我國企業(yè)赴美上市蘊(yùn)涵的數(shù)據(jù)安全風(fēng)險(xiǎn)，業(yè)已引起廣泛關(guān)注和制度應(yīng)對(duì)。例如，左曉棟談及：“[近期對(duì)滴滴的安全審查]主要關(guān)注的是，重要數(shù)據(jù)和公民個(gè)人信息的出境安全風(fēng)險(xiǎn)。”[1]因此，有必要梳理美國法下引致數(shù)據(jù)安全風(fēng)險(xiǎn)的可能性。更具體地說，有必要梳理美國法下，對(duì)在美發(fā)行美國存托憑證（ADR）[2]的企業(yè)，美國司法部門、行政部門和其它實(shí)體獲取企業(yè)數(shù)據(jù)的可能性。

　　以下分四段展開。首先是司法系統(tǒng)，先簡述作為證據(jù)開示前提的管轄和域外適用，再是開示，并以常常被忽視的對(duì)外監(jiān)控法庭（FISC）監(jiān)控令作結(jié)。其次是行政部門和與之有密切關(guān)系的獨(dú)立組織，討論法庭之友意見、披露、執(zhí)法和現(xiàn)場驗(yàn)視各自對(duì)獲取企業(yè)數(shù)據(jù)的影響。再次，提請(qǐng)注意律所、投行、會(huì)計(jì)師事務(wù)所等中介的工作實(shí)踐，伴有一些推論。最后，試論國家安全審查的法治化。

　　司法部門：管轄、域外適用、證據(jù)開示和對(duì)外監(jiān)控

　　美國司法部門[3]獲取我國赴美上市企業(yè)內(nèi)的重要數(shù)據(jù)或個(gè)人信息，至少存在兩種比較重要的可能性：其一，在證券欺詐等案件中，法院要求企業(yè)將數(shù)據(jù)作為證據(jù)開示；其二，F(xiàn)ISC發(fā)出監(jiān)控令，授權(quán)行政機(jī)關(guān)搜查或監(jiān)聽我國企業(yè)數(shù)據(jù)。以下主要討論前者，并簡要述及后者涉及的風(fēng)險(xiǎn)。

　　就針對(duì)我國赴美上市企業(yè)的證券欺詐案件，因企業(yè)注冊地位于美國境外，美國法院通常需要考慮至少三個(gè)環(huán)節(jié)：首先，建立對(duì)企業(yè)的管轄；其次，討論有關(guān)法律的域外適用；最后，才是開示。每一環(huán)節(jié)上，都存在一定的復(fù)雜性。

　　管轄層面，Pinker訴Roche Holdings Ltd.案認(rèn)可了美國聯(lián)邦法院在證券欺詐案件中對(duì)ADR發(fā)行者的管轄權(quán)，也是相應(yīng)議題上有影響力的主要先例[4]。本案中，原告訴稱：被告未披露在全球范圍內(nèi)操縱維生素市場一事，構(gòu)成證券欺詐[5]。聯(lián)邦第三巡回法院的管轄權(quán)裁決，綜合考慮了三方面因素：被告是否令自身享有美國法賦予的權(quán)利，以及，被告是否合理預(yù)期到卷入[美國法]訴訟的風(fēng)險(xiǎn)；被告是否存在有意將自身置于美國法下的行為；以及，傳統(tǒng)的公平和實(shí)質(zhì)正義觀念[6]。本案中，即使被告所發(fā)行ADR并未在美國境內(nèi)交易所掛牌交易，法院仍然認(rèn)為：發(fā)行ADR本身即足以構(gòu)成前述“有意行為”，享有在美國證券市場開展活動(dòng)的權(quán)利，亦足以合理期待因欺詐性披露而卷入訴訟[7]。法院同時(shí)認(rèn)為：因被告需在一定程度上遵守美國證券交易委員會(huì)（SEC）的披露要求，又因美國在推動(dòng)證券監(jiān)管政策方面有著重要的國家利益，對(duì)被告行使管轄并不違背傳統(tǒng)的公平和實(shí)質(zhì)正義觀念[8]。綜上，發(fā)行ADR通常足以建立管轄權(quán)。

　　域外適用層面，有關(guān)美國法下的證券欺詐相關(guān)法律是否適用、又在何種程度上適用于美國境外，素有爭議[9]。在2010年判決的Morrison訴National Australia Bank一案中，美國聯(lián)邦最高法院正面解答了這一問題，提出了“交易[地]檢驗(yàn)”，亦即：如果涉案證券的交易發(fā)生在美國，或者涉案證券在美國國內(nèi)的交易所掛牌交易，則適用相應(yīng)的證券欺詐法律[10]。僅就本文關(guān)注的、我國企業(yè)赴美上市（發(fā)行ADR）問題而言，相應(yīng)證券顯然滿足檢驗(yàn)條件，故足以適用美國相關(guān)法律[11]。

　　前兩項(xiàng)問題，在很大程度上是證據(jù)開示問題的“鋪墊”。對(duì)美國司法系統(tǒng)獲取我國企業(yè)數(shù)據(jù)、進(jìn)而造成數(shù)據(jù)安全風(fēng)險(xiǎn)而言，管轄和適用只是開示的前提；數(shù)據(jù)的（違法違規(guī)）出境，終究需要通過開示而發(fā)生。在這一最為重要的問題上，亦即，當(dāng)美國法院的開示要求與他國法律沖突時(shí)是否禮讓，有兩方面結(jié)論：一方面，在相對(duì)抽象的法律原則上，并不存在如管轄或適用般的清晰結(jié)論，美國各地法院依賴于復(fù)雜的多因素權(quán)衡；另一方面，在更為具體的裁決結(jié)果上，美國法院通常令開示要求優(yōu)先于他國法律。法律原則方面，此處有拘束力的主要先例，是美國聯(lián)邦最高法院在Societe Nationale一案中的判決[12].簡言之，就民事訴訟開示沖突中的禮讓，最高法院確定了分析禮讓時(shí)應(yīng)當(dāng)平衡的五類因素：涉案數(shù)據(jù)的重要性、開示要求的確切程度、數(shù)據(jù)是否產(chǎn)生于美國境內(nèi)、是否存在其它獲取數(shù)據(jù)的手段、不遵從要求是否會(huì)嚴(yán)重?fù)p害美國或數(shù)據(jù)所在國利益[13]。相應(yīng)分析原則延續(xù)至今。不過，多因素平衡，本即難言清晰；各巡回區(qū)間，在因素的具體內(nèi)容、分析順序或者相對(duì)權(quán)重上，也仍然存在差異[14]。

　　至于具體的數(shù)據(jù)開示沖突，《通用數(shù)據(jù)保護(hù)條例》（GDPR）已引起直接相關(guān)的案例。在涉及專利侵權(quán)的Finjan訴Zscaler案中，開示涉及受GDPR保護(hù)的個(gè)人郵件，且匿名化等方式不可行[15]。加利福利亞州北區(qū)聯(lián)邦法院援引前述因素，作出了要求開示的裁決。本案中，法院首先指出：Societe Nationale案并未窮盡所有應(yīng)予平衡的因素，法院尚可考量開示方在法律沖突中所面臨的困難和相沖突法律各自執(zhí)法時(shí)的遵從情況[16]。在幾乎所有因素上，法院都傾向于開示[17]。尤其值得注意的，是“開示對(duì)美國或數(shù)據(jù)所在國利益的損害”這一因素上的分析。法院首先認(rèn)定，美國保護(hù)本國專利的利益“十分有力”[18]。其次，盡管法院承認(rèn)英國確有保護(hù)公民隱私的利益，然而，由于法院認(rèn)為自身發(fā)出的、針對(duì)相應(yīng)數(shù)據(jù)的保護(hù)令足以顯著縮減英國的相應(yīng)利益，同時(shí)，法院不清楚相應(yīng)郵件“在何種程度上蘊(yùn)涵了英國利益”，在“顯著的、美國保護(hù)本國專利的利益”和“經(jīng)縮減的、英國保護(hù)本國公民的利益”之間，這一因素顯著地傾向于開示[19]。在相近的開示禮讓案件中，本案有相當(dāng)代表性[20]。

　　回到我國赴美上市企業(yè)可能面臨的數(shù)據(jù)開示要求，除上述直接適用的案件外，還有三點(diǎn)值得注意。其一，國家安全顯然不可簡單與隱私利益等量齊觀。批量個(gè)人信息或數(shù)據(jù)出境蘊(yùn)涵的國家安全風(fēng)險(xiǎn)，也通常要顯著高于開示特定個(gè)體郵件所蘊(yùn)涵的風(fēng)險(xiǎn)。其二，盡管美國法院認(rèn)為，就出境數(shù)據(jù)發(fā)出保護(hù)令，足以保護(hù)他國利益，其它主權(quán)國家恐怕難以信服這一觀點(diǎn)。涉及國家安全風(fēng)險(xiǎn)時(shí)，他國法院的保護(hù)令意義如何，更為成疑。其三，一旦發(fā)生相應(yīng)訴訟，即使我國有關(guān)部門出具對(duì)我國相關(guān)法律法規(guī)的權(quán)威解釋，美國法院亦可能僅給予“尊重性的考量”，而不會(huì)作為“結(jié)論性”的解釋[21]。如前，面對(duì)美國法院針對(duì)GDPR（數(shù)據(jù)）開示禮讓的判決，一方面，既有判決強(qiáng)烈地傾向于開示；另一方面，在我國赴美上市企業(yè)數(shù)據(jù)安全這一語境下，擔(dān)憂更加強(qiáng)烈。綜之，美國法下美國法院通過開示獲取企業(yè)數(shù)據(jù)一事，蘊(yùn)涵了需要重視的風(fēng)險(xiǎn)。

　　在證券欺詐案件的證據(jù)開示以外，美國司法系統(tǒng)獲取我國企業(yè)數(shù)據(jù)的另一可能性，是通過FISC發(fā)出的監(jiān)控令。簡言之，基于《對(duì)外情報(bào)監(jiān)控法案》（FISA），就美國政府針對(duì)特定個(gè)體的監(jiān)控申請(qǐng)，如果FISC高度確信相應(yīng)個(gè)體為從事特定活動(dòng)的“外國勢力”或“外國勢力代理人”，則可以批出監(jiān)控令[22]。FISC的運(yùn)作始終處于秘密之中：案件、程序與判決一律保密，被監(jiān)控方無法知曉、亦不可能參與相應(yīng)程序。在很長一段時(shí)間內(nèi)，我們無法確認(rèn)是否存在針對(duì)我國企業(yè)的監(jiān)控令。然而，2019年美國政府針對(duì)華為的訴訟[23]，確認(rèn)了存在針對(duì)華為的監(jiān)控令。具體而言，F(xiàn)ISA規(guī)定：如果政府希望將監(jiān)控所得信息列為訴訟證據(jù)，則應(yīng)就此通知訴訟被告與審理法院[24]。因此，由于美國政府向華為發(fā)出了相應(yīng)通知，可以確信FISC曾批出針對(duì)我國企業(yè)的監(jiān)控令[25]。這是美國司法系統(tǒng)獲取企業(yè)數(shù)據(jù)、造成安全風(fēng)險(xiǎn)的又一方式。

　　以上，總結(jié)了美國法院通過證據(jù)開示與批出監(jiān)控令（后續(xù)可能成為證據(jù)）而獲取我國赴美上市企業(yè)數(shù)據(jù)的可能性。第一種可能性與發(fā)行ADR關(guān)聯(lián)緊密、相對(duì)透明、先例亦多。僅就目前進(jìn)展而言，很難認(rèn)為美國法院會(huì)在開示爭議中充分尊重我國利益。第二種可能性與ADR大體無關(guān)、完全秘密、且缺乏先例。盡管如此，因確實(shí)存在針對(duì)我國企業(yè)的監(jiān)控令，值得引起更多的注意。