一、结论先行：上市前先回答三个问题
赴境外上市涉及的数据合规，不是「做了更好」的加分项，而是可能直接阻断发行的实质性条件。企业应当在启动上市程序之前回答三个问题：
- 是否属于须申报网络安全审查的情形——核心是「是否掌握超过100万用户个人信息」以及「是否关键信息基础设施运营者」。
- 是否存在须申报数据出境安全评估的情形——上市过程中向境外中介机构提供数据、境外控股主体访问境内数据，都可能构成出境。
- 是否存在重要数据——涉及重要数据的，无论上市与否，都须按重要数据规则管理。
三个问题的答案会决定上市节奏：需要申报的，审查周期必须计入时间表；不需要申报的，也要留存判断依据，以备中介机构核查与监管问询。
二、网络安全审查与数据出境安全评估不是一回事
| 比较项 | 网络安全审查 | 数据出境安全评估 |
|---|---|---|
| 法律依据 | 《网络安全法》《数据安全法》《网络安全审查办法》 | 《个人信息保护法》《数据安全法》《数据出境安全评估办法》及跨境流动规定 |
| 触发逻辑 | 主体身份＋行为（采购网络产品服务影响国家安全；掌握超100万用户个人信息赴国外上市） | 数据类型＋主体身份＋出境数量累计 |
| 审查机关 | 网络安全审查办公室（国家互联网信息办公室） | 国家互联网信息办公室 |
| 关注重点 | 关键信息基础设施安全、供应链安全、数据被外国政府影响利用的风险 | 出境数据的合法性、正当性、必要性，接收方保护能力，法律文件充分性 |
| 结果效力 | 通过、有条件通过、不通过；影响交易能否进行 | 通过、不通过、终止；影响出境活动能否开展 |
两者可能同时触发。例如一家掌握超100万用户个人信息的平台赴国外上市，既须申报网络安全审查，其上市过程中向境外提供数据的行为也可能构成数据出境，须单独判断是否申报安全评估。不能以「已通过网络安全审查」替代数据出境安全评估，也不能反过来替代。
三、申报门槛：「掌握超过100万用户个人信息」怎么算
《网络安全审查办法》明确，掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。这里的三个关键词都需要仔细拆解：
「掌握」不等于「收集」。通过用户注册直接收集、通过合作方接入获得、通过集团内共享取得，只要具备实际控制与访问能力，通常都计入。以「数据存放在合作方服务器上」主张不掌握，很难成立。
「用户个人信息」指与已识别或可识别的自然人有关的各种信息，去标识化后仍可复原的，仍应计入；经匿名化处理且不能复原的，不属于个人信息。
「赴国外上市」指在境外证券交易所发行上市，包括直接上市与间接上市（红筹、VIE 架构）。「国外」与「境外」在监管口径上需区分：相关规则对赴国外上市与赴香港上市的要求不同，具体适用应以现行有效规定为准——这一点在实务中经常被混淆，务必在方案设计阶段核实清楚。
四、审查考量因素与流程
审查关注的因素通常包括：产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏的风险；产品和服务供应中断对关键信息基础设施业务连续性的危害；产品和服务的安全性、开放性、透明性、来源的多样性、供应的可靠性，以及供应商交付产品的过程中断的风险；产品和服务提供者遵守中国法律、行政法规、部门规章情况；核心数据、重要数据或大量个人信息被窃取、泄露、毁损以及非法利用、非法出境的风险；上市存在关键信息基础设施、核心数据、重要数据或大量个人信息被外国政府影响、控制、恶意利用的风险，以及网络信息安全风险；以及其他可能危害关键信息基础设施安全、网络安全和数据安全的因素。
流程上一般为：申报材料提交 → 网络安全审查办公室确定是否受理 → 初步审查 → 进入特别审查程序（如需要）→ 形成审查结论。审查有法定时限，情况复杂时可以延长。具体工作日数与延长规则须按现行文本核对，做上市时间表时应预留充分缓冲，不宜按最短期测算。
五、上市架构下的特殊问题
| 架构/环节 | 数据合规风险点 | 应对 |
|---|---|---|
| 红筹/VIE 架构 | 境外控股主体对境内运营实体的数据访问、报表合并中的数据传输 | 明确数据访问边界，境外主体原则上不接触原始数据 |
| 上市中介尽调 | 向境外券商、律师、审计师提供用户数据、合同、系统截图 | 脱敏后提供；确需原始数据的，判断是否构成出境并履行路径 |
| 审计底稿 | 底稿出境涉及数据与信息跨境 | 按跨境规则判断，必要时通过安全评估或依专门安排处理 |
| 境外投资者关系 | 向潜在投资者披露用户规模、经营数据 | 披露口径与监管申报口径保持一致，避免前后矛盾 |
| 境外数据中心 | 为满足当地要求将数据落地境外 | 提前评估出境路径，避免上市后被动整改 |
最容易被忽略的是「上市过程中」的出境。很多企业只考虑了业务数据出境，没有意识到向境外中介机构提供材料、境外母公司调取报表数据、境外服务器同步备份也构成数据出境。这些行为发生在上市冲刺期，时间压力大，最容易「先做了再说」——恰恰是风险最高的时点。
六、不申报与审查未通过的后果
不申报：依《网络安全审查办法》，应当申报而未申报即赴国外上市的，由有关主管部门责令停止相关活动，并依法处理；《网络安全法》就关键信息基础设施运营者使用未经审查或审查未通过的网络产品和服务规定了罚款等处罚。
审查未通过：意味着相关活动不得进行，直接影响上市进程。此时的处理路径通常包括调整架构、剥离相关业务或数据、变更上市地、补充安全措施后重新申报。
附带的连锁后果更值得重视：中介机构的核查意见会写明「未申报」，交易所会就此问询；一旦形成公开记录，后续再融资、并购、投标都会受影响。合规上的「省一步」，往往要在别处以更高成本补回来。
七、上市前数据合规尽调的八个方面
- 数据资产地图：业务场景、系统清单、数据类别、存储位置、流转路径。
- 合法性基础：告知与同意记录、单独同意的适用情形、非同意路径的依据。
- 个人信息保护制度：制度文本、负责人设置与备案、影响评估与合规审计记录。
- 第三方管理：SDK 清单、委托处理与共享协议、受托方监督记录。
- 数据出境：出境场景清单、已采取的路径、合同与备案文件、人数测算台账。
- 重要数据与关基认定：识别结论、申报记录、认定文件（如有）。
- 安全事件与监管互动：历史事件、通报、整改通知、行政处罚记录。
- 刑事与诉讼风险：涉数据诉讼、投诉、举报、员工涉数据案件。
八、常见问题
问：只在香港上市，也要申报网络安全审查吗？规则对「赴国外上市」与「赴香港上市」的要求不同，不能一概而论。须按现行有效规定判断，并在申报前与主管部门沟通确认。
问：用户数刚好在100万附近，如何把握？按从严口径准备。若测算结果接近门槛，建议先做完整测算并留存方法说明，必要时主动沟通，而不是自行认定「不足100万」。
问：已通过审查，上市后新增业务还要再申报吗？若新增业务导致主体性质、数据规模、出境情形发生实质变化，可能需要重新评估是否触发新的申报义务。建议建立年度复评机制。
问：审查期间能否继续推进上市准备？可以推进不涉及数据和发行的准备工作，但涉及数据出境、架构调整等实质事项应审慎，避免形成「边审边做」的不利记录。
把这件事说透，其实只有一句话：赴境外上市的数据合规，关键不在材料写得多漂亮，而在于数据地图是否真实、人数口径是否站得住、出境路径是否走完、历史问题是否交代清楚。这四项扎实，审查只是流程；这四项虚，任何材料都补不上。
法条与依据核验：《网络安全法》第三十五条、第六十五条；《数据安全法》；《网络安全审查办法》（2022年2月15日施行）；《个人信息保护法》第三十八条至第四十条；《数据出境安全评估办法》；《促进和规范数据跨境流动规定》。「赴国外上市」与「赴香港上市」的适用差异、审查时限与延长规则，应以现行有效文本为准，本文未逐一列明具体工作日数，实务中请核对最新版本。
