중국 국경 간 데이터 이전: 규정이 실제로 말하는 것

중국의 국경 간 데이터 규칙에 대한 대부분의 영어 요약은 그 제도를 2021년 당시 그대로 서술하고 거기서 멈춥니다. 그것들이 나열하는 세 가지 컴플라이언스 경로는 실재하지만, 2024년의 한 법령이 그런 다음 평범한 회사의 큰 몫을 그 세 가지 모두에서 면제했습니다 — 그리고 적용 범위 안에 있는 것과 면제되는 것의 차이는 구체적이고 셀 수 있는 숫자입니다.

이 페이지는 핵심 조문을 인용하고, 각 조문이 중국 본토 사용자에게 닿는 웹사이트나 앱을 운영하는 외국 회사에 무엇을 뜻하는지 말합니다. 전문은 하단에 링크되어 있습니다; 여기의 어느 것도 그것을 읽거나 중국 법률 자문을 받는 것을 대체하지 않습니다.

법령: 《中华人民共和国个人信息保护法》 — 개인정보 보호법(PIPL), 2021년 11월 1일 시행, 제3장이 국경 간 장(章); 그리고 《促进和规范数据跨境流动规定》 — 데이터 국경 간 이동 촉진 및 규범화에 관한 규정, 중국 사이버공간관리국령 제16호, 2024년 3월 22일 시행.

법은 어떤 서버보다 먼저 귀하에게 닿습니다

第三条 在中华人民共和国境内处理自然人个人信息的活动，适用本法。

在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：（一）以向境内自然人提供产品或者服务为目的；（二）分析、评估境内自然人的行为；（三）法律、行政法规规定的其他情形。

제3조. 이 법은 중화인민공화국 영역 안에서 자연인의 개인정보를 처리하는 활동에 적용된다. 또한 영역 밖에서 영역 안 자연인의 개인정보를 처리하는 활동에도, 다음 중 하나에 해당하는 경우 적용된다: (1) 영역 안 자연인에게 제품이나 서비스를 제공하는 것을 목적으로 하는 경우; (2) 영역 안 자연인의 행위를 분석·평가하는 경우; (3) 법률·행정법규가 규정하는 기타 상황.

실무에서: 이것이 사람들을 놀라게 하는 조문입니다. PIPL은 중국에 인프라를 두는 것으로 촉발되지 않습니다. 그것은 중국의 사람들을 겨냥하는 것으로 촉발됩니다. 프랑크푸르트에 전적으로 호스팅되고, 중국 법인도 본토 서버도 없지만, 중국 사용자에게 마케팅하거나 그들의 행위에 분석을 돌리는 사이트는 이 법의 적용 범위 안에 있습니다. 중국 안에서 서비스하지 않기로 결정하는 것이 귀하를 그 밖으로 빼내지 않습니다. 사이트 뒤의 도구에도 같은 것이 적용됩니다: 저희가 중국 SaaS 컴플라이언스 센서스를 위해 2026년 10월 763개 SaaS 서비스를 각자 문서에 비추어 검토했을 때, 그중 755개가 중국 본토 사용자에게는 아래 조문에 따른 국경 간 이전인 개인 데이터를 보유하고 있었습니다.

개인정보를 밖으로 보내려면 세 경로 중 하나가 필요합니다

第三十八条 个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；（四）法律、行政法规或者国家网信部门规定的其他条件。

제38조. 개인정보 처리자가 업무 등의 필요로, 중화인민공화국 영역 밖으로 개인정보를 제공할 진정한 필요가 있는 경우, 다음 조건 중 하나를 갖추어야 한다: (1) 본법 제40조에 따라 국가 사이버공간 부서가 조직하는 안전성 평가를 통과; (2) 국가 사이버공간 부서의 규정에 따라 전문 기구를 통한 개인정보 보호 인증; (3) 국가 사이버공간 부서가 마련한 표준계약으로 해외 수신 측과 계약을 체결하여 양측의 권리와 의무를 약정; (4) 법률·행정법규 또는 국가 사이버공간 부서가 규정하는 기타 조건.

실무에서: 안전성 평가, 인증, 또는 표준계약. 이 세 가지가 거의 모든 요약이 나열하는 것입니다. 대부분이 빠뜨리는 것은 (4)항이 장식이 아니라는 점입니다 — 그것이 2024년 규정이 걸려 있는 고리이며, 위 목록이 더 이상 답 전체가 아닌 이유입니다.

그리고 이미 받은 동의에 더하여, 별도 동의

第三十九条 个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。

제39조. 개인정보 처리자가 중화인민공화국 영역 밖으로 개인정보를 제공하는 경우, 개인에게 해외 수신 측의 명칭 또는 성명, 연락처, 처리 목적, 처리 방법, 개인정보의 종류, 그리고 개인이 해외 수신 측에 대해 본법이 규정하는 권리를 행사하는 방식과 절차 등을 고지하고, 개인의 별도 동의를 받아야 한다.

실무에서: 单独同意, 별도 동의는 구별되는 행위입니다. 일반적인 개인정보 처리방침 수락은 그것을 담지 않습니다. 이 의무는 2024년 면제를 견뎌 냅니다 — 안전성 평가에서 면제된다고 해서 사람들에게 알리고 구체적으로 묻는 것에서 면제되지는 않습니다.

현지화는 모두가 아니라 정해진 집단에 적용됩니다

第四十条 关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估……

제40조. 핵심정보인프라 운영자와, 개인정보 처리가 국가 사이버공간 부서가 규정하는 수량에 이르는 개인정보 처리자는, 중화인민공화국 영역 안에서 수집·생성한 개인정보를 영역 안에 저장해야 한다. 영역 밖으로 제공할 진정한 필요가 있는 경우, 국가 사이버공간 부서가 조직하는 안전성 평가를 통과해야 한다……

실무에서: 중국의 데이터 현지화는 흔히 일률적 규칙으로 서술됩니다. 문장의 주어를 읽으십시오: 그것은 핵심정보인프라 운영자와 분량 임계값을 넘는 처리자에 붙습니다. 대부분의 외국 기업 사이트는 둘 다 아닙니다. 현지화가 적용되지 않는데 적용된다고 가정하는 것은, 적용되는데 아니라고 가정하는 것과 같은 방식으로 비쌉니다.

2024년 규정이 임계값이 실제로 사는 곳입니다

第五条 数据处理者向境外提供个人信息，符合下列条件之一的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证：……（四）关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。

제5조. 데이터 처리자가 개인정보를 영역 밖으로 제공하되 다음 조건 중 하나에 해당하는 경우, 데이터 출경 안전성 평가 신청, 개인정보 출경 표준계약 체결, 개인정보 보호 인증에서 면제된다: …… (4) 핵심정보인프라 운영자 이외의 데이터 처리자가 당해 1월 1일부터 누계로 영역 밖에 10만 명 미만의 개인정보(민감 개인정보 불포함)를 제공한 경우.

실무에서: 이것이 평범한 외국 회사에 가장 중대한 단 하나의 문장이며, 2024년 이전에 쓰인 대부분의 안내에서 빠진 것입니다. 연 10만 명 미만, 민감 데이터 없음, CIIO 아님 — 그러면 제38조의 세 경로가 모두 사라집니다. 카운터는 역년(calendar year)별로 돌고 1월 1일에 리셋됩니다.

제5조는 또한 개인이 당사자인 계약을 이행하는 데 필요한 이전도 면제합니다 — 본문은 국경 간 쇼핑, 배송, 송금, 결제, 계좌 개설, 항공·호텔 예약, 비자 처리, 시험 서비스를 지명합니다 — 그리고 적법한 고용 규칙에 따른 국경 간 인사 관리도.

그 위의 두 임계값

第八条 关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。

제8조. 핵심정보인프라 운영자 이외의 데이터 처리자가 당해 1월 1일부터 누계로 영역 밖에 10만 명 이상 100만 명 미만의 개인정보(민감 개인정보 불포함) 또는 1만 명 미만의 민감 개인정보를 제공한 경우, 법에 따라 해외 수신 측과 개인정보 출경 표준계약을 체결하거나 개인정보 보호 인증을 통과해야 한다.

第七条 ……（二）关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息。

제7조. … (2) 핵심정보인프라 운영자 이외의 데이터 처리자가 영역 밖에 중요 데이터를 제공하거나, 당해 1월 1일부터 누계로 영역 밖에 100만 명 이상의 개인정보(민감 개인정보 불포함) 또는 1만 명 이상의 민감 개인정보를 제공하는 경우 — 성급 사이버공간 당국을 통해 안전성 평가를 신청해야 한다.

실무에서: 세 구간, 하나의 축. 10만 명 미만: 면제. 10만~100만 명 사이, 또는 1만 명 미만의 모든 민감 데이터: 표준계약 또는 인증. 100만 명 이상, 또는 1만 명의 민감 데이터: 안전성 평가. 핵심정보인프라 운영자는 구간 밖에 있으며 무조건 평가로 갑니다. 통과한 평가는 3년간 유효하며 신청으로 3년 더 연장할 수 있습니다.

그리고 해외 처리자는 여기 누군가를 두어야 합니다

第五十三条 本法第三条第二款规定的中华人民共和国境外的个人信息处理者，应当在中华人民共和国境内设立专门机构或者指定代表，负责处理个人信息保护相关事务……

제53조. 본법 제3조 제2항이 규정하는 중화인민공화국 영역 밖의 개인정보 처리자는, 중화인민공화국 영역 안에 전담 기구를 설립하거나 대표를 지정하여 개인정보 보호 관련 사무를 담당하게 해야 한다……

실무에서: 제3조가 귀하를 잡으면, 제53조가 따라옵니다. 지명된 현지 책임 지점을 두어야 할 의무는 ICP 비안을 보유하거나 본토 인프라를 운영하는 것에 달려 있지 않습니다.

위반의 비용

第六十六条 ……情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿……

제66조. … 정황이 심각한 경우, 성급 이상의 개인정보 보호 직무를 수행하는 부서가 시정을 명하고, 위법 소득을 몰수하며, 5천만 위안 이하 또는 전년도 매출액의 5% 이하 벌금을 부과하고, 관련 업무의 정지 또는 영업 정지·시정을 명할 수 있다……

실무에서: 비안 제도와 달리, 이것은 진정으로 금전적이며, 매출액 항목은 표면상 중국 자회사의 매출에 상한이 걸려 있지 않습니다. 같은 조문의 첫 항은 규정에 맞지 않는 애플리케이션의 정지 또는 종료를 명하는 것도 허용합니다.

이 법령들이 결정하지 않는 것

• ICP 비안이 필요한지. 다른 촉발점을 가진 다른 제도 — 중국 본토 안에서 서비스하는 것. 저희는 비안 규칙이 무엇을 요구하는지 정리해 두었습니다.
• 귀사 사이트가 도달 가능한지. PIPL의 어느 것도 페이지를 로드되게 만들지 않습니다. 그것은 다른 관문이며, 저희는 각 전송 방식이 실제로 무엇을 사는지 측정했습니다.
• 중요 데이터. 2024년 규정 제2조는, 관련 당국이나 지역이 통지했거나 그렇게 공표하지 않는 한 처리자가 데이터를 중요 데이터로 선언할 필요가 없다고 말합니다 — 스스로 평가해야 했던 것에서의 의미 있는 변화입니다.

왜 이것이 서류가 아니라 아키텍처를 결정하는가

두 관문은 별개이지만 여기서 상호작용합니다. 중국 본토 안에서 서비스하는 것은 귀하를 ICP 비안 제도 안에 두지만; 그 자체로 국경 간 이전 문제를 만들지는 않으며, 영역 안에서 수집·보관된 데이터는 애초에 수출되지 않으므로 그것을 줄일 수도 있습니다. 밖에서 서비스하는 것은 비안 제도를 피하지만 제3조가 어쨌든 귀하에게 적용되게 남깁니다. 어느 방향도 공짜가 아니며, 그 선택은 전송 설계에서 일찍, 한 번에 내려집니다 — 이것이 저희가 도달 가능성과 허가를 둘이 아니라 하나의 결정으로 다루는 이유입니다. 저희 전송 옵션에 관한 참조 페이지가 그것들이 어떻게 맞물리는지 정리합니다.

일차 출처: 《中华人民共和国个人信息保护法》, 중국 사이버공간관리국 게시 전문: cac.gov.cn; 저희 조문별 영어 번역은 중국 개인정보 보호법에 있습니다. 《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号）, 국무원 공보 전문: 국무원 공보 2024년 제15호.

위 번역은 저희 것이며 방향 안내용일 뿐입니다. 영어와 중국어가 다른 경우, 중국어가 우선합니다. 임계값은 2026년 8월 28일 기준 법령에 나타난 대로 기술되었습니다. 이 페이지는 법률 자문이 아닙니다.