중국 PIPL(개인정보 보호법)

TLDR; 아래는 중국 PIPL(개인정보 보호법)의 영어 번역본에서 옮긴 한국어 번역으로, 2021년 11월 1일부터 시행되었습니다.

제1장: 총칙

제1조 개인정보에 대한 권익을 보호하고, 개인정보 처리 활동을 규율하며, 개인정보의 합리적 이용을 촉진하기 위하여, 헌법에 따라 본 법을 제정한다.

제2조 자연인의 개인정보는 법으로 보호되며, 어떤 조직이나 개인도 자연인의 개인정보 권익을 침해해서는 안 된다.

제3조 본 법은 중화인민공화국 영역 내에서의 자연인의 개인정보 처리에 적용한다.

중화인민공화국 영역 밖에서 중화인민공화국 영역 내 자연인의 개인정보를 처리하는 경우로서 다음 각 호의 어느 하나에 해당하는 때에도 본 법을 적용한다:

(1) 국내 자연인에게 제품이나 서비스를 제공할 목적인 경우;

(2) 국내 자연인의 행동을 분석·평가하는 경우;

(3) 법률·행정법규가 정한 그 밖의 경우.

제4조 개인정보란 전자적 또는 그 밖의 방식으로 기록되어, 식별되었거나 식별 가능한 자연인에 관련된 모든 종류의 정보를 가리키며, 익명화된 정보는 제외한다.

개인정보의 처리란 개인정보의 수집, 저장, 사용, 가공, 전송, 제공, 공개, 삭제 등을 포함한다.

제5조 개인정보의 처리는 적법·정당·필요·성실의 원칙을 따라야 하고, 오도·사기·강제 등의 수단으로 개인정보를 처리해서는 안 된다.

제6조 개인정보의 처리는 명확하고 합리적인 목적을 가져야 하고, 처리 목적과 직접 관련되어야 하며, 개인의 권익에 미치는 영향이 가장 적은 방법을 채택하여야 한다.

개인정보의 수집은 처리 목적을 달성하는 데 필요한 최소 범위로 한정되어야 하고, 개인정보의 과도한 수집은 허용되지 않는다.

제7조 개인정보 처리는 공개·투명의 원칙을 따르고, 개인정보 처리 규칙을 공개하며, 처리의 목적·방법·범위를 명시하여야 한다.

제8조 개인정보를 처리할 때, 개인정보의 질을 보장하고, 개인정보의 부정확·불완전으로 인해 개인의 권익에 미치는 악영향을 피하여야 한다.

제9조 개인정보 처리자는 그 개인정보 처리 활동에 책임을 지고, 처리하는 개인정보의 보안을 확보하는 데 필요한 조치를 취하여야 한다.

제10조 어떤 조직이나 개인도 타인의 개인정보를 불법으로 수집·이용·가공·전송해서는 안 되고, 타인의 개인정보를 불법으로 매매·제공·공개해서도 안 되며; 국가안전이나 공공 이익을 위태롭게 하는 개인정보 처리 활동에 종사해서는 안 된다.

제11조 국가는 개인정보 보호 제도를 수립·개선하고, 개인정보 권익을 침해하는 행위를 예방·처벌하며, 개인정보 보호에 관한 홍보·교육을 강화하고, 정부·기업·관련 사회 조직·공중이 개인정보 보호에 함께 참여하는 이로운 환경의 형성을 촉진한다.

제12조 국가는 국제 개인정보 보호 규칙의 제정에 적극 참여하고, 개인정보 보호에 관한 국제 교류·협력을 촉진하며, 다른 국가·지역·국제기구와의 개인정보 보호 규칙·표준의 상호 인정을 촉진한다.

제2장: 개인정보 처리 규칙

제1절 총칙

제13조 개인정보 처리자는 다음 각 호의 어느 하나에 해당하는 경우에만 개인정보를 처리할 수 있다:

(1) 개인의 동의를 얻은 경우;

(2) 개인이 당사자인 계약의 체결·이행에 필요하거나, 법에 따라 제정된 노동 규칙·규정과 법에 따라 체결된 단체계약에 따른 인사 관리의 시행에 필요한 경우;

(3) 법정 직무나 법정 의무를 수행하는 데 필요한 경우;

(4) 공공 위생 돌발 사태에 대응하거나, 긴급 상황에서 자연인의 생명·건강·재산 안전을 보호하는 데 필요한 경우;

(5) 공공 이익을 위한 뉴스 보도, 여론 감독 등의 행위를 수행하며 합리적 범위 내에서 개인정보를 처리하는 경우;

(6) 본 법의 규정에 따라 합리적 범위 내에서, 개인이 스스로 공개했거나 적법하게 공개된 개인정보를 처리하는 경우;

(7) 법률·행정법규가 정한 그 밖의 경우.

본 법의 그 밖의 관련 규정에 따라 개인정보의 처리에 개인 동의를 얻어야 하나, 전항 제2호부터 제7호까지에 명시된 경우에는 개인 동의가 필요하지 않다.

제14조 개인정보의 처리가 개인의 동의에 기반하는 경우, 그 동의는 충분히 알고 있는 전제에서 개인이 자발적이고 명시적으로 하여야 한다. 법률·행정법규가 개인정보의 처리에 개인 동의나 서면 동의를 얻도록 규정하는 경우, 그 규정이 우선한다.

개인정보 처리의 목적, 처리 방법, 처리하는 개인정보의 유형이 변경되는 경우, 개인의 동의를 다시 얻어야 한다.

제15조 개인정보의 처리가 개인의 동의에 기반하는 경우, 개인은 그 동의를 철회할 권리가 있다. 개인정보 처리자는 동의를 철회하는 편리한 방법을 제공하여야 한다.

개인의 동의 철회는 철회 이전에 개인의 동의에 기반하여 이미 수행된 개인정보 처리 활동의 효력에 영향을 주지 않는다.

제16조 개인정보 처리자는 개인이 그 개인정보 처리에 동의하지 않거나 동의를 철회한다는 이유로 제품이나 서비스 제공을 거부해서는 안 된다; 다만, 개인정보 처리가 제품·서비스 제공에 필요한 경우는 예외로 한다.

제17조 개인정보를 처리하기 전에, 개인정보 처리자는 두드러진 방식으로 명확하고 이해하기 쉬운 언어로 다음 사항을 개인에게 진실하고 정확하며 완전하게 고지하여야 한다:

(1) 개인정보 처리자의 명칭과 연락처;

(2) 개인정보 처리의 목적과 방법, 처리하는 개인정보의 유형, 저장 기간;

(3) 개인이 본 법상의 권리를 행사하는 방법과 절차;

(4) 법률·행정법규가 요구하는 그 밖의 고지 사항.

전항에 명시된 사항이 변경되는 경우, 변경된 부분을 개인에게 고지하여야 한다.

개인정보 처리자가 개인정보 처리 규칙을 제정하여 제1항에 명시된 사항을 고지하는 경우, 그 처리 규칙을 공개하고 조회·보존하기 쉽게 하여야 한다.

제18조 개인정보 처리자가 개인정보를 처리할 때, 법률·행정법규가 비밀로 유지하여야 하거나 고지할 필요가 없다고 규정하는 사정이 있는 경우, 전조 제1항에 명시된 사항을 개인에게 고지하지 않을 수 있다.

긴급 상황에서 자연인의 생명·건강·재산 안전을 보호하기 위하여 개인에게 고지하는 것이 불가능한 경우, 개인정보 처리자는 긴급 상황이 해소된 후 적시에 고지하여야 한다.

제19조 법률·행정법규가 달리 규정하지 않는 한, 개인정보의 보존 기간은 처리 목적을 달성하는 데 필요한 최단 시간이어야 한다.

제20조 둘 이상의 개인정보 처리자가 개인정보 처리의 목적과 방법을 공동으로 결정하는 경우, 각자의 권리·의무를 약정하여야 한다. 다만, 그 약정은 개인이 어느 한 개인정보 처리자에게 본 법이 정한 권리를 행사하도록 요청하는 것에 영향을 주지 않는다.

개인정보 처리자가 개인정보를 공동 처리하여 개인정보 권익을 침해하고 손해를 끼치는 경우, 법에 따라 연대 책임을 진다.

제21조 개인정보 처리자가 개인정보 처리를 위탁하는 경우, 수탁자와 처리의 목적, 기한, 처리 방법, 개인정보의 유형, 보호 조치, 양 당사자의 권리·의무 등을 약정하고, 수탁자의 개인정보 처리 활동을 감독하여야 한다.

수탁자는 약정에 따라 개인정보를 처리하여야 하고, 약정된 처리 목적·방법을 넘어 개인정보를 처리해서는 안 된다; 위탁 계약이 발효되지 않거나, 무효이거나, 취소되거나, 종료되는 경우, 수탁자는 개인정보 처리자에게 개인정보를 반환하거나 삭제하여야 하고, 보존해서는 안 된다.

개인정보 처리자의 동의 없이, 수탁자는 타인에게 개인정보 처리를 위탁해서는 안 된다.

제22조 개인정보 처리자가 합병, 분할, 해산, 파산 선고, 또는 그 밖의 이유로 개인정보를 이전할 필요가 있는 경우, 수령인의 명칭과 연락처를 개인에게 고지하여야 한다. 수령인은 개인정보 처리자로서의 의무를 계속 이행하여야 한다. 수령인이 원래의 처리 목적·방법을 변경하는 경우, 본 법의 규정에 따라 개인 동의를 다시 얻어야 한다.

제23조 개인정보 처리자가 처리하는 개인정보를 다른 개인정보 처리자에게 제공하는 경우, 수령인의 명칭, 연락처, 처리 목적, 처리 방법, 개인정보의 유형을 개인에게 고지하고 개인 동의를 얻어야 한다. 수령인은 위의 처리 목적·방법·개인정보 유형의 범위 내에서 개인정보를 처리하여야 한다. 수령인이 원래의 처리 목적·방법을 변경하는 경우, 본 법의 규정에 따라 개인 동의를 다시 얻어야 한다.

제24조 개인정보를 이용하여 자동화된 의사결정을 하는 개인정보 처리자는 의사결정의 투명성과 결과의 공평·공정을 확보하여야 하고, 거래 가격과 그 밖의 거래 조건에서 개인에게 불합리한 차별 대우를 가해서는 안 된다.

자동화된 의사결정 방식으로 개인에게 정보를 푸시하고 상업 마케팅을 하는 경우, 그 개인 특성을 겨냥하지 않는 옵션을 함께 제공하거나, 개인에게 거부할 편리한 방법을 제공하여야 한다.

자동화된 의사결정을 통하여 개인의 권익에 중대한 영향을 주는 결정을 하는 경우, 개인은 개인정보 처리자에게 설명을 요구할 권리가 있고, 개인정보 처리자가 자동화된 의사결정만으로 결정하는 것을 거부할 권리가 있다.

제25조 개인정보 처리자는 개인 동의를 얻은 경우를 제외하고, 처리하는 개인정보를 공개해서는 안 된다.

제26조 공공장소에 이미지 수집·개인 식별 장비를 설치하는 것은 공공 안전 유지에 필요하여야 하고, 관련 국가 규정을 준수하며, 두드러진 경고 표지를 설치하여야 한다. 수집된 개인 이미지와 식별 정보는 공공 안전 유지의 목적으로만 사용할 수 있고 다른 목적으로 사용해서는 안 된다; 개인 동의를 얻은 경우는 예외로 한다.

제27조 개인정보 처리자는 합리적 범위 내에서, 개인이 스스로 공개했거나 적법하게 공개된 개인정보를 처리할 수 있다; 개인이 명시적으로 거부하는 경우는 예외로 한다. 공개된 개인정보의 처리가 개인의 권익에 중대한 영향을 주는 경우, 개인정보 처리자는 본 법의 규정에 따라 개인 동의를 얻어야 한다.

제2절 민감 개인정보의 처리 규칙

제28조 민감 개인정보란 유출되거나 불법으로 이용되면 자연인의 인격 존엄에 손해를 끼치거나 신체·재산 안전을 위태롭게 할 수 있는 개인정보로, 생체인식, 종교 신앙, 특정 신원, 의료·보건, 금융 계좌, 행적 등의 정보, 그리고 만 14세 미만 미성년자의 개인정보를 포함한다.

개인정보 처리자는 특정 목적과 충분한 필요성이 있고 엄격한 보호 조치를 취하는 경우에만 민감 개인정보를 처리할 수 있다.

제29조 민감 개인정보의 처리에는 개인 동의를 얻어야 한다; 법률·행정법규가 민감 개인정보의 처리에 서면 동의를 얻도록 규정하는 경우, 그 규정이 우선한다.

제30조 개인정보 처리자가 민감 개인정보를 처리할 때, 본 법 제17조 제1항이 정한 사항에 더하여, 민감 개인정보 처리의 필요성과 개인 권익에 미치는 영향도 개인에게 고지하여야 한다; 법에 따라 개인에게 고지할 필요가 없는 경우는 예외로 한다.

제31조 만 14세 미만 미성년자의 개인정보를 처리하는 개인정보 처리자는 미성년자의 부모나 그 밖의 후견인의 동의를 얻어야 한다.

개인정보 처리자가 만 14세 미만 미성년자의 개인정보를 처리할 때, 특별 개인정보 처리 규칙을 제정하여야 한다.

제32조 법률·행정법규가 민감 개인정보의 처리에 관련 행정 허가를 얻거나 그 밖의 제한을 가하도록 규정하는 경우, 그 규정이 우선한다.

제3절 국가 기관의 개인정보 처리 특별 규정

제33조 국가 기관의 개인정보 처리 활동에는 본 법을 적용한다; 본 절에 특별 규정이 있는 경우, 본 절의 규정을 적용한다.

제34조 국가 기관은 법정 직무를 수행하기 위하여 개인정보를 처리하며, 법률·행정법규가 정한 권한과 절차에 따라 수행하여야 하고, 법정 직무 수행에 필요한 범위와 한도를 넘어서는 안 된다.

제35조 국가 기관은 법정 직무를 수행하기 위하여 개인정보를 처리하며, 본 법의 규정에 따라 고지 의무를 이행하여야 한다; 본 법 제18조 제1항에 명시된 경우이거나 고지가 국가 기관의 법정 직무 수행을 방해하는 경우는 예외로 한다.

제36조 국가 기관이 처리하는 개인정보는 중화인민공화국 영역 내에 저장하여야 한다; 해외에 제공하는 것이 진실로 필요한 경우, 보안 평가를 수행하여야 한다. 보안 평가는 관련 부문의 지원과 협조를 요할 수 있다.

제37조 법률·법규가 공공 사무 관리 기능을 수권한 조직이 법정 직무를 수행하기 위하여 개인정보를 처리하는 경우, 국가 기관의 개인정보 처리에 관한 본 법의 규정을 적용한다.

제3장: 개인정보의 국경 간 제공 규칙

제38조 개인정보 처리자가 업무 필요로 인하여 중화인민공화국 영역 밖으로 개인정보를 제공하는 것이 진실로 필요한 경우, 다음 각 호의 조건 중 하나를 충족하여야 한다:

(1) 본 법 제40조의 규정에 따라 국가 인터넷정보 부문이 조직하는 보안 평가를 통과하는 것;

(2) 국가 사이버보안·정보화 부문의 규정에 따라 전문 기관이 수행하는 개인정보 보호 인증을 받는 것;

(3) 국가 사이버보안·정보화 부문이 제정한 표준계약에 따라 해외 수령인과 계약을 체결하여 양 당사자의 권리·의무를 약정하는 것;

(4) 법률·행정법규나 국가 인터넷정보 부문이 정한 그 밖의 조건.

중화인민공화국이 체결·가입한 국제 조약·협정이 중화인민공화국 영역 밖으로 개인정보를 제공하는 조건을 규정하는 경우, 그 규정에 따라 시행할 수 있다.

개인정보 처리자는 해외 수령인의 개인정보 처리가 본 법이 정한 개인정보 보호 기준을 충족하도록 보장하는 데 필요한 조치를 취하여야 한다.

제39조 개인정보 처리자가 중화인민공화국 영역 밖으로 개인정보를 제공하는 경우, 해외 수령인의 명칭, 연락처, 처리 목적, 처리 방법, 개인정보의 유형, 그리고 개인이 해외 수령인에게 본 법이 정한 권리를 행사하는 방법과 절차 같은 사항을 개인에게 고지하고, 개인의 개별 동의를 얻어야 한다.

제40조 핵심정보인프라 운영자와 개인정보 처리가 국가 사이버보안·정보화 부문이 정한 수량에 이르는 개인정보 처리자는 중화인민공화국 영역 내에서 수집·생성한 개인정보를 영역 내에 저장하여야 한다. 해외에 제공하는 것이 진실로 필요한 경우, 국가 사이버보안·정보화 부문이 조직하는 보안 평가를 통과하여야 한다; 법률·행정법규와 국가 사이버보안·정보화 부문이 보안 평가가 필요하지 않다고 규정하는 경우, 그 규정에 따른다.

제41조 중화인민공화국의 주관 당국은 관련 법률과 중화인민공화국이 체결·가입한 국제 조약·협정에 따라, 또는 평등·호혜 원칙에 따라, 중국에 저장된 개인정보의 제공을 요청하는 외국 사법·법 집행 기관의 요청을 처리한다. 중화인민공화국 주관 당국의 승인 없이, 개인정보 처리자는 중화인민공화국 영역 내에 저장된 개인정보를 외국 사법·법 집행 기관에 제공해서는 안 된다.

제42조 해외 조직이나 개인이 중화인민공화국 시민의 개인정보 권익을 침해하거나, 중화인민공화국의 국가안전·공공 이익을 위태롭게 하는 개인정보 처리 활동에 종사하는 경우, 국가 사이버보안·정보화 부문은 그들을 개인정보 제공 제한·금지 목록에 올려 공고하고, 그들에게 개인정보 제공을 제한·금지하는 등의 조치를 취할 수 있다.

제43조 어떤 국가나 지역이 개인정보 보호에서 중화인민공화국에 대해 차별적 금지·제한이나 그 밖의 유사한 조치를 취하는 경우, 중화인민공화국은 실제 상황에 따라 그 국가나 지역에 조치를 취할 수 있다.

제4장: 개인정보 처리 활동에서 개인의 권리

제44조 개인은 그 개인정보 처리에 대하여 알고 결정할 권리가 있고, 타인의 그 개인정보 처리를 제한하거나 거부할 권리가 있다; 법률·행정법규가 달리 규정하는 경우는 예외로 한다.

제45조 개인은 개인정보 처리자로부터 그 개인정보를 조회하고 복사할 권리가 있다; 본 법 제18조 제1항과 제35조에 명시된 경우는 예외로 한다.

개인이 그 개인정보를 열람하거나 복사할 것을 요청하는 경우, 개인정보 처리자는 적시에 제공하여야 한다.

개인이 자신이 지정한 개인정보 처리자에게 개인정보 이전을 요청하고 국가 사이버보안·정보화 부문이 정한 조건을 충족하는 경우, 개인정보 처리자는 이전 경로를 제공하여야 한다.

제46조 개인이 그 개인정보가 부정확하거나 불완전함을 발견하는 경우, 개인정보 처리자에게 정정이나 보충을 요청할 권리가 있다.

개인이 그 개인정보의 정정이나 보충을 요청하는 경우, 개인정보 처리자는 그 개인정보를 검증하고 적시에 정정하거나 보충하여야 한다.

제47조 다음 각 호의 어느 하나에 해당하는 경우, 개인정보 처리자는 개인정보를 능동적으로 삭제하여야 한다; 개인정보 처리자가 삭제하지 않는 경우, 개인은 삭제를 요청할 권리가 있다:

(1) 처리 목적이 달성되었거나, 달성할 수 없거나, 처리 목적 달성에 더 이상 필요하지 않은 경우;

(2) 개인정보 처리자가 제품·서비스 제공을 중단하거나, 저장 기간이 만료된 경우;

(3) 개인이 그 동의를 철회한 경우;

(4) 개인정보 처리자가 법률·행정법규나 약정을 위반하여 개인정보를 처리한 경우;

(5) 법률·행정법규가 정한 그 밖의 경우.

법률·행정법규가 정한 보존 기간이 만료되지 않았거나, 개인정보 삭제가 기술적으로 어려운 경우, 개인정보 처리자는 저장과 필요한 보안 보호 조치 외의 처리를 중단하여야 한다.

제48조 개인은 개인정보 처리자에게 그 개인정보 처리 규칙의 설명을 요구할 권리가 있다.

제49조 자연인이 사망한 경우, 그 근친은 자신의 적법하고 정당한 이익을 위하여 고인의 관련 개인정보에 대하여 본 장이 정한 조회·복사·정정·삭제 등의 권리를 행사할 수 있다; 다만, 고인이 생전에 달리 정한 경우는 예외로 한다.

제50조 개인정보 처리자는 개인이 권리를 행사하는 편리한 신청 접수·처리 메커니즘을 수립하여야 한다. 개인의 권리 행사 요청을 거부하는 경우, 그 사유를 설명하여야 한다.

개인정보 처리자가 개인의 권리 행사 요청을 거부하는 경우, 개인은 법에 따라 인민법원에 소송을 제기할 수 있다.

제5장: 개인정보 처리자의 의무

제51조 개인정보 처리자는 개인정보 처리의 목적, 처리 방법, 개인정보의 유형, 개인 권익에 미치는 영향, 발생할 수 있는 보안 위험에 근거하여, 개인정보 처리 활동이 법률·행정법규를 준수하도록 하고, 무단 접근과 개인정보의 유출·변조·분실을 방지하기 위하여 다음 조치를 취하여야 한다:

(1) 내부 관리 제도와 운영 절차를 제정하는 것;

(2) 개인정보에 대한 분류 관리를 시행하는 것;

(3) 암호화와 비식별화 같은 상응하는 보안 기술 조치를 취하는 것;

(4) 개인정보 처리의 운영 권한을 합리적으로 정하고, 직원에게 정기적으로 보안 교육·훈련을 수행하는 것;

(5) 개인정보 보안 사고 긴급 대응 계획을 제정하고 그 시행을 조직하는 것;

(6) 법률·행정법규가 정한 그 밖의 조치.

제52조 개인정보 처리가 국가 사이버보안·정보화 부문이 정한 수량에 이르는 개인정보 처리자는 개인정보 보호 책임자를 지정하여, 개인정보 처리 활동과 취한 보호 조치를 감독하게 하여야 한다.

개인정보 처리자는 개인정보 보호 책임자의 연락처를 공개하고, 개인정보 보호 책임자의 이름과 연락처를 개인정보 보호 직무를 수행하는 부문에 제출하여야 한다.

제53조 본 법 제3조 제2항에 명시된 중화인민공화국 영역 밖의 개인정보 처리자는 중화인민공화국 영역 내에 전문 기관을 설립하거나 대표를 지정하여 개인정보 보호 관련 사안을 담당하게 하고, 관련 기관의 명칭이나 대표의 이름과 연락처를 개인정보 보호 직무를 수행하는 부문에 제출하여야 한다.

제54조 개인정보 처리자는 그 개인정보 취급이 법률·행정법규를 준수하는지 정기적으로 컴플라이언스 감사를 수행하여야 한다.

제55조 다음 각 호의 어느 하나에 해당하는 경우, 개인정보 처리자는 사전에 개인정보 보호 영향 평가를 수행하고 처리 상황을 기록하여야 한다:

(1) 민감 개인정보를 처리하는 경우;

(2) 개인정보를 이용하여 자동화된 의사결정을 하는 경우;

(3) 개인정보 처리를 위탁하거나, 다른 개인정보 처리자에게 개인정보를 제공하거나, 개인정보를 공개하는 경우;

(4) 개인정보를 해외에 제공하는 경우;

(5) 개인의 권익에 중대한 영향을 주는 그 밖의 개인정보 처리 활동.

제56조 개인정보 보호 영향 평가는 다음 내용을 포함하여야 한다:

(1) 개인정보 처리의 목적·방법이 적법·정당·필요한지 여부;

(2) 개인 권익에 미치는 영향과 보안 위험;

(3) 취한 보호 조치가 적법·효과적이고 위험 정도에 상응하는지 여부.

개인정보 보호 영향 평가 보고서와 처리 기록은 적어도 3년간 보존하여야 한다.

제57조 개인정보의 유출·변조·분실이 발생하거나 발생할 수 있는 경우, 개인정보 처리자는 즉시 구제 조치를 취하고, 개인정보 보호 직무를 수행하는 부문과 개인에게 통지하여야 한다. 통지는 다음을 포함하여야 한다:

(1) 발생했거나 발생할 수 있는 유출·변조·분실된 정보의 유형, 그리고 원인과 발생 가능한 해;

(2) 개인정보 처리자가 취한 구제 조치와 개인이 해를 완화하기 위해 취할 수 있는 조치;

(3) 개인정보 처리자의 연락처.

개인정보 처리자가 정보 유출·변조·분실로 인한 해를 효과적으로 피하는 조치를 취하는 경우, 개인정보 처리자는 개인에게 통지하지 않을 수 있다; 개인정보 보호 직무를 수행하는 부문이 해가 발생할 수 있다고 판단하는 경우, 개인정보 처리자에게 개인에게 통지하도록 요구할 권리가 있다.

제58조 중요 인터넷 플랫폼 서비스를 제공하고, 이용자 수가 막대하며, 업무 유형이 복잡한 개인정보 처리자는 다음 의무를 이행하여야 한다:

(1) 국가 규정에 따라 개인정보 보호 컴플라이언스 제도를 수립·개선하고, 주로 외부 구성원으로 이루어진 독립 기구를 수립하여 개인정보 보호를 감독하는 것;

(2) 공개·공평·공정의 원칙을 따라 플랫폼 규칙을 제정하고, 플랫폼상의 제품·서비스 제공자의 개인정보 취급 규범과 개인정보 보호 의무를 명확히 하는 것;

(3) 법률·행정법규를 심각하게 위반하여 개인정보를 취급하는 플랫폼상의 제품·서비스 제공자에게 서비스 제공을 중단하는 것;

(4) 개인정보 보호 사회적 책임 보고서를 정기적으로 발표하고 사회적 감독을 받는 것.

제59조 위탁받은 개인정보 처리를 맡은 수탁자는 본 법과 관련 법률·행정법규의 규정에 따라 처리하는 개인정보의 보안을 확보하는 데 필요한 조치를 취하고, 개인정보 처리자가 본 법이 정한 의무를 이행하도록 지원하여야 한다.

제6장: 개인정보 보호 직무를 수행하는 부문

제60조 국가 사이버보안·정보화 부문은 개인정보 보호 업무와 관련 감독·관리 업무의 총괄 기획·조율을 담당한다. 국무원 관련 부문은 본 법과 관련 법률·행정법규의 규정에 따라 각자의 직무 범위 내에서 개인정보의 보호·감독·관리를 담당한다.

현급 이상 지방 인민정부 관련 부문의 개인정보 보호·감독·관리 책임은 관련 국가 규정에 따라 정한다.

앞의 두 항에 명시된 부문을 개인정보 보호 직무를 수행하는 부문이라 총칭한다.

제61조 개인정보 보호 직무를 수행하는 부문은 다음 개인정보 보호 직무를 수행한다:

(1) 개인정보 보호에 관한 홍보·교육을 수행하고, 개인정보 처리자가 개인정보 보호 업무를 수행하도록 지도·감독하는 것;

(2) 개인정보 보호에 관한 불만·신고를 접수·처리하는 것;

(3) 애플리케이션 같은 개인정보 보호의 평가를 조직하고, 평가 결과를 발표하는 것;

(4) 위법 개인정보 처리 활동을 조사·처리하는 것;

(5) 법률·행정법규가 정한 그 밖의 직무.

제62조 국가 사이버보안·정보화 부문은 관련 부문을 총괄·조율하여 본 법에 따라 다음 개인정보 보호 업무를 추진한다:

(1) 개인정보 보호의 구체적 규칙과 표준을 제정하는 것;

(2) 소규모 개인정보 처리자, 민감 개인정보 처리, 그리고 안면 인식과 인공지능 같은 신기술·신응용을 위한 특별 개인정보 보호 규칙과 표준을 제정하는 것;

(3) 안전하고 편리한 전자 신원 인증 기술의 연구·개발·보급을 지원하고, 네트워크 신원 인증 공공 서비스의 구축을 촉진하는 것;

(4) 개인정보 보호의 사회화 서비스 체계 구축을 촉진하고, 관련 기관이 개인정보 보호 평가·인증 서비스를 수행하도록 지원하는 것;

(5) 개인정보 보호 불만·신고의 업무 메커니즘을 개선하는 것.

제63조 개인정보 보호 직무를 수행하는 부문은 개인정보 보호 직무를 수행할 때 다음 조치를 취할 수 있다:

(1) 관련 당사자에게 질문하고 개인정보 처리 활동에 관련된 상황을 조사하는 것;

(2) 개인정보 처리 활동에 관련된 당사자의 계약, 기록, 장부, 그 밖의 관련 자료를 열람·복사하는 것;

(3) 현장 검사를 시행하고 위법 혐의가 있는 개인정보 처리 활동을 조사하는 것;

(4) 개인정보 처리 활동에 관련된 장비·물품을 검사하는 것; 위법 개인정보 처리 활동에 쓰인 것으로 증명된 장비·물품에 대하여는 부문 책임자에게 서면으로 보고하고 승인을 받아 봉인하거나 압류하는 것.

개인정보 보호 직무를 수행하는 부문이 법에 따라 직무를 수행할 때, 당사자는 지원·협력하여야 하고, 거부하거나 방해해서는 안 된다.

제64조 직무 수행 중, 개인정보 보호 직무를 수행하는 부문이 개인정보 처리 활동에 비교적 큰 위험이 있거나 개인정보 보안 사고가 발생했음을 발견하는 경우, 정해진 권한과 절차에 따라 개인정보 처리자의 법정 대표자나 주된 책임자를 면담하거나, 개인정보 처리자에게 전문 기관에 위탁하여 그 개인정보 처리 활동에 대한 컴플라이언스 감사를 수행하도록 요구할 수 있다. 개인정보 처리자는 요구에 따라 조치를 취하여 시정하고 숨은 위험을 제거하여야 한다.

직무 수행 중, 개인정보 보호 직무를 수행하는 부문이 위법 개인정보 취급이 범죄 혐의가 있음을 발견하는 경우, 법에 따라 공안 기관에 신속히 이송하여 처리하게 하여야 한다.

제65조 어떤 조직이나 개인이든 위법 개인정보 처리 활동에 대하여 개인정보 보호 직무를 수행하는 부문에 불만하거나 신고할 권리가 있다. 불만이나 신고를 받은 부문은 법에 따라 신속히 처리하고, 처리 결과를 불만인이나 신고인에게 알려야 한다.

개인정보 보호 직무를 수행하는 부문은 불만·신고 접수 연락처를 공개하여야 한다.

제7장: 법적 책임

제66조 본 법의 규정을 위반하여 개인정보를 취급하거나, 개인정보 취급에서 본 법이 정한 개인정보 보호 의무를 이행하지 않은 경우, 개인정보 보호 직무를 수행하는 부문이 시정을 명하고, 경고하며, 위법 소득을 몰수하고, 위법하게 개인정보를 취급하는 애플리케이션에 서비스 제공의 정지나 종료를 명한다; 시정을 거부하는 경우, 100만 위안 이하의 벌금을 부과한다; 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 1만 위안 이상 10만 위안 이하의 벌금을 부과한다.

전항에 명시된 위법 행위가 있고 정황이 중한 경우, 성급 이상의 개인정보 보호 직무를 수행하는 부문이 시정을 명하고, 위법 소득을 몰수하며, 5,000만 위안 이하 또는 전년도 매출액의 5% 이하의 벌금을 부과하고, 관련 업무 정지나 정돈을 위한 영업 정지를 명하며, 관련 주관 부문에 관련 업무 허가의 취소나 영업 집조의 취소를 통지할 수도 있다; 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 10만 위안 이상 100만 위안 이하의 벌금을 부과하고, 일정 기간 관련 회사의 이사·감사·고급 관리자·개인정보 보호 책임자로 재직하는 것을 금지하기로 결정할 수 있다.

제67조 본 법이 정한 위법 행위를 한 자는 관련 법률·행정법규의 규정에 따라 신용 파일에 기록하고 공개한다.

제68조 국가 기관이 본 법이 정한 개인정보 보호 의무를 이행하지 않은 경우, 그 상급 기관이나 개인정보 보호 직무를 수행하는 부문이 시정을 명한다; 직접 책임이 있는 주관자와 그 밖의 직접 책임자에게 법에 따라 처벌한다.

개인정보 보호 직무를 수행하는 부문의 직원이 직무를 유기하거나, 직권을 남용하거나, 사익을 위해 부정을 저지르고, 범죄를 구성하지 않는 경우, 법에 따라 처벌한다.

제69조 개인정보 처리가 개인정보 권익을 침해하여 손해를 끼치고, 개인정보 처리자가 자신에게 과실이 없음을 증명하지 못하는 경우, 손해배상 같은 불법행위 책임을 진다.

전항이 정한 손해배상 책임은 개인이 입은 손실이나 개인정보 처리자가 얻은 이익에 따라 정한다; 개인이 입은 손실과 개인정보 처리자가 얻은 이익을 정하기 어려운 경우, 실제 상황에 따라 배상액을 정한다.

제70조 개인정보 처리자가 본 법의 규정을 위반하여 개인정보를 취급하고 다수 개인의 권익을 침해하는 경우, 인민검찰원, 법이 정한 소비자 조직, 그리고 국가 사이버보안·정보화 부문이 정한 조직은 법에 따라 인민법원에 소송을 제기할 수 있다.

제71조 본 법의 규정을 위반하여 치안 관리 위반을 구성하는 경우, 법에 따라 치안 관리 처벌을 받는다; 범죄를 구성하는 경우, 법에 따라 형사 책임을 규명한다.

제8장: 부칙

제72조 본 법은 자연인이 개인적 또는 가정적 사무로 개인정보를 취급하는 경우에는 적용하지 않는다.

각급 인민정부와 그 관련 부문이 조직·시행하는 통계·기록 관리 활동에서의 개인정보 처리에 대하여 법에 규정이 있는 경우, 그 규정을 적용한다.

제73조 본 법에서 다음 용어의 의미는 다음과 같다:

(1) 개인정보 처리자란 개인정보 처리 활동에서 처리의 목적과 방법을 독자적으로 결정하는 조직 또는 개인을 가리킨다.

(2) 자동화된 의사결정이란 컴퓨터 프로그램을 통하여 개인의 행동 습관, 관심, 또는 경제·건강·신용 상태를 자동으로 분석·평가하고 결정을 내리는 활동을 가리킨다.

(3) 비식별화란 추가 정보의 도움 없이는 특정 자연인을 식별할 수 없도록 개인정보를 처리하는 과정을 가리킨다.

(4) 익명화란 처리 후 개인정보가 특정 자연인을 식별할 수 없고 복원할 수 없는 과정을 가리킨다.

제74조 본 법은 2021년 11월 1일부터 시행한다.

맺음말

중국 국가인터넷정보판공실이 발행한 원문 PIPL(npc.gov.cn에도 있음)은 중국어로 작성되었습니다; 저희가 그것을 영어로 번역한 것이 위의 내용입니다. 이 문서는 법에 대한 신속한 이해의 목적만을 위한 것이며, 귀하 자신의 책임 하에 이용하십시오.

저희 팀의 추가 지원이 필요하시면, 오늘 문의해(영어) 주십시오. 저희 전문가가 귀사 사이트를 중국에서 살아 있게 만드는 모든 비결을 설명해 드리겠습니다!

귀사 앱을 중국에서 작동하게 할 준비가 되셨나요?

시작하기 궁금한 점이 있으신가요? 전문가와 상담하세요.