중국 데이터 보안법(최신)

TLDR; 아래는 중국 DSL(데이터 보안법)의 영어 번역본에서 옮긴 한국어 번역으로, 2021년 9월 1일부터 시행되었습니다.

제1장 총칙

제1조 본 법은 데이터 처리 활동을 규율하고, 데이터 보안을 확보하며, 데이터 개발·활용을 촉진하고, 개인과 조직의 적법한 권익을 보호하며, 국가 주권·안전·발전 이익을 지키기 위하여 제정한다.

제2조 본 법은 중화인민공화국 영역 내에서의 데이터 처리 활동과 그 보안 감독에 적용한다.

중화인민공화국 영역 밖에서 데이터 처리 활동을 수행하여 중화인민공화국의 국가안전, 공공 이익, 또는 시민·조직의 적법한 권익을 해치는 자는 법에 따라 법적 책임을 규명한다.

제3조 본 법에서 말하는 “데이터”란 전자적 또는 그 밖의 방식으로 기록된 모든 정보를 가리킨다.

데이터 처리란 데이터의 수집, 저장, 사용, 가공, 전송, 제공, 공개 등을 포함한다.

데이터 보안이란 데이터가 효과적으로 보호되고 적법하게 이용되는 상태를 확보하기 위한 필요한 조치, 그리고 지속적 보안을 확보하는 능력을 말한다.

제4조 데이터 보안을 유지하기 위하여 총체적 국가안전관을 견지하고, 데이터 보안 거버넌스 체계를 수립·개선하며, 데이터 보안 보장 능력을 높인다.

제5조 중앙 국가안전 영도 기구는 국가 데이터 보안 업무의 의사결정·심의·조율을 담당하고, 국가 데이터 보안 전략과 관련 주요 정책을 연구·제정·시행 지도하며, 국가 데이터 보안의 주요 사안과 중요 업무를 총괄·조율하고, 국가 데이터 보안 업무 조율 메커니즘을 수립한다.

제6조 모든 지역과 부문은 자기 지역·부문의 업무에서 수집·생성한 데이터와 데이터 보안을 책임진다.

공업, 전신, 교통, 금융, 자연자원, 보건, 교육, 과학기술 주관 부문은 각자의 산업·분야의 데이터 보안 감독을 담당한다.

공안 기관, 국가안전 기관 등은 본 법과 관련 법률·행정법규의 규정에 따라 각자의 직무 범위 내에서 데이터 보안 감독 책임을 진다.

국가 사이버보안·정보화 부문은 본 법과 관련 법률·행정법규의 규정에 따라 네트워크 데이터 보안과 관련 감독을 총괄·조율하는 일을 담당한다.

제7조 국가는 데이터와 관련된 개인과 조직의 권익을 보호하고, 법에 따른 데이터의 합리적·효과적 이용을 장려하며, 법에 따른 데이터의 질서 있는 자유로운 이동을 보장하고, 데이터를 핵심 요소로 하는 디지털 경제의 발전을 촉진한다.

제8조 데이터 처리 활동을 수행할 때, 법률·법규를 준수하고, 사회 도덕과 윤리를 존중하며, 상업 윤리와 직업 윤리를 지키고, 정직하고 신뢰할 수 있게 행동하며, 데이터 보안 보호 의무를 이행하고, 사회적 책임을 지며, 국가안전·공공 이익을 위태롭게 하거나 개인·조직의 적법한 권익을 해쳐서는 안 된다.

제9조 국가는 데이터 보안 지식의 홍보·보급을 지원하고, 사회 전체의 데이터 보안 보호 의식과 수준을 높이며, 관련 부문·업계 조직·과학 연구 기관·기업·개인 등이 데이터 보안 보호 업무에 함께 참여하도록 촉진하여, 사회 전체가 데이터 보안을 함께 지키고 발전에 이로운 환경을 형성한다.

제10조 관련 업계 조직은 정관에 따라 데이터 보안 행동 규범과 단체 표준을 제정하고, 업계 자율을 강화하며, 회원이 데이터 보안 보호를 강화하도록 지도하고, 데이터 보안 보호 수준을 높이며, 업계의 건전한 발전을 촉진하여야 한다.

제11조 국가는 데이터 보안 거버넌스, 데이터 개발·활용 분야에서 국제 교류·협력을 적극 수행하고, 데이터 보안에 관한 국제 규칙·표준 제정에 참여하며, 데이터의 국경 간 안전하고 자유로운 이동을 촉진한다.

제12조 어떤 개인이나 조직이든 본 법의 규정을 위반하는 행위에 대하여 관련 주관 당국에 불만하거나 신고할 권리가 있다. 불만·신고를 받은 부문은 법에 따라 신속히 처리하여야 한다.

관련 주관 부문은 불만인과 신고인의 관련 정보를 비밀로 유지하고, 불만인과 신고인의 적법한 권익을 보호하여야 한다.

제2장 데이터 보안과 발전

제13조 국가는 발전과 안전을 총괄하고, 데이터 개발·활용과 산업 발전을 통해 데이터 보안을 촉진하며, 데이터 보안을 통해 데이터 개발·활용과 산업 발전을 보장하는 것을 견지한다.

제14조 국가는 빅데이터 전략을 시행하고, 데이터 인프라 구축을 추진하며, 각 산업·분야에서 데이터의 혁신적 응용을 장려·지원한다.

성급 이상 인민정부는 디지털 경제의 발전을 국민 경제·사회 발전 계획에 편입하고, 필요에 따라 디지털 경제 발전 계획을 제정하여야 한다.

제15조 국가는 공공 서비스의 지능화 수준을 높이기 위한 데이터 개발·활용을 지원한다. 지능형 공공 서비스를 제공할 때, 노인과 장애인의 필요를 충분히 고려하고, 그들의 일상 생활에 장애가 되는 것을 피하여야 한다.

제16조 국가는 데이터 개발·활용과 데이터 보안 기술 연구를 지원하고, 데이터 개발·활용과 데이터 보안 분야의 기술 보급과 상업 혁신을 장려하며, 데이터 개발·활용과 데이터 보안 제품·산업 체계를 육성·발전시킨다.

제17조 국가는 데이터 개발·활용 기술과 데이터 보안 표준 체계의 구축을 추진한다. 국무원 표준화 행정 부문과 국무원 관련 부문은 각자의 직무에 따라 데이터 개발·활용 기술·제품과 데이터 보안에 관한 관련 표준의 제정과 적시 개정을 조직한다. 국가는 기업·사회 단체·교육 및 과학 연구 기관이 표준 제정에 참여하는 것을 지원한다.

제18조 국가는 데이터 보안 시험·평가·인증 같은 서비스의 발전을 촉진하고, 데이터 보안 시험·평가·인증 같은 전문 기관이 법에 따라 서비스 활동을 수행하는 것을 지원한다.

국가는 관련 부문, 업계 조직, 기업, 교육 및 과학 연구 기관, 관련 전문 기관이 데이터 보안 위험 평가·예방·처리에 협력하는 것을 지원한다.

제19조 국가는 데이터 거래 관리 제도를 수립·개선하고, 데이터 거래 행위를 규율하며, 데이터 거래 시장을 육성한다.

제20조 국가는 교육·과학 연구 기관과 기업이 데이터 개발·활용 기술과 데이터 보안에 관한 교육·훈련을 수행하는 것을 지원하고, 다양한 방법으로 데이터 개발·활용 기술과 데이터 보안 전문가를 육성하며, 인재 교류를 촉진한다.

제3장 데이터 보안 제도

제21조 국가는 데이터 분류·등급 보호 제도를 수립한다. 경제·사회 발전에서 데이터의 중요도, 그리고 데이터가 변조·훼손·유출되거나 불법으로 취득·이용되면 국가안전, 공공 이익, 또는 개인·조직의 적법한 권익에 미치는 해의 정도에 따라 데이터를 분류·등급화하여 보호한다. 국가 데이터 보안 업무 조율 메커니즘은 관련 부문을 조율하여 중요 데이터 목록을 제정하고 중요 데이터의 보호를 강화한다.

국가안전, 국민 경제의 명맥, 중요 민생, 주요 공공 이익에 관련된 데이터는 국가 핵심 데이터에 속하며, 더 엄격한 관리 제도를 시행한다.

모든 지역과 부문은 데이터 분류·등급 보호 제도에 따라 자기 지역·부문과 관련 산업·분야의 중요 데이터 구체적 목록을 정하고, 목록에 포함된 데이터를 중점 보호하여야 한다.

제22조 국가는 집중적이고 통일적이며 효율적이고 권위 있는 데이터 보안 위험 평가·보고·정보 공유·모니터링·조기 경보 메커니즘을 수립한다. 국가 데이터 보안 업무 조율 메커니즘은 관련 부문을 조율하여 데이터 보안 위험 정보의 취득·분석·연구판단·조기 경보를 강화한다.

제23조 국가는 데이터 보안 긴급 대응 메커니즘을 수립한다. 데이터 보안 사고가 발생하는 경우, 관련 주관 당국은 법에 따라 긴급 대응 계획을 가동하고, 상응하는 긴급 대응 조치를 취하며, 해의 확대를 막고, 숨은 보안 위험을 제거하며, 공중에 관련된 경보 정보를 공중에 신속히 발표하여야 한다.

제24조 국가는 데이터 보안 심사 제도를 수립하고, 국가안전에 영향을 주거나 줄 수 있는 데이터 처리 활동에 대해 국가안전 심사를 수행한다.

법에 따라 내려진 보안 심사 결정은 최종적이다.

제25조 국가는 국가안전·이익을 지키고 국제 의무를 이행하는 데 관련된 통제 품목에 속하는 데이터에 수출 통제를 행사한다.

제26조 어떤 국가나 지역이 데이터와 데이터 개발·활용 기술에 관련된 투자·무역 등에서 중화인민공화국에 대해 차별적 금지·제한이나 그 밖의 유사한 조치를 취하는 경우, 중화인민공화국은 실제 상황에 따라 그 국가나 지역에 상응하는 조치를 취할 수 있다.

제4장 데이터 보안 보호 의무

제27조 데이터 처리 활동은 법률·법규의 규정에 따라 수행하고, 전 과정 데이터 보안 관리 제도를 수립·개선하며, 데이터 보안 교육·훈련을 조직·수행하고, 데이터 보안을 확보하기 위한 상응하는 기술적 조치와 그 밖의 필요한 조치를 취하여야 한다. 인터넷 등 정보 네트워크를 이용하여 데이터 처리 활동을 수행하는 경우, 네트워크 보안 등급 보호 제도에 기초하여 위의 데이터 보안 보호 의무를 이행하여야 한다.

중요 데이터의 처리자는 데이터 보안 책임자와 관리 기구를 명확히 하고, 데이터 보안 보호 책임을 시행하여야 한다.

제28조 데이터 처리 활동을 수행하고 데이터 관련 신기술을 연구·개발하는 것은 경제·사회 발전을 촉진하고, 인민의 복지를 증진하며, 사회 도덕과 윤리에 부합하는 데 이로워야 한다.

제29조 데이터 처리 활동을 수행할 때, 위험 모니터링을 강화하고, 데이터 보안 결함·허점 같은 위험을 발견하는 즉시 구제 조치를 취하여야 한다; 데이터 보안 사고가 발생하는 경우, 즉시 처리 조치를 취하고, 규정에 따라 이용자에게 신속히 알리며 관련 주관 당국에 보고하여야 한다.

제30조 중요 데이터의 처리자는 규정에 따라 그 데이터 처리 활동에 대한 정기적 위험 평가를 수행하고, 위험 평가 보고서를 관련 주관 당국에 제출하여야 한다.

위험 평가 보고서는 처리하는 중요 데이터의 유형·수량, 데이터 처리 활동의 상황, 직면한 데이터 보안 위험과 대응책 등을 포함하여야 한다.

제31조 핵심정보인프라 운영자가 중화인민공화국 영역 내 운영 과정에서 수집·생성한 중요 데이터의 국경 간 보안 관리는 「중화인민공화국 사이버보안법」의 규정을 적용한다; 그 밖의 데이터 처리자가 중화인민공화국 영역 내 운영에서 수집·생성한 중요 데이터의 국경 간 보안 관리 방법은 국가 사이버보안·정보화 부문이 국무원의 관련 부문과 함께 제정한다.

제32조 데이터를 수집하는 어떤 조직이나 개인도 적법하고 정당한 방법을 채택하여야 하고, 절취하거나 그 밖의 불법 방식으로 데이터를 취득해서는 안 된다.

법률·행정법규가 데이터 수집·이용의 목적과 범위를 규정하는 경우, 법률·행정법규가 규정한 목적과 범위 내에서 데이터를 수집·이용하여야 한다.

제33조 데이터 거래 중개 서비스를 제공하는 기관은 데이터 제공자에게 데이터의 출처를 설명하도록 요구하고, 거래 양 당사자의 신원을 심사하며, 심사·거래 기록을 보존하여야 한다.

제34조 법률·행정법규가 데이터 처리 관련 서비스의 제공에 행정 허가 취득을 요하는 것으로 규정하는 경우, 서비스 제공자는 법에 따라 허가를 취득하여야 한다.

제35조 공안 기관과 국가안전 기관이 법에 따라 국가안전을 지키거나 범죄를 수사할 필요로 데이터를 취득할 때, 관련 국가 규정에 따라 엄격한 승인 절차를 거치고, 법에 따라 진행하여야 하며, 관련 조직과 개인은 협력하여야 한다.

제36조 중화인민공화국의 주관 당국은 관련 법률과 중화인민공화국이 체결·가입한 국제 조약·협정에 따라, 또는 평등·호혜 원칙에 따라 외국 사법·법 집행 기관의 데이터 제공 요청을 처리한다. 중화인민공화국 영역 내의 조직과 개인은 중화인민공화국 주관 당국의 승인 없이 중화인민공화국 영역 내에 저장된 데이터를 외국 사법·법 집행 기관에 제공해서는 안 된다.

제5장 정무 데이터 보안과 개방

제37조 국가는 전자정부 구축을 적극 추진하고, 정무 데이터의 과학성·정확성·적시성을 높이며, 데이터를 활용하여 경제·사회 발전에 복무하는 능력을 강화한다.

제38조 국가 기관이 법정 직무를 수행하기 위하여 데이터를 수집·이용하는 것은 법률·행정법규가 정한 조건과 절차에 따라 그 법정 직무 범위 내에서 수행하여야 한다; 직무 수행 중 알게 된 개인의 사생활, 개인정보, 영업 비밀, 기밀 영업 정보 등의 데이터는 법에 따라 비밀로 유지하여야 하고, 유출하거나 타인에게 불법으로 제공해서는 안 된다.

제39조 국가 기관은 법률·행정법규의 규정에 따라 데이터 보안 관리 제도를 수립·개선하고, 데이터 보안 보호 책임을 시행하며, 정무 데이터의 보안을 확보하여야 한다.

제40조 국가 기관이 타인에게 위탁하여 전자정부 시스템을 구축·유지보수하거나 정무 데이터를 저장·처리하게 하는 경우, 엄격한 승인 절차를 거치고, 수탁자가 상응하는 데이터 보안 보호 의무를 이행하도록 감독하여야 한다. 수탁자는 법률·법규와 계약의 규정에 따라 데이터 보안 보호 의무를 이행하여야 하고, 무단으로 정무 데이터를 보존·이용·유출하거나 타인에게 제공해서는 안 된다.

제41조 국가 기관은 공정·공평·편민의 원칙을 따르고, 규정에 따라 정무 데이터를 신속하고 정확하게 공개하여야 한다. 법에 따라 공개하지 않는 것은 제외한다.

제42조 국가는 정무 데이터 개방 목록을 제정하고, 통일적이고 규범적이며 상호 연결되고 안전하며 통제 가능한 정무 데이터 개방 플랫폼을 구축하여, 정무 데이터의 개방 이용을 촉진한다.

제43조 본 장의 규정은 법률·법규가 공공 사무 관리 기능을 수권한 조직이 법정 직무를 수행하기 위하여 데이터 처리 활동을 수행하는 경우에 적용한다.

제6장 법적 책임

제44조 데이터 보안 감독 직무 수행 중, 관련 주관 부문이 데이터 처리 활동에 비교적 큰 보안 위험이 있음을 발견하는 경우, 정해진 권한과 절차에 따라 관련 조직·개인과 면담하고, 관련 조직·개인에게 시정 조치를 취하여 숨은 위험을 제거하도록 요구할 수 있다.

제45조 데이터 처리 활동을 수행하는 조직이나 개인이 본 법 제27조, 제29조, 제30조가 정한 데이터 보안 보호 의무를 이행하지 않은 경우, 관련 주관 부문이 시정을 명하고 경고하며, 5만 위안 이상 50만 위안 이하의 벌금을 병과할 수 있고, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과할 수 있다; 시정을 거부하거나 대량 데이터 유출 같은 심각한 결과를 초래하는 경우, 50만 위안 이상 200만 위안 이하의 벌금을 부과하고, 관련 업무 정지, 정돈을 위한 영업 정지, 관련 업무 허가 취소, 또는 영업 집조 취소를 명할 수 있다; 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 5만 위안 이상 20만 위안 이하의 벌금을 부과한다.

국가 핵심 데이터 관리 제도를 위반하여 국가 주권·안전·발전 이익을 위태롭게 한 자는 관련 주관 당국이 200만 위안 이상 1,000만 위안 이하의 벌금을 부과하고, 정황에 따라 관련 업무 정지, 정돈을 위한 영업 정지, 관련 업무 허가 취소, 또는 영업 집조 취소를 명한다; 범죄를 구성하는 경우, 법에 따라 형사 책임을 규명한다.

제46조 본 법 제31조의 규정을 위반하여 중요 데이터를 해외에 제공한 자는 관련 주관 부문이 시정을 명하고, 경고하며, 10만 위안 이상 100만 위안 이하의 벌금도 부과할 수 있고, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과할 수 있다; 정황이 중한 경우, 100만 위안 이상 1,000만 위안 이하의 벌금을 부과하고, 관련 업무 정지, 정돈을 위한 영업 정지, 관련 업무 허가 취소, 또는 영업 집조 취소를 명할 수 있으며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 10만 위안 이상 100만 위안 이하의 벌금을 부과한다.

제47조 데이터 거래 중개 서비스에 종사하는 기관이 본 법 제33조가 정한 의무를 이행하지 않은 경우, 관련 주관 부문이 시정을 명하고, 위법 소득을 몰수하며, 위법 소득의 1배 이상 10배 이하의 벌금을 부과한다; 위법 소득이 없거나 10만 위안 미만인 경우, 10만 위안 이상 100만 위안 이하의 벌금을 부과하고, 정돈을 위해 관련 업무 정지, 관련 업무 허가 취소, 또는 영업 집조 취소를 명한다; 직접 책임이 있는 자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다.

제48조 본 법 제35조의 규정을 위반하여 데이터 조회에 협력하기를 거부한 자는 시정을 명받고, 경고를 받으며, 5만 위안 이상 50만 위안 이하의 벌금을 부과받는다; 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다.

본 법 제36조의 규정을 위반하여 주관 당국의 승인 없이 외국 사법·법 집행 기관에 데이터를 제공한 자는 관련 주관 당국이 경고하고, 10만 위안 이상 100만 위안 이하의 벌금도 부과할 수 있으며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과할 수 있다; 심각한 결과를 초래하는 경우, 100만 위안 이상 500만 위안 이하의 벌금을 부과하고, 관련 업무 정지, 정돈을 위한 영업 정지, 또는 관련 업무 허가 취소나 영업 집조 취소를 명할 수 있으며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 5만 위안 이상 50만 위안 이하의 벌금을 부과한다.

제49조 국가 기관이 본 법이 정한 데이터 보안 보호 의무를 이행하지 않은 경우, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 법에 따라 처벌한다.

제50조 데이터 보안 감독 직무를 수행하는 국가 공무원이 직무를 유기하거나, 직권을 남용하거나, 사익을 위해 부정을 저지르는 경우, 법에 따라 처벌한다.

제51조 데이터를 절취하거나 그 밖의 불법 수단으로 취득하거나, 경쟁을 배제·제한하거나 개인·조직의 적법한 권익을 해치는 데이터 처리 활동을 수행한 자는, 관련 법률·행정법규의 규정에 따라 처벌한다.

제52조 본 법의 규정을 위반하여 타인에게 해를 끼친 자는 법에 따라 민사 책임을 진다.

본 법의 규정을 위반하여 치안 관리 위반을 구성하는 자는 법에 따라 치안 관리 처벌을 받는다; 범죄를 구성하는 경우, 법에 따라 형사 책임을 규명한다.

제7장 부칙

제53조 국가 비밀에 관련된 데이터 처리 활동은 「중화인민공화국 국가비밀보호법」과 그 밖의 법률·행정법규를 적용한다.

통계·기록 업무에서 데이터 처리 활동을 수행하고, 개인정보에 관련된 데이터 처리 활동을 수행할 때, 관련 법률·행정법규도 준수하여야 한다.

제54조 군사 데이터의 보안 보호 방법은 중앙군사위원회가 본 법에 따라 별도로 제정한다.

제55조 본 법은 2021년 9월 1일부터 시행한다.

맺음말

원문 데이터 보안법은 중국어로 작성되었습니다; 저희가 그것을 영어로 번역한 것이 위의 내용입니다. 이 문서는 법에 대한 신속한 이해의 목적만을 위한 것이며, 귀하 자신의 책임 하에 이용하십시오.

저희 팀의 추가 지원이 필요하시면, 오늘 문의해(영어) 주십시오. 저희 전문가가 귀사 사이트를 중국에서 살아 있게 만드는 모든 비결을 설명해 드리겠습니다!

귀사 앱을 중국에서 작동하게 할 준비가 되셨나요?

시작하기 궁금한 점이 있으신가요? 전문가와 상담하세요.

---

1차 출처: 《中华人民共和国数据安全法》, 2021년 6월 10일 채택되어 2021년 9월 1일부터 시행, 중국 국가인터넷정보판공실이 발행한 전문: cac.gov.cn.

위 영어는 저희 번역이며 방향 잡기용으로만 제공됩니다. 영어와 중국어가 다른 경우, 중국어가 우선합니다. 이 페이지는 법률 자문이 아닙니다.