美国限制访问敏感数据行政令对在美投资交易的影响初步分析

作者：解石坡丨陈华屹

2024年2月28日，美国总统拜登签署《关于防止关注国家获取美国公民大量敏感个人数据和美国政府相关数据的行政命令》（Executive Order on Preventing Access to Americans' Bulk Sensitive Personal Data and United States Government-Related Data by Countries of Concern）（“《行政令》”）。同日，美国司法部发布《关注国家获取美国人大量敏感个人数据和美国政府相关数据规则》（Provisions Regarding Access to Americans' Bulk Sensitive Personal Data and Government-Related Data by Countries of Concern）的拟议规则预通知（Advance Notice of Proposed Rulemaking，ANPRM）（“《预通知》”），对《行政令》的情况进行解释和细化，并向社会公开征求意见。

《行政令》和《预通知》旨在进一步加强对美国个人敏感数据和政府数据的保护，限制中国、俄罗斯、伊朗等六个“关注国家”以及与其有关的实体/人员访问和利用美国公民与政府的“敏感数据”。根据《行政令》规定，关注国家获取敏感数据的方式包括数据经纪、第三方供应商协议、雇佣协议以及投资协议等。

对于投资美国企业的中国投资人，在以上获取敏感数据的方式中，《行政令》对于“投资协议”的关注值得引起重视：鉴于中国公司可以基于投资协议访问或处理被投资美国企业的数据，若其中涉及敏感个人数据，则投资协议可能落入监管范畴。随着中国企业出海投资的不断升温，《行政令》对于通过投资协议获取敏感信息的规制将对中国企业在美国的投资产生普遍的影响。此外，若在美开展业务的被投企业本身被认定为《行政令》下的受限制主体（Covered Person），则被投企业本身进行的数据交易也将受到《行政令》规制，可能对中国人在美国创设的人工智能、生物医学等领域的企业业务开展和投资价值产生较大影响。本文将重点关注《行政令》和《预通知》拟对投资协议形式获取敏感信息采取的规制措施，并分析对中国企业可能产生的影响。

一、“投资协议”的定义与内涵

根据《预通知》，司法部拟将“投资协议”界定为任何人为换取付款或其他对价而直接或间接获得（1）位于美国的房地产或（2）美国法律实体的直接或间接所有权权益或权利的任何协议或安排。“投资协议”适用于以下情形：

• 示例1：一家美国公司拟在美国境内建设一个数据中心。该数据中心将存储大量美国人的个人健康数据。一家位于关注国家的外国私募股权基金同意为建造该数据中心提供资金，以换取该数据中心的多数股权。

• 示例2：一家受关注国家管辖、并被司法部长指定为受限制实体的外国科技公司与一家开发手机游戏和社交媒体应用程序的美国企业签订股东协议，收购该美国企业的少数股权。这些游戏和应用程序系统地收集美国用户的大量敏感个人数据。该投资协议明确赋予外国科技公司访问这些数据的能力。

• 示例3：与示例2相同，但该投资协议未明确赋予外国科技公司访问这些数据的能力，也未明确禁止访问数据。该投资协议仍将属于受限制的数据交易类别，这些交易被认为对国家安全构成不可接受的风险，因为它们可能使关注国家或受限制实体能够访问大量美国敏感个人数据。具体的投资协议是否存在访问风险，不影响该协议被限制。

与上述示例相反，以下情形中的投资协议拟将不受到限制：

• 示例4：与示例2相同，但美国公司不拥有或无权访问任何大量美国敏感个人数据或政府相关数据（例如一家未商业化的公司或初创公司）。由于该数据交易不涉及任何大量美国敏感个人数据或政府相关数据，该投资协议不满足受监管数据交易的定义。

司法部正在考虑明确排除某些不产生所有权权益或权利的被动投资（包括那些提供可用于获得访问权的有意义影响力的投资）。具体而言，司法部考虑将以下协议从“投资协议”的定义中排除：

• 投资于以任何货币、在任何司法辖区，在证券市场上交易或通过场外交易（Over-the-Counter）方式交易的公开交易证券；

• 投资于投资公司或私募投资基金提供的指数基金（Index Fund）、共同基金（Mutual Fund）、交易型开放式指数基金（Exchange-Traded Fund）或类似工具（包括相关衍生品）；

• 作为有限合伙人投资于风险投资基金（Venture Capital Fund）、私募股权基金（Private Equity Fund）、组合基金（Fund of Funds）或其他集合投资基金（Pool Investment Fund），前提是有限合伙人的出资仅是对合伙企业的资本或等价物，且有限合伙人无权做出管理决定、不承担超出其投资的债务，且无法正式或非正式地影响或参与基金或美国实体的决策或运营；

• 投资给予关注实体少于特定比例的美国实体的投票权或股权；以及

• 投资不会给予关注实体超出可被合理认为是标准少数股东保护权益的权利，包括(a)美国实体董事会成员或观察权，或提名董事会或同等管理机构成员的权利；或(b)投票权以外的其他参与美国实体重大业务决策、管理或战略的权利。

关于“投资协议”的定义与内涵，司法部就以下问题征求意见：

• 对于投资协议的定义，需要进行何种修订以增强清晰性；

• 对于特定风险较低的投资，司法部应考虑设置何种少数投票权或股权的标准；

• 是否有其他情形或类型的数据交易应受到限制。

二、对于“投资协议”的限制

根据《行政令》，达到特定数据量标准的投资协议将被认定为受限的数据交易，需在满足特定的安全要求的前提下方可进行。适用于受限数据交易的安全要求将另行制定。《预通知》拟规定的数据量标准如下：

安全要求将基于现有的性能目标、指南、实践和控制措施。国土安全部与司法部制定了以下安全要求的大纲：

• 实施基本组织网络安全态势要求（Basic Organizational Cybersecurity Posture Requirements）；

• 遵守以下四个条件：(a)数据最小化和屏蔽；(b)使用隐私保护技术；(c)开发信息技术系统以防止未授权泄露；(d)实施逻辑和物理访问控制；

• 满足特定合规要求，如通过独立审计师对上述措施进行年度测试和审计。

三、在美开展业务的被投企业本身被认定为受限制主体受到的限制

中国企业在美国进行投资时，除需注意其投资被认定为“投资协议”，从而可能导致取得美国大量敏感个人信息的风险外，还需重点关注被投企业是否可能被认定为《行政令》下的受限制实体，从而导致后者的数据交易可能受到《行政令》的规制，进而对其在美国的正常业务开展造成实质性影响。

根据《行政令》规定，“受限制实体”包括（1）受关注国家管辖或指示的实体；（2）作为该实体的雇员或承包商（Contractor）的非美国人；（3）作为关注国家的雇员或承包商的非美国人；（4）主要居住在关注国家的非美国人；和（5）被司法部部长指定为由关注国家拥有或控制，或受关注国家管辖或指示的主体。其中，“美国人”是指美国公民、国民或合法永久居民；以难民身份进入美国或获得庇护的任何个人；仅根据美国法律或在美国境内的任何司法管辖区成立的任何实体（包括外国分支机构）；或任何在美国的人。由于上述定义较为宽泛，且司法部享有较大的自由裁量权，从《行政令》规定的角度，无法排除在美国开展业务的被投企业，由于其与关注国家的关系（例如创始人或实控人为中国籍），而被认定为受限制主体的风险。对于业务中涉及上述美国敏感数据的被投企业（例如人工智能或生物医药等），一旦被认定，对于其业务开展和投资价值将会产生较为严重的影响。

此外，《行政令》特别提到了对人工智能领域的关注，指出关注国家可以通过人工智能等先进技术，分析并使用大量敏感个人数据，以“从事间谍活动、影响、运动或网络行动，或取得对美国的其他潜在战略优势”；也可能利用对大量数据集的访问以推动其人工智能等先进技术的发展和完善，这也进一步增加了中国企业投资美国人工智能企业的风险。

四、对中国投资者的影响和合规建议

上述“投资协议”涵盖范围较广，预计将对中国投资者在美国的投资产生深远的影响。基于《行政令》和《预通知》，我们建议中国投资者注意以下事项，以降低合规风险：

• 并非仅多数股权投资可能构成受限制的投资协议，少数股权投资同样可能导致投资者取得美国个人数据的访问权，从而导致投资受到限制。中国投资者需密切关注司法部后续针对少数股权投资制定的表决权或股权比例的门槛，判断投资是否达标；

• 对于非美国企业的投资，也可能因被投企业拥有美国实体而间接导致构成受限制的投资协议。中国投资者在投资前需对被投企业进行充分尽调，确认是否涉及对敏感个人数据或政府相关数据的处理，或通过数据剥离的方式确保被投资企业不直接持有相关数据；

• 若拟进行投资确实构成受限制的投资协议，中国投资者需密切关注司法部后续公布的安全要求，并在交易协议中要求被投企业满足特定安全要求；

• 对于业务中涉及上述美国敏感数据的被投企业，投资者需密切关注司法部后续出台的细则，重点关注其被投企业是否可能被认定为受限制实体，从而对其业务运营和投资价值产生影响。