Connettersi alla CinaConformità
Guida alla conformità per la Cina
Le norme sulla connettività transfrontaliera verso la Cina continentale e i passaggi di registrazione e sui dati che le aziende definiscono con i propri consulenti legali. Non è una consulenza legale.
La norma: Circolare MIIT [2017] n. 32
La Circolare [2017] n. 32, sul riordino e la regolamentazione del mercato dei servizi di accesso a internet, stabilisce, nel testo pubblicato, che le aziende non possono, senza approvazione, realizzare o prendere in locazione linee dedicate transfrontaliere per svolgere attività transfrontaliere. È stata emanata dal Ministero dell’Industria e dell’Information Technology (MIIT). Secondo la nostra lettura, la circolare riguarda l’esercizio commerciale privo delle approvazioni richieste, non ogni connessione internazionale utilizzata da un’azienda. Disciplina inoltre le licenze IDC, ISP e CDN, la rivendita di risorse di accesso e le linee che collegano data center o piattaforme di business nazionali ed esteri per svolgere attività di telecomunicazione.
Ai sensi della circolare, gli operatori di telecomunicazioni di base che concedono in locazione linee dedicate internazionali sono tenuti a conservare un registro dei propri utenti e a informarli che le linee sono destinate esclusivamente all’uso interno d’ufficio. In pratica, la linea ha di solito un utente nominativo, uno scopo interno dichiarato e una registrazione presso l’operatore. Secondo la nostra lettura, non è un servizio internet generico che il cliente possa rivendere o utilizzare per servire terzi.
Leggiamo la circolare come un confine di conformità, non come un divieto di prodotto. Le domande che solleva sono chi detiene la linea, per che cosa viene utilizzata e se il traffico è interno. Una valutazione della rotta dovrebbe rispondere a queste domande prima di confrontare la banda, perché una linea che non supera la verifica sull’uso non diventa conforme con una consegna migliore. Consulti la voce MIIT per il ruolo dell’autorità di regolamentazione.
La nostra lettura della circolare: non crea un’autorizzazione generale per una linea dedicata. Pone una condizione: la linea deve essere approvata dove l’approvazione è richiesta e il suo uso deve corrispondere alla dichiarazione di uso interno. È la registrazione dell’operatore a rendere visibile questa condizione, quindi la descrizione del cliente e la documentazione dell’operatore devono concordare.
La circolare, come pubblicata dalla Cyberspace Administration of China
La dichiarazione pubblica del MIIT
Il MIIT ha dichiarato pubblicamente, in un comunicato successivo alla circolare, che il riordino riguarda gli operatori privi di licenza e che le aziende multinazionali possono prendere in locazione linee dagli operatori di telecomunicazioni di base per il proprio uso interno. Verifichi il testo MIIT in vigore con i suoi consulenti legali. Secondo la nostra lettura, la dichiarazione distingue due casi che la circolare può confondere: un operatore non approvato che vende accesso transfrontaliero come attività commerciale e un’azienda che collega i propri uffici. Il primo è l’obiettivo; il secondo è il caso di uso interno che l’operatore registra.
Secondo la nostra lettura, il confine è l’uso, non il nome del prodotto. Una linea utilizzata per email interna, ERP, condivisione di file o accesso di gestione si presenta diversamente da una linea utilizzata per servire clienti o rivendere connettività. Documenti lo scopo, lo mantenga coerente con il contratto e informi l’operatore quando l’uso cambia.
Questa pagina espone la norma in termini generali. Non è un parere legale sulla sua implementazione, non è una consulenza legale e non attribuisce alcuno stato di conformità a una rotta specifica.
Mantenga la documentazione aggiornata e completa: il contratto, l’ordine della linea, l’uso dichiarato, l’elenco degli utenti e lo schema della rotta. Se un revisore chiede perché la linea esiste, questi documenti rispondono prima che qualcuno debba ricostruire la vicenda dalle email.
Come lavoriamo
La connettività transfrontaliera è fornita per uso interno della sua azienda. Con il suo consulente legale, la aiutiamo a definire i passaggi per la registrazione ICP e il trasferimento dei dati; questo non costituisce consulenza legale.
Passaggi che i clienti definiscono con i propri consulenti legali
Registrazione ICP
- I siti web ospitati all’interno della Cina continentale necessitano di una registrazione ICP per ciascun dominio, effettuata tramite il provider di hosting o CDN. La registrazione è legata al dominio e all’entità, e di solito è il provider a presentarla. La registrazione di un dominio non copre un altro dominio. La voce registrazione ICP illustra il termine.
- Se i contenuti vengono distribuiti dall’esterno della Cina continentale, non si applica alcuna registrazione; ne tenga conto se sposta l’hosting all’interno. Spostare l’hosting in un secondo momento può cambiare sia la posizione rispetto alla registrazione sia la latenza percepita dai suoi utenti, quindi pianifichi la migrazione prima del lancio dei contenuti.
- Una registrazione ICP non è una licenza per attività di telecomunicazione. Un’azienda che intende gestire un servizio in Cina può aver bisogno di altre approvazioni; la registrazione è solo il passaggio relativo al sito web.
- Conservi insieme i dati della registrazione, l’elenco dei domini e il contratto di hosting. Sono i primi documenti che un provider o un consulente legale chiederà, e rendono molto più semplice spiegare un successivo cambio di hosting o di entità.
MLPS 2.0
- Il Multi-Level Protection Scheme classifica i sistemi gestiti in Cina e stabilisce i controlli di sicurezza richiesti da ciascun livello. La classificazione considera il ruolo del sistema, i dati che tratta e il danno derivante da un guasto; il livello determina poi la registrazione, la valutazione e i controlli previsti dalla GB/T 22239-2019.
- L’MLPS non equivale a ISO/IEC 27001 né a un report SOC 2. È uno schema cinese di classificazione e valutazione, e un sistema che vi rientra può richiedere una valutazione locale anche se possiede un’altra certificazione.
- Stabilisca presto quali sistemi rientrano nell’ambito. Un sito web, un sistema di gestione degli ordini e la rete di uno stabilimento possono avere livelli diversi, e il livello cambia la progettazione e la documentazione da conservare.
Informazioni personali
- Le informazioni personali che lasciano la Cina sono soggette alla Personal Information Protection Law e alle norme sull’esportazione dei dati: una valutazione di sicurezza, un contratto standard o una certificazione, a seconda dei dati. La legge richiede inoltre un consenso separato per la comunicazione transfrontaliera e una valutazione d’impatto sulle informazioni personali per l’esportazione.
- Anche l’accesso remoto conta. Se il personale fuori dalla Cina può interrogare un database situato in Cina, o se un team di supporto può visualizzare i dati degli utenti, i dati potrebbero lasciare il Paese anche senza che venga copiato alcun file.
- Mappi il flusso dei dati prima di scegliere un meccanismo: quali dati, di chi sono, dove sono conservati, chi può accedervi e quale entità li riceve. La risposta determina se si applica la valutazione di sicurezza, il contratto standard o la certificazione. La voce residenza dei dati tratta la questione della conservazione.
- Le clausole contrattuali contano: il meccanismo di esportazione deve corrispondere al ruolo di ciascuna parte, e l’accordo standard sul trattamento dei dati di un fornitore potrebbe non essere lo strumento cinese richiesto. Chieda ai consulenti legali quale accordo debba far parte della documentazione.
Non è una consulenza legale. Le normative cambiano; verifichi i testi ufficiali con i suoi consulenti legali. Si tratta di informazioni generali, non di una consulenza legale.
Domande frequenti
Una linea dedicata transfrontaliera verso la Cina è conforme?
Vi occupate della registrazione ICP?
Si tratta di una consulenza legale?
La circolare del MIIT vieta qualsiasi connettività transfrontaliera?
Una registrazione ICP equivale a una licenza commerciale?
Un sito ospitato all’estero ha bisogno di una registrazione ICP?
Che cosa si intende per esportazione di informazioni personali?
L’MLPS equivale a ISO 27001?
Strumenti correlati
Quale rotta è adatta?
Risponda ad alcune domande per confrontare IP transit, CloudBond, DIA/SD-WAN e IEPL/IPLC.
Apra lo strumentoVerifica di compatibilità con la Cina
Inserisca un URL per elencare le risorse di terze parti della pagina che potrebbero caricarsi lentamente o non funzionare nella Cina continentale, con un elenco di correzioni.
Apra lo strumentoLatenza minima in fibra
Il tempo di andata e ritorno minimo fisico tra due città su fibra. Solo fisica, non la nostra rete.
Apra lo strumento
Definisca con noi la sua rotta verso la Cina
I circuiti verso la Cina vengono quotati dopo una valutazione della rotta.