数据资产能写进转让清单吗
有读者问：“我们打算把旗下做跨境电商的全资子公司卖出去，这家子公司的核心价值就是积累了五年的用户购买记录和供应商数据库。买方要求把数据库作为转让标的之一，写进股权转让协议里，这个操作合不合法？”这个问题问得好，因为它把“公司转让”和“数据买卖”混在了一个篮子里。先说结论：数据资产不能像办公设备或者存货那样，作为独立的转让标的在协议里直接“买卖”，因为数据的所有权归属在法律上并不清晰，尤其是涉及个人信息的数据，其权益结构更为复杂。 为什么这么说？你手头那份数据库里，如果包含用户的姓名、电话、收货地址、订单记录，那这些属于个人信息。按照《个人信息保护法》的规定，个人信息的处理活动要基于个人同意，而“同意”是有特定授权范围的。当初用户注册时同意的是这家跨境电商公司收集其信息用于履约和营销，并没有同意这家公司把数据打包卖给另一家公司。当你在协议里写“甲方将数据库所有权转让给乙方”，这个表述在法律上是站不住脚的——甲方根本没有处置这些个人信息的完整权利。 那实际操作中该怎么处理？比较通行的做法是把数据作为公司运营资产的一部分，通过股权转让来实现控制权的转移。买方收购的是这家公司，而公司本身是数据处理者，只要数据处理目的和方式没有发生超出原授权范围的重大变更，基于原有用户协议继续运营，就还在合规框架内。这里有个关键动作：转让前一定要重新审视用户协议和隐私政策中是否含有“公司发生并购、重组、股权转让时，用户数据可随业务一并转移”之类的条款。如果有，风险可控；如果没有，就要考虑在交割后以公告或弹窗的形式补充告知用户，给予其退出或删除数据的机会。别嫌麻烦，这一步不做实，后续一旦遭遇用户投诉或监管抽查，你连个解释的抓手都没有。用户同意书能随股权一起过户吗
接着上面的话题，很多买方会问：“我们收购了公司，那用户当初给原公司授权同意书，算不算自动对我们生效？我们能不能直接以新股东身份继续用这些数据做营销？”这又是一个高频误解点。很多人天然觉得，公司还是那个公司，法人主体没变，只是股东换了，用户同意应该依然有效。这个理解大方向没错，但有一个例外情况必须警惕：如果收购完成后，你的业务模式和原公司有显著差异，或者你要把数据用于与原授权目的不相关的场景，那就不能沿用旧授权。 举例说明。一家做母婴用品的日本公司，其日本站积累的用户数据一直被用于母婴商品推荐。国内一家做成人保健品的企业收购了它，想当然地认为拿到这些日本用户的邮箱和购买记录后，可以发送自己的产品广告。这就是典型的超范围使用个人信息——用户在授权时只同意接收母婴相关信息，突然收到完全不相干的推广邮件，投诉率会瞬间拉高，而且违反日本《个人信息保护法》APPI和国内《个人信息保护法》的双重要求。这里有个核心原则：数据使用的合法性基础在于“处理目的与方式”的连续性，而不是股东身份的变化。 审查时的重点不在于“同意书能否过户”，而在于“收购后数据处理的目的和方式是否与用户授权时保持一致”。如果你确实想利用既有数据进行交叉销售，务必要重新取得用户的明确同意。方法很简单：在交割后通过邮件或站内信告知用户，说明公司股权结构变化，并请用户主动勾选是否愿意接受新的营销信息。虽然这么做可能导致部分用户取消授权，但比起监管罚单和集体诉讼风险，这点用户流失成本实在微不足道。历史数据违规的锅谁来背
有转让方在后台诉苦：“这公司五年前收集用户信息的时候，确实没有做单独的授权勾选，但那会儿法律不严，现在买方尽调翻出旧账，说要扣掉一部分转让价款作为风险准备金。我觉得冤，当时的操作在当年是普遍做法。”这位转让方的心情可以理解，但必须把话说清楚。数据合规审查不是看法不溯及既往，而是看违规状态是否持续到了现在。如果五年前收集数据时没有合法授权，而这个数据一直在持续使用，那这个“违规行为”的状态就一直在延续——它在当年或许不是明确违法，但在今天，它就是一个处于违规状态的事实。买方要求扣款，逻辑完全成立。 这里有一个很多转让方没有意识到的风险点：数据违规的行政处罚责任虽然由公司承担，但如果违规行为导致了公司价值减损，这个损失最终会通过交易对价的调整传导到转让方头上。比如你用一家有违规数据行为的公司去融资或出售，买方尽调发现问题后要么压价，要么要求你承诺高额赔偿条款，要么直接放弃交易。这些后果不会让股东个人去交罚款，但会让股东在交易中损失真金白银。 解决方案有两个方向。第一，在交易前做一次彻底的存量数据清理：识别哪些数据是缺乏合法授权基础的，主动删除或匿名化处理。第二，对于确实需要保留的数据，补充一轮“同意确认”动作，比如邮件回访、短信确认。别觉得麻烦，这种做法在跨境交易中已经越来越常见。买方那边也要注意：不要把历史数据违规风险全部寄托在转让方的赔偿承诺上，一旦转让方是个壳公司或者个人股东，赔偿能力有限，你哪怕打赢了官司也拿不到钱。最好的做法是要求转让方在交割前完成违规数据的清除，或者将一部分交易价款作为保证金，分阶段支付。跨境传输审批该谁去办
一个典型的咨询来自一家做供应链管理的港资企业：“我们收购了一家内地公司，它的系统里有大量内地员工的个人信息，因为集团统一管理，这些数据要回传到香港总部的服务器上，这算不算跨境传输？要不要申报？”这个问题牵涉到跨境并购中一个极容易踩坑的环节——数据出境。先给结论：只要个人信息或重要数据从境内传输到境外，无论接收方是不是同一集团内的关联公司，都属于数据出境，需要履行相应的合规义务。集团内部共享也不例外，别以为自家人传自家人就不算出境。 那么具体要走什么程序？这取决于数据量级和敏感程度。根据《数据出境安全评估办法》和《个人信息出境标准合同办法》，一般有两种路径：一是数据量大或者涉及重要数据的，需要向网信办申报数据出境安全评估；二是数据量较小、且个人权益风险可控的，可以签订个人信息出境标准合同并向省网信办备案。很多跨境并购的买方，尤其是境外基金或外资企业，由于不熟悉中国法律，会忽略这个环节，直接将内地公司的数据库拷贝到境外服务器。这类操作一旦被查，处罚力度相当大，而且会影响整个并购交易的合规审查结论。 我建议的交易节奏是这样的：在尽职调查阶段就请数据合规律师评估收购标的是否涉及数据出境，预测交割后可能的出境数据量，判断走安全评估还是标准合同备案。如果时间紧迫，可以在股权转让协议中把“完成数据出境合规手续”作为交割后的先决条件或分期付款的节点。把这个环节前置，远比交割后被动应对要好得多。有人还会问：如果数据是存储在中国境内的云服务器上，但云服务商是外资持股的企业，比如AWS或微软Azure，这算不算出境？严格来说，数据存储地仍在境内，但如果你使用的是境外云服务商的统一管理系统，数据流向境外，同样可能被视为出境。这个细节在审查时一定要问清楚。数据本地化要求弄不清
经常有读者卡在这样一个问题上：“我们收购的目标公司主要是做二手车交易平台的，业务覆盖全国，但听说汽车行业数据有本地化要求，是不是意味着我们必须把数据服务器全部迁回国内？”这个问题背后的焦虑很真实。实际上，不同行业的数据本地化要求差异很大，贸然照搬一般规则会误判合规成本。汽车行业确实有特殊规定，根据《汽车数据安全管理若干规定（试行）》，重要汽车数据应当在中国境内存储，确需向境外提供的，应当通过安全评估。但“重要汽车数据”有明确的定义，并非所有车辆信息都包含在内。比如，仅涉及车辆保养维修记录、常规驾驶习惯数据，通常不构成重要数据；而涉及军事管理区、党政机关所在地的地理信息，或者能够识别特定个人身份的，则可能落入重要数据的范围。 这里我建议你用表格对照来定位自己属于哪种情形，不同的情形对应完全不同的处理策略。| 数据类型 | 是否构成重要数据 | 合规要求 |
|---|---|---|
| 车辆地理位置轨迹（高精度） | 构成 | 境内存储，出境需安全评估 |
| 车主身份信息关联的维修记录 | 视情况构成 | 尽量境内存储，出境走标准合同备案 |
| 车辆基础配置、里程、保养记录 | 不构成 | 常规数据，跨境传输风险较低 |
| 驾驶人行为习惯数据（加速、刹车频率） | 可能构成 | 建议本地化存储并评估出境必要性 |
壳公司的数据债务查不查
还有个场景也颇常见。一位买家看中一家注册在香港、运营主体在深圳的跨境支付公司，对方开价不高，且净利润不错。这位买家在后台问：“对方说这家深圳公司没有实际业务，主要做技术研发，数据不多，尽调是不是可以简化一些？”每当听到“没有实际业务”这五个字，我都要提醒一句：没有实际业务不代表没有数据合规义务，只要公司处理过任何个人信息，哪怕只是员工信息，也适用《个人信息保护法》的全部要求。很多跨境交易中，标的公司看起来业务干净，但退一步看，它可能持有大量历史用户数据、员工数据、供应商数据，这些数据中如果包含了手机号、身份证号、银行账号，就已经是敏感个人信息范畴了。 更隐蔽的问题是“数据债务”。例如，目标公司早年开发了一款App，后来项目停掉了，但用户数据库没有删除，一直躺在服务器上。这种沉默的数据资产就是典型的“负资产”。新的股东接盘后，一旦有人投诉或者监管检查发现该公司仍保留着大量闲置的个人信息，不符合《个人信息保护法》规定的“保存期限为实现处理目的所必要的最短时间”，就会面临责令改正和罚款。这个风险不会因为公司没有实际运营而消失。 针对这类壳公司的尽调，我建议的重点审查清单包括：是否做过个人信息影响评估（PIA）？是否建立了数据删除制度？历史上是否存在数据泄露事件以及是否上报过？如果这些材料都拿不出来，那么这笔交易的合规减项问题就不是“有没有”，而是“有多少”。买方若要推进交易，务必在协议中要求转让方交割前完成存量数据的匿名化或删除，并出具合规承诺函。买方自带的系统能继续用吗
最后再讲一个比较容易忽略、但很现实的问题。不少买家本身就已经有一套成熟的CRM或ERP系统，收购完成后想把目标公司现有的、订单数据直接导入到自己的系统里。有读者问：“这样操作比原来继续用对方的系统更简单，而且我们自己系统功能强大，数据迁移过去，业务整合就更快了。这有什么合规风险吗？”这里面的门道比大多数人想象的要深。 当你把一家公司在原系统平台上的数据迁移到自己的系统时，数据处理主体虽然还是这家公司，但数据处理的方式、系统环境、访问权限已经发生了变化。如果原来的数据处理协议或用户授权中明确限定了数据处理的技术环境，这种迁移就可能构成“超出授权范围的处理”。更重要的是，如果原公司的数据系统部署在境外，而你自己的系统也在境外，那数据从境内迁移到境外系统的过程，本身就已经跨越了出境红线。这里有读者会追问：“但公司已经被我买下来了，数据也是公司的资产，我换一套系统存储，算不算违反用户同意？”严格说，用户同意的是这家公司收集数据用于特定目的，而系统迁移本身并不改变处理目的，但改变了数据存储地点和访问控制方式，这已经被监管认定为需要重新评估的“处理方式变更”。 并购审查中要把“数据系统迁移计划”作为一项独立审查事项。你不仅要评估技术可行性，更要评估这种迁移是否构成数据出境、是否需要重新获取用户同意、是否涉及新的委托处理关系。建议在交割日前做好详细的数据迁移备案方案，并在交割后与法务和合规团队共同推进数据迁移的合法化动作。别为了省事而忽略这一步，数据合规审查的本质就是为了确保你接手的不是一颗定时。 跨境公司转让中的数据合规审查，说到底绕不开三个基本原则：第一，数据的权利边界在法律上并不等同于物权，尤其在个人信息层面，转让方不能简单地把数据当作“财产”来处理，所有权的让渡受限于用户授权范围和适用法律；第二，数据合规风险是持续性的，历史违规不会因为股东变更或者公司易主就自动消除，它只会以风险准备金、对价扣减或事后罚单的形式重新浮出水面；第三，跨境因素会放大审查难度，数据出境、本地化、行业监管要求交织在一起，往往需要针对个案做精细化的路径设计。理解了这三点，你对一笔交易的判断就不会再停留在“合同签了、钱付了”就万事大吉的层面。每一个具体的标的企业都有自己独特的遗留问题，尤其涉及多法域监管的环境，细节判断没有一成不变的答案——那种时候，你需要的不只是一份标准合同，更是一个能随时回答“那这种情况怎么办”的专业后盾。加喜财税见解在我们日常处理的并购咨询中，数据合规已经取代税务瑕疵，成为跨境公司转让尽调中最大的隐性障碍。很多交易双方在谈判桌上为股权价款争得面红耳赤，却对目标公司数据库里潜伏的违规问题一无所知。加喜财税团队在处理这类个案时，最常做的就是帮客户把“看不见的风险”翻译成“看得见的交易成本”——通过数据资产盘点、授权链路核实、出境路径规划、历史违规补救方案，把原本模糊的板块逐一落成可执行的动作。专业服务的价值，不在于把复杂的规则讲得多高深，而在于把每个“怎么办”都接得住。
.jpg)