投资并购交易数据合规专题之三： 律师法律尽职调查行为的数据合规问题初探

一、问题缘起

2021年11月1日《个人信息保护法》实施后，个人信息保护及依法合规处理个人信息的问题已经超越了传统数字行业领域，对于并购律师而言，需要破除只有涉及TMT行业或者其他数据经济领域企业的投资并购交易才需要关注数据合规调查的传统“偏见”，可以说数据合规调查已经成为一个具有普遍性和普适性的问题，只是调查深度和强度的区别而已。同时，律师在投资并购项目的法律尽职调查中，也在“触碰”数据和“触碰”个人信息，例如，在公司股权并购尽调中，为调查了解公司劳动用工情况及其合法合规性，目标公司将记载有员工姓名、身份证号、手机号、家庭住址、部门岗位等内容的员工花名册以及每月工资薪金发放情况及社保缴纳情况的台账提供给尽调律师；在房地产企业融资尽调中，为调查了解所开发房地产项目销售情况，房企将记载有购房人姓名、身份证号、手机号、银行账号等信息的购房合同提供给律师；在个人不良贷款收购项目尽调中，为调查了解拟收购个贷债权资产的真实性、合法性，个贷债权转让方将其与个人签订的贷款合同、征信报告、还款银行流水或凭证等材料提供给律师。上述示例均为投资并购项目尽职调查中高频发生的场景，而尽调律师收到的上述材料中均包含有大量自然人的个人信息，甚至包括很多自然人金融账户、特定身份内容等敏感个人信息。

现代个人信息保护制度，主要以高频次、规模化的信息处理行为为规制对象，涉及的信息处理者以企业为主[1]，然而，当尽调律师在尽调过程中“触碰”大量个人信息，尤其是“触碰”个人敏感信息时，其行为是否受到《个人信息保护法》的规制？尽调律师在对目标企业的数据合规、个人信息合规等问题进行调查时，其尽调行为本身是否存在违反《个人信息保护法》的风险呢？在此背景下，尽调律师向并购目标公司收集、索取包含个人信息的文件资料，在收集到的相关文件材料基础上对所关注和希望调查了解的法律问题进行研究分析的行为，是否属于《个人信息保护法》规制的个人信息处理行为，尽调律师是否构成《个人信息保护法》下的个人信息处理者，这一问题关系到尽调律师是否需要履行《个人信息保护法》下个人信息处理者的各项义务，关系到尽调律师可能需要承担的责任及其边界问题，值得我们研究和探讨。

本文拟根据《个人信息保护法》的相关规定对上述问题展开初步的研究和讨论，由于《个人信息保护法》颁布施行时日尚短，对于其相关规定映射到某些具体问题之后的判断和认定尚存在一些空白和困惑，本文观点尚不成熟，抛砖引玉、求教大方。

二、尽调律师属于“个人信息处理者”

《个人信息保护法》下各项义务和责任的承担主体是“个人信息处理者”，换言之，“个人信息处理者”是《个人信息保护法》的主要规制对象，该法绝大多数条款是针对个人信息处理者制定的。投资并购尽职调查中具体实施尽职调查行为的律师是否构成《个人信息保护法》项下的“个人信息处理者”将决定尽调律师是否构成承担《个人信息保护法》项下各项义务和责任的主体，也将决定律师如何在《个人信息保护法》下依法合规地开展法律尽职调查。

《个人信息保护法》第73条对“个人信息处理者”做出了明确的界定，即指在个人信息处理活动中自主决定处理目的、处理方式的组织和个人。根据这一定义，认定是否构成“个人信息处理者”的三要素为：第一，实施了个人信息处理活动；第二，自主决定个人信息处理目的和处理方式；第三，组织和个人。就第三个要素而言，个人信息处理者在类型上包括了组织和个人，《个人信息保护法》从主体要素层面对个人信息处理者所作之规定，意味着任何主体都有可能成为个人信息处理者，也意味着包括律师在内的自然人能够成为个人信息处理者而应受到《个人信息保护法》的规制。

尽调律师符合“个人信息处理者”的主体要素自不待言，另外两个要素，即“实施了个人信息处理活动”和“自主决定个人信息处理目的和处理方式”即为判断尽调律师是否构成“个人信息处理者”的关键，具体分析如下：

（一）实施了个人信息处理活动

构成“个人信息处理者”的第一要素是实施了个人信息处理活动，无论是否有权自主决定个人信息处理目的和方式，如果没有实施任何个人信息处理活动，均不应成为“个人信息处理者”。《个人信息保护法》第4条第2款规定：“个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等”。本款对于“个人信息处理”的界定涵盖了个人信息的整个生命周期，根据这一规定，应可认为实施了“个人信息的收集、存储、使用、加工、传输、提供、公开、删除等”等行为中的一项或几项即可认为实施了个人信息处理活动。《个人信息保护法》并未限定个人信息处理的具体方式，也就是说，并不需要考虑个人信息处理的媒介和方式，无论是以电子方式（通过计算机以电子介质）处理个人信息，还是以其他方式（如通过人工以纸介质）处理个人信息都属于个人信息的处理。[2]

尽调律师在法律尽职调查过程中，至少会涉及到对个人信息的“收集、存储、使用”这三种行为，很多情况下还会涉及对个人信息的“传输”和“提供”。律师尽调的首要任务就是从被调查对象处收集所需要的资料，而收集的相关资料中就可能存在包含个人信息的资料，例如员工花名册、购房合同、征信报告等，此种情况下，尽调律师从第三人处（即被调查的目标公司）而非个人信息主体处收集个人信息，是否属于《个人信息保护法》下的个人信息收集行为呢？根据《个人信息保护法》的规定，笔者认为《个人信息保护法》并未对向个人信息主体收集信息和向第三人收集信息做区分，也即无论直接从个人信息主体处直接收集个人信息，还是向其他第三人收集个人信息均属于《个人信息保护法》项下的个人信息收集行为，区别在于如果直接从个人信息主体处收集个人信息，那么行为人应向个人信息主体告知并取得个人的同意；如果行为人向其他第三人收集个人信息，那么此时应当由信息提供方而非接收方来履行告知并取得个人同意的义务。据此，尽调律师向被调查公司收集含有个人信息的文件和资料，应属于实施了《个人信息保护法》下的个人信息收集行为。

另外，根据《个人信息保护法》的规定，个人信息存储并不限于电子形式，纸质文档的存储和电子扫描件的存储均属于对个人信息的存储。尽调律师收集到相关材料以后，需将相关文件材料做成工作底稿存档保存，尽调律师的这一行为应已构成《个人信息保护法》下的个人信息存储行为。尽调律师向被调查对象收集含有个人信息的资料和文件的目的是对该等文件进行分析和利用，例如对员工花名册和工资台账进行分析，评估被调查对象在劳动用工方面的合法合规性，以及是否存在欠发工资、欠缴社保费用等情况，同时还可以对被调查对象员工的学历构成、年龄构成、男女比例等情况进行分析，该等行为应已构成对所收集个人信息的使用。律师完成尽职调查以后，将根据收集到的资料和文件撰写尽职调查报告，并将尽职调查报告以及相关工作底稿（或工作底稿的复印件）提交给投资方，在此情况下，还有可能构成对个人信息的传输和提供。

综上所述，律师在投资并购项目中对被调查对象的法律尽职调查，已经主动或被动、有意识或无意识地实施了对包含个人信息的文件资料的收集、存储、使用等行为，根据《个人信息保护法》的规定，尽调律师的上述行为应能够被认定为实施了个人信息处理活动。

（二）自主决定个人信息处理目的和处理方式

欧盟数据保护立法上对“控制者”和“处理者”做了区分，2018年5月25日生效的欧盟《一般数据保护条例》（“GENERAL DATA PROTECTION REGULATION”）（以下简称“GDPR”）将“控制者”界定为“能够单独或者联合决定个人数据的处理目的和方式的自然人、法人、公共机构、代理机构或其他组织。”将“处理者”界定为“为控制者处理个人数据的自然人、法人、公共机构、代理机构或其他组织。”[3]欧盟个人数据保护立法区分控制者和处理者的理由在于，欧盟立法者认为，控制者是个人数据保护实施中的关键行为者，他们是个人数据保护法所设定的向数据主体负担的义务的首要承担者。[4]我国立法上并未区分“控制者”与“处理者”，《民法典》采取了“信息处理者”的概念，但未对“信息处理者”这一概念作出专门的定义，《民法典》第1035条第2款规定，个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。据此，应可认为《民法典》规定的信息处理者即实施个人信息的收集、存储、使用、加工、传输、提供、公开等处理活动的组织和个人。《个人信息保护法》与《民法典》一致，没有使用个人信息控制者的概念，而依然只使用了个人信息处理者的概念。《个人信息保护法》第73条第1项规定，个人信息处理者是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。从《个人信息保护法》对个人信息处理者的定义来看，我国的个人信息处理者基本上相当于欧盟的个人数据控制者，两者都是通过“决定处理目的和处理方式”作为判断标准；而欧盟GDPR规定的个人数据处理者，更类似于我国《个人信息保护法》第21条规定的受委托处理者。

根据《个人信息保护法》第73条的规定，只有自主决定个人信息处理目的、处理方式的组织或者个人才应被认定为个人信息处理者，如果是按照他人决定的个人信息处理目的和处理方式从事处理活动的组织和个人，应属于受委托处理个人信息的受托人。对于处理目的和处理方式的理解，简单来说可以认为处理目的就是通过处理个人信息想要达到的效果或者结果，也即为什么要处理（WHY）；而处理方式则是通过何种方式来处理个人信息，也即如何处理（HOW）。

就投资并购交易的尽职调查而言，尽调律师在处理个人信息活动中的处理目的和处理方式是什么，个人信息的处理目的和处理方式是谁决定的呢？以股权并购的尽职调查为例，投资方聘请律师开展法律尽职调查的目的是对目标公司的设立、存续、经营、负债等情况进行了解，但调查的方式方法、调查范围、需要收集的材料则由尽调律师自行决定。实践中，尽调律师在尽职调查过程中会要求被调查对象提供员工花名册、工资台账等包含员工个人信息的文件材料，旨在通过收集该等材料分析被调查对象在劳动用工、工资薪金发放、社会保险费缴纳等方面是否依法依规行事，是否存在不合法、不合规的情形。再如，个贷不良债权收购项目中，律师收集个人贷款合同、抵押物资料（如房产证、他项权证等）、还款凭证等包含个人信息的资料，其目的是调查了解拟转让个贷债权的真实性、合法性和有效性。由此可见，律师在尽职调查过程中收集相关文件材料、特别是收集包含个人信息的文件材料的目的是由尽调律师根据其自身的专业知识、经验和项目实际情况自行决定的，在此基础上根据律师执业的要求和实务经验决定需要收集哪些文件材料、如何收集该等文件材料，并决定该等资料文件的具体处理方式，也即相关材料的收集存储、分析评估、以何种方式进行披露（如将所收集到的员工个人信息通过匿名化处理后以分析总结的方式撰写在尽调报告中进行披露，或将员工详细信息粘贴到尽调报告中进行披露）均是由尽调律师自行决定的。

根据以上分析，在大部分投资并购交易的法律尽职调查中、在常见的尽调场景下，律师的尽职调查均会或多或少地涉及对个人信息的处理活动，而在这些针对个人信息的处理活动中，对该等个人信息处理的目的和处理方式亦由尽调律师自行决定。因此，我们认为，根据《个人信息保护法》的规定，投资并购交易中，在“触碰”和“处理”个人信息的情况下尽调律师应属于《个人信息保护法》规定的个人信息处理者，律师在尽职调查过程中应当严格遵守《个人信息保护法》针对个人信息处理者的各项规定，以确保律师尽调活动涉及数据问题的合规性。

三、尽调律师规范处理数据问题的建议

在投资并购交易的法律尽职调查中，尽调律师不仅需要从目标公司获取与个人信息相关的数据，更不可避免地需要存储并对已获取的包含个人信息的数据和信息进行分析，而且作为法律尽职调查的成果，尽调律师还需要以尽职调查报告或者工作底稿等方式向投资方提供该等个人信息，在这些场景里尽调律师已经涉及或者实施了个人信息的收集、存储、使用、提供等个人信息处理行为。如前所述，根据《个人信息保护法》的规定，投资并购交易中，在“触碰”和“处理”个人信息的情况下尽调律师应属于《个人信息保护法》规定的个人信息处理者，律师在尽职调查过程中应当严格遵守《个人信息保护法》针对个人信息处理者的各项规定。这就意味着尽调律师必须首先检视并采取必要措施确保其自身在尽调活动中涉及数据问题，特别是涉及个人信息问题的合法合规性。笔者建议，尽调律师可以从以下几个方面规范处理尽职调查活动中涉及的各项数据问题：

（一）尽调委托协议中增加关于个人信息保护及数据合规的约定

就尽调律师与投资方之间而言，应考虑在委托律师开展法律尽职调查的服务协议中增加关于保护个人信息及数据合规的相关条款，该等个人信息保护条款至少应当包括以下内容：

第一，对律师尽调行为的数据合规性作出明确约定。投资方应当明确要求在涉及数据问题及个人信息问题时尽调律师应确保其自身行为的合法合规性，并且明确约定如因尽调律师自身行为的不规范导致违反《个人信息保护法》及其他相关法律法规的后果应由律师自行承担。

第二，对尽调报告披露内容的数据合规性作出明确约定。针对尽职调查报告中涉及个人信息的相关内容，应当明确约定律师有权自行选择以合法合规的方式在报告中进行披露，在没有得到个人信息主体授权同意或者具有《个人信息保护法》规定可以合法披露的情况下，尽调律师有权对该等信息进行匿名化处理以后再披露。

第三，对提交尽调工作底稿的数据合规性作出明确约定。律师尽职调查工作完成以后，如果尽调工作底稿中含有个人信息及其他敏感数据，尽调律师有权拒绝将含有该等包含个人信息和敏感数据的基础材料或原始文件作为尽调工作底稿交付给投资方，除非尽调律师获得相应信息主体的同意及授权。但根据《个人信息保护法》的规定，相关政府监管部门如证监会、银保监会等，或者法院、检察院等司法机关，为履行其法定职责而要求律师提供该等工作底稿时，律师应当按照相关政府监管部门或者司法机关的要求提供相应的文件和资料。

（二）尽调文件清单中增加关于个人信息保护及数据合规的要求

根据《个人信息保护法》的规定：“个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。”根据该规定，如果目标公司向尽调律师提供的资料文件中包含个人信息，则应当由目标公司履行向个人信息主体告知并取得同意的义务，如果目标公司未向个人信息主体履行告知义务，也未取得自然人的同意而直接向尽调律师提供该等资料和文件，那么违反该等义务的责任主体是目标公司，应由目标公司承担相应的法律责任。

法律尽职调查中，目标公司一般是按照尽调律师编制的尽调文件清单向尽调律师提供文件资料，在此情况下，尽调律师在编制尽调文件清单时应当在显著位置以显著方式向目标公司做出数据合规的提示和说明，明确告知目标公司应当检视其所提供的材料中是否包含个人信息，如包含个人信息，则应当严格遵守《个人信息保护法》的各项规定，履行告知义务并取得同意后方能对外提供，如果无法获得同意则应当匿名化处理以后再提供。尽调律师在尽调文件清单中还应增加免责声明并要求目标公司盖章确认，声明的内容应当包括：第一，目标公司向尽调律师提供和披露文件、材料之前已经明确知悉并理解尽调律师向其提出的关于提供文件、材料应当符合《个人信息保护法》及相关法律法规的规定，不得存在任何侵犯个人信息的侵权行为等合规提示的内容及其法律后果；第二，目标公司向尽调律师提供和披露的文件、材料均不存在任何违反《个人信息保护法》及其他相关法律法规的情形，也不存在任何侵害个人信息的侵权行为；第三，如果存在任何违反《个人信息保护法》及其他侵害个人信息的侵权行为，相应的责任和后果均由目标公司自行承担。

（三）尽调律师收集到含有个人信息的资料文件后应妥善保管、审慎处理

笔者建议从以下几个方面妥善保管和审慎处理收集到的个人信息及相关数据：

第一，妥善保管个人信息。信息时代的一个重要特点是“所见即所得”，一般情况下接收信息的同时即已获取信息，在尽职调查中，目标公司将尽调材料和文件提交给尽调律师以后，对于那些包含个人信息的文件和材料，不论目标公司向尽调律师提交该等材料是否符合《个人信息保护法》的规定，尽调律师接收并且读取该等文件材料以后便接触并获取了文件材料中所包含和存储的个人信息，自接收到个人信息之时起，尽调律师就产生了作为个人信息处理者的相应法律责任，应当履行作为个人信息处理者的各项法律义务。因此，对于尽调律师而言，首先就负有妥善存储和保管该等文件和材料的责任，具体而言，应当防止该等个人信息未经授权被访问、阅读，谨防个人信息被泄露、篡改、丢失。无论后续是否对该等个人信息进行分析、处理或者对外提供，妥善保管的义务都是必须要履行的，但实践中这也是比较容易被忽略的，特别是在使用尽调基础材料撰写法律尽职调查报告的过程中，随意展示、截取、放置、甚至丢弃包含有个人信息的文件资料等行为时常发生，这些行为就是一种不合规、不规范的个人信息处理行为，应该避免和杜绝。

第二，规范处理个人信息。我国现行个人信息保护法律体系对个人信息处理者采用严格的过错推定责任，尽调律师在尽调过程中对含有个人信息的文件、资料的收集应当秉持“谦抑”的态度，应当更加审慎。尽调律师首先应明确何种个人信息需要收集、收集的目标及收集的必要限度，不应超过尽调目的而过度收集个人信息。对于个人已单独同意目标公司向尽调律师提供其个人信息的，应当在已向个人告知的处理目的、处理方式和个人信息的种类等范围内处理个人信息，若变更原先的处理目的、处理方式的，还应当重新取得个人同意。另外，在获得个人信息后，还应按照《个人信息保护法》的相关规定，建立必要的合规审查体系、健全个人信息保密制度等，甚至可以建立专门的档案系统、保密室，用于专门存放该等个人信息（尤其是敏感个人信息），防止个人信息的泄露、篡改或丢失等。当存在《个人信息保护法》第47条相关情形时，尽调律师还应在合理时间内主动删除已处理的个人信息。

第三，谨慎披露个人信息。在尽职调查报告中，对于涉及个人信息的相关内容，除非获得个人信息主体的单独授权，否则尽调报告中应对该等信息进行匿名化处理，且不应向投资方移交包含个人信息的尽调工作底稿。实践中，由于不同公司企业对于个人信息保护重要程度的认知存在差异，不是每一个投资方都能接受尽调律师提交的尽调报告中对相关信息做匿名化处理或者做概述性分析，也不是每一个投资方都能接受尽调律师不将完整的尽调工作底稿交付出去，如果事前律师与投资方未在尽调委托协议中对此进行明确约定，双方难免产生争议、闹出不愉快。因此，就个人信息保护问题事前与投资方进行充分的沟通和说明，并在委托协议中对个人信息保护条款做出明确约定，将能有效避免此类争议和不愉快的发生。

（四）投资协议中增加关于个人信息保护及数据合规的条款

笔者注意到，由于欧盟GDPR施行较早，在涉外投资并购交易中，境外投资者在投资协议、股权认购协议等法律文件中已有意识地对交易相对方在投资并购交易中涉及个人信息处理等相关行为的合法合规性作出陈述、保证、披露等条款设置，以此尽量避免在不同情形下因交易相对方个人信息处理的不合规所带来的风险和纠纷。例如，在笔者近期处理的一项外资并购交易中，外方起草的合同文本中就有这么一项约定：“All material facts and matters relating to the employment or engagement of all Employees of any member of the Group have been disclosed in writing to Investor, with all personal data suitably anonymised.”这项约定内容是具有参考和学习价值的，如前所述，在我国个人信息保护法律体系下，个人信息处理者负有“自证清白”的责任，投资协议中增加类似条款约定就显得很重要，至少可以根据该等约定初步证明投资方或者投资方通过尽调律师接收到的文件材料中所包含的个人信息已经过匿名化处理，并据此主张和证明投资方及其聘请的律师并不具备实施个人信息侵权行为的条件和基础。

另外，律师在设计投资协议条款时，还需要考虑对各方需要处理个人信息情形下的权利义务分配进行单独约定，尤其对于涉及数据跨境提供的投资并购交易，交易文件还应当约定投资方与目标公司之间的数据传输应当遵守《个人信息保护法》《数据安全法》《数据出境安全评估办法》等相关法律法规中对个人信息跨境提供的限制和要求等。

四、尽调律师规范自身尽调行为的建议

《个人信息保护法》施行至今刚满周岁，实践中尽调律师对自身尽职调查数据合规问题的敏感度还不是很高，很多时候甚至出现尽调律师在对目标公司的数据合规问题进行调查时，自身的调查行为也存在不合规的情形。尽调律师作为《个人信息保护法》下的个人信息处理者，其不合规的尽调行为以及对调取相关个人信息和数据的不合规处理行为，一样需要承担相关的法律责任，因此，尽调律师对自身调查行为的合规性也应当加以重视。

在投资并购交易的法律尽职调查中，尽调律师通过尽职调查协助投资方从法律方面了解和掌握目标公司的各项基本情况、摸清和排查目标公司存在的各项法律风险，与此同时，尽调律师也需要严格履行作为个人信息处理者的各项法律义务，时常对自身的尽职调查行为进行自检、自查和自纠，确保自身尽职调查行为的合法合规性，为此，笔者建议如下：

第一，不该要的不要要

尽职调查中，如果相关文件资料和信息并非尽调所必需，或者对于完成尽职调查没有实质影响，比如目标公司员工的家庭地址、银行账户、手机号码等敏感个人信息，能不要的就不要要，目标公司提供了也应拒绝接受，或者要求目标公司匿名化处理以后再接受。

第二，可不要的就不要

尽调律师对于涉及个人信息文件材料的收集和处理，也应当遵守《个人信息保护法》规定的最小原则和必要原则，不得过度收集、非必要不收集。

第三，必须要的规范要

根据《个人信息保护法》的规定，在尽职调查过程中涉及个人信息转移的，尽调律师应审查目标公司是否是合法合规的个人信息处理者。尽调律师在收集个人信息前，还应当明确在什么范围内、什么时间内处理该信息，针对无法获得授权的个人信息，尽调律师应当要求目标公司对相应信息进行匿名化处理，使该等信息不再属于《个人信息保护法》规定的个人信息。

第四，已经要的好好要

如果目标公司未合法合规地将相关文件材料及个人信息提供给尽调律师，尽调律师拿到这个“烫手的山芋”该怎么办？笔者建议，此时一定要认清并接受尽调律师已经成为个人信息处理者这个现实，不要再纠结前手是否合规，而应着眼于确保自身行为合法合规，应严格遵守《个人信息保护法》的各项规定和要求，合法、规范、合理地处理个人信息。

第五，信息“出海”要警惕

在外资并购项目或者跨境并购项目中，如果委托方是境外投资者，尽调律师在尽职调查中取得的资料可能需要作为工作底稿向境外提供，当涉及数据和个人信息“出海”时，尽调律师一定要提高警惕，在向境外委托人提交尽职调查报告、尽调工作底稿时应当严格遵守《个人信息保护法》及《数据安全法》等法律法规的各项规定、履行各项义务、完善各项手续，充分分析和研判哪些材料文件、哪些信息数据可以向境外提供，哪些文件材料、哪些信息数据不能向境外提供。

我国通过《个人信息保护法》《数据安全法》《网络安全法》已初步搭建个人信息保护和数据安全的法律框架，尽调律师在尽职调查过程中也需要改变以往向目标公司收集材料时宁“多”勿“缺”的心态，从规范自身尽调行为做起，抓好对个人信息的保护，这样才能更好地协助投资方在投资并购交易中做好个人信息处理和数据合规的调查和风险排查。