海外合法，回国被抓？互联网出海企业最大的法律困境
近年来，中国互联网企业掀起了新一轮出海浪潮。游戏、AI、社交、直播、电商、工具软件，越来越多企业把市场放到了海外。对于很多创业者来说，只要产品不进入中国市场，严格遵守当地法律，申请当地需要的资质，似乎就已经完成了全部法律工作。
但这几年，我们团队办理互联网刑事案件时，却越来越明显地感受到另一种趋势：不少企业不是因为违反海外法律被调查，而是因为人在中国，被国内公安机关立案侦查。
@ 为什么越来越多出海企业，被国内公安机关关注？
前段时间，我们接触了一起非常特殊的案件。一家创业团队开发了一款AI图片生成平台，公司主体注册在美国，服务器部署在海外，域名购买于境外，产品界面全部采用英文，广告全部投放Google、X等海外渠道，支付方式仅支持海外支付，同时还专门对中国大陆IP进行了技术屏蔽，国内用户无法访问。直到案件发生时，公安机关也没有查实存在任何中国用户，但却以传播淫秽物品牟利罪立案侦查。
另外据公开信息，一家运营巴西真金棋牌游戏的国内公司，因为开设赌场罪被国内某地公安机关立案侦查。涉案产品完全服务巴西市场，在当时的监管框架下甚至无需取得专门牌照即可运营，平台没有中国用户，也没有面向中国市场开展任何推广。但案件发生后，不仅研发公司受到影响，广告投放公司、支付服务商等合作企业也被同步波及，多名相关人员被刑事拘留，企业账户资金被冻结，整个商业链条几乎全部停摆。
两个案件，一个是AI，一个是游戏，看似毫无关联，但背后暴露出的，却是同一个问题：国内公安机关会因为企业经营者属于中国公民，直接就启动属人管辖来对公司的海外业务进行侦查立案。
这些年，我们接触游戏、社交、AI产品出海等案件时，越来越深刻地感受到，一些办案机关在评价海外互联网产品时，仍然习惯直接套用国内法律逻辑来理解海外商业模式。产品在当地是否合法、是否取得当地许可、是否符合当地监管要求、是否存在中国用户、是否已经采取技术措施屏蔽中国市场，这些本应成为案件核心事实的问题，在案件中反而没有得到足够重视。
@ 围困互联网出海的属人管辖到底是什么？
我国《刑法》第六条明确：犯罪行为或者结果只要有一项发生在中国境内，就算作在中国境内犯罪。第七条：中国公民在境外犯罪，原则上照样适用中国刑法。
也就是说：“人在境内开发、产品在境外发行、收入从境外结算、内容面向境外用户"这套典型的出海结构，中国刑法依旧有权利去评价出海业务，是否属于犯罪行为。
互联网出海业务尤其容易踩这个雷，研发、发行、投放、运营、维护、客服的任何一个业务环节在国内，就有可能被拉进"境内犯罪"的口袋。
当然，属人管辖不是我们独创，全世界很多国家都有类似规定。但问题在于，几乎所有承认属人管辖的国家，都会给它套上一道枷锁：双重犯罪原则。这个原则说白了很简单：如果你在境外做的事，当地国家法律明确认可是合法，就不属于犯罪行为。
比如：德国刑法对属人管辖直接加了道锁——只有当"犯罪地法律同样处罚该行为，或者犯罪地不受任何刑罚权管辖"时，德国刑法才能追究本国公民的境外行为。日本是"列举式"路线——只有法律条文明确列出来的罪名，才能对本国公民的境外行为域外追诉，不是所有罪名都能无条件跨境管你。
属人管辖是否意味着，只要经营者、员工是中国公民，无论产品在哪里运营、是否合法、是否存在中国用户，都可以直接适用我国刑法？
我们认为，答案显然是否定的。属人管辖不能成为互联网出海案件的“万能口袋”，更不能简单套用国内案件的办案思路。
以AI图片平台为例，如果平台主动制作、传播淫秽物品，当然可能涉嫌犯罪。但从目前了解到的情况来看，平台本身并不会主动生成、传播淫秽物品，而是用户上传图片之后，由AI对图片进行编辑、修改，再把结果返回给上传用户本人。整个过程既没有公开传播，也没有向其他用户展示，在美国当地也属于正常分级成人就可以浏览的图片，不属于淫秽色情。
巴西游戏案件也是一样。产品本身符合巴西当地法律规定，用户全部来自巴西，也没有中国玩家参与，那么在评价案件时，就不能完全脱离巴西当地法律，仅仅依据国内对于赌博犯罪的理解进行判断。
我们认为，这类互联网出海案件至少应当重点审查几个问题：产品在经营所在地是否合法？是否取得当地要求的牌照或者许可？是否存在中国用户？是否采取了技术措施屏蔽大陆用户？是否真正侵害了我国国家利益、公民合法权益或者社会公共利益？
这些问题，才是决定案件性质的关键。
@ 出海企业如何保护自己？可以做哪些实务操作？
回到最实际的问题——作为出海企业，在管辖规则不清晰、执法尺度不统一的现实下，能做点什么？结合我们经手过的案例，给几条实操建议。
第一，技术屏蔽要做实，这是最基本的要求。
前面提到的AI案例里，"技术上屏蔽了大陆IP地址"是这家公司能够对抗指控的关键事实之一。很多企业口头上说"我们不做境内用户"，但产品其实并没有做真正的IP识别和地域屏蔽，注册环节也没有强制验证用户所在地。一旦出事，"是否针对中国用户采取了技术屏蔽措施"会成为办案机关认定管辖权的重要考量因素。该做的地域限制、注册验证，一定要落到产品和技术层面，并且留存相关的技术方案和日志记录。
第二，用户数据要能自证"没有中国用户"。
巴西真金棋牌案里，"产品在国内没有任何用户"是公安撤案的核心理由之一。这句话不能只是嘴上说，一旦被立案，企业需要拿出真实的用户地域分布数据、注册IP记录、支付渠道流水，证明用户确实集中在境外。建议企业从产品上线第一天起，就建立完整的用户地域数据留存机制——这不是"要用的时候再补"，而是必须提前预留的证据链。
第三，境外合规资质要拿全，而且要留证据。
无论是棋牌类产品的当地牌照，还是内容类产品的属地审核备案，只要当地监管要求有对应资质，或者需要当地律师出具的律师意见书，就要按规定拿到手，并且完整保存申请材料、批复文件、年检记录。这些材料在案发后，是证明"产品在行为地合法"最直接的证据，也是我们在类似案件中为客户争取撤案的重要依据。
第四，境内团队的角色定位要提前规划清楚。
如果核心研发、运营、资金结算都放在境内，等于把管辖连接点全部留在了国内。企业需要提前评估：哪些职能必须留在境内，哪些可以放在境外，境内团队具体承担的是什么角色——是纯技术支持，还是深度参与运营决策，法律风险完全不同。这不是让所有企业都把团队搬空，而是建议提前做好业务架构和职责边界的法律设计，避免"人在境内、事也在境内"的双重风险叠加。
第五，一旦被调查或立案，第一时间找专业律师。
我们经手的多起案件里，企业最开始往往抱着"配合调查、解释清楚就没事"的心态，结果在没有律师在场的情况下被反复问话，说出了对自己不利的表述。一旦收到任何形式的调查通知、约谈、传唤，第一反应应该是联系专业律师介入，评估管辖依据是否成立、异地执法程序是否合规，而不是自己上阵"讲道理"。管辖权异议、程序违法抗辩，往往是这类案件最有效的突破口，但这些抗辩需要专业的法律论证，不是企业自己能讲清楚的。
另外，我们也建议出海业务上线前，做一次专项法律评估。境外合规、境内刑事风险，这是两套完全不同的评估体系，很多企业只请了当地律师看合规，却没人从中国刑法的角度审视过团队架构和业务模式。建议在产品出海立项阶段，就同步做一次"双重法律体检"——既看当地是否合法，也看万一被国内执法机关关注，自己能不能拿出站得住脚的抗辩依据。这笔前期投入，远比出事后花几个月甚至更久时间维权撤案要划算得多。
@ 写在最后
我们写这篇文章，并不是否定属人管辖制度，更不是认为互联网出海企业可以游离于法律之外。恰恰相反，我们认为，互联网出海企业比任何行业都更需要合规。
出海企业真正需要的，从来不是更宽的管辖权口子，而是一套边界清晰、可以提前预判、和国际通行规则接得上轨的管辖标准。企业家心里有底了，才敢把团队和业务留在国内，把产品和信心带向全世界。
