海外新能源系列（十一）——美国数据中心（IDC）投资若干问题初探

引言：

互联网数据中心（Internet Data Center,下称“IDC”或“数据中心”）是云计算能力的物理载体，属于关键通讯技术领域的基础设施。对于国内主要的云服务供应商而言，受限于遥远的物理距离、复杂的维护技术和条件以及外部监管环境的要求，完全依靠在中国境内投资建设数据中心，将云产品全部部署在境内数据中心而向海外客户发售和管理，显然是不现实的。因此，出于业务全球化拓展的需要，境内云服务供应商具有进行海外IDC项目投资的强烈意愿。

截至目前，我国几个主要云服务供应商已在东南亚、美国、欧洲等多个国家和地区投资和建设各种类型的IDC设施，包括集中式大型数据中心和小型云服务基站等。作为互联网活跃用户最多，也是数据传输和交互活动最为活跃的国家之一，美国一直是云服务市场最大的国家，也拥有全球市场份额最高的云服务供应商。此外，作为最早开发数据中心设施且具有最先进成熟云服务技术的市场，美国对数据中心项目投资的监管也相对完善。因此，美国数据中心市场也吸引着来自中国投资人的目光。

本文旨在梳理在美国境内投资IDC项目常见的若干投资行为审批和监管制度，拟为有意投资美国IDC项目的中国投资人提供有所帮助的参考信息。

一、   对数据中心项目投资的CFIUS审查

（一）绿地投资行为

外国投资者在美国的收购行为通常需要考虑美国外国投资委员会（The Committee on Foreign Investment in the United States, 下称“CFIUS”）审查和批准程序。而对于绿地投资，2020年1月13日美国财政部投资安全办公室发布的《关于外国人士在美国进行特定投资的规定（Provisions Pertaining to Certain Investments in the United States by Foreign Persons，下称“CFIUS规则”）明确了除特定例外事项（不包括IDC投资）外，“绿地投资”（即外国投资者在美国境内设立子公司用于在美的产品销售和研发的行为）一般不受CFIUS规则的规制，无需CFIUS审查和批准，但是，外国投资者设立的美国子公司属于“美国企业”（US business），未来任何对该子公司的投资行为将受到CFIUS规则的管辖。

（二）控制性并购

CFIUS规则及其上位法规《外国投资风险评估现代化法案》（The Foreign Investment Risk Review Modernization Act，下称“FIRRMA”）均明确规定如果外国投资者的投资行为导致或可能导致其对美国企业获得“控制权”（control），则应受CFIUS规则管辖。

CFIUS规则并未对“控制”做直接的定义，而是采取实质重于形式的原则，审查一方是否具有决定另一方商业运营的权利。此外，CFIUS规则还从反面列举了特定事项的否决权不构成“控制”的少数特定情形，如出售或抵押美国实体的全部或大部分资产、按比例享有的优先认购权等。

（三）非控制性并购

根据CFIUS规则，除特定例外豁免情形外，涉及TID行业（（即关键技术（Critical Technology）、关键基础设施（Critical Infrastructure）或敏感个人数据（Sensitive Personal Data））美国企业的非控制性并购，如使得外国投资者获得对美国ITD业务信息渠道或公司治理权，如：（1）有权获得“重大非公开信息”（material nonpublic information）；（2）有权提名董事会席位或同等管理机构的成员或董事会观察员；（3）可通过行使投票权以外的方式参与企业的“实质性决策”（substantive decision-making），则将受到CFIUS审查的管辖。

二、   美国商务部ICTS供应链安全审查

（一）    ICTS审查的范围

中国投资者对美国境内IDC业务或资产进行投资，除了可能受到CFIUS审查之外，还会受到美国商务部开展的ICTS交易审查，该等审查可能会为投资IDC项目带来不确定性影响。

2021年1月19日，美国商务部发布《确保信息和通信技术及服务供应链安全》的最新规则（下称“ICTS规则”），建立审查涉及“外国对手”的信息和通信技术与服务（ICTS）的交易流程和程序，禁止任何受美国管辖的人收购、进口、转让、安装、经营或使用可能对美国国家安全、外交政策和经济构成威胁的外国信息和通信技术与服务。

美国商务部将ICTS交易规则下涵盖的技术领域划分为六种主要类型，而其中第三种为“数据托管或计算服务不可或缺的软件、硬件或其他产品或服务，在ICTS交易之前的十二个月内使用、处理、保留或预期使用、处理、保留超过一百万美国人的敏感个人数据¹，包括互联网托管服务、基于云或分布式计算和数据存储、托管服务和内容交付服务。”

对于ICTS交易规则下六种技术类型范围内的ICTS交易，同时满足以下条件即受规则管辖：（1）交易由受美国管辖的人进行，或涉及受美国管辖的资产；（2）交易涉及外国或外国国民的利益（包括通过合同提供技术或服务的利益）；（3）交易于2021年1月19日之后启动、进行或完成，无论适用于该交易的合同何时订立或签署以及相关许可或授权何时授予。

（二）    “外国对手”的认定

根据ICTS规则，外国对手是指长期从事严重危害美国国家安全或国民安全行为的外国政府或非政府实体或个人，包括中国在内的多个国家和地区被明确列为“外国对手”²。此外，美国商务部还有权定期或不定期修改“外国对手”的具体名单。并且，由外国对手拥有、控制、管辖或指派的人也同样被视为外国对手而受到ICTS规则管辖。

（三）    ICTS审查程序

ICTS交易审查的启动，既可以由美国商务部自行发起，也可以由任何第三方机构或民间团体发起申请要求启动。

初步审查：若商务部经与机构间专家组商议初裁认定该交易可能达到“不当或不可接受的风险”的评估标准，交易方应在30日内提出答辩意见。

最终裁定：如果初裁后30天内未收到答辩意见，商务部将直接做出终裁。如果交易方选择提交答辩意见，商务部在与机构间专家组磋商，将新的论据或情况纳入考量后，将发布最终裁定，该裁定将：（1）禁止该交易；或（2）批准该交易；或（3）在实施商务部决定的补救措施的前提下批准该交易。除非商务部决定延期，所有审查应在180日内完成。

三、   数据跨境传输和用户隐私的监管

（一）  数据自由跨境流动

出于数据安全性的考量，很多国家和地区均通过立法实施“数据本地化”要求，对数据向境外传输做出特定限制，或要求云服务商所收集、存储和处理的境内数据必须上传和保存在东道国本土境内的数据中心或其他物理载体上，或至少要求其对外出售的云服务或产品，必须部署在其于东道国境内建设的数据中心之上，不得将数据上传和存储在云服务商位于境外的数据中心。

美国通过双边和多边贸易协定制定政策，表明其对外倡导数据自由跨境流动的立场。奥巴马政府时期签订的《跨太平洋伙伴关系协定》（TPP）第14.13条规定，缔约方不得将要求受约束的组织和个人使用该缔约方领土内的计算设施或者将设施置于其领土之内作为在其领土从事经营的条件。尽管特朗普政府退出了TPP，但是，2018年签署的《美国—墨西哥—加拿大协议》（USMCA）吸收了上述规定，强调成员方不得对用于经营目的的跨境数据流动施加限制，即便这些信息为个人信息，禁止缔约方制定计算设施本地化要求。美国也在与英国、日本、韩国等谈判的贸易协议中，积极推广上述反数据本地化政策。

（二）  特定用户或行业数据传输的限制性要求

如果投资者所投资的数据中心或部署的云产品会收集存储特定用户或行业的数据，则根据美国相关联邦法律要求，须经额外的第三方同意或履行告知义务。举例而言，如企业在收集、使用或披露法定年龄以下个人的个人数据之前，必须获得其父母的同意；金融机构在与非关联第三方共享其客户的财务信息也需履行特定程序和遵守相关要求。

（三）  对技术数据的出口管制

美国《出口管制法》（Export Administration Regulation，EAR）以及《国际武器贸易条例》（International Traffic in Arms Regulations，ITAR）可能会限制某些与美国国家安全相关（国防和技术领域）的信息出口，受其控制的技术数据的出口需要获得许可。此外，不仅向美国境外传输受EAR和ITAR控制的技术数据被定性为出口，向美国境内的外国人披露受控技术数据也将被“视同出口”。

因此，如果中国投资者运营的美国境内数据中心获取了受上述法规限制的与美国国家安全相关的技术信息或技术数据，则有可能违反相关出口管制的规定。

小贴士：

本文仅为我们结合项目经验和初步概括研究对美国数据中心投资相关问题的概括简介，并非对任何美国法律相关问题发表正式意见。就具体项目，建议参与者聘请专业律师具体分析；如有任何相关需求，请与我们联系，我们将与境外合作律师事务所合作，为您提供有价值的解决方案。

注：实习生张文嘉对本文亦有贡献。

[1] 参见第7.2条,“敏感个人数据”的定义，包括: (1)个别基因测试的结果；(2)由在特定地区运营的美国企业在12个月的期限内维护或收集的超过100万人的个人身份信息(即可以识别个人的数据)：美国商务部关注的可识别数据类别为：财务数据，可用于说明个人的财务状况或困境；消费者报告中包含的数据集；用于健康和某些金融保险应用程序的数据集；与个人的身体、心理或健康状况有关的数据；非公开电子通讯信息，例如个人电子邮件；某些技术中使用的地理位置数据；生物特征数据，即为生成联邦、州或其他政府身份证而存储和处理的数据；有关美国政府人员安全检查状态的数据，以及来自安全检查或就业申请的数据。

[2] 目前已确定的外国对手包括：（1）中华人民共和国，包括香港特别行政区（中国）；（2）古巴共和国（古巴）；（3）伊朗伊斯兰共和国（伊朗）；（4）朝鲜民主主义人民共和国（朝鲜）；（5）俄罗斯联邦；和（6）委内瑞拉政客尼古拉斯·马杜罗（马杜罗政权）。