중국 법에서 무엇이 개인정보에 해당하나요?
중국의 정의는 대부분의 팀이 가정하는 것보다 넓으며, 그 넓음이 핵심입니다. 개인정보 보호법상 개인정보란 식별되었거나 식별 가능한 자연인에 관한, 전자적 또는 그 밖의 방식으로 기록된 모든 정보이며, 익명화된 정보는 제외됩니다. 그 문구는 서구의 프라이버시 검토가 텔레메트리로 취급할 법한 많은 것을 쓸어 담습니다: 기기 식별자, 행동 기록, 위치 흔적은 이름을 담고 있든 아니든 어떤 사람에게 다시 묶일 수 있을 때 개인정보입니다. 두 번째 범주가 따로 떼어져 더 엄격하게 다루어집니다 — 민감 개인정보로, 생체인식, 종교 신앙, 의료·건강 데이터, 금융 계좌, 위치 추적 같은 범주, 그리고 만 14세 미만 미성년자의 모든 개인정보를 포함합니다. 중국에서 사이트나 앱을 운영하는 누구에게든 실질적 결과는 분류 그 자체가 아닙니다: 정의 안에 들어가는 것이 바로 데이터를 국외로 옮기는 조건을 유발하는 것이며, 그 조건은 이전 이후가 아니라 이전 이전에 붙습니다.
법이 정의하는 것, 그리고 왜 그 정의가 중요한가
| 사실 | 1차 출처 |
|---|---|
| PIPL은 개인정보를 식별되었거나 식별 가능한 자연인에 관한, 전자적 또는 그 밖의 방식으로 기록된 모든 정보로 정의하고, 익명화된 정보는 명시적으로 제외합니다. 이름의 존재 여부가 아니라 식별 가능성이 데이터를 정의 안으로 가져옵니다. | 개인정보 보호법 제4조 — 개인정보의 정의 |
| 민감 개인정보는 별개의, 더 엄격한 범주입니다 — 생체인식 특징, 종교 신앙, 특정 신원, 의료·건강 정보, 금융 계좌, 위치 추적, 그리고 만 14세 미만 미성년자의 개인정보를 포함합니다. 이를 취급하려면 특정 목적, 충분한 필요성, 별도 동의가 필요합니다. | 개인정보 보호법 제28조 — 민감 개인정보 |
| 그 분류가 국외로 나가는 경로를 결정합니다. 중국 본토 밖으로 개인정보를 이전하려면 — 사후에 결정되는 적정 보호 조치의 문제가 아니라 — 사전에 법정 조건 중 하나(보안 평가, 인증, 또는 표준계약)를 충족해야 합니다. | 개인정보 보호법 제38조 — 국경 간 이전의 조건 |
21YunBox 중국 엔지니어링 팀이(가) 2026년 8월 30일에 출처를 확인했습니다.
개인정보(个人信息)
개인정보란 전자적 또는 그 밖의 방식으로 기록되어, 단독으로 특정 자연인의 신원을 식별하거나 특정 자연인의 활동 상황을 반영할 수 있는 다양한 정보를 말합니다.
출처: GB/T 35273《정보보안기술 — 개인정보 보안 규범》부록 A
개인정보 예시
디지털 시대에 개인정보의 정의는 더 복잡해집니다. 그것은 전자적 또는 그 밖의 방식으로 기록되어, 단독으로 또는 다른 정보와 결합하여 특정 자연인의 신원을 식별할 수 있는 다양한 정보를 포함합니다. 그러한 정보의 예로는 이름, 생년월일, 신분증 번호, 개인 생체인식 정보, 주소, 연락처, 통신 기록과 내용, 계정 비밀번호, 재산 정보, 신용 정보, 행적, 숙박 정보, 건강·생리 정보, 거래 정보 등이 있습니다.
어떤 정보가 개인정보에 해당하는지 판정할 때는 두 가지 경로를 고려합니다: 식별과 관련. 식별이란 정보 자체의 고유한 특성에 근거해 특정 자연인을 알아보는 것이고, 관련이란 알려진 개인의 활동에서 정보를 끌어내는 것(예: 개인 위치 정보, 통화 기록, 열람 기록 등)입니다. 이 기준 중 어느 하나라도 충족하는 정보는 개인정보로 분류되어야 합니다.
표 A.1: 개인정보 예시
- 개인 기본 자료: 개인 이름, 생년월일, 성별, 민족, 국적, 가족 관계, 주소, 개인 전화번호, 이메일 주소 등
- 개인 신원 정보: 신분증, 장교증, 여권, 운전면허증, 사원증, 출입증, 사회보장카드, 거주증 등
- 개인 생체인식 정보: 개인 유전자, 지문, 성문(聲紋), 장문(掌紋), 귀 모양, 홍채, 안면 인식 특징 등
- 네트워크 신원 식별 정보: 개인정보 주체 계정, IP 주소, 개인 디지털 인증서 등
- 개인 건강·생리 정보: 질병 치료 등으로 생기는 관련 기록 — 증상, 입원 일지, 처방전, 검사 보고서, 수술 및 마취 기록, 간호 기록, 투약 기록, 약물·음식 알레르기 정보, 출산 정보, 과거 병력, 진료 내역, 가족 병력, 현재 병력, 감염병력 등 — 그리고 체중, 신장, 폐활량 같은 신체 건강 상태 관련 정보.
- 개인 교육·근로 정보: 개인 직업, 직위, 근무 기관, 학력, 학위, 교육 경력, 근로 경력, 교육 이수 기록, 성적표 등
- 개인 재산 정보: 은행 계좌, 인증 정보(비밀번호), 예금 정보(자금 금액, 입출금 기록 등 포함), 부동산 정보, 신용 기록, 신용 정보, 거래 및 소비 기록, 흐름 기록, 그리고 가상화폐, 가상 거래, 게임 교환 코드 등 가상 재산 정보.
- 개인 통신 정보: 통신 기록과 내용, SMS, MMS, 이메일, 그리고 개인 통신을 기술하는 데이터(흔히 메타데이터라 함).
- 연락처 정보: 주소록, 친구 목록, 그룹 목록, 이메일 주소 목록 등
- 개인 인터넷 이용 기록: 로그에 저장되는 개인정보 주체의 조작 기록 — 웹사이트 열람 기록, 소프트웨어 사용 기록, 클릭 기록, 즐겨찾기 목록 등
- 개인 상용 기기 정보: 하드웨어 일련번호, 기기 MAC 주소, 소프트웨어 목록, 기기 고유 식별 코드(IMEI/Android ID/IDFA/OpenUDID/GUID/SIM 카드 IMSI 정보 등) 등 포함.
- 개인 위치 정보: 행적, 정밀 위치 정보, 숙박 정보, 위도·경도 등 포함.
- 기타 정보: 혼인 이력, 종교 신앙, 성적 지향, 미공개 위법·범죄 기록 등
유의: 식별 또는 관련의 기준을 충족하는 모든 내용은 개인정보로 간주되어야 합니다. 개인정보 보호는 결정적으로 중요한 과제이며, 관련 규정을 준수하여 신중히 다루어야 합니다.
원문(GB/T 35273 부록 A · 중국어)
个人信息（Personal Information）
以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。
From GB/T35273《信息安全技术个人信息安全规范》附录A
个人信息示例
个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，如姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。
判定某项信息是否属于个人信息，应考虑以下两条路径:一是识别，即从信息到个人，由信息本身的特殊性识别出特定自然人，个人信息应有助于识别出特定个人。二是关联，即从个人到信息，如已知特定自然人，由该特定自然人在其活动中产生的信息(如个人位置信息、个人通话记录、个人浏览记录等)即为个人信息。符合上述两种情形之一的信息，均应判定为个人信息。
表A.1给出了个人信息举例
- 个人基本资料: 个人姓名、生日、性别、民族、国籍、家庭关系、住址、个人电话号码、电子邮件地址等
- 个人身份信息: 身份证、军官证、护照、驾驶证、工作证、出入证、社保卡、居住证等
- 个人生物识别信息: 个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等
- 网络身份标识信息: 个人信息主体账号、IP地址、个人数字证书等
- 个人健康生理信息: 个人因生病医治等产生的相关记录，如病症、住院志、医嘱单、检验报告、手术及麻醉记录、护理记录、用药记录、药物食物过敏信息、生育信息、以往病史、诊治情况、家族病史、现病史、传染病史等，以及与个人身体健康状况相关的信息，如体重、身高、肺活量等
- 个人教育工作信息: 个人职业、职位、工作单位、学历、学位、教育经历、工作经历、培训记录、成绩单等
- 个人财产信息: 银行账户、鉴别信息(口令)、存款信息(包括资金数量、支付收款记录等)、房产信息、信贷记录、征信信息、交易和消费记录、流水记录等，以及虚拟货币、虚拟交易、游戏类兑换码等虚拟财产信息
- 个人通信信息: 通信记录和内容、短信、彩信、电子邮件，以及描述个人通信的数据(通常称为元数据)等
- 联系人信息: 通讯录、好友列表、群列表、电子邮件地址列表等
- 个人上网记录: 指通过日志储存的个人信息主体操作记录，包括网站浏览记录、软件使用记录、点击记录、收藏列表等
- 个人常用设备信息: 指包括硬件序列号、设备MAC地址、软件列表、唯一设备识别码(如 IMEI/Android ID/IDFA/OpenUDID/GUID/SIM卡 IMSI信息等)等在内的描述个人常用设备基本情况的信息
- 个人位置信息: 包括行踪轨迹、精准定位信息、住宿信息、经纬度等
- 其他信息: 婚史、宗教信仰、性取向、未公开的违法犯罪记录等
자주 묻는 질문
중국에서 기기 ID와 쿠키는 개인정보인가요?
그것들로부터 직접 또는 다른 데이터와 결합하여 사람을 식별할 수 있을 때 개인정보입니다. PIPL은 개인정보를 이름의 존재 여부가 아니라 식별되었거나 식별 가능한 자연인을 기준으로 정의하므로, 재방문 사용자를 알아보는 데 쓰이는 식별자는 이름이 없어도 대체로 정의 안에 들어갑니다.
무엇이 개인정보를 '민감'하게 만드나요?
PIPL은 이를 판단에 맡기지 않고 범주를 열거합니다: 생체인식 특징, 종교 신앙, 특정 신원, 의료·건강 정보, 금융 계좌, 위치 추적, 그리고 만 14세 미만 미성년자의 개인정보. 그 범주는 추가 조건 — 특정 목적, 충분한 필요성, 별도 동의 — 을 수반합니다.
그 분류가 왜 우리 아키텍처에 중요한가요?
그것이 데이터가 국외로 나갈 수 있는지, 어떤 근거로 나갈 수 있는지를 결정하기 때문입니다. 정보가 정의 안에 들어가는 경우, 그것을 중국 본토 밖으로 옮기려면 먼저 법정 조건 중 하나를 충족해야 하며 — 이는 나중에 추가하는 통제가 아니라 설계 시점에 내리는 배치 결정입니다. 경로와 기준은 여기에 정리되어 있습니다.