TLDR; 아래는 중국의 데이터 국경 간 이동 촉진·규범화 규정(促进和规范数据跨境流动规定, 중국 국가인터넷정보판공실(CAC)령 제16호)의 영어 번역본에서 옮긴 한국어 번역으로, 2023년 11월 28일 채택되고 2024년 3월 22일부터 시행되었습니다.
귀사가 고객, 직원, 또는 운영 데이터를 중국 본토 밖으로 옮긴다면, 본 규정은 어느 국경 간 경로를 택해야 하는지 — 그리고 많은 흔한 경우에 애초에 하나가 필요한지 — 를 결정하는 2024년 규칙입니다. 중국 국가인터넷정보판공실이 제16호령으로 발포한 이 규정은, 국경 간 데이터 전송 보안 평가 방법, 개인정보 표준계약 방법, 그리고 개인정보 보호 인증을 유발하는 기준을 완화·명확화하며, 개인정보 보호법(PIPL)이 정한 기본 의무 위에 면제와 자유무역시험구 네거티브 리스트를 더합니다. 각 경로가 언제 적용되는지를 바꾸므로, 이것이 수정하는 방법들과 함께 읽어야 합니다.
데이터 국경 간 이동 촉진·규범화 규정(2023년 11월 28일 채택; 2024년 3월 22일 중국 국가인터넷정보판공실령 제16호로 발행·시행)
제1조 데이터 보안을 지키고, 개인정보에 대한 권익을 보호하며, 데이터의 적법하고 질서 있는 자유로운 이동을 촉진하기 위하여, 그리고 「중화인민공화국 사이버보안법」, 「중화인민공화국 데이터 보안법」, 「중화인민공화국 개인정보 보호법」, 그 밖의 법률·법규에 따라, 국경 간 데이터 전송 보안 평가, 개인정보 국경 간 이전 표준계약, 개인정보 보호 인증을 포함한 국경 간 데이터 전송 제도의 시행에 관하여 본 규정을 제정한다.
제2조 데이터 처리자는 관련 규정에 따라 중요 데이터를 식별하고 신고하여야 한다. 관련 부문이나 지역에 의해 중요 데이터로 통지되거나 공개 발표되지 않은 데이터의 경우, 데이터 처리자는 국경 간 데이터 전송 보안 평가를 위해 그것을 중요 데이터로 신고할 필요가 없다.
제3조 국제 무역, 국경 간 운송, 학술 협력, 초국경 제조, 마케팅 같은 활동에서 수집·생성된 데이터가 해외에 제공되고, 그 데이터가 개인정보나 중요 데이터를 포함하지 않는 경우, 국경 간 데이터 전송 보안 평가 신고, 개인정보 국경 간 이전 표준계약 체결, 개인정보 보호 인증 통과가 면제된다.
제4조 데이터 처리자가 해외에서 수집·생성한 개인정보를 중국으로 전송하여 처리한 후 해외에 제공하고, 처리 과정에서 국내 개인정보나 중요 데이터가 유입되지 않은 경우, 국경 간 데이터 전송 보안 평가 신고, 개인정보 국경 간 이전 표준계약 체결, 개인정보 보호 인증 통과가 면제된다.
제5조 데이터 처리자가 개인정보를 해외에 제공하고 다음 각 호의 어느 하나에 해당하는 경우, 국경 간 데이터 전송 보안 평가 신고, 개인정보 국경 간 이전 표준계약 체결, 개인정보 보호 인증 통과가 면제된다:
(1) 국경 간 쇼핑, 국경 간 배송, 국경 간 송금, 국경 간 결제, 국경 간 계좌 개설, 항공권·호텔 예약, 비자 처리, 또는 시험 서비스 같이, 개인이 당사자인 계약을 체결하거나 이행하기 위하여 개인정보를 해외에 제공하는 것이 진실로 필요한 경우;
(2) 법에 따라 제정된 노동 규칙·규정 및 법에 따라 체결된 단체계약에 따라 국경 간 인사 관리를 수행하기 위하여 직원의 개인정보를 해외에 제공하는 것이 진실로 필요한 경우;
(3) 긴급 상황에서 자연인의 생명, 건강, 재산 안전을 보호하기 위하여 개인정보를 해외에 제공하는 것이 진실로 필요한 경우;
(4) 핵심정보인프라 운영자가 아닌 데이터 처리자가 당해 연도 1월 1일 이래 누계로 10만 명 미만의 개인정보(민감 개인정보 미포함)를 해외에 제공한 경우.
전항에서 말하는 해외에 제공되는 개인정보는 중요 데이터를 포함하지 않는다.
제6조 국가 데이터 분류·등급 보호 제도의 틀 안에서, 자유무역시험구는 스스로 구역 내에서 국경 간 데이터 전송 보안 평가, 개인정보 국경 간 이전 표준계약, 개인정보 보호 인증의 관리 범위에 넣어야 하는 데이터의 목록(이하 “네거티브 리스트”라 한다)을 제정할 수 있다; 성급 사이버안전·정보화 위원회의 승인을 거친 후, 그 목록은 국가 인터넷정보 부문과 국가 데이터 부문에 비안을 위해 제출된다.
자유무역시험구 내의 데이터 처리자가 네거티브 리스트 밖의 데이터를 해외에 제공하는 경우, 국경 간 데이터 전송 보안 평가 신고, 개인정보 국경 간 이전 표준계약 체결, 개인정보 보호 인증 통과가 면제될 수 있다.
제7조 데이터 처리자가 데이터를 해외에 제공하고 다음 각 호의 어느 하나에 해당하는 경우, 그 소재지의 성급 인터넷정보 부문을 통하여 국가 인터넷정보 부문에 국경 간 데이터 전송 보안 평가를 신고하여야 한다:
(1) 핵심정보인프라 운영자가 개인정보나 중요 데이터를 해외에 제공하는 경우;
(2) 핵심정보인프라 운영자가 아닌 데이터 처리자가 중요 데이터를 해외에 제공하거나, 당해 연도 1월 1일 이래 누계로 100만 명 이상의 개인정보(민감 개인정보 미포함) 또는 1만 명 이상의 민감 개인정보를 해외에 제공한 경우.
상황이 본 규정 제3조, 제4조, 제5조, 또는 제6조에 규정된 경우에 해당하면, 그 규정을 적용한다.
제8조 핵심정보인프라 운영자가 아닌 데이터 처리자가 당해 연도 1월 1일 이래 누계로 10만 명 이상 100만 명 미만의 개인정보(민감 개인정보 미포함), 또는 1만 명 미만의 민감 개인정보를 해외에 제공한 경우, 법에 따라 해외 수령인과 개인정보 국경 간 이전 표준계약을 체결하거나 개인정보 보호 인증을 통과하여야 한다.
상황이 본 규정 제3조, 제4조, 제5조, 또는 제6조에 규정된 경우에 해당하면, 그 규정을 적용한다.
제9조 국경 간 데이터 전송 보안 평가를 통과한 결과는 평가 결과가 발급된 날로부터 계산하여 3년간 유효하다. 유효 기간 만료 시 국경 간 데이터 전송 활동을 계속할 필요가 있고 국경 간 데이터 전송 보안 평가의 재신고를 요하는 사정이 발생하지 않은 경우, 데이터 처리자는 유효 기간 만료 60 영업일 전에 그 소재지의 성급 인터넷정보 부문을 통하여 국가 인터넷정보 부문에 평가 결과 유효 기간 연장 신청을 제출할 수 있다. 국가 인터넷정보 부문의 승인으로, 평가 결과의 유효 기간은 3년 연장될 수 있다.
제10조 데이터 처리자가 개인정보를 해외에 제공하는 경우, 법률·행정법규의 규정에 따라 고지, 개인의 별도 동의 취득, 개인정보 보호 영향 평가 수행 같은 의무를 이행하여야 한다.
제11조 데이터 처리자가 데이터를 해외에 제공하는 경우, 법률·법규의 규정을 준수하고, 데이터 보안 보호 의무를 이행하며, 국경 간 데이터 전송의 보안을 지키기 위한 기술적 조치와 그 밖의 필요한 조치를 취하여야 한다. 데이터 보안 사고가 발생하거나 발생할 수 있는 경우, 구제 조치를 취하고 성급 이상의 인터넷정보 부문 및 그 밖의 관련 주관 당국에 신속히 보고하여야 한다.
제12조 각지의 인터넷정보 부문은 데이터 처리자의 국경 간 데이터 전송 활동에 대한 지도·감독을 강화하고, 국경 간 데이터 전송 보안 평가 제도를 개선·완비하며, 평가 절차를 최적화하여야 한다; 사전·사중·사후의 전체 사슬·전체 영역 감독을 강화하고, 국경 간 데이터 전송 활동이 비교적 큰 위험을 초래하거나 데이터 보안 사고가 발생했음을 발견한 경우, 데이터 처리자에게 시정하고 숨은 위험을 제거하도록 요구하여야 한다; 데이터 처리자가 시정을 거부하거나 심각한 결과를 초래한 경우, 법에 따라 법적 책임을 추궁한다.
제13조 2022년 7월 7일 공포된 「국경 간 데이터 전송 보안 평가 방법」(중국 국가인터넷정보판공실령 제11호), 2023년 2월 22일 공포된 「개인정보 국경 간 이전 표준계약 방법」(중국 국가인터넷정보판공실령 제13호) 등의 관련 규정이 본 규정과 불일치하는 경우, 본 규정을 적용한다.
제14조 본 규정은 공포일부터 시행한다.
맺음말
원문서는 중국 국가인터넷정보판공실에 의해 중국어로 공표되었습니다. 저희가 그것을 영어로 번역한 것이 위의 내용입니다. 이 번역은 신속한 이해만을 위해 제공되며, 귀하 자신의 판단과 책임 하에 이용하십시오 — 현행 요건은 반드시 자격 있는 법률 자문과 확인하십시오.
저희 팀의 추가 지원이 필요하시면, 오늘 문의해(영어) 주십시오. 저희 전문가가 귀사의 중국 내 존재를 기초부터 규정에 맞게 유지하도록 돕겠습니다.