中国法に適合させるためにサイトが守るべき5つの義務

中国本土向けにサイトを運用することは、まず速度ではなく、法的な許可の問題です。ページがどれだけ速く読み込まれるかを誰かが測る前に、サイトには運用する権利が要ります。正しいICP備案またはライセンスを、中国本土の法人を通じて保有し、本土内のホストから配信すること。パフォーマンス、配信、可用性はすべて、その許可の上に乗ります。

その許可は一つの枠組みの下にあります。サイバーセキュリティ法（CSL）——2016年制定、2025年改正、改正は2026年1月1日施行——が傘となる法律で、データ安全法（DSL、2021年9月1日施行）と個人情報保護法（PIPL）がその上に積み重なります（いずれも英語）。大半のサイトにとって運用上の出発点は、依然としてインターネット情報サービス管理弁法（国務院令第292号、2000年9月25日施行）（英語）です。

中国の法体系に典型的なとおり、これらのルールは広く起草され、執行当局の解釈に委ねられます。あわせて読むと、中国本土のユーザーに届くサイトを運用する誰にとっても、5つの実務上の義務が生まれます。以下の要約は、法的助言ではなく、資格のある専門家と確認すべきリスクの見取り図として扱ってください。

その5つの義務とは：

1. 中国向けのライセンス

サイトが何をするか——単に情報を提示するだけか、製品やサービスを直接販売するか——によって、必要な中国向けのICP登録は異なります。

インターネット情報サービス管理弁法（国務院令第292号）（英語）の第3条・第4条に述べられるとおり：

インターネット情報サービスは、経営性と非経営性の2種類に分かれる。経営性インターネット情報サービスとは、インターネットを通じて利用者に情報の提供やウェブページ作成などのサービス活動を行うことをいう。非経営性インターネット情報サービスとは、インターネットを通じて利用者に、公開され共有された情報を無償で提供するサービス活動をいう。

国は、経営性インターネット情報サービスについては許可制を、非経営性インターネット情報サービスについては備案制を実施する。許可を取得せず、または備案手続を行っていない者は、インターネット情報サービスに従事してはならない。

たとえば、事業を紹介する静的なサイトは通常ICP備案（备案）を要し、ショッピングやEC のプラットフォームは経営性ICPライセンス（付加価値電信業務経営許可証）（英語）を要します。ICPはInternet Content Provider（インターネットコンテンツプロバイダー）の略で、ICP登録は中国の工業・情報化部（MIIT）を通じて発行され、コンテンツプロバイダーが中国で合法的に運用することを可能にするものです。詳細な手続はICP備案弁法（MII令第33号）（英語）に定められています。

決定的に、備案は単なる書類仕事ではありません。中国本土の法人を通じて付与され、中国本土内に所在するホストに結びつきます——したがって、法令に沿った本土内のホストと合法な備案は同じ要件の二つの半分であり、一方だけを満たすことはできません。

執行について、同弁法の第19条はこう定めます：

本規定に違反し、営業許可を取得せずに経営性インターネット情報サービスに従事し、または許可された事項を超えてサービスを提供した者は、省・自治区・直轄市の電信管理機関により期限を定めて是正を命じられる。違法所得がない、または違法所得が5万元未満の場合は10万元以上100万元以下の罰金を科し、情状が重い場合はサイトの閉鎖を命じる。

自社のサイトがどの区分に当たるか確かでない場合、当社は、事業が中国法の範囲内に留まるためにどの登録が必要かを特定するお手伝いができます。

2. 利用者情報を保護する実効的な定めを設ける

米国その他の法域と同様、中国は、保有するデータに業界標準のセーフガードを適用するよう求めます。基盤は、サイバーセキュリティ法（英語）が定める等級保護（等保、MLPS）です。すべてのネットワーク運営者は、自らのシステムを等級付けし、その等級の安全義務を満たさなければなりません。その上に、データ安全法（英語）は、データを機微性で分類し、それに応じて保護し、データ安全の責任者を指定するよう求めます。

3. 利用者が自らの情報を制御する権利を保護する

サイトが個人情報を収集するとき——たとえば位置情報、連絡先、カメラ、マイクにアクセスするとき——明確な通知を行い、利用者の同意を取得しなければなりません。これらの通知と同意の義務は、中国の個人データ専門法である個人情報保護法（PIPL）（英語）の核心であり、センシティブなデータや本土外への移転については、PIPLは個別の特定の同意を求めます。

より広くは、データを収集するあらゆる組織や個人は、合法かつ適正な手段で行わなければならず、窃取その他の違法な方法で取得してはなりません。法律・行政法規が収集の目的と範囲を定める場合、データはその目的と範囲の内でのみ収集・利用しなければなりません——データ安全法（英語）が補強する原則です。

4. データの国内保存

中国は、国内で生成された一定のデータを中国本土内のサーバーに保存するよう求めます。一般原則として、中国で個人情報を収集する運営者は、中国国内保存を法令適合の既定と見込むべきであり、重要情報インフラ運営者（CIIO）は、サイバーセキュリティ法（英語）の下で、中国で収集した個人情報と重要データを域内に保存することを明示的に求められます。

データ安全法（英語）は重要データの国外移転を規律します。CIIOについてはサイバーセキュリティ法を指し戻し、その他の処理者については国家インターネット情報当局が発する弁法を指します。個人情報が本土を離れる場合、PIPL（英語）が独自の越境移転（英語）の要件——通知、個別の同意、そして承認された移転メカニズムのいずれか一つ（安全評価、標準契約、または認証）——を加えます。

リスクは現実です。2022年7月、国家インターネット情報弁公室は、サイバーセキュリティ法・データ安全法・個人情報保護法にまたがる違反について、大手配車サービス事業者に80.26億元（約11.9億ドル）の処分を科し、調査中の新規ユーザー登録を禁じました。

中国国内保存は、パフォーマンスの選択である前に法的な要件です。だからこそここに21YunBoxが位置づきます。当社は、中国本土の内側で法令に沿ったICP備案済みの配信とホスティングを提供するので、貴社のユーザーのデータは中国の地に留まれます——スタックを作り直したり移行したりすることなく。

5. 利用者のログ情報を記録・保存する

インターネット情報サービス管理弁法（英語）の第14条に述べられるとおり、ニュース・出版・電子掲示板などのサービスの提供者は、公開する情報を、その公開時刻とインターネットアドレスまたはドメイン名とともに記録しなければなりません。インターネットアクセス事業者は、利用者のアクセス時刻、アカウント、インターネットアドレスまたはドメイン名、発信番号を記録しなければなりません。

これらのバックアップ記録は少なくとも60日間保存し、国家機関が合法的に照会する際に提出しなければなりません。ログに加えて、コンテンツそのものも合法でなければなりません。賭博、虚偽のニュース、ポルノ、政治的に禁止された素材などの区分は禁止または厳しく制限され、サイバーセキュリティ法（英語）は、アカウント登録や情報公開など多くのサービスで利用者の実名確認を求めます。

最も簡単な方法

21YunBoxは、中国の配信とコンプライアンスのオーバーレイです。当社のチームが、この5つの義務のそれぞれを貴社の具体的なスタックに対応づけ、本土の法人を通じて正しいICP備案またはライセンスを確保し、貴社の既存のWebサイトやアプリを中国本土の内側から配信します——作り直しも移行もなく、法令に沿って、速く。上記のライセンスとデータのルールは法的助言ではなくリスクの絵姿なので、当社は貴社の専門家とともに、何が当てはまるかを確認します。どのようにお手伝いできるか、お問い合わせください。