TLDR; 아래는 중국의 네트워크 데이터 보안 관리 조례(网络数据安全管理条例, 국무원령 제790호)의 영어 번역본에서 옮긴 한국어 번역으로, 2024년 9월 24일 공포되고 2025년 1월 1일부터 시행되었습니다.
귀사가 중국 본토 이용자의 데이터를 취급한다면 — 그곳에서 앱, 플랫폼, API, 또는 클라우드 서비스를 운영하든 — 본 조례는 그 나라의 세 핵심 데이터 법령을 하나의 운영 기준으로 묶는 교차 규칙집입니다. 국무원이 발행한 그것은 사이버보안법, 데이터 보안법, PIPL 위에 쌓여, 네트워크 데이터 처리자의 구체적 의무를 명시합니다: 보안 의무, 개인정보 취급, 중요 데이터 통제, 국경 간 이전, 그리고 대형 네트워크 플랫폼에 대한 강화된 요건.
네트워크 데이터 보안 관리 조례(2024년 9월 24일 국무원령 제790호로 공포; 2025년 1월 1일 시행)
제1장 — 총칙
제1조 본 조례는 네트워크 데이터 처리 활동을 규율하고, 네트워크 데이터 보안을 지키며, 네트워크 데이터의 적법·합리·효과적 이용을 촉진하고, 개인과 조직의 적법한 권익을 보호하며, 국가안전과 공공 이익을 지키기 위하여, 「중화인민공화국 사이버보안법」, 「중화인민공화국 데이터 보안법」, 「중화인민공화국 개인정보 보호법」, 그 밖의 법률에 따라 제정한다.
제2조 본 조례는 중화인민공화국 영역 내에서 수행되는 네트워크 데이터 처리 활동과 그 보안 감독·관리에 적용한다.
본 조례는 또한 중화인민공화국 영역 밖에서 수행되는, 중화인민공화국 영역 내 자연인의 개인정보를 처리하는 활동으로서 「중화인민공화국 개인정보 보호법」 제3조 제2항에 해당하는 경우에도 적용한다.
중화인민공화국 영역 밖에서 수행되는 네트워크 데이터 처리 활동이 중화인민공화국의 국가안전·공공 이익이나 그 시민·조직의 적법한 권익을 해치는 경우, 법에 따라 법적 책임을 추궁한다.
제3조 네트워크 데이터 보안 관리 업무는 중국공산당의 영도를 견지하고, 총체적 국가안전관을 시행하며, 네트워크 데이터의 개발·이용 촉진과 네트워크 데이터 보안의 수호를 조율한다.
제4조 국가는 모든 산업·분야에서 네트워크 데이터의 혁신적 응용을 장려하고, 네트워크 데이터 보안 보호 능력의 구축을 강화하며, 네트워크 데이터 관련 기술·제품·서비스의 혁신을 지원하고, 네트워크 데이터 보안에 관한 홍보·교육과 인재 육성을 수행하며, 네트워크 데이터의 개발·이용과 산업 발전을 촉진한다.
제5조 국가는 네트워크 데이터가 경제·사회 발전에서 갖는 중요도, 그리고 데이터가 변조·훼손·유출되거나 불법으로 취득·이용되면 국가안전, 공공 이익, 또는 개인·조직의 적법한 권익에 미치는 해의 정도에 따라 네트워크 데이터의 분류·등급 보호를 시행한다.
제6조 국가는 네트워크 데이터 보안에 관한 국제 규칙·표준의 제정에 적극 참여하고, 국제 교류·협력을 촉진한다.
제7조 국가는 관련 업계 조직이 그 정관에 따라 네트워크 데이터 보안 행동 규범을 제정하고, 업계 자율을 강화하며, 회원이 네트워크 데이터 보안 보호를 강화하도록 지도하고, 네트워크 데이터 보안 보호 수준을 높이며, 업계의 건전한 발전을 촉진하는 것을 지원한다.
제2장 — 일반 규칙
제8조 어떤 개인이나 조직도 네트워크 데이터를 이용하여 위법 활동에 종사해서는 안 되고, 네트워크 데이터를 절취하거나 그 밖의 불법으로 취득하거나, 네트워크 데이터를 불법으로 판매하거나 타인에게 불법으로 제공하는 등 위법 네트워크 데이터 처리 활동에 종사해서는 안 된다.
어떤 개인이나 조직도 전항에 기술된 위법 활동에 전용되는 프로그램·도구를 제공해서는 안 된다; 그리고 타인이 전항에 기술된 위법 활동에 종사함을 아는 자는 그에게 인터넷 접속, 서버 호스팅, 네트워크 저장, 통신 전송 같은 기술 지원이나 광고 홍보·결제 정산 같은 도움을 제공해서는 안 된다.
제9조 네트워크 데이터 처리자는 법률·행정법규의 규정과 국가 표준의 강제 요건에 따라, 사이버보안 다층 보호 체계에 기초하여, 네트워크 데이터 보안 보호를 강화하고, 네트워크 데이터 보안 관리 제도를 수립·개선하며, 암호화·백업·접근 통제·보안 인증 같은 기술적 조치와 그 밖의 필요한 조치를 채택하여 네트워크 데이터를 변조·훼손·유출이나 불법 취득·이용으로부터 보호하고, 네트워크 데이터 보안 사고를 처리하며, 네트워크 데이터를 겨냥하거나 이용하는 위법·범죄 활동을 방지하고, 처리하는 네트워크 데이터의 보안에 대한 주된 책임을 져야 한다.
제10조 네트워크 데이터 처리자가 제공하는 네트워크 제품·서비스는 관련 국가 표준의 강제 요건에 부합하여야 한다; 네트워크 제품·서비스에 보안 결함이나 취약점 같은 위험을 발견하는 경우, 즉시 구제 조치를 취하고, 관련 규정에 따라 이용자에게 신속히 알리며 관련 주관 당국에 보고하여야 한다; 국가안전이나 공공 이익을 위태롭게 하는 경우, 네트워크 데이터 처리자는 24시간 이내에 관련 주관 당국에도 보고하여야 한다.
제11조 네트워크 데이터 처리자는 네트워크 데이터 보안 사고 긴급 대응 계획을 수립·개선하여야 한다; 네트워크 데이터 보안 사고가 발생하는 경우, 즉시 긴급 대응 계획을 가동하고, 해의 확대를 막고 보안 위험을 제거하는 조치를 취하며, 관련 규정에 따라 관련 주관 당국에 보고하여야 한다.
네트워크 데이터 보안 사고가 개인이나 조직의 적법한 권익에 해를 끼치는 경우, 네트워크 데이터 처리자는 전화, 문자, 인스턴트 메시징 도구, 이메일, 또는 공개 공고 같은 수단으로 이해관계자에게 보안 사고와 위험 상황, 해로운 결과, 이미 취한 구제 조치 등을 신속히 통지하여야 한다; 법률·행정법규가 통지를 생략할 수 있다고 규정하는 경우, 그 규정을 적용한다. 네트워크 데이터 보안 사고 처리 과정에서 네트워크 데이터 처리자가 위법·범죄 혐의의 단서를 발견하는 경우, 관련 규정에 따라 공안 기관과 국가안전 기관에 사건을 신고하고, 탐지·조사·처리 업무에 협력하여야 한다.
제12조 네트워크 데이터 처리자가 개인정보와 중요 데이터를 다른 네트워크 데이터 처리자에게 제공하거나, 다른 네트워크 데이터 처리자에게 개인정보와 중요 데이터의 처리를 위탁하는 경우, 계약 등의 수단으로 네트워크 데이터 수령인과 처리의 목적·방법·범위와 보안 보호 의무 등을 약정하고, 네트워크 데이터 수령인의 의무 이행을 감독하여야 한다. 다른 네트워크 데이터 처리자에게 제공하거나 처리를 위탁한 개인정보와 중요 데이터의 처리 기록은 적어도 3년간 보존하여야 한다.
네트워크 데이터 수령인은 네트워크 데이터 보안 보호 의무를 이행하고 약정한 목적·방법·범위 등에 따라 개인정보와 중요 데이터를 처리하여야 한다.
둘 이상의 네트워크 데이터 처리자가 개인정보와 중요 데이터 처리의 목적과 방법을 공동으로 결정하는 경우, 각자의 권리·의무를 약정하여야 한다.
제13조 네트워크 데이터 처리자가 국가안전에 영향을 주거나 줄 수 있는 네트워크 데이터 처리 활동을 수행하는 경우, 국가의 관련 규정에 따라 국가안전 심사를 받아야 한다.
제14조 네트워크 데이터 처리자가 합병, 분할, 해산, 파산, 또는 그 밖의 이유로 네트워크 데이터를 이전할 필요가 있는 경우, 네트워크 데이터 수령인은 네트워크 데이터 보안 보호 의무를 계속 이행하여야 한다.
제15조 국가 기관이 타인에게 전자정부 시스템의 구축·운영·유지보수나 정무 데이터의 저장·처리를 위탁하는 경우, 국가의 관련 규정에 따라 엄격한 승인 절차를 거치고, 수탁자의 네트워크 데이터 처리 권한과 보호 책임 등을 명확히 하며, 수탁자의 네트워크 데이터 보안 보호 의무 이행을 감독하여야 한다.
제16조 네트워크 데이터 처리자가 국가 기관이나 핵심정보인프라 운영자에게 서비스를 제공하거나, 그 밖의 공공 인프라나 공공 서비스 시스템의 구축·운영·유지보수에 참여하는 경우, 법률·법규의 규정과 계약 조건에 따라 네트워크 데이터 보안 보호 의무를 이행하고, 안전하고 안정적이며 지속적인 서비스를 제공하여야 한다.
전항에서 말하는 네트워크 데이터 처리자는 위탁자의 동의 없이 그 네트워크 데이터에 접근·취득·보존·이용·유출하거나 타인에게 제공해서는 안 되고, 그 네트워크 데이터에 대한 상관 분석을 수행해서도 안 된다.
제17조 국가 기관에 서비스를 제공하는 정보 시스템은 전자정부 시스템에 대한 관리 요건을 준용하여 네트워크 데이터 보안 관리를 강화하여, 네트워크 데이터 보안을 지켜야 한다.
제18조 네트워크 데이터 처리자가 자동화 도구를 사용하여 네트워크 데이터에 접근·수집하는 경우, 네트워크 서비스에 미치는 영향을 평가하여야 하고, 타인의 네트워크에 불법 침입하거나 네트워크 서비스의 정상적 운영을 간섭해서는 안 된다.
제19조 생성형 인공지능 서비스를 제공하는 네트워크 데이터 처리자는 학습 데이터와 학습 데이터 처리 활동의 보안 관리를 강화하고, 네트워크 데이터 보안 위험을 예방·대응하는 효과적 조치를 취하여야 한다.
제20조 공중에게 제품·서비스를 제공하는 네트워크 데이터 처리자는 공중의 감독을 수용하고, 네트워크 데이터 보안에 관한 편리한 불만·신고 경로를 수립하며, 불만·신고 방법 같은 정보를 공개하고, 네트워크 데이터 보안에 관한 불만·신고를 신속히 접수·처리하여야 한다.
제3장 — 개인정보 보호
제21조 네트워크 데이터 처리자가 개인정보를 처리하기 전에, 개인정보 처리 규칙을 제정하여 법에 따라 개인에게 고지하는 경우, 그 개인정보 처리 규칙을 집중적으로 공개 표시하고, 접근하기 쉽게 하며, 두드러진 위치에 두어야 하고, 그 내용을 명확·구체적이고 이해하기 쉽게 하여야 하며, 다음을 포함하되 이에 한정되지 않는다:
(1) 네트워크 데이터 처리자의 명칭과 연락처;
(2) 개인정보 처리의 목적·방법·유형, 민감 개인정보 처리의 필요성, 개인의 권익에 미치는 영향;
(3) 개인정보의 보존 기간과 그 기간 만료 후의 처리 방법; 보존 기간을 정하기 어려운 경우, 보존 기간을 정하는 방법을 명시할 것;
(4) 개인이 그 개인정보를 조회·복사·이전·정정·보충·삭제하거나, 처리를 제한하거나, 계정을 말소하거나, 동의를 철회하는 방법과 경로 등.
네트워크 데이터 처리자가 전항에 따라 개인정보의 수집 및 다른 네트워크 데이터 처리자에의 제공의 목적·방법·유형과 네트워크 데이터 수령인의 정보를 개인에게 고지하는 경우, 이를 목록이나 유사한 형식으로 정리하여야 한다. 네트워크 데이터 처리자가 만 14세 미만 미성년자의 개인정보를 처리하는 경우, 전용 개인정보 처리 규칙도 제정하여야 한다.
제22조 네트워크 데이터 처리자가 개인 동의에 기반하여 개인정보를 처리하는 경우, 다음 규정을 준수하여야 한다:
(1) 개인정보의 수집은 제품·서비스 제공에 필요한 것이어야 한다; 그 범위를 넘어 개인정보를 수집해서는 안 되고, 오도·사기·강제 등의 수단으로 개인 동의를 얻어서는 안 된다;
(2) 생체 데이터, 종교 신앙, 특정 신원, 의료·보건, 금융 계좌, 행적 같은 민감 개인정보를 처리하는 경우, 개인의 별도 동의를 얻어야 한다;
(3) 만 14세 미만 미성년자의 개인정보를 처리하는 경우, 미성년자의 부모나 그 밖의 후견인의 동의를 얻어야 한다;
(4) 개인이 동의한 처리의 목적·방법·유형·보존 기간을 넘어 개인정보를 처리해서는 안 된다;
(5) 개인이 그 개인정보 처리에 동의하지 않는다고 명시한 후에 동의를 빈번히 구해서는 안 된다;
(6) 개인정보 처리의 목적·방법·유형이 변경되는 경우, 개인의 동의를 다시 얻어야 한다.
법률·행정법규가 민감 개인정보 처리에 서면 동의를 얻도록 규정하는 경우, 그 규정을 적용한다.
제23조 개인이 그 개인정보를 조회·복사·정정·보충·삭제하거나 처리를 제한할 것을 요청하거나, 개인이 계정을 말소하거나 동의를 철회하는 경우, 네트워크 데이터 처리자는 그 요청을 신속히 접수하고, 개인이 권리를 행사하도록 편리한 방법과 경로를 제공하여야 한다; 개인의 합리적 요청을 제한하는 불합리한 조건을 설정해서는 안 된다.
제24조 자동화 수집 기술 등의 사용으로 인해 비필수 개인정보나 법에 따라 개인 동의를 얻지 않은 개인정보의 수집을 피할 수 없는 경우, 그리고 개인이 계정을 말소하는 경우, 네트워크 데이터 처리자는 그 개인정보를 삭제하거나 익명화하여야 한다. 법률·행정법규가 정한 보존 기간이 아직 만료되지 않았거나, 개인정보의 삭제나 익명화가 기술적으로 달성하기 어려운 경우, 네트워크 데이터 처리자는 데이터의 저장과 필요한 보안 보호 조치 외의 모든 처리를 중단하여야 한다.
제25조 다음 조건을 충족하는 개인정보 이전 요청에 대하여, 네트워크 데이터 처리자는 개인이 지정한 다른 네트워크 데이터 처리자가 관련 개인정보에 접근·취득할 수 있는 경로를 제공하여야 한다:
(1) 요청자의 진실 신원을 검증할 수 있을 것;
(2) 이전을 요청한 개인정보가 개인이 제공에 동의했거나 계약에 기반하여 수집된 개인정보일 것;
(3) 개인정보의 이전이 기술적으로 실현 가능할 것;
(4) 개인정보의 이전이 타인의 적법한 권익을 해치지 않을 것.
개인정보 이전 요청의 빈도 등이 합리적 범위를 명백히 넘는 경우, 네트워크 데이터 처리자는 개인정보 이전 비용에 근거하여 필요한 비용을 청구할 수 있다.
제26조 중화인민공화국 영역 밖의 네트워크 데이터 처리자가 영역 내 자연인의 개인정보를 처리하고, 「중화인민공화국 개인정보 보호법」 제53조에 따라 영역 내에 전문 기관을 설립하거나 대표를 지정하는 경우, 관련 기관의 명칭이나 대표의 이름과 연락처 등을 그 소재지의 설구(設區)시 인터넷정보 부문에 제출하여야 한다; 인터넷정보 부문은 동급 관련 주관 당국에 신속히 통지하여야 한다.
제27조 네트워크 데이터 처리자는 정기적으로 스스로 또는 전문 기관에 위탁하여 개인정보 처리가 법률·행정법규를 준수하는지 컴플라이언스 감사를 수행하여야 한다.
제28조 네트워크 데이터 처리자가 1,000만 명 넘는 사람의 개인정보를 처리하는 경우, 중요 데이터를 처리하는 네트워크 데이터 처리자(이하 “중요 데이터 처리자”라 한다)에 적용되는 본 조례 제30조와 제32조의 규정도 준수하여야 한다.
제4장 — 중요 데이터 보안
제29조 국가 데이터 보안 업무 조율 메커니즘은 관련 부문을 조율하여 중요 데이터 목록을 제정하고 중요 데이터의 보호를 강화한다. 모든 지역과 부문은 데이터 분류·등급 보호 제도에 따라 각자의 지역·부문과 관련 산업·분야의 중요 데이터 구체적 목록을 정하고, 목록에 포함된 네트워크 데이터를 우선 보호하여야 한다.
네트워크 데이터 처리자는 국가의 관련 규정에 따라 중요 데이터를 식별하고 신고하여야 한다. 중요 데이터로 확인된 데이터에 대하여, 관련 지역이나 부문은 네트워크 데이터 처리자에게 신속히 알리거나 공개 공고한다. 네트워크 데이터 처리자는 네트워크 데이터 보안 보호 책임을 이행하여야 한다.
국가는 네트워크 데이터 처리자가 데이터 라벨·식별자 같은 기술·제품을 사용하여 중요 데이터 보안 관리 수준을 높이는 것을 장려한다.
제30조 중요 데이터 처리자는 네트워크 데이터 보안 책임자와 네트워크 데이터 보안 관리 기구를 지정하여야 한다. 네트워크 데이터 보안 관리 기구는 다음 네트워크 데이터 보안 보호 책임을 수행한다:
(1) 네트워크 데이터 보안 관리 제도, 운영 절차, 네트워크 데이터 보안 사고 긴급 대응 계획을 제정·시행하는 것;
(2) 네트워크 데이터 보안 위험 모니터링, 위험 평가, 긴급 훈련, 홍보·교육·훈련 같은 활동을 정기적으로 조직·수행하고, 네트워크 데이터 보안 위험과 사고를 신속히 처리하는 것;
(3) 네트워크 데이터 보안에 관한 불만·신고를 접수·처리하는 것.
네트워크 데이터 보안 책임자는 네트워크 데이터 보안 전문 지식과 관련 관리 업무 경험을 갖추어야 하고, 네트워크 데이터 처리자의 관리진의 일원이어야 하며, 네트워크 데이터 보안 상황을 관련 주관 당국에 직접 보고할 권리가 있어야 한다.
관련 주관 당국이 정한 특정 유형·규모의 중요 데이터를 보유하는 네트워크 데이터 처리자는 네트워크 데이터 보안 책임자와 핵심 직위 인원에 대한 보안 신원 조회를 수행하고, 관련 인원의 훈련을 강화하여야 한다. 그러한 조회를 수행할 때, 공안 기관과 국가안전 기관에 협조를 신청할 수 있다.
제31조 중요 데이터를 제공·위탁 처리·공동 처리하기 전에, 중요 데이터 처리자는 위험 평가를 수행하여야 한다; 다만, 법정 직무나 법정 의무를 수행하며 하는 경우는 예외로 한다.
위험 평가는 다음에 중점을 두어야 한다:
(1) 네트워크 데이터의 제공·위탁 처리·공동 처리, 그리고 네트워크 데이터 수령인의 네트워크 데이터 처리의 목적·방법·범위 등이 적법·정당·필요한지 여부;
(2) 제공·위탁 처리·공동 처리되는 네트워크 데이터가 변조·훼손·유출되거나 불법으로 취득·이용될 위험, 그리고 국가안전, 공공 이익, 또는 개인·조직의 적법한 권익에 초래하는 위험;
(3) 네트워크 데이터 수령인의 성실성, 준법성 등;
(4) 네트워크 데이터 수령인과 체결했거나 체결할 관련 계약의 네트워크 데이터 보안 요건이 네트워크 데이터 수령인의 네트워크 데이터 보안 보호 의무 이행을 효과적으로 구속할 수 있는지 여부;
(5) 취했거나 취할 기술·관리 조치 등이 네트워크 데이터가 변조·훼손·유출되거나 불법으로 취득·이용될 위험을 효과적으로 방지할 수 있는지 여부;
(6) 관련 주관 당국이 정한 그 밖의 평가 사항.
제32조 중요 데이터 처리자가 합병, 분할, 해산, 파산 등으로 중요 데이터의 보안에 영향을 줄 수 있는 경우, 네트워크 데이터 보안을 지키는 조치를 취하고, 성급 이상의 관련 주관 당국에 중요 데이터의 처리 계획과 수령인의 명칭·연락처 등을 보고하여야 한다; 주관 당국이 불분명한 경우, 성급 이상의 데이터 보안 업무 조율 메커니즘에 보고하여야 한다.
제33조 중요 데이터 처리자는 그 네트워크 데이터 처리 활동에 대한 위험 평가를 매년 수행하고, 성급 이상의 관련 주관 당국에 위험 평가 보고서를 제출하여야 한다; 관련 주관 당국은 동급 인터넷정보 부문과 공안 기관에 신속히 통지하여야 한다.
위험 평가 보고서는 다음을 포함하여야 한다:
(1) 네트워크 데이터 처리자의 기본 정보, 네트워크 데이터 보안 관리 기구에 관한 정보, 네트워크 데이터 보안 책임자의 이름·연락처 등;
(2) 중요 데이터 처리의 목적·유형·수량·방법·범위·저장 기간·저장 위치 등, 그리고 수행한 네트워크 데이터 처리 활동의 상황(네트워크 데이터 자체의 내용은 포함하지 않음);
(3) 네트워크 데이터 보안 관리 제도와 그 시행, 그리고 암호화·백업·라벨링·식별·접근 통제·보안 인증 같은 기술적 조치와 그 밖의 필요한 조치, 그 효과;
(4) 발견된 네트워크 데이터 보안 위험, 그리고 발생한 네트워크 데이터 보안 사고와 그 처리;
(5) 중요 데이터의 제공·위탁 처리·공동 처리에 대한 위험 평가 상황;
(6) 네트워크 데이터의 국경 간 제공 상황;
(7) 관련 주관 당국이 정한 그 밖의 보고 사항.
중요 데이터를 처리하는 대형 네트워크 플랫폼 서비스 제공자가 제출하는 위험 평가 보고서는 전항에 정한 사항에 더하여, 그 핵심 업무와 공급망 등의 네트워크 데이터 보안을 충분히 설명하여야 한다.
중요 데이터 처리자가 국가안전을 위태롭게 할 수 있는 중요 데이터 처리 활동에 종사하는 경우, 성급 이상의 관련 주관 당국은 시정이나 중요 데이터 처리 중단 같은 조치를 취하도록 명한다. 중요 데이터 처리자는 관련 요구에 따라 즉시 조치를 취하여야 한다.
제5장 — 네트워크 데이터의 국경 간 보안 관리
제34조 국가 인터넷정보 부문은 관련 부문을 조율하여 국가 국경 간 데이터 전송 보안 관리의 특별 업무 메커니즘을 수립하고, 국가 국경 간 네트워크 데이터 전송 보안 관리의 관련 정책을 연구·제정하며, 국경 간 네트워크 데이터 전송 보안에 관한 주요 사안의 처리를 조율한다.
제35조 네트워크 데이터 처리자는 다음 각 호의 조건 중 하나를 충족하는 경우 영역 밖의 수령인에게 개인정보를 제공할 수 있다:
(1) 국가 인터넷정보 부문이 조직하는 국경 간 데이터 전송 보안 평가를 통과한 경우;
(2) 국가 인터넷정보 부문의 규정에 따라 전문 기관의 개인정보 보호 인증을 받은 경우;
(3) 국가 인터넷정보 부문이 제정한 개인정보 국경 간 이전 표준계약 규정을 준수한 경우;
(4) 개인이 당사자인 계약을 체결하거나 이행하기 위하여 영역 밖 수령인에게 개인정보를 제공하는 것이 진실로 필요한 경우;
(5) 법에 따라 제정된 노동 규칙·규정과 법에 따라 체결된 단체계약에 따라 국경 간 인사 관리를 수행하기 위하여 직원의 개인정보를 영역 밖 수령인에게 제공하는 것이 진실로 필요한 경우;
(6) 법정 직무나 법정 의무를 수행하기 위하여 영역 밖 수령인에게 개인정보를 제공하는 것이 진실로 필요한 경우;
(7) 긴급 상황에서 자연인의 생명·건강·재산 안전을 보호하기 위하여 영역 밖 수령인에게 개인정보를 제공하는 것이 진실로 필요한 경우;
(8) 법률·행정법규나 국가 인터넷정보 부문이 정한 그 밖의 조건.
제36조 중화인민공화국이 체결·가입한 국제 조약·협정이 중화인민공화국 영역 밖 수령인에게 개인정보를 제공하는 조건 등에 관한 규정을 담은 경우, 그 규정에 따를 수 있다.
제37조 네트워크 데이터 처리자가 중화인민공화국 영역 내 운영 과정에서 수집·생성한 중요 데이터를 영역 밖 수령인에게 제공하는 것이 진실로 필요한 경우, 국가 인터넷정보 부문이 조직하는 국경 간 데이터 전송 보안 평가를 통과하여야 한다. 네트워크 데이터 처리자가 국가의 관련 규정에 따라 중요 데이터를 식별·신고했으나 관련 지역이나 부문으로부터 중요 데이터로 통지받거나 공개 공고되지 않은 경우, 국경 간 데이터 전송 보안 평가를 위해 그것을 중요 데이터로 신고할 필요가 없다.
제38조 국경 간 데이터 전송 보안 평가를 통과한 후, 영역 밖 수령인에게 개인정보와 중요 데이터를 제공하는 네트워크 데이터 처리자는 평가 시 명시된 국경 간 데이터 전송의 목적·방법·범위·유형·규모 등을 넘어서는 안 된다.
제39조 국가는 네트워크 데이터에 대한 국경 간 보안 위험과 위협을 예방·대응하는 조치를 취한다. 어떤 개인이나 조직도 기술 조치를 훼손하거나 우회하는 데 전용되는 프로그램·도구 등을 제공해서는 안 된다; 그리고 타인이 기술 조치를 훼손·우회하는 활동에 종사함을 아는 자는 그에게 기술 지원이나 도움을 제공해서는 안 된다.
제6장 — 네트워크 플랫폼 서비스 제공자의 의무
제40조 네트워크 플랫폼 서비스 제공자는 플랫폼 규칙, 계약 등을 통하여 그 플랫폼에 접속하는 제3자 제품·서비스 제공자의 네트워크 데이터 보안 보호 의무를 명확히 하고, 제3자 제품·서비스 제공자가 네트워크 데이터 보안 관리를 강화하도록 촉구하여야 한다.
애플리케이션이 사전 설치된 스마트 단말 같은 기기의 제조자는 전항의 규정을 적용받는다.
제3자 제품·서비스 제공자가 법률·행정법규의 규정이나 플랫폼 규칙·계약 조건을 위반하여 네트워크 데이터 처리 활동을 수행하여 이용자에게 해를 끼치는 경우, 네트워크 플랫폼 서비스 제공자, 제3자 제품·서비스 제공자, 그리고 애플리케이션이 사전 설치된 스마트 단말 같은 기기의 제조자는 법에 따라 상응하는 책임을 진다.
국가는 보험회사가 네트워크 데이터 피해 배상 책임 보험 상품을 개발하는 것을 장려하고, 네트워크 플랫폼 서비스 제공자와 애플리케이션이 사전 설치된 스마트 단말 같은 기기의 제조자가 그러한 보험에 가입하는 것을 장려한다.
제41조 애플리케이션 유통 서비스를 제공하는 네트워크 플랫폼 서비스 제공자는 애플리케이션 검증 규칙을 수립하고 네트워크 데이터 보안 관련 검증을 수행하여야 한다. 유통 대기 중이거나 이미 유통된 애플리케이션이 법률·행정법규의 규정이나 국가 표준의 강제 요건에 부합하지 않음을 발견하는 경우, 경고, 유통 거부, 유통 정지, 또는 유통 종료 같은 조치를 취하여야 한다.
제42조 네트워크 플랫폼 서비스 제공자가 자동화된 의사결정 방식으로 개인에게 정보를 푸시하는 경우, 이해하고 접근하며 조작하기 쉬운 개인화 추천 끄기 옵션을 마련하고, 이용자에게 푸시 정보 수신 거부와 개인 특성을 겨냥한 이용자 태그 삭제 같은 기능을 제공하여야 한다.
제43조 국가는 네트워크 신원 인증 공공 서비스의 구축을 추진하고, 정부 주도와 이용자 자발성의 원칙에 따라 그 응용을 촉진한다.
네트워크 플랫폼 서비스 제공자는 이용자가 국가 네트워크 신원 인증 공공 서비스를 사용하여 진실 신원 정보를 등록·검증하도록 지원하는 것이 장려된다.
제44조 대형 네트워크 플랫폼 서비스 제공자는 개인정보 보호에 관한 연례 사회적 책임 보고서를 발표하여야 한다; 보고서 내용은 개인정보 보호의 조치와 결과, 개인의 권리 행사 신청 접수, 주로 외부 구성원으로 이루어진 개인정보 보호 감독 기구의 직무 수행 등을 포함하되 이에 한정되지 않는다.
제45조 대형 네트워크 플랫폼 서비스 제공자가 네트워크 데이터를 국경 간으로 제공하는 경우, 국가의 데이터 국경 간 보안 관리 요건을 준수하고, 관련 기술·관리 조치를 개선하며, 네트워크 데이터에 대한 국경 간 보안 위험을 방지하여야 한다.
제46조 대형 네트워크 플랫폼 서비스 제공자는 네트워크 데이터, 알고리즘, 플랫폼 규칙 등을 이용하여 다음 활동에 종사해서는 안 된다:
(1) 오도·사기·강제 등의 수단으로 이용자가 플랫폼에서 생성한 네트워크 데이터를 처리하는 것;
(2) 정당한 이유 없이 이용자가 플랫폼에서 생성한 네트워크 데이터에 대한 접근·이용을 제한하는 것;
(3) 이용자에게 불합리한 차별 대우를 가하여 이용자의 적법한 권익을 해치는 것;
(4) 법률·행정법규가 금지하는 그 밖의 활동.
제7장 — 감독·관리
제47조 국가 인터넷정보 부문은 네트워크 데이터 보안과 관련 감독·관리 업무의 총괄 조율을 담당한다.
공안 기관과 국가안전 기관은 관련 법률·행정법규와 본 조례의 규정에 따라 각자의 직무 범위 내에서 네트워크 데이터 보안 감독·관리 책임을 지고, 법에 따라 네트워크 데이터 보안을 위태롭게 하는 위법·범죄 활동을 예방·단속한다.
국가 데이터 행정 부문은 데이터 행정 업무를 구체적으로 맡으면서 상응하는 네트워크 데이터 보안 직무를 수행한다.
모든 지역과 부문은 그 지역·부문의 업무에서 수집·생성한 네트워크 데이터와 그 보안을 책임진다.
제48조 자기 산업·분야의 네트워크 데이터 보안 감독·관리 책임을 지는 각 관련 주관 당국은 그 산업·분야의 네트워크 데이터 보안 보호 업무 기구를 지정하고, 그 산업·분야의 네트워크 데이터 보안 사고 긴급 대응 계획을 조율적으로 제정·시행하며, 그 산업·분야의 네트워크 데이터 보안 위험 평가를 정기적으로 조직·수행하고, 네트워크 데이터 처리자의 네트워크 데이터 보안 보호 의무 이행을 감독·검사하며, 네트워크 데이터 처리자가 기존 위험과 숨은 위험을 신속히 시정하도록 지도·촉구하여야 한다.
제49조 국가 인터넷정보 부문은 관련 주관 당국을 조율하여 네트워크 데이터 보안 위험에 관련된 정보를 신속히 수집·분석·평가·공유·발표하고, 네트워크 데이터 보안 정보 공유, 네트워크 데이터 보안 위험·위협의 모니터링·조기 경보, 네트워크 데이터 보안 사고에 대한 긴급 대응 업무를 강화한다.
제50조 관련 주관 당국은 네트워크 데이터 보안의 감독·검사를 위해 다음 조치를 취할 수 있다:
(1) 네트워크 데이터 처리자와 그 관련 인원에게 감독·검사 대상 사항에 관한 설명을 제공하도록 요구하는 것;
(2) 네트워크 데이터 보안에 관련된 문서·기록을 열람·복사하는 것;
(3) 네트워크 데이터 보안 조치의 운영을 검사하는 것;
(4) 네트워크 데이터 처리 활동에 관련된 장비·물품을 검사하는 것;
(5) 법률·행정법규가 정한 그 밖의 필요한 조치.
네트워크 데이터 처리자는 관련 주관 당국이 법에 따라 수행하는 네트워크 데이터 보안 감독·검사에 협력하여야 한다.
제51조 관련 주관 당국이 네트워크 데이터 보안 감독·검사를 수행할 때, 객관적·공정하여야 하고, 피검사 단위에 비용을 부과해서는 안 된다.
네트워크 데이터 보안 감독·검사 과정에서, 관련 주관 당국은 네트워크 데이터 보안과 무관한 영업 정보에 접근·수집해서는 안 되고, 얻은 정보는 네트워크 데이터 보안 유지의 필요로만 사용할 수 있으며 다른 어떤 목적으로도 사용해서는 안 된다.
관련 주관 당국이 네트워크 데이터 처리자의 네트워크 데이터 처리 활동이 비교적 큰 보안 위험을 지님을 발견하는 경우, 정해진 권한과 절차에 따라 네트워크 데이터 처리자에게 관련 서비스 정지, 플랫폼 규칙 수정, 기술 조치 개선 등을 요구하여, 네트워크 데이터 보안의 숨은 위험을 제거할 수 있다.
제52조 네트워크 데이터 보안 감독·검사를 수행할 때, 관련 주관 당국은 조율·협력·정보 소통을 강화하고, 검사의 빈도와 방법을 합리적으로 정하며, 불필요한 검사와 중복·반복 검사를 피하여야 한다.
개인정보 보호 컴플라이언스 감사, 중요 데이터 위험 평가, 중요 데이터의 국경 간 전송 보안 평가 등은 더 잘 연계하여 중복 평가·감사를 피하여야 한다. 중요 데이터 위험 평가의 내용이 사이버보안 다층 보호 평가의 내용과 중복되는 경우, 각자의 결과를 상호 인정할 수 있다.
제53조 관련 주관 당국과 그 직원은 법에 따라 직무 수행 중 알게 된 개인의 사생활, 개인정보, 상업 비밀, 기밀 영업 정보 같은 네트워크 데이터를 비밀로 유지하여야 하고, 그것을 유출하거나 타인에게 불법으로 제공해서는 안 된다.
제54조 영역 밖의 조직이나 개인이 중화인민공화국의 국가안전·공공 이익을 위태롭게 하거나 중화인민공화국 시민의 개인정보 권익을 침해하는 네트워크 데이터 처리 활동에 종사하는 경우, 국가 인터넷정보 부문은 관련 주관 당국과 함께 법에 따라 상응하는 필요한 조치를 취할 수 있다.
제8장 — 법적 책임
제55조 본 조례 제12조, 제16조부터 제20조까지, 제22조, 제40조 제1항·제2항, 제41조, 또는 제42조의 규정 위반에 대하여, 인터넷정보, 전신, 공안 등 주관 당국이 각자의 직무에 따라 시정을 명하고, 경고하며, 위법 소득을 몰수한다; 시정을 거부하거나 정황이 중한 경우, 100만 위안 이하의 벌금을 부과하고, 관련 업무 정지, 정돈을 위한 영업 정지, 관련 업무 허가 취소, 또는 영업 집조 취소를 명할 수 있으며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과할 수 있다.
제56조 본 조례 제13조의 규정 위반에 대하여, 인터넷정보, 전신, 공안, 국가안전 등 주관 당국이 각자의 직무에 따라 시정을 명하고, 경고하며, 10만 위안 이상 100만 위안 이하의 벌금을 병과할 수 있고, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과할 수 있다; 시정을 거부하거나 정황이 중한 경우, 100만 위안 이상 1,000만 위안 이하의 벌금을 부과하고, 관련 업무 정지, 정돈을 위한 영업 정지, 관련 업무 허가 취소, 또는 영업 집조 취소를 명할 수 있으며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 10만 위안 이상 100만 위안 이하의 벌금을 부과한다.
제57조 본 조례 제29조 제2항, 제30조 제2항·제3항, 제31조, 또는 제32조의 규정 위반에 대하여, 인터넷정보, 전신, 공안 등 주관 당국이 각자의 직무에 따라 시정을 명하고, 경고하며, 5만 위안 이상 50만 위안 이하의 벌금을 병과할 수 있고, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과할 수 있다; 시정을 거부하거나 대량 데이터 유출 같은 심각한 결과를 초래하는 경우, 50만 위안 이상 200만 위안 이하의 벌금을 부과하고, 관련 업무 정지, 정돈을 위한 영업 정지, 관련 업무 허가 취소, 또는 영업 집조 취소를 명할 수 있으며, 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 5만 위안 이상 20만 위안 이하의 벌금을 부과한다.
제58조 본 조례의 그 밖의 관련 규정 위반에 대하여, 관련 주관 당국은 「중화인민공화국 사이버보안법」, 「중화인민공화국 데이터 보안법」, 「중화인민공화국 개인정보 보호법」, 그 밖의 법률의 관련 규정에 따라 법적 책임을 추궁한다.
제59조 네트워크 데이터 처리자가 위법 행위의 해로운 결과를 자발적으로 제거·완화하거나, 위법 행위가 경미하고 적시에 시정되어 해로운 결과를 초래하지 않았거나, 최초 위반으로 해로운 결과가 경미하고 적시에 시정되었거나, 그 밖의 그러한 사정이 있는 경우, 「중화인민공화국 행정처벌법」의 규정에 따라 가벼운·경감된 행정 처벌을 부과하거나 행정 처벌을 부과하지 않는다.
제60조 국가 기관이 본 조례가 정한 네트워크 데이터 보안 보호 의무를 이행하지 않은 경우, 그 상급 기관이나 관련 주관 당국이 시정을 명한다; 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 법에 따라 제재를 부과한다.
제61조 본 조례의 규정 위반이 타인에게 해를 끼친 경우, 법에 따라 민사 책임을 진다; 위반이 치안 관리 위반 행위를 구성하는 경우, 법에 따라 치안 관리 처벌을 부과한다; 범죄를 구성하는 경우, 법에 따라 형사 책임을 추궁한다.
제9장 — 부칙
제62조 본 조례에서 쓰는 다음 용어의 의미는 아래와 같다:
(1) “네트워크 데이터”란 네트워크를 통해 처리·생성되는 모든 종류의 전자 데이터를 말한다.
(2) “네트워크 데이터 처리 활동”이란 네트워크 데이터의 수집, 저장, 사용, 가공, 전송, 제공, 공개, 삭제 같은 활동을 말한다.
(3) “네트워크 데이터 처리자”란 네트워크 데이터 처리 활동에서 처리의 목적과 방법을 독자적으로 결정하는 개인 또는 조직을 말한다.
(4) “중요 데이터”란 특정 분야, 특정 집단, 특정 지역의 데이터, 또는 일정한 정밀도·규모에 이르는 데이터로서, 변조·훼손·유출되거나 불법으로 취득·이용되면 국가안전, 경제 운영, 사회 안정, 또는 공중 보건·안전을 직접 위태롭게 할 수 있는 데이터를 말한다.
(5) “위탁 처리”란 네트워크 데이터 처리자가 약정한 목적과 방법에 따라 개인이나 조직에 수행을 위탁하는 네트워크 데이터 처리 활동을 말한다.
(6) “공동 처리”란 둘 이상의 네트워크 데이터 처리자가 네트워크 데이터 처리의 목적과 방법을 공동으로 결정하는 네트워크 데이터 처리 활동을 말한다.
(7) “별도 동의”란 개인이 그 개인정보의 특정 처리를 위하여 구체적이고 명시적으로 하는 동의를 말한다.
(8) “대형 네트워크 플랫폼”이란 등록 이용자 5,000만 명 넘거나 월간 활성 이용자 1,000만 명 넘고, 업무 유형이 복잡하며, 그 네트워크 데이터 처리 활동이 국가안전, 경제 운영, 국민 경제와 민생 등에 중요한 관련이 있는 네트워크 플랫폼을 말한다.
제63조 핵심 데이터에 관련된 네트워크 데이터 처리 활동은 국가의 관련 규정에 따라 수행한다.
본 조례는 자연인이 개인적 또는 가정적 사무로 개인정보를 처리하는 경우에는 적용하지 않는다.
국가 비밀이나 업무 비밀에 관련된 네트워크 데이터 처리 활동은 「중화인민공화국 국가비밀보호법」과 그 밖의 법률·행정법규의 규정을 적용한다.
제64조 본 조례는 2025년 1월 1일부터 시행한다.
맺음말
원문서는 중화인민공화국 국무원에 의해 중국어로 공표되었습니다. 저희가 그것을 영어로 번역한 것이 위의 내용입니다. 이 번역은 신속한 이해만을 위해 제공되며, 귀하 자신의 판단과 책임 하에 이용하십시오 — 현행 요건은 반드시 자격 있는 법률 자문과 확인하십시오.
저희 팀의 추가 지원이 필요하시면, 오늘 문의해(영어) 주십시오. 저희 전문가가 귀사의 중국 내 존재를 기초부터 규정에 맞게 유지하도록 돕겠습니다.