拆红筹的数据合规必修课：历史数据出境、网安审查，IPO 问询高频问题

很多企业在启动拆红筹项目时，重心全部放在股权、税务、外汇、VIE 协议解除上，数据合规往往被当成次要事项后置处理。等到中介尽调、交易所多轮问询阶段，才发现 VIE 架构存续多年，境内用户数据、业务数据通过协议控制机制，存在向境外 WFOE、开曼母公司、境外投资人 / 审计机构传输的历史痕迹。数据跨境遗留瑕疵、网络安全体系缺失，直接成为 IPO 实质性障碍，甚至触发网信部门核查、行政处罚，拉长重组周期。

 

红筹 VIE 架构天然存在数据合规结构性风险：境内运营实体收集用户数据，WFOE 作为协议控制方，为境外上市审计、集团经营、投资人尽调，长期存在数据汇总、报表、数据库远程访问、数据副本出境等场景。拆红筹不等于自动抹除历史数据出境违规记录。数据安全、个人信息保护、数据出境属于独立监管体系，必须在红筹重组阶段前置完成风险排查、整改、取证，形成完整证据链，应对 IPO 问询。

 

红筹 VIE 架构下，最容易被忽略的历史数据出境场景

 

绝大多数企业理解的数据出境，只是 “数据库完整打包传到境外服务器”。但在 VIE 红筹体系下，大量隐性数据出境行为，同样落入监管口径，也是 IPO 问询重点核查内容：

 

境外审计、年报、投资人尽调数据导出：每年向开曼母公司、境外会计师事务所、美元基金投资人，导出用户统计报表、业务经营数据、脱敏用户清单，哪怕仅为汇总统计数据，若包含个人信息、重要数据，属于数据出境。

 

境外母公司远程访问境内业务系统：WFOE、境外股东通过 VPN、远程桌面，直接登录境内运营主体后台，调取用户、订单、业务数据，是 VIE 架构非常普遍的历史操作。

 

数据副本存储在境外云服务器：境内业务产生数据，在海外 AWS、阿里云国际版、新加坡服务器留存备份、日志副本。

 

研发、算法、产品数据跨境同步：境内业务产生的用户行为数据，同步给到境外研发团队做模型训练、产品迭代。

 

第三方服务商跨境传输：境外 SaaS、CRM、数据分析工具，自动抓取境内用户数据，数据直接出境。

 

关键认知：匿名化数据一般不再属于个人信息；但仅做简单去标识化、仍可复原识别到特定自然人的信息，依然属于个人信息，出境需要履行法定程序。重要数据不以是否脱敏作为豁免标准，只要属于重要数据目录内数据，出境必须申报安全评估。

 

数据出境三条法定路径（《个人信息保护法》）

 

企业向境外提供个人信息，三选一：①数据出境安全评估；②个人信息保护认证；③个人信息出境标准合同备案。达到法定阈值，必须申报安全评估，不能走标准合同：

 

向境外提供重要数据；

 

关键信息基础设施运营者出境个人信息；

 

处理 100 万以上个人信息的平台向外提供个人信息；

 

上一年累计出境 10 万人个人信息，或 1 万人敏感个人信息

 

拆红筹核心痛点：很多历史出境行为发生在数年前，当时未履行评估、备案、签约手续，属于存量历史瑕疵，不能因为现在拆红筹就自动豁免。监管和 IPO 审核，会穿透核查报告期及历史重大数据处理活动。

 

拆红筹阶段，网络安全审查与数据安全评估的边界区分

 

很多项目混淆两个概念：网络安全审查 vs 数据出境安全评估，二者主管部门、触发条件、适用场景完全不同。

 

网络安全审查 掌握超过 100 万用户个人信息的网络平台运营者赴境外上市，必须申报网安审查；但拆红筹回归 A 股申报 IPO，不需要触发该上市类网安审查。 但这不代表 A 股可以豁免：交易所会问询企业网络安全、数据安全管理体系，核查历史是否存在违规跨境数据活动、网络安全事件、泄露事故、行政处罚记录。如果企业属于关键信息基础设施运营者，采购网络产品服务、开展大规模数据处理活动，依然可能触发网安审查。

 

数据出境安全评估 针对 “境内收集产生的个人信息、重要数据传输到境外” 这一行为。无论企业是否上市，只要发生符合阈值的数据出境，就需要履行评估 / 备案手续。拆红筹的核心整改任务，就是对历史出境行为做风险评估，区分合规、瑕疵、重大违规，制定整改方案。

 

实务高频踩坑：拆红筹后，只是切断未来数据出境通道，但历史已经出境的数据、多年的报表传输、远程访问痕迹，没有做专项自查、风险评估、留存专项报告，问询时无法举证，直接被认定数据合规存在重大不确定性。

 

历史数据出境瑕疵的三类整改方案（按风险等级）

 

情形 1：低风险场景（汇总统计数据、已完全匿名化数据出境）

 

特征：无个人信息、无重要数据，仅业务宏观汇总报表，无法回溯到单个用户。

 

整改动作：出具专项数据合规自查报告，对数据定级、出境场景、数据处理方式完整论证，留存匿名化技术证明、内部审批记录。一般不需要网信备案。

 

情形 2：中风险场景（去标识化个人信息、未达到安全评估阈值）

 

特征：出境数据属于去标识化个人信息，出境数量未触发安全评估门槛。

 

整改动作：补签个人信息出境标准合同，完成备案；同时终止后续跨境传输，关闭境外远程访问权限，清理境外服务器数据副本，出具整改说明。

 

情形 3：高风险场景（大量个人信息、重要数据出境，达到安全评估阈值）

 

特征：历史出境规模触及安全评估标准，包含重要数据、敏感个人信息。

 

整改动作：聘请外部数据合规律师、测评机构开展专项风险评估，与网信部门沟通，停止跨境传输、回收境外副本，留存全部整改证据。这类瑕疵周期长、不确定性高，是互联网、医疗、出行类红筹企业拆红筹最大拦路虎之一。

 

通用整改必做清单

 

全面盘点：梳理所有历史出境场景、数据类型、数据量级、接收方、传输起止时间；

 

数据分级分类：区分核心数据、重要数据、一般个人信息、敏感个人信息；

 

清理境外留存副本：要求境外 WFOE、母公司、服务商删除境内用户原始数据，签署数据删除确认函；

 

切断跨境访问权限：关闭 VPN、境外账号后台权限，封堵远程调取境内数据通道；

 

制度补全：建立数据安全、个人信息保护、数据出境内部管理制度，落实数据安全负责人；

 

第三方测评：完成网络安全等级保护测评（等保 2.0），互联网平台企业基本为 IPO 硬性要求。

 

A 股 IPO 问询高频问题（数据 + 历史出境 + 网安）

 

整理交易所问询最常抛出的问题，拆红筹项目中介需要提前准备完整答复底稿：

 

报告期及 VIE 存续期间，公司收集用户信息规模，数据存储位置，境内服务器部署情况；是否存在境内原始数据向境外 WFOE、开曼母公司、境外审计师、投资人传输的情形？传输数据类型、数量、传输目的、频次。

 

历史向境外传输数据，是否履行数据出境安全评估、标准合同备案、个人信息保护认证等法定程序；未履行的原因，是否存在违法违规，有无行政处罚、投诉、泄露事件。

 

说明境外主体访问境内业务系统的权限、访问范围、日志留存情况；红筹拆除后，是否已经全部关闭境外主体远程访问权限，境外是否还留存公司用户数据副本，是否完成删除。

 

公司数据分级分类制度，重要数据、核心数据识别情况；是否属于关键信息基础设施运营者，是否完成相应备案。

 

网络安全建设情况，等保测评办理进度；是否发生过网络安全事件、数据泄露、个人信息侵权诉讼、监管问询或处罚。

 

VIE 协议控制架构下，数据处理决策机制，WFOE 是否可以单方面调取、控制境内运营实体数据；拆除 VIE 之后，数据控制权是否完全归属境内内资主体，是否存在任何境外主体可继续获取境内数据的隐性协议、抽屉安排。

 

数据收集、存储、使用、共享、删除全流程合规，用户知情同意机制；是否存在超范围收集个人信息。

 

审核底层逻辑：IPO 重点核查数据控制权、数据主权，证明拆除红筹之后，境内业务产生的数据完全由内资主体独立控制，不存在境外主体持续获取、控制境内数据的结构性风险；同时历史跨境数据行为已经完成整改，无重大违法。

 

拆红筹数据合规的时序安排（必须前置，不能后置）

 

很多企业顺序颠倒：先解除 VIE、做股权下翻，最后才启动数据合规排查，一旦发现重大数据出境瑕疵，整个重组项目停滞。推荐标准时序：

 

重组前期尽调（与股权尽调同步）：数据合规专项尽调，识别历史出境场景、数据量级、风险等级，初步判断瑕疵严重性；

 

风险评估与方案确定：区分低 / 中 / 高风险瑕疵，确定是否需要标准合同备案、安全评估，测算整改周期；

 

技术层面整改：关闭境外访问权限，清理境外数据副本，完善数据存储架构，完成等保测评；

 

法律文件闭环：签署境外接收方数据删除承诺函、终止跨境数据传输协议，补齐标准合同备案；

 

VIE 协议终止、股权重组；

 

出具专项法律意见、数据合规自查报告，纳入 IPO 申报底稿，准备问询答复。

 

典型误区与红线警示

 

误区 1：只是给境外发报表，不算数据出境 只要报表包含个人信息、重要数据，就属于向境外提供数据；仅宏观匿名汇总数据风险较低，但必须提供匿名化技术证明。

 

误区 2：拆红筹之后，历史违规出境既往不咎 监管不因为架构拆除而免除历史法律责任，网信部门可回溯核查历史数据活动，严重违规可处罚款、责令停业。

 

误区 3：数据放在境外云备份，只是备份，不属于出境 备份同样属于向境外提供数据，纳入出境监管范围，需要评估。

 

红线：重要数据、敏感个人信息大规模出境，未履行安全评估，属于重大合规风险，直接阻碍 IPO 申报。

 

结语

 

过去红筹 VIE 架构的底层逻辑，不仅是股权协议控制，也包含数据层面的跨境控制。拆红筹，本质上是把业务、资产、数据的控制权完整收回境内内资主体。股权、税务、外汇看得见，数据合规看不见，但一旦踩雷，杀伤力极强。

 

数据合规不是一纸书面承诺，而是技术、制度、文件、日志、第三方测评报告共同构成的证据闭环。对于互联网、软件、AI、医疗等数据密集型红筹企业，数据合规尽调，应当作为拆红筹项目的第一道必修课，而不是 IPO 申报前的临时补材料。