TLDR; 아래는 중국의 데이터 국경 간 전송 보안 평가 방법(数据出境安全评估办法, 중국 국가인터넷정보판공실령 제11호)의 영어 번역본에서 옮긴 한국어 번역으로, 2022년 7월 7일 발행되고 2022년 9월 1일부터 시행되었습니다.
귀사가 개인정보나 “중요 데이터”를 중국 본토 밖으로 — 모회사, 해외 클라우드 리전, 또는 제3자 처리자에게 — 옮긴다면, 본 방법은 그 전송이 더 가벼운 경로가 아니라 먼저 정부 운영 보안 평가를 통과해야 하는 때를 정의합니다. 그것은 개인정보 보호법(PIPL)의 국경 간 이전 규칙, 데이터 보안법의 데이터 분류 체계, 사이버보안법의 핵심정보인프라 제도를 구체화하여, 중국 국가인터넷정보판공실에의 필수 신고를 유발하는 엄격한 기준을 설정합니다. 많은 국제 사업자에게 이것은 가장 결정적인 단일 데이터 컴플라이언스 관문이며, 어떤 데이터가 나라를 떠나기 훨씬 전에 자문과 확인할 사안입니다.
데이터 국경 간 전송 보안 평가 방법(2022년 7월 7일 중국 국가인터넷정보판공실령 제11호로 발행; 2022년 9월 1일 시행)
제1조 본 방법은 데이터 수출 활동을 규율하고, 개인정보에 대한 권익을 보호하며, 국가안전과 사회의 공공 이익을 지키고, 데이터의 안전하고 자유로운 국경 간 이동을 촉진하기 위하여, 「중화인민공화국 사이버보안법」, 「중화인민공화국 데이터 보안법」, 「중화인민공화국 개인정보 보호법」, 그 밖의 법률·법규에 따라 제정한다.
제2조 본 방법은 데이터 처리자가 중화인민공화국 영역 내 운영 과정에서 수집·생성하여 해외 수령인에게 제공하는 중요 데이터와 개인정보의 보안 평가에 적용한다. 법률이나 행정법규가 달리 규정한 경우, 그 규정을 적용한다.
제3조 데이터 국경 간 전송의 보안 평가는 사전 평가와 지속 감독을 결합하고 위험 자체 평가와 보안 평가를 결합하는 것을 견지하여, 데이터 수출의 보안 위험을 방지하고 데이터의 적법하고 질서 있는 자유로운 이동을 확보한다.
제4조 데이터 처리자가 다음 각 호의 어느 하나에 해당하는 사정에서 해외 수령인에게 데이터를 제공하는 경우, 그 소재지의 성급 인터넷정보 부문을 통하여 국가 인터넷정보 부문에 데이터 국경 간 전송 보안 평가를 신고하여야 한다:
(1) 데이터 처리자가 중요 데이터를 해외 수령인에게 제공하는 경우;
(2) 핵심정보인프라 운영자, 또는 100만 명 넘는 개인정보를 처리하는 데이터 처리자가 개인정보를 해외 수령인에게 제공하는 경우;
(3) 전년도 1월 1일 이래 누계로 10만 명의 개인정보 또는 1만 명의 민감 개인정보를 해외 수령인에게 제공한 데이터 처리자가 개인정보를 해외 수령인에게 제공하는 경우;
(4) 국가 인터넷정보 부문이 정하는 바에 따라 데이터 국경 간 전송 보안 평가를 신고하여야 하는 그 밖의 사정.
제5조 데이터 국경 간 전송 보안 평가를 신고하기 전에, 데이터 처리자는 다음 사항에 중점을 두고 데이터 수출의 위험에 대한 자체 평가를 수행하여야 한다:
(1) 데이터 수출과 해외 수령인의 데이터 처리의 목적, 범위, 방법의 적법성, 정당성, 필요성;
(2) 국경 간 데이터의 규모, 범위, 유형, 민감도, 그리고 데이터 수출이 국가안전, 공공 이익, 개인이나 조직의 적법한 권익에 초래할 수 있는 위험;
(3) 해외 수령인이 부담하기로 약속한 책임과 의무, 그리고 그 책임과 의무를 이행하기 위한 관리·기술 조치와 역량이 국경 간 데이터의 보안을 확보할 수 있는지 여부;
(4) 수출 중과 수출 후 데이터가 변조·훼손·유출·분실·이전되거나 불법으로 취득·이용될 위험, 그리고 개인정보에 대한 권익을 보호하는 경로가 원활한지 여부 등;
(5) 해외 수령인과 체결할 데이터 수출 관련 계약이나 그 밖의 법적 구속력 있는 문서(이하 “법적 문서”라 총칭한다)가 데이터 보안 보호의 책임과 의무를 충분히 규정하는지 여부;
(6) 데이터 수출의 보안에 영향을 줄 수 있는 그 밖의 사항.
제6조 데이터 국경 간 전송 보안 평가를 신고하려면 다음 자료를 제출하여야 한다:
(1) 신고서;
(2) 국경 간 전송의 위험에 대한 자체 평가 보고서;
(3) 데이터 처리자와 해외 수령인이 체결할 법적 문서;
(4) 보안 평가 업무에 필요한 그 밖의 자료.
제7조 성급 인터넷정보 부문은 신고 자료를 받은 날로부터 5 영업일 이내에 완비성 점검을 완료하여야 한다. 신고 자료가 완비된 경우, 국가 인터넷정보 부문에 전달한다; 신고 자료가 불비한 경우, 데이터 처리자에게 반환하고 보충해야 할 자료를 일회적으로 고지한다.
국가 인터넷정보 부문은 신고 자료를 받은 날로부터 7 영업일 이내에 신고 수리 여부를 결정하고 데이터 처리자에게 서면으로 통지하여야 한다.
제8조 데이터 국경 간 전송 보안 평가는 데이터 수출 활동이 국가안전, 공공 이익, 개인이나 조직의 적법한 권익에 초래할 수 있는 위험을 평가하는 데 중점을 두며, 주로 다음 사항을 포함한다:
(1) 데이터 수출의 목적, 범위, 방법의 적법성, 정당성, 필요성;
(2) 해외 수령인이 소재한 국가나 지역의 데이터 보안 보호 정책·법규와 사이버보안 환경이 국경 간 데이터의 보안에 미치는 영향; 그리고 해외 수령인의 데이터 보호 수준이 중화인민공화국의 법률·행정법규와 강제 국가 표준의 요건을 충족하는지 여부;
(3) 국경 간 데이터의 규모, 범위, 유형, 민감도, 그리고 수출 중과 수출 후 그것이 변조·훼손·유출·분실·이전되거나 불법으로 취득·이용될 위험;
(4) 데이터 보안과 개인정보에 대한 권익이 충분하고 효과적으로 지켜질 수 있는지 여부;
(5) 데이터 처리자와 해외 수령인이 체결할 법적 문서가 데이터 보안 보호의 책임과 의무를 충분히 규정하는지 여부;
(6) 중국 법률·행정법규·부문 규칙의 준수;
(7) 국가 인터넷정보 부문이 평가가 필요하다고 보는 그 밖의 사항.
제9조 데이터 처리자는 해외 수령인과 체결하는 법적 문서에 데이터 보안 보호의 책임과 의무를 명시적으로 규정하여야 하며, 적어도 다음을 포함한다:
(1) 데이터 수출의 목적, 방법, 범위, 그리고 해외 수령인의 데이터 처리의 용도와 방법;
(2) 데이터의 해외 저장 위치와 기간, 그리고 저장 기간이 도래하거나 약정한 목적이 달성되거나 법적 문서가 종료되면 국경 간 데이터를 처리하는 조치;
(3) 해외 수령인이 국경 간 데이터를 다른 조직이나 개인에게 재이전하는 것에 대한 구속적 요건;
(4) 해외 수령인의 실제 통제나 영업 범위에 실질적 변경이 있거나, 그 소재 국가·지역의 데이터 보안 보호 정책·법규와 사이버보안 환경에 변경이 있거나, 그 밖의 불가항력 사정이 발생하여 데이터 보안을 확보하기 어려워지는 경우에 취할 보안 조치;
(5) 법적 문서가 규정한 데이터 보안 보호 의무 위반에 대한 구제 조치, 위약 책임, 분쟁 해결 수단;
(6) 국경 간 데이터가 변조·훼손·유출·분실·이전되거나 불법으로 취득·이용될 위험에 처한 경우 긴급 대응을 적절히 수행하기 위한 요건, 그리고 개인이 개인정보에 대한 권익을 보호할 능력을 지키는 경로와 방법.
제10조 신고를 수리한 후, 국가 인터넷정보 부문은 신고의 사정에 근거하여 국무원의 관련 부문, 성급 인터넷정보 부문, 전문 기관 등을 조직하여 보안 평가를 수행한다.
제11조 보안 평가 중 데이터 처리자가 제출한 신고 자료가 요건을 충족하지 않음이 발견되는 경우, 국가 인터넷정보 부문은 그에게 보충이나 정정을 요구할 수 있다. 데이터 처리자가 정당한 이유 없이 보충이나 정정을 하지 않는 경우, 국가 인터넷정보 부문은 보안 평가를 종료할 수 있다.
데이터 처리자는 제출한 자료의 진실성에 대하여 책임을 진다. 고의로 허위 자료를 제출한 경우, 평가에 불합격한 것으로 보고, 그에 상응하는 법적 책임을 법에 따라 추궁한다.
제12조 국가 인터넷정보 부문은 데이터 처리자에게 서면 수리 통지를 발한 날로부터 45 영업일 이내에 데이터 국경 간 전송 보안 평가를 완료하여야 한다; 사정이 복잡하거나 자료의 보충·정정이 필요한 경우, 기간을 적절히 연장할 수 있고, 데이터 처리자에게 예상 연장 기간을 고지하여야 한다.
평가 결과는 데이터 처리자에게 서면으로 통지하여야 한다.
제13조 데이터 처리자가 평가 결과에 이의가 있는 경우, 평가 결과를 받은 날로부터 15 영업일 이내에 국가 인터넷정보 부문에 재평가를 신청할 수 있다; 재평가 결과는 최종적이다.
제14조 데이터 국경 간 전송 보안 평가를 통과한 결과는 평가 결과가 발급된 날로부터 계산하여 2년간 유효하다. 유효 기간 중 다음 각 호의 어느 하나에 해당하는 사정이 발생하는 경우, 데이터 처리자는 평가를 재신고하여야 한다:
(1) 해외 수령인에게 제공하는 데이터의 목적, 방법, 범위, 또는 유형에, 또는 해외 수령인의 데이터 처리의 용도나 방법에, 국경 간 데이터의 보안에 영향을 주는 변경이 있거나, 개인정보와 중요 데이터의 해외 저장 기간이 연장되는 경우;
(2) 해외 수령인이 소재한 국가·지역의 데이터 보안 보호 정책·법규와 사이버보안 환경에 변경이 있거나 그 밖의 불가항력 사정이 발생하거나, 데이터 처리자나 해외 수령인의 실제 통제에 변경이 있거나, 데이터 처리자와 해외 수령인 사이의 법적 문서에 변경이 있어, 국경 간 데이터의 보안에 영향을 주는 경우;
(3) 국경 간 데이터의 보안에 영향을 주는 그 밖의 사정이 발생하는 경우.
유효 기간이 만료되고 데이터 수출 활동을 계속할 필요가 있는 경우, 데이터 처리자는 유효 기간 만료 60 영업일 전에 평가를 재신고하여야 한다.
제15조 보안 평가 업무에 참여하는 관련 기관과 인원은 법에 따라 직무 수행 중 알게 된 국가 비밀, 개인의 사생활, 개인정보, 상업 비밀, 기밀 영업 정보, 그 밖의 데이터를 비밀로 유지하여야 하고, 그러한 데이터를 공개하거나 타인에게 불법으로 제공하거나 불법으로 이용해서는 안 된다.
제16조 어떤 조직이나 개인이든 데이터 처리자가 본 방법을 위반하여 해외 수령인에게 데이터를 제공하는 것을 발견하는 경우, 성급 이상의 인터넷정보 부문에 신고할 수 있다.
제17조 국가 인터넷정보 부문이 이미 평가를 통과한 데이터 수출 활동이 실제 처리 과정에서 더 이상 국경 간 데이터 전송의 보안 관리 요건을 충족하지 않음을 발견하는 경우, 데이터 처리자에게 서면으로 통지하여 데이터 수출 활동을 종료하도록 한다. 데이터 처리자가 데이터 수출 활동을 계속할 필요가 있는 경우, 요구에 따라 시정하고, 시정 완료 후 평가를 재신고하여야 한다.
제18조 본 방법의 규정 위반은 「중화인민공화국 사이버보안법」, 「중화인민공화국 데이터 보안법」, 「중화인민공화국 개인정보 보호법」, 그 밖의 법률·법규에 따라 처리한다; 범죄를 구성하는 경우, 법에 따라 형사 책임을 추궁한다.
제19조 본 방법에서 말하는 “중요 데이터”란 변조·훼손·유출되거나 불법으로 취득·이용되면 국가안전, 경제 운영, 사회 안정, 공중 보건·안전 등을 위태롭게 할 수 있는 데이터를 말한다.
제20조 본 방법은 2022년 9월 1일부터 시행한다. 본 방법 시행 전에 이미 수행되고 있던 데이터 수출 활동으로서 본 방법의 규정에 부합하지 않는 것은 본 방법 시행일로부터 6개월 이내에 시정을 완료하여야 한다.
맺음말
원문서는 중국 국가인터넷정보판공실에 의해 중국어로 공표되었습니다. 저희가 그것을 영어로 번역한 것이 위의 내용입니다. 이 번역은 신속한 이해만을 위해 제공되며, 귀하 자신의 판단과 책임 하에 이용하십시오 — 현행 요건은 반드시 자격 있는 법률 자문과 확인하십시오.
저희 팀의 추가 지원이 필요하시면, 오늘 문의해(영어) 주십시오. 저희 전문가가 귀사의 중국 내 존재를 기초부터 규정에 맞게 유지하도록 돕겠습니다.