天喔国际诉普华永道案中，香港终审法院确认了两个程序层面的结论：香港法院有权就争议文件向内地法院发出委托书，且该请求属于《内地与香港特别行政区法院就民商事案件相互委托提取证据的安排》（下称“《相互安排》”）第六条规定的协助范围。但这两项确认并未使清盘人顺利取得D2文件。上海市高级人民法院在收到委托书后，依据《相互安排》第三条退回委托书，理由是：审计工作底稿出境须先完成《会计师事务所数据安全管理暂行办法》第十九条所规定的审批手续。
由此，一个程序层面的问题延伸到了实体层面：香港法院的委托书可以解决“请求协助”的问题，却无法直接解决“文件出境”的问题。后者需要回答的是：这批审计底稿中包含哪些类型的数据，它们分别触发何种出境合规要求，应当向哪个部门、循何种程序完成审批？
本文试图承接上篇对司法取证程序的梳理，从数据出境合规的角度，探讨这批审计底稿出境所面临的具体法律要求，以及天喔案中暴露的制度衔接问题。
在判断D2文件出境需要履行何种程序之前，有必要先了解审计工作底稿中通常包含哪些类型的数据。这直接关系到合规义务的范围，因为不同的数据类型触发的是不同的合规路径。根据《中国注册会计师审计准则第1131号——审计工作底稿》，审计工作底稿是注册会计师对制定的审计计划、实施的审计程序、获取的审计证据以及得出的审计结论作出的记录。它通常包括总体审计策略、具体审计计划、分析表、问题备忘录、重大事项概要、询证函回函、管理层声明书、核对表，以及对被审计单位文件记录的摘要或复印件等。这些材料以纸质、电子或其他介质形式存在。从数据构成来看，审计工作底稿可以大致分为几类：一类是审计程序记录，反映注册会计师的执业过程，一般不涉及被审计单位的经营信息；一类是审计证据，这是体量最大、内容最丰富的部分，包括询证函回函、银行对账单、销售与采购合同、发票、会计凭证等，直接承载被审计单位的财务数据和交易信息；一类是分析与结论，包含注册会计师的专业判断；还有一类是沟通记录，包括与被审计单位管理层、前任注册会计师及监管机构的往来函件。在上述类别中，涉及数据出境合规的主要是两类数据：重要数据和个人信息。《数据安全法》第二十一条确立了数据分类分级保护制度，将数据划分为一般数据、重要数据和核心数据。国家标准GB/T 43697-2024《数据安全技术数据分类分级规则》将重要数据定义为：特定领域、特定群体、特定区域或达到一定精度和规模的，一旦被泄露或篡改、损毁，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。就审计工作底稿而言，以下内容可能构成重要数据：一是涉及关键信息基础设施或重要行业的数据。《会计师事务所数据安全管理暂行办法》第九条要求会计师事务所按照被审计单位所处行业的数据分类分级标准确定核心数据、重要数据和一般数据。如果被审计单位属于金融、能源、电信、交通、科技、国防科工等关键领域，其审计底稿中的运营数据、财务数据、技术数据可能被认定为重要数据。二是涉及国家秘密或敏感信息的数据。根据《关于加强境内企业境外发行证券和上市相关保密和档案管理工作的规定》（2023年第44号公告），涉及国家秘密、国家机关工作秘密的文件资料应当依法报有审批权限的主管部门批准。三是涉及经济运行关键节点的数据。大型企业的财务数据、供应链数据、市场份额数据等，如果达到一定精度和规模，也可能属于重要数据的范畴。从天喔国际案的行业属性来看，被审计单位为食品饮料制造企业，该行业通常不属于金融、能源、国防科工等重点关注领域，其审计底稿被整体认定为“重要数据”的可能性相对较低。但这一判断并非绝对，如果被审计单位的业务涉及关键基础设施或持有特殊类型的数据，情况可能有所不同。审计工作底稿中可能包含的个人信息主要有以下几个来源：被审计单位员工信息（工资表、社保缴纳记录、高管薪酬披露等）；被审计单位客户信息（销售合同中的联系人信息、收款账户信息等）；被审计单位供应商信息（采购合同中的联系人信息、付款账户信息等）；以及询证函回函中涉及的银行账户信息、交易对手信息等。这些信息如果随审计底稿一并出境，就构成了个人信息出境行为。此时需要判断的是个人信息主体数量是否达到相关门槛：如果是，则进入数据出境安全评估程序；如果未达到，则适用标准合同备案程序。2022年7月颁布生效的《数据出境安全评估办法》第四条规定了应当申报安全评估的情形：处理100万人以上个人信息的数据处理者向境外提供个人信息的，或者自上年1月1日起累计向境外提供10万人个人信息或1万人敏感个人信息的。2024年3月颁布生效的《促进和规范数据跨境流动规定》提升了需要开展安全评估的门槛，适用场景更新为关键信息基础设施运营者（CIIO）向境外提供任何个人信息或重要数据，以及非 CIIO 数据处理者向境外提供重要数据，或自当年 1 月 1 日起累计提供 100 万人以上个人信息（不含敏感）/1 万人以上敏感个人信息的情形，且需排除法定豁免场景。未达到上述门槛的，则可以通过订立《个人信息出境标准合同》的方式完成合规。前者的受理和评估机关是国家网信部门，后者的备案机关是省级网信部门。这两条路径的法律基础都是《个人信息保护法》第三十八条，而非《数据安全法》，这一点在实务中容易被混淆。以一份大型企业的审计底稿为例，如果其中包含了数万名员工信息、数十家主要客户的联系人信息、以及上下游供应商的联络人信息，累计个人信息主体人数可能轻易达到安全评估的门槛。具体适用哪条路径，取决于实际涉及的个人信息主体数量，需要个案评估。值得注意的是，上述两条路径的适用前提是：审计底稿中不包含重要数据。一旦审计底稿被认定为包含重要数据，无论数量多少，出境均须申报数据出境安全评估，标准合同路径不再适用。这是《数据出境安全评估办法》第四条的明确要求，其法律基础是《数据安全法》。换言之，重要数据和个人信息分别适用不同的法律框架和合规路径，审计底稿中若同时包含两类数据，则需分别判断、分别处理。
在梳理合规路径时，有另一个问题值得厘清：财政部的角色是什么？天喔案中，财政部复函对程序走向产生了关键影响，但财政部的法律定位常被误解。从法律框架来看，财政部并非数据出境审批的直接受理机关。《数据出境安全评估办法》规定的申报主体是数据处理者，受理和评估机关是网信部门。财政部的法定职责，是作为会计师事务所数据安全的行业监管主体。《会计师事务所数据安全管理暂行办法》第五条规定：“财政部负责全国会计师事务所数据安全监管工作。”这是一项行业性、日常性的监管职责——财政部负责监督会计师事务所是否建立了数据安全管理制度、是否履行了数据安全保护义务，而非直接受理和审批每一份审计底稿的出境申请。换言之，财政部的角色是通过行业规章为会计师事务所设置合规标准，而非充当数据出境审批的“主管机关”本身。数据出境安全评估的受理和评估职能归属于网信部门，个人信息出境标准合同的备案机关同样是省级网信部门。财政部并不直接介入对具体审计底稿出境申请的审批。但在天喔案中，财政部的实际作用超出了行业监管者的通常定位。它接获普华永道中天的书面请示后作出复函，明确指出：财政部“没有依据批准”直接提供审计底稿，建议走司法协助渠道。这一复函虽然不具有行政许可的性质，但为香港法院评估“内地法院是否会接受请求”提供了重要参考：财政部作为行业主管部门，明确认可了司法协助路径的正当性，这在一定程度上影响了香港终审法院对问题二的分析。然而，财政部复函也留下了一个未解的问题：它指引当事人走向司法协助，却未能同时说明司法协助与数据出境行政程序之间如何衔接。这使得上海高院在收到委托书后仍需面对“出境审批尚未完成”的现实困境。从退函的内容来看，上海高院一方面承认本案请求属于《相互安排》第六条的范围，另一方面明确表示在完成出境审批手续之前无法提供协助。财政部的指引将当事人引向了司法协助，但司法协助走到执行端时，仍需经过出境审批这一道门槛，而这道门槛的受理机关和程序，财政部并未在复函中阐明。财政部在天喔案中的实际作用是程序性指引。它指明当事人应当循司法协助渠道，但对该渠道之后还须经过哪些程序，并未一并说明。这并非政府部门失职，这是两套制度之间缺乏衔接的自然结果。
天喔案中呈现出来的程序困境，反映出一个更深层的问题：跨境司法协助与数据出境管理两套制度在交汇处存在尚未弥合的缝隙。在现行法律框架下，为境外诉讼目的提供证据，至少涉及两条并行的法律路径。一条是数据出境监管路径。向境外提供重要数据或达到数量门槛的个人信息，应当通过省级网信部门向国家网信部门申报安全评估，或订立标准合同并备案。这条路径主要针对商业场景下的数据跨境流动，其操作流程、材料要求、审批时限等已有相对明确的规范，但这一规范并未专门为“应对外国司法请求”设计。另一条是司法协助路径。《数据安全法》第三十六条和《个人信息保护法》第四十一条规定，非经主管机关批准，境内组织不得向外国司法或执法机构提供存储于境内的数据。在国际司法协助框架下，外国司法机关调取位于中国境内的证据材料，应当通过条约规定途径向司法部提出调查取证请求。在香港与内地之间，这条路径体现为《相互安排》所规定的“法院对法院”委托取证程序。问题在于，当数据出境是因应境外法院的诉讼要求（而非境外司法或执法机构主动发起的调查取证请求）时，这两条路径如何衔接并不明确。有实务观察指出，境内主体向境外法院主动提交证据时，应当走数据出境安全评估程序、还是走司法协助程序、抑或同时走两套程序，目前缺乏明确的操作指引。两种路径各自运行，但在交汇处留下了一段事实上的空白。
- 司法部受理的是外国司法机关发起的司法协助请求。对于境内主体主动向外国法院提交证据的情形，司法部并非受理机关，也没有为此类情形设置专门的受理通道。
- 网信办受理的是数据处理者主动申报的数据出境安全评估或标准合同备案。但在“向境外司法机构提供数据”这一场景下，网信部门的评估程序与《数据安全法》第三十六条规定的“主管机关批准”之间如何衔接，目前尚无清晰的制度安排。
这导致了一种实践中并不罕见的现象：当事人向司法部寻求指引，被告知应走数据出境程序；转向网信办，被告知涉及司法协助应走司法部渠道。两套程序之间形成了事实上的“空白地带”。《相互安排》制定于2016年，其时数据安全立法尚处于起步阶段。该安排关注的是“法院对法院”的司法协助程序，即香港法院向内地法院发出委托书、内地法院安排取证。在制定之时，这一制度并没有预设数据出境行政监管作为中间环节。而《数据安全法》（2021年）、《数据出境安全评估办法》（2022年）、《个人信息出境标准合同办法》（2023年）及《会计师事务所数据安全管理暂行办法》（2024年）等后续立法和规章，则从数据安全角度对出境设置了独立的行政合规要求。两套制度各自在其领域内具有正当性，但彼此之间的衔接机制尚付阙如。天喔案中，这一制度断层的表现尤为典型：终审法院确认了香港法院发出委托书的管辖权，上海高院也未否定该请求属于《相互安排》的范围，但上海高院在退函中同时指出，“相互委托安排的实施还应当符合行政监管部门关于此类文件出境的监管要求”，“在未完成相关审批手续、未具备出境条件的情况下，人民法院无法依相互委托安排提供取证协助”。司法协助程序可以启动，但走到执行环节时被数据出境审批程序“拦截”了。与上篇中讨论的“即使不属于《相互安排》范围，只要有理由相信内地法院会接受，香港法院仍可能发出委托书”这一结论不同，退函揭示的是一个反向问题：即使属于《相互安排》范围、内地法院也表示可以协助，但数据出境审批的缺失仍会使司法协助无法落地。司法协助解决的是“请求是否正当”的问题，数据出境审批解决的是“材料能否出境”的问题。两套程序各自独立运行，在交汇处缺少一条连接通道。在上篇讨论香港法院的固有管辖权时，我们曾提到一个问题：虽然终审法院确认了法院发出委托书的权力，但这一权力并不能替代一方当事人的披露义务。普华永道中天作为香港诉讼的被告，仍然负有披露义务。在数据出境合规层面，这一问题体现得更为具体。根据《数据出境安全评估办法》第四条，申报主体是数据处理者，即持有数据的主体。在审计底稿出境场景下，持有数据的主体是会计师事务所本身。原告（清盘人）或其他任何第三方均无法替代申报。当会计师事务所同时是境外诉讼的被告时，一个微妙的局面出现了：被告在法律上是启动数据出境审批程序的唯一主体，但如果被告基于诉讼策略考量选择消极不申报，或不积极推动申报，原告在香港诉讼中便没有替代途径获取文件。内地法律框架下没有为第三方设置“代位申报”的机制。这与上篇中讨论的“对等”原则有一定关联。上篇提到，上诉人试图主张“对内、对外委托书应受同一限制”的“对等”原则，但终审法院否定了这一主张，认为“己所欲，施于人”并非法律规则。然而，在数据出境合规的层面，另一种意义上的“不对称”出现了：作为被告的数据处理者掌握着启动申报程序的主动权，而作为原告的诉讼相对方在这套程序中几乎没有发言权。这种不对称并非法律上的不当设计，而是两套制度的出发点不同所致。数据出境管理制度以数据安全为出发点，其程序设计并未考虑境外诉讼中双方当事人之间可能存在的利益冲突。当这两套制度在个案中交汇时，这种出发点差异便转化为程序上的结构性障碍。
面对上述制度缝隙，是否存在可能的解决方向？笔者仅就观察到的信息作一些初步梳理。在香港诉讼层面，原告可以借助程序性工具来应对被告消极不申报的情形。例如，原告可向香港法院申请“除非命令”，即要求被告在指定期限内采取合理步骤获取内地批准，否则其抗辩可能面临被剔除的风险。又如，在庭审阶段，原告可请求法官就被告无正当理由不提交文件的行为作出“不利推断”。这些工具虽不直接解决出境审批的程序问题，但可以改变被告消极不申报的成本收益评估：不申报的诉讼代价可能高于申报的成本。此外，当事人可向《相互安排》第十一条寻求支持。该条规定，实施中产生的问题应通过最高人民法院与香港特区政府协商解决。天喔案所呈现的困境（委托书已发出、范围已确认、但因行政出境审批受阻），从性质上说，属于“实施中产生的问题”。通过这一协商机制推动两地司法机关就程序衔接问题进行对话，虽然不确定能在个案中迅速取得突破，但至少为澄清程序问题提供了一个渠道。在行政层面，虽然原告不能替代申报，但可以以香港诉讼当事人的身份，向财政部、国家网信办等监管部门提交书面函件，说明案件背景、程序困境及被告消极不申报的情况，请求就审计底稿出境的具体程序、受理机关、材料要求等提供书面指引。此举不能强制启动审批程序，但可以将程序困境以正式途径记录在案，为后续司法程序提供证据支持。其一，明确司法协助场景下审计底稿出境的统一受理程序。目前，财政部函与上海高院退函之间在审批权限归属上并不一致，使当事人难以确定应向何处提出申请。如能在制度层面明确：在司法协助场景下，审计底稿出境应以何种程序、向哪个部门提出申请、由哪个部门最终审批，将大大减少个案中的不确定性。这或许需要财政部、国家网信办、司法部、最高人民法院等机关的联合协调。其二，在申报主体消极不作为的情况下，是否可以为利益相关方设置一种“通知—催告”的机制？例如，允许利益相关方向监管部门书面报告持有数据一方的不作为情况，由监管部门决定是否主动介入或要求其限期申报。这一思路涉及对现行制度的调整，其可行性有待评估，但至少值得讨论：当一方的消极行为直接影响另一方在境外司法程序中的合法权益时，程序设计中是否应当考虑某种平衡机制？其三，在《相互安排》的框架下增加数据出境审批的衔接指引。如果能够在《相互安排》的执行层面明确：经内地法院依据该安排调取的文件，其出境审批程序应当如何与司法协助程序衔接，则可以从制度源头减少两套程序之间的脱节。
天喔国际诉普华永道案为跨境司法取证提供了两个层面的观察窗口。上篇讨论的程序层面，终审法院澄清了香港法院发出委托书的法律基础：源于固有管辖权，而非《相互安排》的授权。这一澄清解决了一个长期存在的法律争议，但同时也使人们认识到：委托书可以解决“能否请求”的问题，却无法直接影响“文件能否出境”的实体问题。下篇讨论的数据合规层面则展示了另一幅图景：审计工作底稿中可能包含的个人信息和重要数据，使其出境受到《数据安全法》《个人信息保护法》《数据出境安全评估办法》《个人信息出境标准合同办法》及《会计师事务所数据安全管理暂行办法》等多层次法律法规的约束。其中，个人信息出境的两条路径（安全评估与标准合同）分别以《个人信息保护法》为法律基础，以个人信息主体数量为适用门槛；重要数据出境则以《数据安全法》为法律基础，无论数量多少均需申报安全评估。而《相互安排》作为一项以促进司法协作为目的的制度安排，在其制定时并未预设数据出境行政监管这一中间环节。两套制度各自具有正当性，但在交汇处形成了一段尚未被填补的空白。财政部在天喔案中的角色也从侧面印证了这一点。作为行业监管者，它指引了程序方向，即告诉当事人应当循司法协助渠道，却未能弥合司法协助与行政程序之间的裂隙。这并非财政部的失职，而是两套制度在设计上各自独立运行的自然结果。回到上篇末尾提到的观察：诉讼律师需要建立起“跨境提交证据本身就是数据出境合规事件”的意识。天喔案之后，这一意识的必要性或许更加清晰：当香港法院的委托书已经发出、内地法院也表示请求属于《相互安排》范围之后，真正的操作障碍可能才刚刚开始显现。如何在跨境司法协助需求与数据安全保障之间找到平衡点，如何在尊重两套法律制度各自正当性的同时建立有效的衔接机制，仍然是值得持续观察和探讨的课题。
