“新《公司法》+数据合规”背景下董监高的任职资格与个人责任

（一）新《公司法》下董监高的任职资格

新《公司法》，即《公司法》（2023修订）关于董监高任职资格的规定，主要集中在第一百七十八条[1]，该条在《公司法》（2018修订）第一百四十六条[2]规定的基础上进行了部分修改。除此之外，《公司法》（2023修订）第一百七十五条[3]延续了《公司法》（2018修订）第六十九条对国有独资公司董事、高级管理人员兼职的限制性规定。上述两个条款关于董监高任职资格的规定主要表现为禁止性情形，因此统称为消极任职资格。

实践中，公司对董监高的选任除了必须遵守法律关于董监高消极任职资格的规定，也会根据公司情况对董监高的职业背景、教育背景、年龄等方面作出相应要求，这属于董监高的积极任职资格。由于积极任职资格因公司不同而有所差异，属于公司自主决策范畴，无法也无必要纳入法律法规的规制中。但是董监高的选择确也关乎公司治理、公司形象等重大问题，实践中也不乏因忽视董监高积极任职资格，引发董监高任职违法违规，将公司推上舆论的风口浪尖的案例。我们认为，公司应当综合考量法律、行政法规以及部门规章、行业规范等涉及董监高任职资格的规定，将规定之外但又与董监高任职密切关联的积极任职条件通过公司章程予以明确。

《公司法》（2023修订）第一百七十八条对董监高任职共作出五个方面的禁止性规定，违反该规定进行的选举、委派或者聘任一律无效。这五个方面主要包括：

1.是否具有完全民事行为能力；

2.是否受过刑事处罚及其情节；

3.是否担任破产公司、企业董事或者厂长、经理，对破产负有个人责任；

4.是否担任公司、企业法定代表人，且对该公司、企业因违法被吊销营业执照、责令关闭负有个人责任；

5.是否因所负数额较大债务到期未清偿被人民法院列为失信被执行人。

相较于《公司法》（2018修订）第一百四十六条，《公司法》（2023修订）第一百七十八条增加以及进行细化的内容有二：

1.因刑事处罚限制任职情形中增加了被宣告缓刑的情形，即“被宣告缓刑的，自缓刑考验期满之日起未逾二年”不得担任董监高。

2.对“个人所负数额较大的债务到期未清偿”进一步予以界定，修改为“个人因所负数额较大债务到期未清偿被人民法院列为失信被执行人”。这一修改明确了个人所负数额较大的债务到期未清偿的认定标准、统一了裁判尺度，即因所负数额较大债务到期未清偿“被人民法院列为失信被执行人”的才不得担任董监高职务。

（二）数据合规立法下的董监高任职资格

在我国数据合规现有核心立法中，对公司董监高任职资格方面作出明确规定的有《个人信息保护法》第六十六条[4]、《未成年人网络保护条例》第五十四条[5]。主要包括：

1.违反《个人信息保护法》规定处理个人信息，或者处理个人信息未履行《个人信息保护法》规定的个人信息保护义务，情节严重的，在对直接负责的主管人员和其他直接责任人员处以罚款的同时，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人；

2.违反《未成年人网络保护条例》第二十条第一款关于未成年人用户数量巨大或者对未成年人群体具有显著影响的网络平台服务提供者应当履行的义务第一项和第五项规定，情节严重的，对直接负责的主管人员和其他直接责任人员处以罚款的同时，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和未成年人保护负责人。

上述《个人信息保护法》和《未成年人网络保护条例》关于董监高任职的规定为限制性规定，不同于《公司法》关于董监高任职的禁止性规定。在适用上，赋予了公司自主决策权，即公司可以自主决定是否将特定人员在履行网络数据安全与保护（特别是个人信息和未成年人网络保护）方面的违规责任作为其董监高任职限制条件。当然，也为公司通过公司章程作出相应限制性规定提供了法律遵循。我们认为，在当前大力发展数字经济，激发数据要素潜能的背景下，公司特别是数据资源集中的公司，可能确需根据本公司经营管理需求，决定是否通过公司章程将网络数据信息安全与保护合规义务规定为董监高任职条件。

《公司法》2023年修订的一大亮点即对董监高个人责任的细化与强化。经我们梳理汇总，全文涉及董监高行为规范和个人责任的主要条款21个，董监高的个人责任贯穿了公司的全生命周期，可以说新《公司法》是我国《公司法》发展至今对董监高责任规定最严的一部。该21个主要条款涉及董监高个人责任11项：

1.有限责任公司董事在公司资本维持方面对股东出资催缴和股东抽逃出资方面的责任；

2.股份有限公司董事对违法违规违章董事会决议的责任；

3.上市公司董事对关联关系书面报告义务；

4.股份有限公司董监高对持有本公司股份及其变动情况的申报义务及转让的限制；

5.股份有限公司董监高对公司违规财务资助行为的责任；

6.董监高遵法遵规守章义务；

7.董监高忠实与勤勉义务一般规定及类型化表现；

8.董事、高级管理人员职务行为赔偿责任；

9.董事、高级管理人员受股东指示行为仍需承担责任；

10.董监高对违法减资的责任；

11.董监高对清算义务的责任。

《公司法》（2023修订）关于董监高行为及责任条款梳理一览

通过上述条款内容的梳理，新《公司法》对董监高个人责任的修订主要呈现三个特点：

第一、董事个人责任主体范围的扩展。新《公司法》引入了“事实董事”和“影子董事”制度。“事实董事”，即公司控股股东、实际控制人虽然不担任董事但实际执行公司事务，应当同公司董事一样履行忠实勤勉义务。“影子董事”，即公司的控股股东、实际控制人指示董事、高级管理人员从事损害公司或者股东利益的行为的，与该董事、高级管理人员承担连带责任。两项制度的引入，形式上似乎是董事个人责任的强化，但实质上仍是对公司股东权力的控制，是公司治理中权力制衡的表现。

第二、扩大了董监高责任范围。董监高基于忠实勤勉义务的个人责任可以说贯穿公司全生命周期。概括而言，董监高个人责任表现为“对公司损失、公司外第三人损失以及公司债权人损失的赔偿责任”和“因违反公司法规定获得的收入归公司所有”两种。其中“董事、高级管理人员执行职务，给他人造成损害的”以及“清算组成员怠于履行清算职责，给债权人造成损失的”，董事、高级管理人员或者董事需以存在故意或者重大过失为承担赔偿责任的先决条件。

第三、对董事任职风险的平衡。一方面表现为上述关于控股股东、实际控制人连带责任的规定，另一方面表现为董事责任保险制度的设立。

数据合规是数据权属界定、数据安全交易、数据有效利用的先决条件。我们在数据合规立法背景下对董监高个人责任问题的探讨，主要立足于数据违规行为及其责任形式对《公司法》关于董监高任职限制和个人责任承担的影响方面。

（一）数据违规责任表现  

1.数据违规刑事责任

从个人数据、企业数据、公共数据三个维度来看，数据刑事违规行为涉及的主要刑事罪名包括：侵犯公民个人信息罪；侵犯商业秘密罪；非法获取计算机信息系统数据、非法控制计算机信息系统罪；提供侵入、非法控制计算机信息系统程序、工具罪；破坏计算机信息系统罪；拒不履行信息网络安全管理义务罪；帮助信息网络犯罪活动罪等。在构成单位犯罪时，除了对单位判处罚金外，同时对直接负责的主管人员和其他直接责任人员处以相应刑罚。

2.数据违规行政责任

从个人数据、企业数据、公共数据三个维度来看，数据行政违规行为主要集中在违规处理个人信息；处理个人信息未履行规定的保护义务；数据处理活动存在较大安全风险；开展数据处理活动的组织、个人不履行规定的数据安全保护义务；违法向境外提供重要数据；窃取或者以其他非法方式获取数据，开展数据处理活动；网络运营者不履行法定的网络安全保护义务、违反用户身份管理规定、未履行信息安全管理义务等；网络产品或者服务的提供者未履行网络产品和服务安全义务等。责任形式主要包括约谈、整改；对单位罚款、责令暂停相关业务或者停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照、记入信用档案等；对直接负责的主管人员和其他直接责任人员处以罚款、可以禁止在一定期限内担任董监高。  

3.数据违规民事责任

从个人数据、企业数据、公共数据三个维度来看，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。违反数据安全、网络安全相关法律规定，给他人造成损害的，依法承担民事责任。

（二）数据违规行责任对董监高任职和个人责任的影响

综上对数据违规刑事责任、行政责任、民事责任的梳理，结合《公司法》关于董监高任职、行为规范以及个人责任的规定，我们认为：

第一、董监高因为公司或其个人数据违规行为承担刑事责任或者行政责任的，一方面可能对董监高任职资格产生消极影响，另一方面可能导致所在公司作为数据资源持有者、数据交易一方主体资格的合规瑕疵，从而影响数据权属界定、数据产品合规评价、公司合规经营评价等，从而有碍数据资源资产化以及数据交易的实现。

第二、在公司因数据违规行为被责令暂停相关业务或者停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照、记入信用档案等，对公司经营造成损失，或者在公司因数据违规行为承担罚款的行政责任，或者对外承担民事赔偿责任的情况下，董监高或可能因对上述违规行为未能尽到忠实与勤勉义务而承担赔偿的个人责任。

“新《公司法》+数据合规”双背景下公司治理与公司董监高风险防范是一个新的课题。法律总要在实践中得以丰富，在违反法律、行政法规关于数据安全与保护义务时，董监高是否要承担法律责任、在什么情况下承担责任、责任内容为何等问题，仍是我们要继续解决的难点。