마광, 중국 저장대 국제법연구소 소장·교수·변호사

2024년 3월 22일 ‘데이터 국외 이전에 대한 촉진 및 규범화 규정’이 시행됐다. 규정 시행으로 기존 ‘데이터 국외 이전 안전평가방법’, ‘개인정보 국외 이전 표준계약서 방법’, ‘개인정보 보호인증 시행공고’를 중심으로 진행되던 데이터의 국외 이전 방식이 크게 변했다. 기존에는 안전평가를 받아야 데이터 국외 이전이 가능했지만 이제는 안전평가, 표준계약서 체결, 인증 등의 복잡한 절차를 거치지 않고 바로 이전할 수 있게 규정이 완화됐다.

<신규 규정과 기존 규정 비교>

[자료: 작성자 정리]

데이터 국외 이전 안전평가 범위 축소

새로운 규정의 시행으로 관련 기업들의 준법 경영 위반 위험을 크게 줄일 수 있다. 이는 디지털 경제의 발전에 크게 기여할 것으로 예상되며, 중국이 현재 가입을 추진하고 있는 DEPA나 CPTPP와 같은 다자간 경제무역협정의 가입협상에 속도를 더할 것으로 보인다. 이들 협정의 데이터 국외 이전 규정은 상당히 완화돼 있어 데이터의 국외이전이 용이하다는 평가를 받고 있다.

중국의 기존 규정은 중요한 데이터의 국외 이전 시 반드시 사이버안전과 정보 부서에서 안전평가를 진행하도록 요구했다. 그러나 중요 데이터의 범위 등이 명확하지 않아 기업들이 어떤 데이터가 중요한 데이터에 포함되는지 파악이 어려웠다.

새로운 규정에서는 이를 고려해 관련 부서와 지방정부에서 기업체에 별도의 고지 또는 공포를 통해 해당 데이터가 중요한 데이터에 포함된다고 하지 않는 경우에는 기업체가 중요한 데이터가 아니라고 판단하고 안전평가 신청을 하지 않아도 된다. 이전에는 특정 데이터가 중요 데이터에 포함되는지 확실하지 않더라도 데이터의 국외 이전 신청을 하는 것이 일반적이었다.

별도의 절차 없이 데이터를 국외로 이전할 수 있는 6가지 규정

별도의 절차 없이 데이터를 국외로 이전할 수 있는 경우는 아래 6가지가 있다.

  ① 국제무역, 국경을 넘는 운송, 학술협력, 글로벌 생산 및 판매 등 과정에서 수집하고 생성된 개인정보나 중요한 데이터를 포함하지 않은 데이터

  ② 국외에서 수집 및 생성된 개인정보를 국내로 전송해 처리하고 다시 국외로 재전송하는 과정에서 국내 개인정보나 중요한 데이터를 추가하지 않은 경우

  ③ 국외 물품구매·배송·송금·지불·계좌 개설·항공티켓 및 호텔 예약·사증 발급·시험 참가 등 개인이 계약의 당사자로 있는 경우, 계약의 체결 및 이행을 위해 개인정보를 국외로 이전해야 하는 경우

  ④ 법에 따라 제정된 노동 규정 및 체결된 집단 계약서의 인력 자원 관리를 위해 국외에 사원의 개인정보를 제공해야 하는 경우

  ⑤ 긴급한 상황에서 개인의 생명, 건강 및 재산을 보호하기 위해 국외에 개인정보를 제공해야 하는 경우

  ⑥ 핵심 정보 기초 시설의 운영자를 제외한 기타 데이터 처리 업자가 당해 1월 1일부터 누적 10만 명 미만의 개인정보(민감한 개인정보는 제외)를 국외로 이전하는 경우 (단, 핵심 정보 기초 시설의 운영자가 개인정보를 국외에 이전하는 경우에는 그 수량에 상관없이 반드시 안전평가를 거쳐야 함)

상기 첫 번째부터 다섯 번째 규정에 해당하는 경우는 데이터의 수량과 무관하게 별도의 절차 없이 데이터를 국외로 이전할 수 있다. 다만 개인정보 주체의 동의는 필수적으로 이루어져야 한다.

자유무역시범구 데이터의 국외 이전과 관련 권한 부여

중국에는 22개의 자유무역시범구가 설치돼 있다. 이들 자유무역시범구는 국가의 데이터 분류 제도 내에서 자체적으로 시범구 내에서 데이터 국외 이전의 안전 평가, 표준 계약서 체결, 인증이 필요한 데이터의 목록을 작성할 수 있다. 이 목록을 '네거티브 리스트'라고 한다. 이 리스트에 포함되지 않은 데이터는 별도의 조치 없이 국외로 이전될 수 있다. 단, 이 리스트는 해당 자유무역시범구가 속한 성급 공산당 사이버안전과 정보위원회의 승인을 받아야 하며 중국 사이버안전과 정보 부서 및 데이터관리부서에 등록해야 한다.

해당 자유무역시범구에 기업이 설립되면, 그 데이터의 국외 이전이 다른 기업보다 운영하기 쉽다는 장점이 있다. 예를 들어, 상하이 자유무역시범구에 등록된 A사는 상하이의 다른 지역에 등록된 B사보다 데이터 국외 이전이 쉽다. 이는 상하이 자유무역시범구에서 작성한 리스트 때문이다.

중국의 데이터 국외 이전에 관한 규정들은 시행된 지 얼마 되지 않아 시범이 필요하다. 시행 중 다양한 상황을 고려해 지역적으로 제한된 자유무역시범구에서 더 개방적인 제도를 시행하려고 한다.

시범 시행을 통해 제도가 자리 잡으면 다른 지역으로 확대 적용될 것으로 보인다. 이미 상하이, 톈진, 광둥 자유무역시범구에서는 일부 완화 조치를 시행하고 있다. 광둥 자유무역시범구는 홍콩에 데이터를 이전하는 경우 완화 조치를 시행하고 있다. 상하이 자유무역시범구는 인근 지역에 대해 완화된 조치를 적용하고 있다. 중국의 자유무역시범구는 성 단위로 운영되며, 각 성의 일부 지역에 한정해 지역에 등록된 회사를 대상으로 혜택을 주고 있다.

반드시 안전평가를 거쳐야만 하는 데이터 유형

완화된 신규 규정에서도 아래 세 가지 유형은 반드시 안전평가를 거쳐야 한다.

  ① 핵심 정보 기초 시설의 운영 업체가 해외로 개인정보 또는 중요한 데이터를 이전하는 경우

  ② 핵심 정보 기초 시설의 운영 업체 이외의 데이터 처리 업체가 해외로 중요한 데이터를 전송하거나 당해 1월 1일부터 누적 100만 명 이상의 개인정보(민감한 개인 정보 제외) 또는 1만 명 이상의 민감한 개인 정보를 전송하는 경우

기존의 ‘데이터 해외 이전 안전 평가 방법’에서는 지난해 1월 1일부터 누적으로 10만 명 이상의 개인 정보 또는 1만 명 이상의 민감한 개인 정보를 전송하는 경우 반드시 안전 평가를 하도록 규정했으나, 새로운 규정은 10만 명에서 100만 명으로 개인 정보 수량을 확대하고 그 시간도 당해 1월 1일부터 누적으로 계산하도록 규정했다. 따라서 대부분 안전 평가를 거치지 않아도 되도록 변화했다.

또한 새로운 규정은 데이터의 해외 이전 안전 평가 결과의 유효 기간을 기존 2년에서 3년으로 늘렸다. 또한, 3년이 만료되기 전 근무일 기준 60일 내 신청해 유효 기간을 다시 3년 연장할 수 있도록 하는 규정을 두었다. 이에 따라 3년 후 안전평가 결과 연장 시 별도의 엄격한 심사가 아닌 일반적인 연장 신청만을 통해 데이터 해외 이전을 계속할 수 있게 완화됐다.

시사점

중국은 데이터 국외 이전이 디지털 무역 및 디지털 경제에 필수 요소라는 점을 인지하고 있다. 중국은 데이터의 국외 이전에 대해 전반적으로 공감하고 있지만, 이를 통해 국가의 안전이 위협받을 수도 있다고 인식하고 있다. 이를 균형 있게 관리하기 위한 방법의 일환으로 완화된 새로운 규정이 도입됐다. 이로써 중국의 데이터 국외 이전에 관한 법률제도는 이미 확립됐다고 볼 수 있다. 물론 시범기구를 통한 다양한 시도 등을 통해 앞으로 지속 보완해 나갈 것이다. 특히 DEPA나 CPTPP와 같은 경제 무역 협정의 가입을 추진하는 과정에서 이러한 보완이 계속될 것으로 예상된다. 중국의 새로운 법령을 잘 이용해 중국에 진출한 기업체들은 준법 경영에 필요한 비용을 절감할 수 있을 것이다.

※ 이 원고는 외부 전문가가 작성한 정보로 KOTRA의 공식 의견이 아님을 알려드립니다.