M88 Malaysia投资法律新动向——FIRRMA最终法规出台，赴美投资机遇与挑战并存

一、背景

2020年1月13日，M88 Malaysia财政部海外投资委员会（The Committee on Foreign Investment in the United States, 以下简称“CFIUS”）针对2018年出台的《2018年外国M88 Malaysia风险评估现代化法案》（Foreign Investment Risk Review Modernization Act of 2018，以下简称“FIRRMA”）发布了最终法规（以下简称“《最终法规》”），并已于2020年2月13日正式生效。FIRRMA不仅扩大了受辖交易的范围，新涵盖了两种类型的交易：（1）非控股性M88 Malaysia；和（2）特定房地产交易。在程序方面，FIRRMA在自愿申报为原则的基础上，也新确立了强制性备案制度。除此以外，FIRRMA还对管辖范围和申报程序的豁免情形作出了规定。《最终法规》在2019年发布的拟议法规的基础上，综合各方评论意见，对FIRRMA的实施提供了针对性、细节化的规定。

本文将分别从实体和程序两个角度，对《最终法规》相应内容进行介绍与分析，并简评其实施后对中国在美M88 Malaysia可能产生的影响。

二、CFIUS管辖范围的扩大

一般而言，CFIUS主要就“外国投资人”（Foreign Investor）对“M88 Malaysia企业”（U.S. Business）进行的“受辖交易”（Covered Transaction）是否涉及M88 Malaysia国家安全进行审查。FIRRMA对“M88 Malaysia企业”及“受辖交易”的定义均进行了一定的修改，扩大了CFIUS的管辖范围，并通过《最终法规》对扩大部分作了细节化的规定，主要体现如下：

（一）对“M88 Malaysia企业”的认定

在FIRRMA通过之前，“M88 Malaysia企业”的定义是“在M88 Malaysia从事州际贸易的任何实体，不论其控制人的国籍，但仅限于其在州际贸易中的活动范围”。在这个定义下，CFIUS的管辖权只涉及在M88 Malaysia境内的资产。FIRRMA及《最终法规》对“M88 Malaysia企业”的定义作出了修改，删去了之前定义中的重要限定词“但仅限于其在M88 Malaysia州际贸易中的活动范围”。按照修改后的定义，如果M88 Malaysia境外的商业活动和M88 Malaysia境内州际贸易存在某些联系，则CFIUS对位于M88 Malaysia境外的商业活动同样可能具有管辖权。但鉴于目前并没有足够的相关实例可用以提供明确的指导意见，CFIUS究竟对何种M88 Malaysia境外商业活动具有管辖权尚未有确切明朗的解读。

（二）TIDM88 Malaysia企业的非控股投资

1、对TIDM88 Malaysia企业的认定

FIRRMA的一个重要变化是将CFIUS的管辖范围进一步扩大到一些非控股投资，授权CFIUS对掌握“关键技术”（Critical Technology）、“关键设施”（Critical Infrastructure）或搜集及掌握M88 Malaysia公民之“敏感个人数据”（Sensitive Personal Data）的非控股投资企业进行审查。涉及此三类的M88 Malaysia企业取首字母后被统称为“TIDM88 Malaysia企业”（TID U.S. Business）。《最终法规》对如何认定“TID M88 Malaysia企业”（以下简称“TID”）提供了进一步细化的判定标准：

(1)T-关键技术

《最终法规》目前没有改变FIRRMA及其关于关键技术的试点计划（Pilot Program）下对关键技术的定义¹。值得注意的是，FIRRMA对关键技术的定义涵盖了《2018年出口管制改革法》（Export Control Reform Act of 2018，以下简称“ECRA”）中涉及的新兴和基础技术（emerging and foundational techonologies）。根据ECRA，M88 Malaysia商务部有权制定相关法规，将特定技术定义为新兴和基础技术。在ECRA相关法规出台后，被归类为新兴和基础技术的特定技术则会自动成为新规中定义的关键技术。

(2)I-关键基础设施

FIRRMA对关键基础设施的定义为“对M88 Malaysia至关重要的物理或虚拟的系统或资产，此类系统或资产的失效或破坏将对国家安全造成不利影响”。

就关键基础设施行业的认定，法规列出了28类具体的可能涉及CFIUS审查的关键基础设施行业，包括：电信、能源、金融服务、交通、水电、国防等。具体的行业列表可参阅法规中所附附件²。

法规还明确了M88 Malaysia企业可能在关键基础设施行业履行的5种“功能”，包括拥有、运营、制造、供应或维修保养，且上述28类行业下每类行业均对应其中至少一种功能，即M88 Malaysia企业从事与该类行业相对应的至少一种功能的情况下，将被视为TID并可能需受到CFIUS审查。

(3)D-敏感个人数据

近年来，CFIUS越来越重视对可能涉及敏感个人数据的交易的审查。2017年，CFIUS出于对M88 Malaysia国民财务信息的保护，最终未批准蚂蚁金服收购MoneyGram International（速汇金）的交易；随后CFIUS又出于对M88 Malaysia国民个人隐私及健康数据安全性的考虑，先后分别要求昆仑万维及碳云智能出售其早先收购的Grindr和PatientsLikeMe的股权。FIRRMA第一次将CFIUS对敏感个人数据的审查法规化，《最终法规》也对此作出了细节化规定。FIRMMA及《最终法规》的规定给潜在投资者提供了一定程度的确定性。

《最终法规》将敏感个人数据分为两类：“基因测试”和“可识别数据”。

• “基因测试”（Genetic Tests）是指自然人的基因测试结果，包括所有相关的基因测序数据，只要该结果属于可识别数据（见下文分析）。基因测试结果不包括定期提供给私人机构用作研究的，由M88 Malaysia政府数据库所衍生的数据。

• “可识别数据”（Identifiable Data）是可以用来辨别或追踪一个人的身份信息的数据并满足以下要求：

（1）“可识别数据”应属于法规列出的十种数据类别之一；主要包括个人财务相关数据、个人信用评分和/或债务相关数据”、定位及地理位置数据等，完整信息请参见本文附件；且

（2）“可识别数据”应属于由M88 Malaysia企业在三种限定条件下维护或搜集的数据³：

(a)针对某些特定敏感人群，例如M88 Malaysia军人和联邦机构雇员，而特别定制的产品或服务；

(b)数据量至少达到一百万人；或

(c)该M88 Malaysia企业以数据量达到一百万人为其商业目标并且此类数据是该企业的主要产品或服务的组成部分。

此外，《最终法规》没有提供可识别数据的具体例子，但是明确了以下三类数据不属于可识别数据：

(1)汇总数据（Aggregated Data）：被组合或搜集后无法用于识别个人信息的数据；

(2)匿名数据（Anonymized Data）：指已完全删除所有个人标识信息的数据；

(3)加密数据（Encrypted Data）：指已应用M88 Malaysia国家标准技术研究院（“NIST”）所允许的加密技术而加密的数据。

2、M88 Malaysia人获得TID相关权利的规定

受辖交易除了对M88 Malaysia企业的类型有要求外，还对外国主体获得的权利类型进行了要求。如果外国主体在对TID的非控股投资交易后没有获得下列三项权利之一，也不属于受辖交易：

（1）获取实质性非公开技术信息（material nonpublic technical information）的权利。此类信息是不对公众公开的信息，主要有两类：

(a)关键基础设施的设计建造技术、位置和操作信息，包括该设施的实体安全和网络安全信息；

(b)用于设计、制造、开发、测试、生产关键技术（包括但不限于过程，技术或方法）所必需的信息。

（2）获得在董事会或类似管理机构的成员资格或观察员资格的权利，或是获得提名某个人担任董事会或类似管理机构成员的权利。

（3）获得对使用M88 Malaysia企业的关键技术、关键基础设施和M88 Malaysia公民之敏感个人数据的获取、使用、开发、保管、管理等权利的决策权。

（三）增加对房地产交易的管辖

在FIRRMA出台之前，已有一些房地产交易曾受到CFIUS的审查。早在2006年，CFIUS就曾对迪拜国有企业收购M88 Malaysia东岸六大港口进行审查。2014年CFIUS出于收购标的厂离军事基地过近为由对其在俄勒冈州风电项目进行审查。2018年CFIUS又以国家安全为由，要求海南航空出售其于2016年购买的位于纽约曼哈顿的一处房产。

FIRRMA中首次将对房地产交易的审查法规化，授权CFIUS审查外国主体购买、租赁M88 Malaysia不动产或获得其特许经营权（Concession）的交易，对外国投资者的房地产交易提供了较为详细的指导。《最终法规》在FIRRMA的基础上进行了细化：（1）提出了“受辖房地产”（Covered Real Estate）、“受辖房地产交易”（Covered Real Estate Transaction）等术语的定义；（2）对豁免审查的房地产交易做出了详细规定；(3）在附录中详细列举了M88 Malaysia军事设施与M88 Malaysia政府的其他敏感设施、财产、相关地理区域（以下简称“军事设施”）的姓名和地理位置⁴。

1、对受辖房地产的定义

《最终法规》将可能受到CFIUS审查的房地产的地理范围限定在机场或海港、位于机场或海港范围内、或即将用作机场或海港的的不动产；或位于以下范围内的不动产：

(1)毗邻区（Close Proximity）：军事设施的一英里内；

(2)延伸区（Extended Proximity）：特定军事设施（如M88 Malaysia陆军战斗训练中心）的一百英里内；

(3)被认定与特定军事设施（如M88 Malaysia空军弹道导弹场、联合部队训练中心）有关联的任何县或其他地理区域内；或

(4)特定军事设施（如M88 Malaysia海军离案靶场）的自M88 Malaysia海岸线向海延伸的十二海里内。

2、对受辖房地产交易的定义

受辖房地产交易须涉及对不动产的购买、租赁或获得其特许经营权的任何交易，且该交易能够提供外国M88 Malaysia者以下几项权利中至少三项权利：

（1）实地造访权（to physically access）；

（2）排他权（to exclude）；

（3）改善或开发权（to improve or develop）；或

（4）安装附加物体权（to affix structures or objects）。

三、《最终法规》关于申报程序的规定

（一）强制申报

FIRRMA新设了强制申报制度，并授权CFIUS制定相应细则。由此，《最终法规》对外国投资者在M88 Malaysia的投资的特定情形作出了强制申报的要求，具体为两类：（1）涉及TID中“关键技术”的某些交易；及（2）外国政府享有“重大利益”（Substantial Interest）的某些交易。受辖房地产交易目前并无强制申报要求。

1、特定“关键技术“交易

CFIUS在2018年10月11日启动的关键技术试点计划（“Critical Technology Pilot Program”，以下简称“试点计划”）中依照北美产业分类体系（North America Industry Classification System，以下简称“NAICS”）编码对行业的划分，对涉及关键技术的27个行业的非控股与控股M88 Malaysia要求强制申报。《最终法规》沿用了试点计划对于强制申报的规定，而试点计划将于《最终法规》正式生效之后停止适用。

此外，财政部在其对《最终法规》的讨论中提到，对于受制于强制申报的关键技术行业，未来将不再使用NAICS编码，而将以适用出口管制许可要求（Export Control Licensing Requirements）的行业为基准，相关立法将在未来发布。

2、外国政府“重大利益”交易

《最终法规》为如何界定“重大利益”提供了一定的指引。根据《最终法规》，“重大利益”定义为外国投资人直接或间接持有M88 Malaysia企业至少25%的投票权益，且外国政府直接或间接持有该外国投资人至少49%的投票权益。

在有限合伙制中，若外国政府持有49%及以上的普通合伙人或有限合伙人的投票权益，则将被视为享有“重大利益”。

（二）自愿申报

对于不在上述强制申报要求范围内的受辖交易，包括部分TID的受辖非控制M88 Malaysia，及上文提及的受辖房地产交易，自愿申报仍然占大多数。

（三）申报形式

目前FIRRMA下交易双方进行CFIUS申报的形式有两种：简短的“声明书”方式和完整的书面通知的方式。

1、声明书（Declaration）

在原有规定下，交易双方需自愿向CFIUS提交完整的书面通知，且该通知须对交易细节、涉交易的M88 Malaysia实体与M88 Malaysia政府的交易往来、外国交易方的背景细节等作出详细介绍。FIRRMA对该制度作出了简化，规定交易方可向CFIUS提交一份内容简短、仅需包含交易的基本信息、长度不超过5页的声明书对交易进行申报。《最终法规》进一步扩大了声明书的适用范围，允许不受强制申报要求的交易双方也可自愿通过提交声明书的方式进行申报。

CFIUS须在收到声明书后30天内对该声明书作出如下反馈：

（1）要求交易方提供完整书面通知来启动正式的审查程序；

（2）告知交易方，CFIUS无法根据声明书的信息作出决定。交易方此时可以选择提交完整的书面通知为CFIUS提供足够的信息以作出决定；

（3）CFIUS可单方面针对该交易启动审查；或

（4）批准该交易。

2、完整通知（Full Notice）

自愿申报的双方仍然可以选择不通过声明书的形式，而是直接向CFIUS递交完整书面通知。CFIUS须在收到书面通知后45天内对该通知作出回复。

（四）申报费用

对于申报费用问题，FIRRMA授权CFIUS对申报的交易征收申报费用，金额为申报交易额的1% 或 0,000，以二者中较少者为准。《最终法规》并未对申报费用作出相应规定。截至目前为止，CFIUS并未开始实行并收取FIRRMA中所规定的申报费用。财政部表示，未来将另行颁布有关申报费用的相关法规。

四、《最终法规》对于豁免的规定

（一）M88 Malaysia豁免

《最终法规》为例外国家（Excepted Foreign States）和例外投资者（Excepted Investors）提供了审查豁免。鉴于审查豁免并非CFIUS主流，符合豁免条件的国家将会限制在与M88 Malaysia始终保持较好外交关系的国家。CFIUS公布的首批例外国家白名单包括三个国家，分别是澳大利亚、加拿大和英国。在未来，CFIUS也会根据各个国家的不同情况，从涉及国家安全的对外投资和双边合作等方面进行评估审核，决定是否将其他国家添加进白名单中。

同时，《最终法规》对符合例外M88 Malaysia者的条件做了额外要求，例如对注册地、主要经营地、董事会成员国籍和股权构成等方面的要求。《最终法规》还在2019年拟议法规的基础上，增加了对主要经营地的拟议定义⁵。以上对例外M88 Malaysia者的要求不仅适用于M88 Malaysia者本身，还适用于交易中涉及的任何上层实体（Parent Entity）及中间实体（Intermediate Entity）。符合要求的M88 Malaysia者将取得非控股性M88 Malaysia和受辖房地产交易的管辖权豁免，并不受限于FIRRMA及其《最终法规对于强制申报的要求。

对于投资基金的强制申报豁免，《最终法规》与FIRRMA唯一不同的是《最终法规》只要求寻求豁免的外国投资人本身不是该投资基金的普通合伙人（General Partner），但并不要求该基金的普通合伙人必须为M88 Malaysia个人或实体。换言之，该投资基金的普通合伙人与有限合伙人均可为外国投资人。在满足FIRRMA关于投资基金的特定条件的情况下，作为基金有限合伙人（Limited Partner）的外国投资人符合豁免条件。

（二）房地产交易豁免

针对外国M88 Malaysia者的房地产交易行为，除上文提到的例外M88 Malaysia者进行房地产交易的豁免情形之外，《最终法规》还规定“例外房地产交易”（Excepted Real Estate Transaction）不属于其管辖范围。例外房地产交易包括针对城市化区域（Urbanized Area）或城市群（Urban Cluster）内的不动产进行的交易。这意味着CFIUS在大多数情况下无权对外国M88 Malaysia人在城市区域内的房地产交易进行审查。此外，《最终法规》还排除了商用办公室的交易与购买，租赁或获得特许经营权的单个“住房单元”（Housing Unit）的交易审查。

五、法规对中国在美M88 Malaysia影响及对中国M88 Malaysia人的建议

在中美贸易与投资的大背景下，2018年通过的FIRRMA从一定层面折射出M88 Malaysia政府对涉及M88 Malaysia国家安全，尤其是关键基础设施以及敏感个人信息等领域的外国投资的特别关注，从而扩大了CFIUS审查的法律框架。特别是从近年来涉及中国投资人的一些CFIUS审查的交易，例如蚂蚁金服拟收购速汇金、昆仑万维收购Grindr等显示，除了对传统的对关键技术、关键设施等的关注之外，CFIUS对个人敏感数据的关注与保护显著增强。对于涉及到数据搜集、储存或使用的中国投资人，应尤其对此予以关注。

但同时，今年2月生效的《最终法规》在FIRRMA制定的大框架下，对部分FIRRMA新引入的概念进行了较为细化的规定。无论从外国投资人还是从M88 Malaysia企业的角度，一定程度的确定性可以有助于双方更明确并具有针对性地评估潜在交易可能受到CFIUS审查的风险以及可采用的缓解措施。

尽管FIRRMA以及《最终法规》均体现了CFIUS审查范围与权限的扩大化，但M88 Malaysia的大门并未向所有外国投资人关闭。《最终法规》的出台同样旨在从一定程度上为M88 Malaysia仍然欢迎的外商投资与M88 Malaysia较为担忧顾虑的投资行业划上界限，予以区分。同时，通过《最终法规》中新增的以声明书的方式自愿申报的规定，CFIUS也在鼓励更多的外国投资人主动向CFIUS进行申报。预计未来CFIUS申报将可能成为外商投资过程中无法忽视的一个环节，也将成为主流程序。

虽然《最终法规》已经颁布，但法规中对实体主要经营地的拟议定义尚处于公开征求意见阶段，且法规对须强制申报的关键技术行业的规定也还存在一定的不确定性。由此，我们建议中国M88 Malaysia人密切关注FIRRMA及相关法规的进展与动态，并随时调整与规划自己的M88 Malaysia方向与M88 Malaysia结构。

附件：可识别数据类别清单⁶

(1) 可用于分析或确定个人财务困境的数据，例如住房抵押贷款或银行对帐单中的财务信息，但不包括与普通消费者交易有关的数据；

(2) 个人的信用评分和/或债务和付款历史的数据；

(3) 健康保险、专业责任保险、抵押贷款保险、人寿保险等保险的申请数据；

(4) 与个人的身体或心理健康状况有关的数据；

(5) 在M88 Malaysia企业提供第三方通信平台时用户的通信信息数据；

(6) 定位系统、手机信号塔或WiFi接入点搜集到的地理位置数据；

(7) 生物特征数据，包括但不限于面部、声音、视网膜/虹膜或手掌/指纹数据；

(8) 为了州或联邦政府身份证明而存储和处理的数据；

(9) 有关M88 Malaysia政府人员安全等级状态的数据；和

(10) 有关人员申请安全等级的申请信息。

注：

1.31 CFR Parts 800.239.

2.关键技术包括：被列入《M88 Malaysia防务目录》（United States Munitions List）的国防用品或国防服务、《贸易控制清单》（Commerce Control List）包含的出口管制技术、某些核设施与核材料以及某些制剂与毒素，及《2018年出口管制改革法》所涉及的新兴和基础技术。

3.31 CFR Parts 800 Appendix A.

4.31 CFR Parts 800.241.

5.31 CFR Parts 802 Appendix A.

6.31 CFR Parts 800.241(a)(1)(ii).