KPMG安侯法律事務所日前舉辦《 2022國內外法令展望研討會》，針對企業跨國營運時會遇到的法律議題探討。2021年美國開始實施《企業透明法》，要求美國公司在設立時要揭露背後的受益所有人，即使是在法案生效日期之前的既存公司，最晚也要在2023/1/1前完成申報。而在中國營運的企業，則會面對從去年11月開始實施的《個人資訊保護法》，若未依規定提供個人資訊保護影響評估報告，最高可處人民幣5,000萬元罰鍰，甚至被吊銷營業執照。

圖片來源：Pixabay

因應美國《企業透明法》，留意申報截止期限

長久以來，在美國成立「股份有限公司」（Corporation）或「有限責任公司」（Limited Liability Company，簡稱LLC），並不需要揭露股東或受益所有人（beneficial owner）身分。直到2021年1月1日，美國《企業透明法》正式上路，只要是符合「應申報公司」定義，無論是美國公司或是在美國註冊的非美國公司，均須於成立時及成立後，每年度向美國財政部金融犯罪及執法中心（FinCEN）申報對其具有所有權及控制權的「實質受益人」身分。

「應申報公司」包括依據美國各州法律成立的股份有限公司(C Corporation)、有限責任公司(Limited liability company, LLC)及依據外國法成立且獲准於美國營運的外國公司。針對受益所有人申報，法案規定有三個申報截止日期：

• 既存公司：在法案生效日期2021/1/1之前成立或註冊的應申報公司，均應在2023/1/1前完成申報。
• 新設公司：在法案的生效日期之後成立註冊的應申報公司，都必須在成立註冊時完成申報。
• 更新申報：應申報公司必須在已申報之受益所有人資訊有所變更後的1年內完成更新申報。

表一、美國《企業透明法》之申報要求

資料來源：KPMG

若故意不提供或更新資訊，亦或提供錯誤或不實資訊予FinCEN，均須面對嚴峻的民事或刑事後果。違反規定的民事罰款，在違規期間每日可達500美元、刑事罰金可達1萬美元，並可處最重2年有期徒刑。

KPMG安侯法律事務所執行顧問翁士傑提醒，須留意「受益所有人」的定義相當廣泛，適用者不僅包括直接或間接控制公司之人，更包括從公司接收經濟利益之人。此外，合夥組織及信託預計將成為下一波被納入規範的對象。建議符合申報條件的企業，應進一步規劃申報的時間點及方式，並規畫及時蒐集、申報、更新資訊的方式。若屬於提供服務予美國聯邦政府之承包商或分包商，亦須留意法案對於修訂聯邦採購法（FAR）的要求，其規定標案或服務合約金額逾25萬美元時，應於標書或服務建議書中揭露相關受益所有權資訊。

因應拜登基礎設施法案，台灣供鏈可調整投資布局

2021年8月，美國參議院通過了拜登的1.25兆美元基礎設施法案，涉及美國經濟的各方面，全面更換公共設施減緩地球暖化、交通設施5G化、國家電網Smart Grid化。基礎設施法案反映了共和、民主兩黨之間的妥協，雖仍待眾議院和總統的批准，已代表十多年來聯邦政府對基礎設施項目最大程度的投入。

基礎設施法案呼應了2021年1月拜登剛上任時發布的14005 號行政命令：「確保所有美國工人在全美國創造未來」方案（Ensuring the Future is Made in All of America by All of America’s Workers）。翁士傑認為，台灣企業應注意法案部分條款強調：

• 款項將優先撥用於美國有實體運營的公司的廠商；
• 款項將優先撥用於利用部署於美國的智慧財產權、美國的know how；
• 不使用特定外國供應商原產材料、成品。

翁士傑解釋，14005號行政命令旨在鼓勵聯邦政府採購的產品從美國製造，美國政府採購的產品內含美國製零件比例，自55%立即提高至60%，2年後65%、7年後75%。在競標「關鍵性（critical）」產品時，與美國製產品相比，外國製產品的價格將被政府調高20~30%。承包商必須申報「關鍵產品」在美國製造的比例，使政府能持續追蹤供應鏈的合規性，產品不符合新門檻的美國承包商，需調整其供應鏈以確保符合法規，否則將受到處罰。

為符合新規範，美國承包商將會更加注意其供應鏈並進行實質檢查，以確保其產品符合政府採購法的美國製造定義。台灣供應鏈可考慮調整投資布局，例如將產品製造端從美國境外移轉至美國境內，趁此機會成為美國政府直接或間接的供應商，同時提升產品中美國零件比例。

大陸《個人資訊保護法》

為了遏止濫用、非法買賣個人資訊的社會亂象，2021年8月20日，《中華人民共和國個人資訊保護法》（以下簡稱《個保法》）正式通過，並於2021年11月1日正式實施，不僅翻開了中國個人資訊立法保護的新篇章，也是全球個人資安的重大里程碑。

《個人資訊保護法》適用於在大陸境內處理個資的所有活動，也適用於在大陸境境外處理大陸個人居民個資的所有活動，只要有涉及提供貨物或服務予大陸境內個人居民，或是分析、評估大陸個人居民在大陸境內從事的行為，為個人資訊的處理提供了明確的法理依據，除了進一步保障個人隱私權，更為商家如何使用個人資訊資料，提供了操作指引以及法律紅線。

圖一、大陸個人資訊保護法個資的範圍

圖片來源：2021/12/23，「2022國內外法令展望研討會」，翁士傑簡報

大陸個人資訊保護法所保障的個資的範圍，包括一般個資與敏感個資，要蒐集個人資訊必須具有特定目的、充分的必要性，並採取嚴格保護措施，需告知必要性及對個人權益的影響，取得個人的單獨同意，還要進行個資保護影響評估，評估報告內容包含個資的處理目的、處理方式是否合法/正當/必要、對個人權益的影響及安全風險，並衡量所採取的保護措施是否合法及有效，評估報告和處理情況記錄應至少保存三年。

翁士傑強調，向第三人提供個資、個資委外處理、處理敏感個人資訊、利用個人資訊進行自動化決策、 向境外提供個人資訊都需要進行個人資訊保護影響評估報告，若未能遵守《個人資訊保護法》要求者，最高可處人民幣5,000萬元或5%營業額罰鍰，直接負責主管、責任人有可能被處人民幣100萬元以下罰款，還會吊銷相關業務許可、營業執照；資訊保護負責人可能構成犯罪，被追究刑事責任及侵權損害賠償。

資料來源：

2021/12/23，「2022國內外法令展望研討會」，翁士傑簡報資料

Facebook 在北美智權報粉絲團上追踪我們