Se connecter à la ChineConformité
Guide de conformité Chine
Les règles de la connectivité transfrontalière vers la Chine continentale, et les démarches de déclaration et de données que les entreprises cadrent avec leur conseil. Ceci ne constitue pas un avis juridique.
La règle : circulaire [2017] n° 32 du MIIT
Dans sa circulaire sur l’assainissement et la régulation du marché des services d’accès à Internet, la circulaire [2017] n° 32, le ministère de l’Industrie et des Technologies de l’information (MIIT) indique, dans le texte publié, que les entreprises ne peuvent pas, sans autorisation, établir ni louer des lignes dédiées pour mener des activités commerciales transfrontalières. Selon notre lecture, la circulaire vise l’exploitation commerciale sans les autorisations requises, et non toute connexion internationale qu’une entreprise utilise. Elle couvre aussi les licences IDC, ISP et CDN, la revente de ressources d’accès, et les lignes qui relient des centres de données ou des plateformes métier nationaux et étrangers pour exercer des activités de télécommunications.
Selon la circulaire, les opérateurs de télécommunications de base qui louent des lignes privées internationales sont tenus de conserver un registre de leurs utilisateurs et de leur indiquer que ces lignes sont réservées à un usage interne de bureau. En pratique, la ligne a généralement un utilisateur nommé, un objet interne déclaré et un enregistrement côté opérateur. Selon notre lecture, ce n’est pas un service Internet d’usage général que le client peut revendre ou utiliser pour servir des tiers.
Nous lisons la circulaire comme une limite de conformité, non comme une interdiction de produit. Les questions qu’elle pose sont les suivantes : qui détient la ligne, à quoi elle sert et si le trafic est interne. Une évaluation de route doit répondre à ces questions avant de comparer la bande passante, car une ligne qui échoue au test d’usage ne sera pas corrigée par un meilleur raccordement. Voir l’entrée MIIT pour le rôle du régulateur.
Notre lecture de la circulaire : elle ne crée pas d’autorisation générale pour une ligne privée. Elle pose une condition : la ligne doit être approuvée là où une approbation est requise, et son usage doit correspondre à la déclaration d’usage interne. L’enregistrement de l’opérateur rend cette condition visible, de sorte que la description du client et le dossier de l’opérateur doivent concorder.
La circulaire, telle que publiée par l’Administration du cyberespace de Chine
La déclaration publique du MIIT
Le MIIT a indiqué publiquement, dans un communiqué postérieur à la circulaire, que l’assainissement vise les opérateurs sans licence et que les entreprises multinationales peuvent louer des lignes auprès d’opérateurs de télécommunications de base pour leur propre usage interne. Vérifiez le texte actuel du MIIT avec votre conseil. Selon notre lecture, cette déclaration distingue deux cas que la circulaire peut confondre : un opérateur dépourvu de licence qui vend un accès transfrontalier à titre commercial, et une entreprise qui relie ses propres bureaux. Le premier est visé ; le second est le cas d’usage interne que l’opérateur enregistre.
Selon notre lecture, la frontière est l’usage, non le nom du produit. Une ligne utilisée pour la messagerie interne, l’ERP, le partage de fichiers ou l’accès d’administration n’est pas la même qu’une ligne servant à servir des clients ou à revendre de la connectivité. Documentez l’objet, maintenez-le cohérent avec le contrat et informez l’opérateur lorsque l’usage change.
Cette page énonce la règle en termes généraux. Ce n’est pas un avis juridique sur votre déploiement, ce n’est pas un conseil juridique et elle ne revendique aucun statut de conformité pour une route particulière.
Gardez des preuves simples et à jour : le contrat, la commande de ligne, l’usage déclaré, la liste des utilisateurs et le schéma de la route. Si un auditeur demande pourquoi la ligne existe, ces documents répondent avant que quiconque doive reconstituer l’histoire à partir des e-mails.
Notre façon de travailler
La connectivité transfrontalière est fournie pour l’usage interne de votre entreprise. Nous vous aidons à cadrer avec votre conseil les démarches de déclaration ICP et de transfert de données ; ceci ne constitue pas un avis juridique.
Démarches que les clients cadrent avec leur conseil
Déclaration ICP
- Les sites web hébergés en Chine continentale nécessitent une déclaration ICP pour chaque domaine, effectuée auprès de l’hébergeur ou du fournisseur de CDN. La déclaration est liée au domaine et à l’entité, et le fournisseur la dépose généralement ; une déclaration pour un domaine ne couvre pas un autre domaine. L’entrée déclaration ICP couvre ce terme.
- Si vous servez depuis l’extérieur de la Chine continentale, aucune déclaration ne s’applique ; prévoyez-la si vous déplacez l’hébergement en Chine continentale. Un déménagement d’hébergement ultérieur peut changer à la fois la situation au regard de la déclaration et la latence perçue par vos utilisateurs : planifiez la migration avant le lancement du contenu.
- Une déclaration ICP n’est pas une licence d’exploitation de télécommunications. Une entreprise qui veut exploiter un service en Chine peut avoir besoin d’autres autorisations ; la déclaration n’est que l’étape liée au site web.
- Conservez ensemble les informations de déclaration, la liste des domaines et le contrat d’hébergement. Ce sont les premiers documents qu’un fournisseur ou un conseil demandera, et ils rendent beaucoup plus facile l’explication d’un changement ultérieur d’hébergeur ou d’entité.
MLPS 2.0
- Le dispositif de protection multiniveau classe les systèmes exploités en Chine et fixe les mesures de sécurité requises pour chaque niveau. Le classement tient compte du rôle du système, des données qu’il traite et du préjudice résultant d’une défaillance ; le niveau détermine ensuite la déclaration, l’évaluation et les mesures prévues par la norme GB/T 22239-2019.
- Le MLPS n’équivaut pas à ISO/IEC 27001 ni à un rapport SOC 2. C’est un dispositif chinois de classement et d’évaluation, et un système concerné peut nécessiter une évaluation locale même s’il détient une autre certification.
- Décidez tôt quels systèmes sont concernés. Un site web, un système de commandes et un réseau d’usine peuvent avoir des niveaux différents, et le niveau change la conception et les preuves à conserver.
Données personnelles
- Les données personnelles qui sortent de Chine relèvent de la loi sur la protection des informations personnelles et des règles d’exportation des données : évaluation de sécurité, contrat type ou certification, selon les données. La loi exige aussi un consentement distinct pour la fourniture transfrontalière et une évaluation d’impact sur les données personnelles pour l’exportation.
- L’accès à distance compte. Si du personnel situé hors de Chine peut interroger une base de données en Chine, ou si une équipe de support peut consulter des dossiers utilisateurs, les données peuvent sortir même si aucun fichier n’est copié.
- Cartographiez le flux de données avant de choisir un mécanisme : quelles données, les données de qui, où elles sont stockées, qui peut y accéder et quelle entité les reçoit. La réponse détermine si la voie de l’évaluation, du contrat type ou de la certification s’applique. Résidence des données traite de la question du stockage.
- Les clauses contractuelles comptent : le mécanisme d’exportation doit correspondre au rôle de chaque partie, et un avenant type de traitement des données d’un fournisseur peut ne pas être l’instrument chinois requis. Demandez à votre conseil quel accord doit figurer au dossier.
Ceci ne constitue pas un avis juridique. Les règles évoluent ; vérifiez les textes officiels avec votre conseil. Il s’agit d’informations générales, et non d’un avis juridique.
FAQ
Une ligne privée transfrontalière vers la Chine est-elle conforme ?
Vous occupez-vous de la déclaration ICP ?
Est-ce un avis juridique ?
La circulaire du MIIT interdit-elle toute connectivité transfrontalière ?
Une déclaration ICP équivaut-elle à une licence d’exploitation ?
Un site hébergé à l’étranger a-t-il besoin d’une déclaration ICP ?
Qu’est-ce qui compte comme exportation de données personnelles ?
Le MLPS équivaut-il à ISO 27001 ?
Outils associés
Quelle route vous convient ?
Répondez à quelques questions pour comparer IP transit, CloudBond, DIA/SD-WAN et IEPL/IPLC.
Ouvrir l’outilScanner de compatibilité Chine
Saisissez une URL pour lister les ressources tierces de la page susceptibles de charger lentement ou d’échouer en Chine continentale, avec une liste de corrections.
Ouvrir l’outilLatence minimale sur fibre
Le temps aller-retour minimal physique entre deux villes sur fibre. De la physique, pas notre réseau.
Ouvrir l’outil
Cadrez votre route vers la Chine avec nous
Les circuits vers la Chine sont chiffrés après une évaluation de route.