김창화 변호사, 법무법인 Joius 시니어 파트너

중국, 데이터 처리 활동 규제 점차 강화

중국은 오랫동안 지적재산권, 프라이버시, 개인정보, 데이터가 보호되지 않는 국가로 인식돼 왔다. 중국에서 생활하는 많은 외국인 역시 부동산 구매 또는 임대차 여부, 은행 대출 여부, 자녀 학원 신청 여부 등을 묻는 전화를 하루에 한 번 이상 받은 경험이 있을 것이다. 그렇다면 중국에서 프라이버시, 개인정보, 데이터가 전혀 보호되지 않고 있는 것일까? 

중국의 민법통칙(1987.1.1. 시행, 현재 실효됨)은 개인정보는 법률의 보호를 받으며 여하한 조직 또는 개인은 불법으로 수집, 사용, 가공, 전송 또는 타인에게 불법으로 제공해서는 안된다고 명확히 규정하고 있다. 그러나 해당 규정은 원칙적인 규정으로 실무상 엄격히 집행되지 않았다. 2009년 중국의 입법기관은 형법 수정안 7을 발표해 국가기관, 금융, 정보통신, 교통, 교육, 의료 등 기관의 업무 인원이 개인정보를 판매 또는 불법으로 타인에 제공할 경우 3년 이하의 유기징역 및/또는 벌금을 부과한다고 규정했고 이를 통해 개인정보의 보호가 점차 강화되고 있음을 알 수 있다.

2017년 6월 '네트워크안전법'이 시행됨에 따라 사이버 공간에서의 개인정보 등 데이터의 처리 활동(역외이전 포함, 이하 동일)을 규제했고 2021년 9월 '데이터안전법'이 시행됨에 따라 중요데이트의 처리 활동을 규제했으며 2021년 11월 '개인정보보호법'이 시행됨에 따라 개인정보 처리 활동을 규제했다. 상기 법률규정을 실행하기 위해 2022년 9월 '데이터역외이전 안전평가방법'이 시행됨에 따라 개인정보, 중요 데이터의 역외이전 시 중국 정부의 안전평가를 취득할 것을 규정했고 2023년 6월 '개인정보 역외이전 표준계약방법'이 시행됨에 따라 중국 정부의 안전평가를 받을 필요가 없는 경우 표준계약을 체결해 비안등기하도록 규정했다. 상기 규정상 불명확한 부분이 많아 2023년 10월 '데이터 국경간 이동을 규범화 및 촉진하는 것에 관한 규정(의견수렴안)'(规范和促进数据跨境流动规定(意见征求稿))이 발표돼 데이터 및 개인정보의 역외이전에 관한 규제를 더 명확히 했다.

상기 규정의 발표 및 시행으로부터 분석해보면, 기존의 원칙적인 규정과 달리 최근에는 개인정보 및 중요 데이터 처리 활동에 대한 법률규정이 집중적으로 제정되는 추세이기 때문에 개인정보 보호에 대한 규제가 점점 강화될 것으로 보인다.

데이터 불법 처리 활동에 대한 처벌사례 증가

2021년 11월 '개인정보보호법'이 정식으로 시행됨에 따라 개인정보보호법을 위반해 처벌받은 사례들이 상당히 많이 나타나고 있다. 2022년 7월 인터넷 택시 플랫폼인 DIDI추싱은 중국 인터넷정보판공실에 의해 개인정보보호법 위반으로 80억2600만 위안의 과징금이 부과됐고 중국의 유명한 논문 플랫폼인 CNKI는 개인정보보호법 위반으로 2023년 9월에 중국 인터넷정보판공실에 의해 5000만 위안의 과징금이 부과됐다. 위 사례는 주로 정보의 불법 수집 행위에 초점이 맞추어져 있다. 또한 2022년 2월 중국 후난성 공안은 모 인터넷 회사의 방화벽에 하자가 있음을 발견하고 조사를 거쳐 5만 위안의 과징금을 부과했다. 해당 사례는 개인정보 등 데이터의 저장에 초점을 맞춘 사례이다.

2023년 6월 '개인정보 역외이전 표준계약방법'에 따르면 모든 기업, 중국 또는 외자기업을 포함한 기업은 중국 국내에서 수집 및 저장한 개인정보 및 중요데이터를 역외로 이전할 경우 상기 규정에 따라 6개월 내로 즉 2023년 12월 1일까지 국가인터넷정보판공실 및 그 산하기관에 비안등록할 것을 규정하고 있다. 그러나 많은 기업들은 관망하는 태도를 보이고 있으며, 대부분 기업은 개인정보 역외이전에 대해 일반 작은 기업들까지 조사하지는 않을 것이라는 심리를 가지고 있는 걸로 파악되고 있다. 간단한 예를 들자면, 2008년 중국에서 '반독점법'이 정식으로 시행되면서 중국 국내에서 중국 및 외자기업의 카르텔 행위 등에 대해 규제를 강화했고 많은 기업들이 관망하는 태도를 보였으나 중국 정부는 카르텔 행위 및 기업결합신고를 위반하는 행위에 대해 엄격한 행정처분을 부과했다. '반독점법'이 시행된 이후 당시 많은 외국 투자자는 '중국 국유기업 자체가 카르텔 행위를 하고 있는데, '반독점법'이 제대로 시행될 수 있을까?', '외자기업에만 규제를 강화할 수 있을까?' 하는 의문을 가졌다. 그러나 중국이동통신에 대해서는 반독점 조사 및 과징금을 부과했고 LG Display 및 대만계 기업에는 4억4000만 위안의 과징금 부과, 퀄컴 등에 60억 위안의 과징금 부과, 자동차 부품회사 카르텔 행위 규제 및 과징금 부과를 실시했다. 이처럼 '반독점법' 시행에 따른 중국 정부의 규제 사례로부터 볼 때, '개인정보보호법' 및 '데이터안전법'이 시행됨에 따라 해당 규정을 위반하는 행위, 특히 안전심사 또는 비안등기 없이 역외로 개인정보를 이전하는 행위에 대한 규제는 더욱 강화될 것이고, 기한 내에 비안 또는 안전심사를 진행하지 않은 행위에 대해 엄격히 조사할 가능성을 배제할 수 없다.

또한, 저자가 주요 담당 변호사로서 완성한 한국 N사의 안전심사, 현재 진행 중인 한국 L사 및 항공사 데이터 역외이전 안전심사 그리고 D사의 표준계약 비안등기 사례 과정 중에 느낀 바에 따르면 정확하고 신속하게 데이터 역외이전을 신고할 경우 중국 정부의 인허가 및 비안은 어렵지 않으나 향후 규제가 강화됨에 따라 데이터 역외이전 안전평가 책임은 기업이 부담하게 될 것으로 사료된다. 

데이터는 생산수단, 데이터 안전을 최우선 이슈로 

중국 정부는 2020년 3월에 '더욱 완벽한 요소 시장화 배치체제 메커니즘 구축에 관한 의견' 및 2022년 12월에 '데이터 기초제도 구축을 통한 데이터 요소작용 개선 발휘에 관한 의견'을 제정해 데이터를 토지, 노동력, 자본 및 기술과 동일하게 생산 수단으로 규정했다. 생산수단이란 생산경영활동을 영위하면서 필요한 각종 사회자원으로, 국민경제 운행 및 시장주체 생산경영 과정 중에 필요한 기본요소를 말한다. 생산수단은 국민경제 및 생산경영 활동에서 필수적인 중요하고 기초적인 요소이다. 

2023년 8월 21일 국무원 리창 총리는 "데이터 역외이전 신규 관리 방식을 적극 탐구해 데이터 경제의 국제적 협력에 적극 참여"할 것을 요구했고 2023년 9월 27일 중앙정치국은 "WTO 조직개혁에 적극 참여하고 수준 높은 대외개방능력을 제고할 것"를 주제로 포럼을 진행해 대외개방을 추진할 것을 요구했다. 그러나 전면적인 대외개방의 발전과 안전 사이에서 안전의 비중이 높기 때문에 데이터 역외이전 중 안전에 대한 요구의 지위는 쉽게 흔들리지 않을 것으로 보인다. 

2023년 11월 25일 저자는 상해법학회 요청으로 상해에서 개최한 Global Data Ecosystem Conference 중 Data Circulation in Compliance Forum 2023에 참석했다. 해당 포럼의 사회자는 상해교통대학교 및 화동정법대학교 부교수가 담당했고 주요 발제자는 대학교 교수, Ant Group과 같은 대기업 General Council, 푸둥신구 법원 및 검찰원의 원장 및 검찰장들이 참석했다. 

위와 같은 설명을 통해, 중국 정부가 데이터를 생산수단으로 확정했다는 점은 데이터의 안전을 법으로 보호하겠다는 의지를 충분히 보여주는 것이라는 점을 강조하고 싶다. 또한 데이터의 중요성은 이미 중국 사회 각 계층에 인식됐으며 데이터를 합법적으로 처리하지 아니할 경우 행정처분, 나아가 형사처벌까지 받을 가능성이 상당히 커지고 있음을 다시 한 번 인식해야 할 것이다.

※ 본 글은 외부 전문가의 기고문으로 KOTRA의 공식 의견이 아님을 알려드립니다.