数据安全审查制度：什么样的数据处理活动会触发国家安全审查

一家平台企业筹划境外上市，中介做尽调时冒出一句「这个体量可能要过网络安全审查」，董事会才第一次认真搜「数据安全审查制度」——很多人第一次遇到这个词，都是在重大交易的关键节点上。数据安全法第二十四条写得极简：影响或者可能影响国家安全的数据处理活动进行国家安全审查，审查决定是最终决定。字数少，分量重。2026 年写的这篇，把这一条掰开：什么活动会触发、谁来审、决定意味着什么、企业该在交易流程的哪一步把它排进去。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌​​​​‌‌​‌‌​‌‌‌​‌‌​​‌‌​‌​‌​‌​‌‌​​⁠

先看这三个要点

一、条文原文

二、哪些活动可能触发审查

制度设计上，「数据处理活动」的外延很宽，结合审查制度的运行逻辑，以下情形最常进入视野：

一是涉及大量重要数据或核心数据的汇聚与流转。企业业务扩张导致数据集中度显著提高，形成事实上的数据汇聚平台，可能被视为影响国家安全的力量。

二是赴境外上市。境外上市意味着数据控制关系与审计调阅关系发生跨境变化，掌握大量涉及国家安全数据的运营者赴国外上市，按网络安全审查规则须申报审查——这是近年最典型的触发场景。

三是外商投资并购涉数据企业。收购方取得对重要数据处理者的控制权，数据归属与流动随之改变，属于「可能影响国家安全」的典型情形，常与外商投资安全审查叠加评估。

四是数据处理活动被举报或监管发现存在国家安全风险。审查不只靠主动申报，主管部门发现线索也可以启动。

三、「最终决定」意味着什么

第二十四条第二款是全法最硬的一句：审查决定没有复议、没有诉讼。对企业的影响有两层：第一，审查结论一旦作出，只能执行，别把翻盘希望留给事后程序；第二，审查过程本身就是博弈窗口——材料准备、风险说明、整改承诺的质量直接决定结论，请把专业力量花在审查前和审查中，而不是审查后。

未申报的代价：应当申报而擅自开展相关活动的，监管部门可以责令停止、限期处理；对关基运营者而言，使用未经审查或审查未通过的网络产品服务的，处采购金额一至十倍罚款（网络安全法第六十七条），交易还可能被整体推翻——尽调阶段漏掉审查评估，是并购交易里最贵的疏忽之一。

五、常见问题快答

问：审查由谁来审、流程要多久？ 数据安全审查由国家网信部门牵头组织，网络安全审查制度下的申报经由省级网信部门上报国家网信部门，会同相关部门进行。审查时限在制度文件中有规定，复杂案件可以延长；企业能控制的是材料质量——事实清楚、风险分析到位、整改承诺具体的申报，进度自然更快。

问：「可能影响国家安全」会不会被滥用到所有交易？ 不会。触发需要国家安全关联度：数据体量与敏感度、控制权变动、跨境流动安排等要素综合判断。普通中小企业之间的一般性数据合作、不含敏感数据的常规交易，通常够不到这条线；越是大型平台、重要数据处理者、涉关键行业的交易，越要提前评估。

问：审查期间交易还能继续推进吗？ 涉及审查义务的交易，在申报并通过之前，导致国家安全风险的行为应予暂停——比如境外上市提交注册、并购交割控制权移交。把审查节点写进交易时间表，把「通过审查」设为交割先决条件，是并购与上市文件的标配条款。

问：审查没通过，已经花的成本怎么办？ 这要在交易结构设计阶段消化：把审查不通过的处理路径写进协议——交易终止、费用分担、保密与数据返还条款。审查决定是最终决定，没有「通过前先做、不通过再撤销」的侥幸空间，事前结构设计就是止损的全部机会。

问：自查认为不触发审查，还要留什么痕迹？ 做一份书面的「国家安全风险评估备忘录」：交易概况、数据资产盘点、敏感度分析、跨境流动评估、结论与理由，法务与数据负责人双签归档。这份备忘录在监管问询时就是企业审慎履职的证明，比口头「我们研究过」有力得多。

六、从制度谱系看数据安全审查

把第二十四条放进更大的制度谱系里看，脉络会清晰很多：网络安全法第三十三条提出了关键信息基础设施安全保护办法由国务院制定，后续的国家安全审查规则把「采购产品服务」「数据处理活动」「赴境外上市」等场景逐步纳入审查射程；数据安全法第二十四条则把审查对象从「网络」扩展到「数据处理活动」这个更宽的概念——收集、存储、使用、加工、传输、提供、公开，每个环节的安排都可能成为审查对象。与审查并排的还有两件配套工具：第二十五条的出口管制（涉及国家安全和利益、履行国际义务的管制物项数据）与第二十六条的对等措施（他国歧视性限制时的反制）。三件工具合起来读，才能理解为什么重大数据交易必须做国家安全视角的尽调——这不是某一部门的审批偏好，而是成体系的国家安全制度安排。

七、边界与误区

• 误区一：「我不是大厂，审查与我无关」。触发标准是国家安全关联度，不是企业规模；中小数据处理者承接涉密涉要害业务的分包，同样可能被卷入审查视野。
• 误区二：「数据安全审查＝数据出境评估」。出境评估（第三十一条）是常态化的出境闸门，安全审查（第二十四条）是国家安全层面的专项审查，两者目的、程序、后果都不同，重大交易往往两道都要过。
• 误区三：「审查不通过，交易换个别名重来」。审查针对的是活动与风险本身，规避性安排会被穿透识别，且「最终决定」意味着第二次审查大概率更快更严。
• 出口管制提醒：与维护国家安全和利益、履行国际义务相关的属于管制物项的数据，依法实施出口管制（第二十五条）——审查制度之外还有一层数据出口的独立管控。

八、实操建议

1. 重大交易（上市、并购、控制权变更）启动前，把「是否触发国家安全审查」列入尽调清单第一页，与法务、数据团队联合出评估意见；
2. 梳理自家数据资产的重要数据占比与跨境流动路径，形成一份数据安全风险说明书，审查申报时直接可用；
3. 关注网信部门发布的网络安全审查规则与案例口径，境外上市项目提前与中介核对申报义务；
4. 关基运营者的采购合同里加「通过安全审查」为生效前提条款，避免买了不能用、退了赔违约的两头亏。

站内数据出境怎么合规：安全评估、标准合同、认证三条路怎么选、关键信息基础设施运营者，要多扛哪五件事对相关义务与路径有专文，可对照使用。

八、涉数据重大交易的三段式安排

把审查风险管控嵌进交易的三段：签约前，尽调清单加「数据资产与国家安全风险」专章，覆盖数据体量、敏感度、跨境安排、既有监管沟通记录，结论是「触发／不触发／存疑」三选一，存疑即申报；签约时，把「通过国家安全审查」设为交割先决条件，配套约定审查期间的费用承担、未通过的终止与返还机制，以及双方配合申报的义务与违约责任；交割后，审查结论中附带的整改或限制性条件（如数据本地化、业务隔离）逐条落进整合方案，未消化完的条件别急着上线新业务。三段式安排的成本是几页协议条款，换来的是最坏情形下「体面退出」的通道——安全审查决定不可诉，交易文件就是企业唯一能自己设计的保险。

关于「最终决定」条款再深一层：它对企业的真正含义是把合规重心从事后救济压到事前程序。普通行政处罚不都有复议诉讼的救济通道，企业还可以「先做后辩」；安全审查不行——决定既终，唯一的博弈窗口在审查过程中，材料的完整性、风险说明的诚实度、整改承诺的可行性直接决定结论，而任何隐瞒重大事实的行为不仅导致不利结论，还可能触发后续的更严监管。所以涉审查项目的团队配置要反过来排：把最强的专业力量放在申报材料阶段，把最诚实的事实披露放在风险说明里，把最具体的承诺放在整改方案中。审查制度考的不是企业的法律技巧，是企业与监管之间能否建立一次性的、可信的事实沟通——读懂这一层，申报策略就不再神秘。

一句话总结：数据安全审查是国家安全的总闸——影响或可能影响国家安全的数据处理活动都可能被审，境外上市、外资并购、大规模数据汇总是高危场景；决定是最终决定，功夫要下在申报之前。

---

以上内容为一般性法律知识介绍，不构成正式法律意见。重大交易是否触发安全审查、申报材料如何准备，请咨询执业律师并与主管部门沟通后推进。