|
今年一月底，海航集团宣布进入破产重整的消息在全球范围内引起了极大的关注。  作为中国司法历史上金额最大、规模最大的破产案件，海航集团的债权申报金额逾万亿元。随着债权确认工作的推进，海航集团经确认的负债额不断增加。截至今年十月末海南省高院裁定批准重整计划时，海航集团已确认的债务金额高达1.1万亿元。 12月，海航控股再次宣布，其航空业务的实际控制权将全部移交至战略投资人辽宁方大集团。 目前，海航集团航空主业的员工约有65000人，员工个人信息数量庞大；而海航集团的航空业务板块所掌握的乘客个人资料、出行信息的数量之庞大以及涉及范围之广泛，更是不可估量。 随着《个人信息保护法》的施行，方大集团作为海航集团重整计划中的第一位重磅投资者，在重整计划实施时及实施后的个人信息保护问题，应给予重点关注。  据“ST海航”于2021年12月11日发布的《海南航空控股股份有限公司关于控股股东、实际控制人变更进展情况的公告》显示，“ST海航”的控股股东变更为海南方大航空发展有限公司（以下简称“方大航空”），实际控制人变更为自然人方威。 《个人信息保护法》第二十二条规定：个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。 根据上述法律规定，方大集团是否成为新的个人信息处理者，就需要根据不同的重整方案，以及方大集团取得实际控制权后的实施的管理动作进行分析。 简单来说，应至少从如下几个角度入手： （1） 乘客个人信息 在重整及实际控制权发生变更后，应根据海航集团是否将其乘客的个人信息转移提供给方大集团或第三方，来认定方大集团或接受个人信息的第三方是否成为新的个人信息处理者。 （2） 员工个人信息 根据《个人信息保护法》，企业对因劳动关系而获取的劳动者个人信息，也应依法予以保护。 可以肯定的是，若方大集团基于统一化管理的要求，将海航控股现有的员工信息接入其HR系统，则可以被视为《个人信息保护法》第二十二条所规定的转移。 除海航控股应向其员工告知接收方的名称或者姓名和联系方式外，方大集团还成为了该部分员工个人信息的新处理者。  暂且不论方大集团的现有业务，仅就海航控股所拥有的海量乘客个人信息及员工个人信息来说，方大集团成为了新的个人信息处理者后，也应对此有足够重视。 根据《个人信息保护法》第六十六条可知，在未履行法定个人信息保护义务，情节严重的（需要注意的是，这里的法律规定是“情节严重”，而非“造成严重后果”）情况下，作为新的个人信息处理者的方大集团，有可能会面临由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照的处罚，直接负责人的主管人员和其他直接责任人员会面临处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人的处罚。 虽然上一年度营业额的计算基础，是否应以合并报表的数额为依据，暂未有明确的法律规定。但我们相信，即便是母公司单体报表中上一年度营业额的百分之五，对于方大集团来说，也势必将是一笔不小的数字。 而在这里，我们仅仅只是讨论了《个人信息保护法》的法律责任。  结合方大集团与海航控股的案例不难看出，兼并、重组及股权投资类业务，除了关注传统的“人、财、物”外，还应重点关注相关企业的数据合规问题。 （1）投资主体应就被投资主体的数据合规体系建设问题进行专门的调查或评估，以判断其是否存在数据合规的法律风险；并就该风险的处理、防范等进行专门的评估，以确定该法律风险处于可以接受的范围，并明确相关成本。 （2）投资主体应就当前被投资主体的数据合规体系是否适应当前或未来企业的需要进行重点审查，并明确持续合规或优化系统的相关成本。 （3）投资主体应判断是否需要成为新的数据处理或控制主体，并通过交易结构设计及交易文件的方式，从法律关系上予以落实。 （4）对当前被投资企业已有的数据合规体系是否能与投资主体的数据合规体系相融合进行评估，对修正体系或系统的可行性及成本予以明确。 （5）对于破产类案件及不良资产项目，因本身所涉法律关系复杂；或管理人（清算组）可能受成立时间、工作经费和工作人员等实际影响而难以细致开展工作，故投资人尤不可忽视项目的数据合规问题，避免成为“背锅侠”。 作者简介 马培焱：北京市万商天勤律师事务所合伙人律师。擅长领域：境内外资本市场、基础设施、政府债务化解、数据合规、疑难复杂的民刑事争议解决。 |
|
|
