连接中国合规

中国合规入门

进入中国大陆的跨境连接规定,以及企业需与法律顾问一起梳理的备案和数据步骤。以上不构成法律意见。

规定:工信部〔2017〕32 号文

《关于清理规范互联网网络接入服务市场的通知》(工信部信管函〔2017〕32 号)按其已公布的文本指出,未经批准,企业不得自行建立或租用专线开展跨境经营活动。该通知由工业和信息化部(工信部)发布。据我们理解,它针对的是未取得所需批准的商业经营,而不是企业使用的每一条国际连接。通知还涉及 IDC、ISP 和 CDN 许可、接入资源转售,以及连接境内外数据中心或业务平台以开展电信业务的线路。

根据该通知,出租国际专线的基础电信企业须建立用户档案,并告知用户线路仅供内部办公使用。实践中,线路通常有具名用户、明确的内部用途,以及运营商侧记录。按我们的理解,它不是客户可以转售或用来服务第三方的通用互联网服务。

我们把这份通知理解为合规边界,而不是产品禁令。它提出的问题是:谁持有线路、线路用来做什么、流量是否属于内部使用。路由评估应先回答这些问题,再比较带宽,因为一条未通过用途审查的线路,不会因为交接更好就变得合规。监管机构的角色见 MIIT 条目。

按我们的理解,通知并没有给专线一项一般性授权。它只设定一个条件:需要批准的线路,必须先取得批准,用途必须与内部使用声明一致。运营商记录让这项条件可见,所以客户的说明和运营商档案必须一致。

工信部的公开说明

工信部在通知发布后的一份公开说明中表示,清理整顿针对的是未取得许可的经营者,跨国企业可以向基础电信企业租用线路,供自身内部使用。请与您的法律顾问核对工信部现行文本。按我们的理解,这份说明区分了通知中容易混淆的两种情形:未获批准的经营者把跨境接入当作业务出售,以及企业连接自有办公场所。前者是整治对象;后者是运营商予以记录的内部使用情形。

按我们的理解,边界在于用途,而不在于产品名称。用于内部邮件、ERP、文件共享或管理访问的线路,与用于服务客户或转售连接的线路并不相同。记录用途,保持它与合同一致,并在用途变化时告知运营商。

本页以概括方式陈述规则。它不构成对您具体部署的法律意见,不构成法律建议,也不对任何特定路由的合规状态作出结论。

让证据保持完整、随时可用:合同、线路订单、用途声明、用户清单和路由图。如果审计人员问起线路为什么存在,这些文件先给出答案,不必再让人从邮件里还原经过。

我们的做法

跨境连接仅供贵公司内部使用。我们协助您与法律顾问一起梳理 ICP 备案和数据出境步骤。以上不构成法律意见。

客户需与法律顾问一起梳理的步骤

ICP 备案

  • 托管在中国大陆境内的网站需要按域名办理 ICP 备案,通过托管或 CDN 服务商提交。备案与域名及主体绑定,通常由服务商提交。一个域名的备案不覆盖另一个域名。ICP 备案条目解释了该术语。
  • 从中国大陆境外提供服务则无需备案。如果要把托管迁入境内,请预留备案时间。日后迁移托管可能同时改变备案状态和用户看到的时延,所以请在内容上线前规划迁移。
  • ICP 备案不是电信业务经营许可证。希望在中国运营服务的企业可能还需要其他批准,备案只是网站层面的步骤。
  • 把备案信息、域名清单和托管合同放在一起。它们是服务商或法律顾问首先会索要的文件,也能让日后变更主机或主体时更容易说明。

等保 2.0

  • 网络安全等级保护制度(等保 2.0,即 MLPS 2.0)对在中国运营的系统进行定级,并规定各级别所需的安全控制。定级考虑系统的角色、处理的数据以及故障造成的危害。级别随后决定备案、测评,以及 GB/T 22239-2019 中的控制要求。
  • 等保 2.0 不等同于 ISO/IEC 27001 或 SOC 2 报告。它是中国的定级与测评制度,纳入范围的系统即使持有其他认证,也可能需要本地测评。
  • 尽早确定哪些系统在范围内。网站、订单系统和工厂网络可能属于不同级别,而级别会改变设计与您需要留存的证据。

个人信息

  • 个人信息出境要遵守《个人信息保护法》和数据出境规则:视数据情况,采用安全评估、标准合同或认证。该法还要求就跨境提供个人信息取得单独同意,并就出境开展个人信息保护影响评估。
  • 远程访问也算。如果境外员工可以查询中国境内的数据库,或支持团队可以查看用户记录,即使没有复制任何文件,数据也可能正在出境。
  • 选择机制前先梳理数据流:什么数据、谁的数据、存储在哪里、谁能访问,以及由哪个主体接收。答案决定走安全评估、标准合同还是认证。数据驻留涵盖存储问题。
  • 合同条款很重要。出境机制必须与各方角色匹配,供应商的标准数据处理附录未必是中国要求的文书。请法律顾问确认哪份协议应归入档案。

以上不构成法律意见。法规会变化,请与您的法律顾问核对官方文本。以上为一般信息,不构成法律意见。

常见问题

接入中国的跨境专线合规吗?

跨境连接仅供贵公司内部使用。我们协助您与法律顾问一起梳理 ICP 备案和数据出境步骤。以上不构成法律意见。

你们代办 ICP 备案吗?

不代办。ICP 备案按域名通过您在中国大陆的托管或 CDN 服务商办理。我们承载流量,并协助您与法律顾问一起梳理相关步骤。

这是法律意见吗?

不是。本页为便于了解而概述公开规则。以上为一般信息,不构成法律意见。法规会变化,请与您的法律顾问核对官方文本。

工信部通知禁止所有跨境连接吗?

不禁止。按我们对通知的理解,它针对的是未获批准的商业经营。按已公布的文本,出租国际专线的基础电信企业须为其用户建立记录。企业自用是工信部公开说明所针对的情形。请与法律顾问确认您自身的事实。

ICP 备案与经营许可证是一回事吗?

不是。ICP 备案针对托管在中国大陆的网站,通过托管或 CDN 服务商为域名办理登记。它不是电信业务经营许可证,也不授权开展服务。

托管在境外的网站需要 ICP 备案吗?

如果网站托管在中国大陆境外,通常不需要。访问性能和其他规则仍然适用,而将网站迁入境内会重新带来备案问题。

什么情况算个人信息出境?

向中国大陆境外发送、存储或提供个人信息访问权限都可能计入,包括从境外远程访问。适用机制取决于数据和主体。以上为一般信息,不构成法律意见。

等保 2.0 与 ISO 27001 是一回事吗?

不是。等保 2.0 是中国的分级保护制度;ISO/IEC 27001 是国际管理体系标准。一个系统可能两者都需要,且不能相互替代。

和我们的团队一起确定中国路由

中国线路在完成路由评估后报价。