CFIUS热点追踪：对涉及个人可识别信息交易的审查—— 以Grindr和PatientsLikeMe为例

English: Grindr and PatientsLikeMe Outcomes Show Non-Cleared Transactions' Exposure to CFIUS Scrutiny, Especially When PII Is Involved

在过去三周，据报美国外国投资委员会（CFIUS）要求两家中国公司出售它们在两家美国公司中持有的股权。2019年3月底，CFIUS向昆仑集团传达通知，要求其必须出售在交友软件商Grindr中所持股权。最近，据称CFIUS亦命令深圳独角兽公司碳云智能出售其在美国公司PatientsLikeMe中持有的多数股权。PatientsLikeMe是一家为促进疾病诊断和治疗而将患有相似疾病的患者联系起来的在线服务平台。

CFIUS对上述交易的处理手法进一步说明CFIUS基于国家安全理由限制外国对美的投资，其监管存在以下两点特征：

• 第一，由于上述交易已于数年前交割，本次CFIUS的处理手法强调未经CFIUS批准的外国投资交易在任何时候都可能受到CFIUS的干涉，这为类似交易的未来带来不确定性。

• 第二，CFIUS的处理手法说明其非常关注美国标的公司如何存储个人可识别信息（PII），当中存在潜在的国家安全风险。

未经批准的交易遭CFIUS干涉的风险

昆仑收购Grindr和碳云智能投资PatientsLikeMe遭调查的案件均表明，未经CFIUS批准的外国投资交易可能会在交易交割后任何时候受到CFIUS的干涉。

昆仑对Grindr进行收购

• 昆仑集团是中国上市公司北京昆仑万维科技股份有限公司（昆仑万维）的全资子公司。昆仑分别通过两次交易以收购Grindr的100%股权。昆仑在2016年3月以9,300万美元收购Grindr的61.53%股权；在2017年5月，昆仑与Grindr签订协议，以1.52亿美元收购Grindr的剩余股权，该交易已于2018年1月交割。2018年8月，昆仑万维发布公告称Grindr拟赴境外上市。

• 2019年3月，出于对数据隐私的担忧，CFIUS开始对上述已交割的交易进行干预，致使昆仑正以拍卖形式出售Grindr。2019年4月1日，昆仑万维发布公告，称其正在与CFIUS进行沟通，但双方尚未就此事达成任何协议。

碳云智能对PatientsLikeMe进行投资

• 2017年1月，美国健康科技初创公司PatientsLikeMe发布公告，称中国数字保健独角兽公司碳云智能对其投资超过1亿美元，并成为PatientsLikeMe的大股东。

• 2019年4月，据报CFIUS要求碳云智能出售其在PatientsLikeMe中持有的全部股权。

外国公司获取美国个人可识别信息的交易易遭CFIUS干涉的风险

美国政府对外国公司获取美国公民个人可识别信息的关注已酝酿日久，其触发点源于蚂蚁金服与速汇金的收购交易。2017年12月，由于美国政府担忧蚂蚁金服将在交易后获得重要的个人可识别信息，蚂蚁金服拟议收购速汇金的计划实际上已中途搁浅。另一个代表性例子是2018年中国泛海收购Genworth Financial一案。在该交易中，中国泛海控股集团必须在取得CFIUS批准前采取缓和措施以防止“消费者个人信息受到更多侵犯”。缓和协议中特别要求Genworth须聘用第三方美国服务提供商来管理和保护Genworth美国投保人的个人数据。

2018年8月，美国国会颁发《外国投资风险审查现代化法案》（FIRRMA），规定CFIUS须关注与美国投资标的维护或收集“美国公民的敏感个人数据”相关的潜在国家安全风险。

CFIUS筹划对交易的重要性

CFIUS对上述交易的处理均强调，在CFIUS管辖范围内进行外国投资交易前，筹划CFIUS程序是非常重要的一步。对在美投资或并购的中国公司而言，交易各方须根据2018年10月公布的FIRRMA“试点计划”中对投资涉及“关键技术”的美国企业的规定，确定是否需要向CFIUS提交强制申报。如果不需要，但该外国投资者可能获得对美国企业的控制权，那么交易各方亦要注意该交易是否需要获得CFIUS批准。有关决定可能取决于该交易所体现的国家安全考量（如标的公司的个人可识别信息存储）类型和重要性。

出于各种原因，不向CFIUS申报交易或许更符合交易各方的利益。但是各方需要注意，未经CFIUS批准的交易风险可大可小，而CFIUS审查的达摩克里斯之剑将始终高悬头顶。

对于已投资或收购美国公司但没向CFIUS申报交易的中国公司而言，更谨慎的做法是对交易进行内部审查。内部审查应包括但不限于，交易是否使中国公司可获取美国公民的个人可识别信息。然后，中国公司可以考虑采取各种措施，例如转让其在美国公司持有的部分股权，以防中国公司获取美国公民的个人可识别信息。或者，交易各方也可考虑让美国公司引入美国本土的第三方服务提供商，由其管理和保护美国公民的个人可识别信息。中国公司应争取通过积极管理风险，来避免被CFIUS干预要求以廉价抛售其所持有的美国公司股权的被动局面。