改造项逐一报价，加管理成本系数 |
| 合规成本 | 影响评估、合规审计、密评、等保测评、法律意见 | 按项目市场价估算，考虑年度重复发生 |
| 处罚敞口 | 行政处罚可能的罚款区间 | 参照同类违法行为既有处罚案例的幅度 |
| 或有负债 | 民事索赔、集体诉讼、用户补偿、业务中断 | 按用户规模、数据敏感度、历史同类事件估算 |
四类成本相加后，还要考虑时间成本：整改期间业务可能受限，若涉及上市或融资，时间延误的价值损失往往超过直接成本。
五、股权收购与资产收购的责任差异
| 比较项 | 股权收购 | 资产收购 |
|---|---|---|
| 主体承继 | 主体不变，历史责任全部承继 | 仅承继受让资产相关的责任 |
| 数据负债 | 全部继承，包括已发生未暴露的 | 受让数据与合同的，相应义务随之转移 |
| 合同处理 | 合同主体不变，无需逐份变更 | 需逐份取得相对方同意或办理变更 |
| 切割空间 | 小，只能靠交易文件与赔偿机制 | 较大，可通过不接收特定资产隔离风险 |
| 典型问题 | 隐性负债、历史处罚、未了结争议 | 数据迁移的合法性、用户同意的覆盖范围 |
资产收购中一个高频问题是：受让用户数据库后，原有同意是否继续有效？若原同意的主体、目的、方式与新主体实际处理行为不一致，需要重新取得同意或另行建立合法性基础。把数据库搬过来就直接使用，是典型的合规断裂。
六、交易条款怎么设
陈述与保证。不要只写「符合数据保护法律法规」这种概括表述。应具体列明：已就全部处理活动取得合法基础；隐私政策与实际处理一致；不存在未披露的数据泄露与监管调查；数据出境已履行法定路径；不存在买卖数据行为。概括保证在索赔时几乎无用，具体保证才可执行。
专项赔偿。针对尽调发现的红旗事项，设置专门赔偿条款：约定赔偿范围（罚款、和解金、律师费、整改成本）、起赔门槛、赔偿上限、存续期限。数据类风险的潜伏期长，存续期限应长于一般条款。
托管安排。从交易价款中划出一部分放入托管账户，在存续期届满或特定风险消除后释放。这是最直接的履约保障。
交割前提条件。把关键整改作为交割前提：完成数据出境申报、完成 SDK 清理、完成泄露事件处置与报告、取得必要的监管确认。条件不满足则不交割或延期交割。
过渡期承诺。约定交割前标的公司不得变更隐私政策、不得新增数据出境、不得处置数据资产，避免「交割前突击动作」扩大风险。
七、外资并购的交叉审查
外资并购涉及数据领域的，可能同时触发其他审查：外商投资安全审查（涉及重要领域、影响国家安全）、网络安全审查（关键信息基础设施运营者采购网络产品服务影响国家安全，或掌握超100万用户个人信息赴国外上市）、数据出境安全评估（交割后数据向境外母公司汇聚）。
三项审查的触发条件不同，但实务中常同时出现。建议在交易架构设计阶段就做联合判断，避免签署协议后才发现某一项无法通过，导致交易被迫重构。
八、常见问题
问：标的公司规模很小，也要做数据尽调吗？要，但可以按比例简化。重点核查三条：收集了什么数据、有没有合法基础、有没有出境。这三条覆盖了八成以上的实际风险。
问：卖方不愿提供完整数据清单怎么办？这本身就是风险信号。可退而求其次：要求卖方就清单完整性作出明确保证，并据此设置更高的专项赔偿比例或更长的存续期。
问：交割后发现未披露的违规，能索赔吗？取决于交易文件的约定与证据。有具体陈述保证＋专项赔偿＋完整尽调记录，索赔基础才扎实；只有概括保证，往往陷入「是否属于已知风险」的争议。
问：数据资产能否单独作为交易标的？可以，但须解决三个问题：数据来源的合法性、原始主体同意的覆盖范围、受让方能否建立独立的合法性基础。这也是数据资产质押融资面临的同一组问题。
一句话概括：并购中的数据合规，尽调是发现问题，定价是消化问题，条款是分配问题。三步都做到，交易才真正安全；只做尽调不定价、不定条款，等于花钱买了一份风险清单。
法条与依据核验：《个人信息保护法》第十三条、第十四条、第十七条、第二十三条、第三十八条至第四十条、第六十六条；《数据安全法》第二十七条、第四十五条、第四十六条；《网络安全审查办法》；《数据出境安全评估办法》；《促进和规范数据跨境流动规定》。外商投资安全审查的具体范围以现行有效规定为准。本文所述估值方法与条款安排为实务建议，不构成对特定交易的法律意见。
