中国接続コンプライアンス
中国のコンプライアンス入門
中国本土への越境接続に関するルールと、企業が法務担当者とともに範囲を確認する届出およびデータの手順です。法的助言ではありません。
ルール：MIIT通達〔2017〕第32号
インターネット接続サービス市場の整理と規範化に関する通達〔2017〕第32号は、公表されている内容によれば、企業が承認なく越境専用線を設置または賃借して越境業務を運営してはならないと定めています。この通達は工業情報化部（MIIT）が発出したものです。当社の読み方では、対象は、必要な承認を得ずに行う商業的な運営であり、企業が利用するあらゆる国際接続ではありません。また、IDC、ISP、CDNの許認可、接続リソースの再販、国内と海外のデータセンターまたは業務プラットフォームを結んで電気通信業務を行う回線も対象としています。
この通達により、国際専用線を賃貸する基礎電気通信事業者は、利用者の記録を保管し、回線が社内の業務利用に限られることを利用者に伝えることが求められます。実務上、回線には通常、特定された利用者、明示された社内用途、通信事業者側の記録があります。当社の読み方では、お客様が再販したり、第三者へのサービス提供に使ったりできる汎用のインターネットサービスではありません。
当社は、この通達を、製品の禁止ではなく、コンプライアンス上の境界として読んでいます。通達が提起する問いは、誰が回線を保有するのか、回線を何に使うのか、トラフィックが社内向けかどうか、です。ルート評価では、帯域を比較する前にこれらの問いに答えるべきです。用途の要件を満たさない回線は、より良いハンドオフでは解決しないためです。規制当局の役割については、MIITの項目をご覧ください。
当社の読み方では、この通達は専用線に対する一般的な認可を与えるものではありません。条件を定めるものです。承認が必要な場合は回線の承認を受け、その用途が社内利用の申告と一致している必要があります。この条件を目に見える形にするのが通信事業者の記録であるため、お客様の説明と通信事業者のファイルが一致している必要があります。
MIITの公開声明
MIITは通達の後に出した声明の中で、整理の対象は許可を持たない事業者であり、多国籍企業は自社の社内利用のために基礎電気通信事業者から回線を賃借できると公に述べています。MIITの最新の文書は、法務担当者とご確認ください。当社の読み方では、この声明は、通達では曖昧になりうる2つのケースを区別しています。承認を受けていない事業者が越境接続を事業として販売するケースと、企業が自社のオフィス同士を接続するケースです。前者が対象であり、後者は通信事業者が記録する社内利用のケースです。
当社の読み方では、境界を決めるのは用途であり、製品の名称ではありません。社内メール、ERP、ファイル共有、管理用アクセスに使う回線は、顧客へのサービス提供や接続の再販に使う回線とは異なります。用途を文書化し、契約と整合させ、用途が変わる場合は通信事業者に伝えてください。
このページはルールを一般的な形で説明するものです。お客様の導入に関する法的意見ではなく、法的助言でもなく、特定のルートについてコンプライアンス上の状態を主張するものでもありません。
根拠資料は最新かつ漏れのない状態に保ってください。契約書、回線の注文書、申告した用途、利用者リスト、ルート図です。監査担当者から回線が存在する理由を尋ねられたとき、メールから経緯を再構成しなくても、これらの文書が答えになります。
当社の進め方
越境接続はお客様企業の内部利用向けに提供されます。弁護士とともに、ICP申請とデータ移転の手続きの範囲を整理します。これは法的助言ではありません。
お客様が法務担当者とともに範囲を確認する手順
ICP備案
- 中国本土内でホスティングするウェブサイトには、ドメインごとにICP備案が必要で、ホスティング事業者またはCDN事業者を通じて行います。届出はドメインと法人に紐づき、通常は事業者が提出します。あるドメインの届出は、別のドメインには適用されません。用語についてはICP備案の項目をご覧ください。
- 中国本土の外から配信する場合、届出は不要です。ホスティングを国内に移す場合は、届出を見込んでおいてください。後からホスティングを移すと、届出の状況とユーザーが体感する遅延の両方が変わる可能性があるため、コンテンツの公開前に移行を計画してください。
- ICP備案は電気通信事業の許可ではありません。中国でサービスを運営したい企業には別の承認が必要な場合があり、届出はウェブサイトに関する手順にすぎません。
- 届出情報、ドメインリスト、ホスティング契約はまとめて保管してください。これらは事業者や法務担当者が最初に求める書類であり、後でホストや法人を変更する際の説明もずっと容易になります。
MLPS 2.0
- 等級保護制度（Multi-Level Protection Scheme、MLPS）は、中国で運用されるシステムを等級に分け、各等級に必要なセキュリティ管理策を定めています。等級付けでは、システムの役割、扱うデータ、障害時の被害を考慮し、その等級に応じて届出、評価、GB/T 22239-2019の管理策が決まります。
- MLPSは、ISO/IEC 27001やSOC 2報告書とは異なります。中国の等級付けと評価の制度であり、対象となるシステムは、他の認証を取得していても現地での評価が必要になる場合があります。
- どのシステムが対象かを早い段階で決めてください。ウェブサイト、受注システム、工場のネットワークはそれぞれ等級が異なる場合があり、等級によって設計と保管すべき根拠資料が変わります。
個人情報
- 中国から持ち出される個人情報には、個人情報保護法とデータ越境移転のルールが適用されます。データに応じて、安全評価、標準契約、または認証のいずれかが必要です。同法は、越境提供に対する個別の同意と、越境移転に関する個人情報保護影響評価も求めています。
- リモートアクセスも該当します。中国国外のスタッフが中国国内のデータベースを照会できる場合や、サポートチームがユーザーの記録を閲覧できる場合は、ファイルをコピーしていなくてもデータが持ち出されている可能性があります。
- 仕組みを選ぶ前に、データの流れを整理してください。どのデータか、誰のデータか、どこに保存されているか、誰がアクセスできるか、どの法人が受け取るか。その答えによって、安全評価、標準契約、認証のどの方法が適用されるかが決まります。保存場所の問題についてはデータレジデンシーをご覧ください。
- 契約条件も重要です。越境移転の仕組みは各当事者の役割に合致している必要があり、ベンダーの標準的なデータ処理補遺が、求められる中国の文書に該当しない場合があります。どの契約書をファイルに含めるべきか、法務担当者にご確認ください。
法的助言ではありません。規制は変わります。公式の条文を法務担当者とご確認ください。これは一般的な情報であり、法的助言ではありません。
よくある質問
中国への越境専用線は、コンプライアンス上問題ありませんか？
ICP備案の手続きは代行していますか？
これは法的助言ですか？
MIITの通達は、すべての越境接続を禁止していますか？
ICP備案は事業許可と同じですか？
海外でホスティングしているサイトにICP備案は必要ですか？
個人情報の越境移転とみなされるのはどのような場合ですか？
MLPSはISO 27001と同じですか？
中国へのルートの範囲を当社と確認
中国向け回線は、ルート評価の後にお見積もりします。