1.
要点:判断是否需要在中国大陆做ICP备案,首看服务器物理位置。若网站的服务器(A记录解析的IP)位于中国大陆境内,则必须办理ICP备案;若位于香港或海外,通常不需要大陆ICP备案,但可能受其他合规义务约束。
操作步骤:
(1)查询域名解析:使用 nslookup 或 dig 查询域名 A 记录,获取 IP;
(2)IP 归属地核验:用 ARIN/RIPE/CNNIC 或第三方 IP 地理定位服务确认 IP 是否在中国大陆;
(3)如存在 CDN 或国内节点,需同时检查 CDN 节点是否落地大陆,若有大陆节点即可能触发备案义务。
2.
要点:即便主机在香港,若使用了中国大陆的服务器、云服务、第三方统计或支付接口,也可能被视为向大陆用户提供信息服务而被要求备案。
实际检验步骤:
(1)检测依赖:列出所有第三方服务(支付、短信、统计、CDN、API);
(2)逐一确认这些服务的服务器或节点是否部署在大陆;
(3)如存在大陆依赖,评估是否能替换为境外替代或与供应商签订数据处理协议(DPA)。
3.
准备材料:
(1)企业:营业执照副本、法定代表人身份证、网站负责人身份证、网站信息(域名、IP、服务内容)、ICP备案主体授权文件;
(2)个人主办:个人身份证、域名证书、联系方式、网站负责人信息。
办理步骤:
(1)选择接入服务商(大陆IDC/云厂商)并购买公网 IP;
(2)在接入商平台提交备案申请并上传材料;
(3)等待接入商初审并提交通信管理局审核,期间需通过公安网安备案信息核验;
(4)审核通过后获得备案号,并在网站首页底部公示备案号。通常时长 20-40 个工作日。
4.
风险点:不在大陆备案虽可避免 ICP 流程,但会面临跨境数据传输法律(如《个人信息保护法》《网络安全法》)的要求与审查。
合规步骤(实操):
(1)数据分类与映射:列出个人信息、敏感信息、重要数据的存储位置与流向;
(2)法律依据:确定处理依据(合同履行、用户同意、法律义务);
(3)签署合同:与香港服务商签订含“数据出境”条款的 DPA 或标准合同条款(SCC);
(4)技术加固:在传输中启用 TLS、端到端加密、最小化传输与分区存储。
5.
路径一:采用标准合同/例行合规(SCC)
步骤:获取官方或主管部门认可的合同文本,双方签署并留存,通知数据主体并上传备案资料(如法律要求)。
路径二:通过安全评估
步骤:若处理敏感数据或大型跨境传输,向网信办/相应主管部门申请安全评估;准备评估材料、测评报告和整改记录。
路径三:行业认证或合规证明
步骤:依据行业规定(金融、医疗)取得相应认证,作为出境合法性证据。
6.
网络与DNS配置:
(1)A/AAAA 记录指向香港 IP;如需分地区访问,用 GeoDNS 或智能解析;
(2)若使用反向代理或负载均衡,确保代理服务器声明位置及访问日志的归属。
日志与保全:
(1)开启访问日志、错误日志和安全日志,并至少保留 6-12 个月;
(2)对日志进行链式存证或上链存证以备法律查验;
(3)制定应急响应流程,包括泄露通报时间表与演练频次。
7.
合同条款要点:
(1)明确数据控制者/处理者身份与权责;
(2)列明出境数据类型、用途、保存期限、删除机制;
(3)约定安全措施、违约责任与处理时限。
组织治理:
(1)任命数据保护负责人(DPO);
(2)建立数据处理记录(ROPA),并定期进行 DPIA;
(3)提供员工合规培训并保存培训记录。
8.
律师操作建议:
(1)先做数据流与业务影响评估(DPIA),记录结论与整改建议;
(2)对关键条款起草模板(DPA、SCC、隐私政策、用户协议);
(3)在重大业务变更或新增大陆节点前,咨询本地律师并评估是否触发备案或评估义务。
合规自检清单:
(1)服务器归属地确认;(2)第三方服务位置核验;(3)DPA 与合同签署;(4)日志与备份策略;(5)应急通报流程。
9.
问:香港服务器会自动免除在中国大陆的ICP备案义务吗?
答:不自动免除。如果网站真实提供内容或服务且域名/解析、CDN、或节点位于大陆,则可能仍需备案。单纯把主机放在香港,且不使用任何大陆节点或服务,一般不需要大陆备案,但需评估跨境数据合规义务。
10.
问:将用户数据从中国大陆传输到香港需要哪些法律手续?
答:需要先进行数据分类与DPIA,确定法律依据(如用户同意或合同必要性);签署合规的数据出境合同(SCC或DPA);若为大量敏感数据或属于关键信息基础设施,还需向主管部门申请安全评估或登记。
11.
问:企业实际操作中怎样降低被要求备案或被处罚的风险?
答:实务建议包括:尽量避免使用大陆节点或服务;如必须使用,提前采购大陆接入并完成备案;与香港服务商签署完备 DPA;建立日志、DPIA、应急响应及法律合规档案;并在重要决策前咨询专业律师。