企查查冲刺IPO，面临哪些数据合规难题

近年来，随着数据产业的快速发展，数据服务类头部企业也加快了上市的步伐。

近日，商业查询平台企查查科技股份有限公司（下称“企查查”）向江苏证监局办理辅导备案登记，拟首次公开发行股票并上市，辅导机构为中信证券。

从上市路径来看，在企查查之前，同样以企业信息查询服务为主营业务之一、旗下拥有启信宝的合合信息于2021年递交招股说明书并于今年8月过会，将在科创板上市。在近年愈加受到关注的数据合规方面，合合信息的案例可以给予市场和企查查本身一定参照。

相较于两年前，我国各领域数据合规监管体系正不断完善，不同数据的分类分级和运营管理标准亦得到大幅细化，这对主营数据业务的拟上市企业而言意味着更具体的要求和更严格的审视。

在此背景下，经营业务开展高度依赖于数据准确性与安全性的企查查，相关信息在招股书等上市材料中的披露情况，或将成为其IPO中被重点关注的内容。

监管专业性提高

相较于还拥有名片全能王、扫描全能王等APP的合合信息，企查查的业务集中度更高——信通院《企业信用大数据行业发展研究报告》显示，2022年企查查以42.32%的市场占有率位居企业信用大数据应用市场第一名。

同时，行业头部地位也使得企查查面临更为严格的市场审视和合规压力。2019年，因错误发布有关蚂蚁微贷的清算信息并向付费用户进行了定向推送，企查查被蚂蚁金服以不正当竞争告上法庭，最终杭州铁路运输法院一审判定企查查不当发布和推送错误清算信息的行为构成不正当竞争。

从具体业务流程来看，数据来源、数据处理等环节能否满足数据安全、隐私保护等合规要求，是达到整体合规的关键。

参照合合信息的招股书，其在特别风险提示一章中也重点提到了数据安全及个人隐私保护相关风险，表示：“如果受到恶意软件、计算机病毒、黑客攻击的影响；或公司员工违反公司内部制度规定；数据合作方、客户违反协议约定以及其他原因造成了数据的不当泄露或使用，公司存储的信息数据资源可能被泄露或受到损失。公司还可能因侵犯个人隐私被投诉或受到主管部门处罚，或因侵犯个人隐私及个人信息相关权益导致诉讼或仲裁等纠纷，可能对公司市场声誉及经营业绩造成不利影响。”

除了从各类公开信源采集数据外，向各类供应商购买也是重要的数据来源，因而相关信息数据采购合规也是其重点披露的合规内容之一。具体而言，包含制定并执行《数据采购管理规范》、调查供应商资质与数据来源合法性、要求供应商签署协议或出具确认书保证合法合规、成立安全与合规管理委员会等措施。

“从内容来看，这些规范本身是比较齐全的。” 清律律师事务所首席合伙人熊定中在接受南方财经全媒体记者采访时表示，但当前合规管理的核心在于判断这些措施落地实际执行到什么程度，执行的真正效果是什么。例如，调查供应商的底稿是否健全等等。

从监管端来看，近年来证券监管机构的数据监管水平也有了一定提高，对相关领域的要求也逐步与主要监管部门如网信办、工信部的要求积极靠拢，反映在IPO阶段，企业除了需要在招股书等材料中需要对相关合规管理情况做基本说明外，可能还需要采取更为全面的措施。

例如，同财务数据需要经由专业会计师事务所出具鉴证报告一样，未来由第三方出具的合规鉴定报告，可能也是数据业务较为重要的企业在上市时可供监管部门参考的材料之一。在现有法律法规中，出具相关报告也是数据处理者论证自身合规性的重要途径，例如《个人信息保护法》第五十八条就指出，提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当定期发布个人信息保护社会责任报告，接受社会监督。

熊定中表示，由于数据合规本身具有一定专业性门槛，因此在企业IPO中，对数据来源以及全链条的处理行为的合法性论证可以通过专业机构背书增信，并且专业机构对披露不实也承担对应责任。

公共数据使用合规细化

除IPO中需要进行合规信息披露外，作为一家提供企业数据服务的公司，企查查本身的业务运转很大程度建立在对政府等渠道采集的公共数据加工处理基础之上。

2015年8月，国务院发布《促进大数据发展行动纲要》，提出加快政府数据开放共享，推动资源整合，提升治理能力；次年8月，国务院办公厅发布《政府部门涉企信息统一归集公示工作实施方案》，要求扩大企业信息在公共服务领域中的应用，鼓励社会各方运用公示数据开发合规的衍生产品。探索运用大数据、云计算等现代信息技术，整合形成社会各方对同一企业不同侧面的相关数据描述，为维护市场健康发展提供有效手段。

政策利好成为彼时提供企业信息查询服务的诸多应用走上发展快车道，但在实际对公共数据的开发使用过程中，仍存在诸多问题有待进一步厘清。

一方面，公共信息中存在与个人信息相关的部分被企业爬取并二次加工后，是否可能存在对个人权益的风险。在此之前，企查查就曾因同名同姓错配信息多次被起诉。

例如，去年7月法院公开的“王杰与企查查科技有限公司网络侵权责任纠纷一案”，也是因为同名同姓导致身份匹配错误。判决书显示，企查查被认定未尽到与其能力、义务相匹配的注意义务。

另一方面，在实际公共数据的采集中，企业以公开抓起抑或授权的方式获得数据，其也可能存在不同的合规模糊地带需要进一步厘清。

熊定中指出，如果是公开抓取获得数据，此过程中技术的不确定性是否可能导致寻租空间，例如付费不被抓取；如果是授权获得数据，考虑到较多都是政务数据如司法信息、行政处罚等，那授权方是否将这部分数据资产进行了合理的评估和招投标也是值得关注的问题。