중국의 새 개인정보 보호법이 국제 조직에 미치는 영향

요약; 2021년 11월, 중국은 GDPR의 자국 버전인 개인정보 보호법(PIPL)을 법제화했습니다. 중국의 PIPL은 중국에서 수집된 개인정보를 수집·취급하는 대부분의 외국 기업에 영향을 미칩니다. 이 글은 GDPR과 PIPL의 차이점과 유사점을 살펴보고, 귀사가 중국의 PIPL을 준수하도록 보장하기 위한 요건을 짚습니다.

2021년 10월, Yahoo Inc.는 중국에서 철수한다고 발표했습니다. 이는 Microsoft의 LinkedIn 소셜 네트워킹 사이트 폐쇄에 이어, 한 달도 안 되는 기간에 중국 사업을 축소한 두 번째로 잘 알려진 미국 기술 기업입니다.

LinkedIn은 “상당히 더 까다로운 운영 환경과 더 큰 규정 준수 요구에 직면”한 뒤 중국 내 운영을 종료하기로 결정했다고 밝혔습니다.

Yahoo와 LinkedIn의 중국 철수는 모두 2021년 11월 1일 발효된 중국의 개정 개인정보 보호법(PIPL)과 시기가 맞물립니다.

이 글은 PIPL과 그 데이터 처리 및 동의 요건을 분석하고, 그것이 GDPR과 어떻게 견주어지는지 살펴보며, 귀사의 외국 기업이 어떻게 준수를 보장할 수 있는지 논의합니다.

개인정보 보호법이란 무엇인가?

개인정보 보호법(PIPL이라고도 함)은 중국 최초의 포괄적 데이터 보호법입니다.

PIPL은 중국 정부에 광범위한 집행 역량을 부여하는 틀을 형성하는 데 기여하며 — 그 결과 중국에서 운영하는 국제 기업에 더 규제된 환경을 만듭니다.

그 틀은 규모와 범위에서 유럽연합의 일반 데이터 보호 규정(GDPR)과 유사합니다. 두 법은 모두 다음을 요구합니다:

1. 데이터 수집 및 처리의 적법한 목적,
2. 데이터 처리에 대한 소비자 동의, 그리고
3. 소비자에게 자신의 정보에 접근하거나 삭제할 권리 부여.

다만, GDPR과의 한 가지 중대한 차이가 국제 기업이 국경 간 데이터 이전을 다루는 방식에 영향을 미칩니다.

유럽의 GDPR을 준수하는 기업이라면, 중국 개인정보보호법도 충분히 잘 준수하게 될 것입니다

Alexa Lee

정보기술산업협의회(ITIC) 정책 선임 매니저

핵심 정의

개인정보 는 전자적 또는 기타 방식으로 기록되고 식별되었거나 식별 가능한 개인과 관련된 모든 종류의 정보와 데이터입니다.

개인정보 취급(또는 처리) 은 개인정보의 수집, 저장, 사용, 처리, 전송, 제공, 공개, 삭제 등을 포함합니다.

개인정보 취급자 는 개인정보 취급 활동에서 취급 목적과 취급 방법을 자율적으로 결정하는 조직과 개인을 말합니다.

개인정보 보호법의 목적은 무엇인가?

법 제1조는 PIPL의 목적을 다음과 같이 규정합니다:

1. 개인정보 권익을 보호하고,
2. 개인정보 취급 활동을 규범화하며,
3. 개인정보의 합리적 이용을 촉진한다.

제2조에 기술된 법의 목적은 중국 시민의 개인정보에 법적 보호를 제공하는 것으로, “어떠한 조직이나 개인도 시민의 개인정보와 권익을 침해해서는 안 된다”고 명시합니다.

PIPL은 누구에게 적용되나요?

제3조는 법이 “중화인민공화국 국경 안에서 개인의 개인정보를 취급하는” 모든 조직이나 기업에 적용된다고 설명합니다.

중국에서 개인정보를 수집·처리하려면 어떤 동의가 필요한가요?

PIPL이 요구하는 동의는 GDPR과 매우 유사합니다. 법 제2장은 사용자 동의가 인지된 상태에서 명시적으로 부여된 경우에만 유효한 것으로 간주된다고 규정합니다. 이는 귀사가 개인에게 개인정보 처리 방법과 의도된 사용의 전체 범위를 명확하고 직관적인 용어로 제공해야 함을 의미합니다.

또한 사용자는 언제든지 동의를 철회할 권리가 있으며, 귀사는 그렇게 할 수 있는 손쉬운 선택지를 제공해야 합니다.

실무적으로는, GDPR 준수를 위해 마련한 동의 배너와 옵트아웃이 PIPL상의 요건도 충족할 가능성이 높다는 뜻입니다.

개인정보 처리를 통해 개인에게 마케팅을 수행하려면 동의도 필요합니다. PIPL은 또한 기업이 소비자에게 개인 데이터를 겨냥하지 않는 선택지를 제공하거나, 그들의 데이터 처리를 거부할 방법을 제공해야 한다고 규정합니다.

처리 방법이나 의도된 사용이 언제든 변경되면, 귀사는 데이터를 처리하기 위해 개인으로부터 허가를 다시 받아야 합니다.

중국에서 데이터 처리에 어떤 요건과 제약이 존재하나요?

조직이 개인정보 처리의 법적 근거를 입증하고 나면, PIPL은 처리를 규율하기 위한 일련의 요건과 제약을 제시하며, 여기에는 중국 내에서 운영하는 국제 조직을 위한 특별 규칙이 포함됩니다.

이 규칙에는 다음이 포함됩니다:

1. 중국에 기반을 둔 조직은 데이터 컴플라이언스를 위한 전담 기구를 설치하거나 대표자를 지정해야 합니다.

2. 국경 간 데이터 이전은 중국 사이버공간관리국(CAC)의 승인을 받도록 제출해야 합니다.

3. 중국에서 운영하는 외국 기업은 PIPL 준수에 책임을 지는 현지 대표자를 지정해야 합니다.

4. 컨트롤러와 프로세서 사이에 데이터 처리 계약이 필요합니다.

5. 조직은 민감 데이터를 처리하거나, 데이터를 해외로 이전하거나, 민감 데이터를 자동화된 의사결정에 사용하기 전에 위험 평가를 수행해야 합니다.

6. 데이터 취급자는 중국 본토 안에 데이터를 현지화해야 합니다.

중국에서 운영하는 국제 조직에 대한 PIPL의 영향

귀사의 국제 조직이 국경 간 데이터 이전을 어떻게 처리해야 하는지에 대한 중국의 접근은, PIPL 제3장에 기술된 바와 같이 GDPR보다 더 제한적입니다.

제40조는 귀사가 “중국 국경 안에서 수집·생성된 개인정보를 국내에 저장해야 한다”고 명시합니다.

귀사가 정말로 중국 밖으로 개인정보를 제공해야 하는 경우, 제38조는 데이터를 내보내는 데 필요한 절차를 설명하며, 여기에는 다음 중 하나가 포함됩니다:

• 본법 제40조에 따라 국가 사이버보안·정보화 부서가 조직하는 안전성 평가를 통과하는 것;
• 국가 사이버보안·정보화 부서의 규정에 따라 전문 기구가 수행하는 개인정보 보호 인증을 받는 것;
• 국가 사이버공간·정보화 부서가 마련한 표준계약에 따라 해외 수신 측과 계약을 체결하여 양측의 권리와 책임을 합의하는 것;
• 법률이나 행정법규, 또는 국가 사이버보안·정보화 부서가 정한 기타 조건.

법적 책임

제7장은 규정을 준수하지 않는 조직에 대한 법적 책임과 벌칙을 기술합니다.

이 새 법을 위반하면 국제 기업의 중국 내 사업 수행 능력에 상당한 영향을 줄 수 있습니다.

귀사의 외국 기업이 중국 진출 기회를 평가하고 있다고 가정해 보십시오. 귀사 웹사이트가 중국에서 개인 데이터에 접근하면서 PIPL 요건을 위반한다고 해 봅시다. 그 경우 귀사는 “블랙리스트”에 오를 수 있고, 이는 중국 시장 진입을 막게 됩니다. 따라서 PIPL은 중국에서 개인 데이터에 접근하는 모든 외국 기업이 준수를 보장하기 위한 필요한 보호 조치를 시행하도록 강제합니다.

이미 중국에서 운영 중인 기업은 다른 위험에 직면합니다. 위반 시 기업은 영업 허가를 잃을 위험과, 최대 5천만 위안 또는 연간 매출의 5%에 이르는 상당한 금전적 벌칙에 처할 수 있습니다.

국제 조직은 어떻게 규정을 준수할 수 있나요?

Tesla는 PIPL을 어떻게 준수하고 있나

전기차 거대 기업 Tesla와 같은 국제 조직은 법을 준수하기 위해 자체 데이터 센터를 설립했습니다.

중국 본토 안에서 생성된 Tesla의 데이터는 이 서버에 현지화됩니다. Tesla의 이 조치는 데이터의 국경 간 이전과 중국 사이버보안 당국의 안전성 평가를 피하게 해 줍니다.

귀사는 중국판 GDPR을 어떻게 준수할 수 있나요?

Tesla처럼 자체 데이터 센터를 구축하기가 현실적이지 않고, Yahoo나 LinkedIn과 달리 귀사가 중국에서 운영할 계획이라면, 괜찮습니다. 준수를 유지할 몇 가지 선택지가 있습니다:

선택지 1: 전통적인 VPS(가상 사설 서버) 웹사이트 호스팅 방식

대행사를 고용하거나 사내 기술 자원을 활용하여, 귀사의 모든 민감 데이터를 Alibaba Cloud, Tencent Cloud, AWS China, Azure China 같은 현지 클라우드 제공업체에 저장합니다. 이 선택지는 서버로 할 수 있는 일에 대해 더 많은 통제권을 주는 경향이 있지만, 서버 운영과 유지보수 비용이라는 높은 비용을 들여오기 때문에 양날의 검이기도 합니다.

선택지 2: 21YunBox로 중국에서 현대적 Jamstack 활용하기

많은 민첩한 스타트업과 기업이 Jamstack 아키텍처를 널리 채택해 왔습니다. 21YunBox는 중국의 법을 어기지 않고 귀사의 Jamstack을 중국에서 살아 움직이게 하는 유일한 제공업체입니다.

또한 21YunBox Analytics는 귀사 마케팅 부서에, 중국에서 작동하지 않는 Google Analytics와 기타 서드파티 분석 프로그램을 해결하는 완전히 규정에 맞는 솔루션을 제공합니다. 귀사 웹사이트에 어떤 추적 코드나 스크립트도 설치할 필요가 없으므로, 21YunBox Analytics는 귀사 사이트에 완전한 준수를 제공하면서 웹 분석에 손실이 없습니다.

선택지 3: 노코드 또는 로우코드 방식

정당한 사업 목적으로 데이터를 중국 밖으로 옮겨야 하는 경우, 위에서 언급한 대로 PIPL 제3장이 한 가지 길을 제공합니다.

개인 데이터를 합법적으로 중국 밖으로 옮기려면 안전성 평가가 필요합니다. 안전성 평가는 영업 허가나 ICP 라이선스를 받는 것과 비슷하다고 생각하시면 됩니다. 정직한 사업을 운영하고 데이터가 정당한 사업 목적을 위한 것이라면 안전성 평가는 어렵지 않을 것입니다.

저희는 데이터 이전의 기술적 측면에서 안전성 평가를 통해 귀사를 지원할 수 있습니다. 그런 다음 안전성 평가 서류가 승인되면, 저희 웹사이트 성능 Optimizer가 귀사 사이트가 중국에서 규정에 맞게 작동하도록 보장합니다.