TLDR; 아래는 중국의 개인정보 국경 간 이전 표준계약 방법(个人信息出境标准合同办法, 중국 국가인터넷정보판공실령 제13호)의 영어 번역본에서 옮긴 한국어 번역으로, 2023년 2월 24일 발행되고 2023년 6월 1일부터 시행되었습니다.
귀사가 고객, 직원, 또는 이용자의 개인정보를 중국 본토 밖으로 — 해외 서버, 계열사, 또는 벤더로 — 옮긴다면, 본 방법은 개인정보 보호법(PIPL)이 만든 적법한 수출 경로 중 하나를 정합니다: PIPL 제38조 제3호의 “표준계약” 경로로, 그러지 않았다면 정부 주도 보안 평가를 요했을 기준 미만의 규모를 가진 데이터 취급자가 이용할 수 있습니다. 그것은 누가 자격이 있는지, 먼저 완료해야 하는 개인정보 보호 영향 평가, 해외 수령인과 체결해야 하는 계약, 그리고 그 계약이 발효되면 성급 인터넷정보 부문에 지는 10 영업일 비안을 정의합니다. 데이터 보안법, 사이버보안법과 나란히, PIPL은 모든 국제 사업자가 본토에서 데이터를 수출하기 전에 자격 있는 자문과 확인해야 할 국경 간 데이터 제도의 핵심을 이룹니다.
개인정보 국경 간 이전 표준계약 방법(2023년 2월 24일 중국 국가인터넷정보판공실령 제13호로 발행; 2023년 6월 1일 시행)
제1조 본 방법은 개인정보에 대한 권익을 보호하고 개인정보의 국경 간 이전을 규범화하기 위하여, 「중화인민공화국 개인정보 보호법」과 그 밖의 법률·법규에 따라 제정한다.
제2조 본 방법은 개인정보 취급자가 해외 수령인과 개인정보 국경 간 이전 표준계약(이하 “표준계약”이라 한다)을 체결함으로써 중화인민공화국 영역 밖의 수령인에게 개인정보를 제공하는 경우에 적용한다.
제3조 표준계약을 체결하여 개인정보의 국경 간 이전을 수행하는 것은, 자율적 계약과 비안 기반 관리를 결합하고, 권익 보호와 위험 예방을 결합하여, 개인정보의 안전하고 자유로운 국경 간 이동을 확보하는 것을 견지하여야 한다.
제4조 표준계약을 체결하여 개인정보를 해외에 제공하는 개인정보 취급자는 다음 각 호의 조건을 동시에 모두 충족하여야 한다:
(1) 핵심정보인프라 운영자가 아닐 것;
(2) 100만 명 미만의 개인정보를 처리할 것;
(3) 전년도 1월 1일 이래 누계로 10만 명 미만의 개인정보를 해외에 제공했을 것;
(4) 전년도 1월 1일 이래 누계로 1만 명 미만의 민감 개인정보를 해외에 제공했을 것.
법률·행정법규 또는 국가 인터넷정보 부문이 달리 규정한 경우, 그 규정이 우선한다.
개인정보 취급자는 수량을 분할하는 등의 수단으로, 법에 따라 국경 간 이전 보안 평가를 받아야 하는 개인정보를 표준계약을 통하여 해외에 제공해서는 안 된다.
제5조 개인정보를 해외에 제공하기 전에, 개인정보 취급자는 다음에 중점을 두고 개인정보 보호 영향 평가를 수행하여야 한다:
(1) 개인정보 취급자와 해외 수령인이 개인정보를 처리하는 목적, 범위, 수단의 적법성, 정당성, 필요성;
(2) 해외로 이전할 개인정보의 규모, 범위, 유형, 민감도, 그리고 국경 간 이전이 개인정보에 대한 권익에 초래할 수 있는 위험;
(3) 해외 수령인이 부담하기로 한 의무, 그리고 그 의무를 이행하기 위한 관리·기술 조치, 역량 등이 해외로 이전된 개인정보의 보안을 확보할 수 있는지 여부;
(4) 국경 간 이전 후 개인정보가 변조·훼손·유출·분실되거나 불법으로 이용될 위험, 그리고 개인정보에 대한 권익을 지키는 경로가 원활한지 여부 등;
(5) 해외 수령인이 소재한 국가나 지역의 개인정보 보호 정책·법규가 표준계약 이행에 미치는 영향;
(6) 개인정보의 국경 간 이전 보안에 영향을 줄 수 있는 그 밖의 사항.
제6조 표준계약은 본 방법의 부속서에 엄격히 따라 체결하여야 한다. 국가 인터넷정보 부문은 실제 상황에 비추어 부속서를 조정할 수 있다.
개인정보 취급자는 표준계약과 충돌하지 않는 한, 해외 수령인과 그 밖의 조항을 약정할 수 있다.
개인정보의 국경 간 이전은 표준계약이 발효된 후에만 수행할 수 있다.
편집자 주: 본 조에서 말하는 표준계약 서식은 원문서의 별도 부속서이며 이 번역에는 재현하지 않았습니다; 여기서는 본 방법의 13개 조문만 번역합니다.
제7조 개인정보 취급자는 표준계약이 발효된 날로부터 10 영업일 이내에 그 소재지의 성급 인터넷정보 부문에 비안하여야 한다. 비안을 위해 다음 자료를 제출하여야 한다:
(1) 표준계약;
(2) 개인정보 보호 영향 평가 보고서.
개인정보 취급자는 비안한 자료의 진실성에 대하여 책임을 진다.
제8조 표준계약의 유효 기간 중 다음 각 호의 어느 하나에 해당하는 사정이 발생하는 경우, 개인정보 취급자는 새로운 개인정보 보호 영향 평가를 수행하고, 표준계약을 보충 또는 재체결하며, 그에 상응하는 비안 절차를 완료하여야 한다:
(1) 해외에 제공되는 개인정보의 목적, 범위, 유형, 민감도, 수단, 또는 저장 위치에 변경이 발생하거나, 해외 수령인이 개인정보를 처리하는 목적이나 수단에 변경이 발생하거나, 개인정보의 해외 저장 기간이 연장되는 경우;
(2) 해외 수령인이 소재한 국가나 지역의 개인정보 보호 정책·법규에 변경이 발생하거나, 개인정보에 대한 권익에 영향을 줄 수 있는 그 밖의 변경이 있는 경우;
(3) 개인정보에 대한 권익에 영향을 줄 수 있는 그 밖의 사정.
제9조 인터넷정보 부문과 그 직원은 직무 수행 중 알게 된 개인의 사생활, 개인정보, 상업 비밀, 기밀 영업 정보 등을 법에 따라 비밀로 유지하여야 하고, 그러한 정보를 공개하거나 타인에게 불법으로 제공하거나 불법으로 이용해서는 안 된다.
제10조 어떤 조직이나 개인이든 개인정보 취급자가 본 방법을 위반하여 개인정보를 해외에 제공하는 것을 발견하는 경우, 성급 이상의 인터넷정보 부문에 신고할 수 있다.
제11조 성급 이상의 인터넷정보 부문은 개인정보의 국경 간 이전이 비교적 큰 위험을 초래하거나 개인정보 보안 사고가 발생했음을 발견하는 경우, 법에 따라 개인정보 취급자와 규제 면담을 할 수 있다. 개인정보 취급자는 요구에 따라 시정하고 숨은 위험을 제거하여야 한다.
제12조 본 방법의 규정 위반은 「중화인민공화국 개인정보 보호법」과 그 밖의 법률·법규에 따라 처리한다; 범죄를 구성하는 경우 법에 따라 형사 책임을 추궁한다.
제13조 본 방법은 2023년 6월 1일부터 시행한다. 본 방법 시행 전에 이미 수행된 개인정보의 국경 간 이전으로서 본 방법의 규정에 부합하지 않는 것은 본 방법 시행일로부터 6개월 이내에 시정하여야 한다.
맺음말
원문서는 중국 국가인터넷정보판공실에 의해 중국어로 공표되었습니다. 저희가 그것을 영어로 번역한 것이 위의 내용입니다. 이 번역은 신속한 이해만을 위해 제공되며, 귀하 자신의 판단과 책임 하에 이용하십시오 — 현행 요건은 반드시 자격 있는 법률 자문과 확인하십시오.
저희 팀의 추가 지원이 필요하시면, 오늘 문의해(영어) 주십시오. 저희 전문가가 귀사의 중국 내 존재를 기초부터 규정에 맞게 유지하도록 돕겠습니다.