「개인정보 국외이전 표준계약 방법」 《个人信息出境标准合同办法》

[1]‘出境’은 ‘출경’으로 직역하지 않고 한국 「개인정보 보호법」 제28조의8 이하가 사용하는 ‘국외 이전’의 용례에 맞추어 ‘국외이전’으로 옮겼다. 다만 개별 조문에서 ‘向境外提供’이 사용된 경우에는 원문의 행위태양을 살려 ‘국외에 제공’으로 번역하였다. ‘办法’는 중국 「입법법」상 부문규장(部门规章)의 명칭 형식으로서 한국의 법률·시행령·시행규칙 어느 것에도 대응하지 않으므로, 법원(法源) 형식을 보존하기 위하여 ‘방법’으로 직역하였다.

[2]‘个人信息处理者’는 한국 「개인정보 보호법」 제2조 제5호의 용어와 통일하기 위하여 ‘개인정보처리자’로 번역하였다. 다만 중국 「개인정보 보호법」 제73조 제1호의 개인정보처리자는 처리목적과 방식을 자주적으로 결정하는 조직·개인을 뜻하므로, 그 외연이 한국법상 개인정보처리자와 완전히 일치한다는 의미는 아니다.

[3]‘境外接收方’는 중국 영역 밖에서 개인정보를 제공받아 이 방법상의 의무를 부담하는 당사자를 뜻하므로 ‘국외 수령자’로 번역하였다. 한국법상 ‘수탁자’ 또는 ‘국외 이전받는 자’와 개념 범위가 동일하지는 않다.

[4]‘备案’은 행정기관의 사전 허가나 승인이 아니라, 계약의 효력발생 후 관련 자료를 관할기관에 제출하여 기록·관리하게 하는 절차이므로 ‘신고’로 번역하였다. 다만 제7조에 따르면 자료의 진실성에 대한 책임이 개인정보처리자에게 있고 성급 인터넷정보 부문의 사후 감독이 예정되어 있어, 한국 행정법상 수리를 요하지 않는 자기완결적 신고와 완전히 같지는 않다. ‘备案管理’는 이에 맞추어 ‘신고 관리’로 옮겼다.

[5]이 조의 적용요건은 제정 당시의 것이다. 현행 적용기준은 「데이터 국경 간 이동 촉진 및 규범화 규정」 제8조로서, 핵심정보기반시설 운영자 외의 데이터처리자가 당해 연도 1월 1일부터 누적하여 10만 명 이상 100만 명 미만의 개인정보(민감 개인정보는 제외한다) 또는 1만 명 미만의 민감 개인정보를 국외에 제공하는 경우에 표준계약을 체결하거나 개인정보 보호 인증을 받아야 한다. 산정 기산점이 ‘전년도(上年)’에서 ‘당해 연도(当年)’로 변경되었고, 같은 규정 제3조부터 제6조까지의 면제사유에 해당하면 그 규정이 우선한다. 또한 2026. 1. 1. 시행된 「개인정보 국외이전 인증 방법」(국가인터넷정보판공실·국가시장감독관리총국령 제20호)에 따라 인증이 표준계약의 선택적 대체수단으로 제도화되었다.

[6]원문의 ‘不满100万人’은 개인정보의 항목 수가 아니라 그 개인정보에 관계된 자연인의 수, 즉 정보주체의 수를 기준으로 한다. 직역을 유지하되 이 점을 밝혀 둔다. 이하 각 호의 ’10만 명’, ‘1만 명’도 같다.

[7]‘网信部门’은 특정 기관의 고유명칭이 아니라 인터넷정보 업무를 관장하는 행정기관을 총칭하는 표현이다. 고유명칭인 ‘国家互联网信息办公室’는 ‘국가인터넷정보판공실’로, 총칭인 ‘国家网信部门’과 ‘省级网信部门’은 각각 ‘국가 인터넷정보 부문’과 ‘성급 인터넷정보 부문’으로 구분하여 번역하였다.

[8]중국 「개인정보 보호법」 제55조·제56조의 ‘个人信息保护影响评估’는 개인정보처리자가 스스로 실시하는 사전 위험평가 및 기록보존 의무를 가리킨다. 한국 「개인정보 보호법」 제33조의 ‘개인정보 영향평가’는 공공기관을 원칙적 수범자로 하고 평가기관의 관여를 예정한다는 점에서 주체·대상·절차가 다르므로, 원문의 ‘保护’를 살려 ‘개인정보 보호 영향평가’로 옮겨 양자를 구별하였다.

[9]원문은 ‘商业秘密’와 ‘保密商务信息’를 병렬적으로 열거한다. 전자는 법률상 요건을 갖춘 ‘영업비밀’이고, 후자는 그 요건을 모두 충족하지 않더라도 비밀로 관리되는 상업·업무 관련 정보를 포함할 수 있으므로, 양자의 구별이 사라지지 않도록 각각 ‘영업비밀’과 ‘비밀 상업정보’로 옮겼다.

[10]‘约谈’은 감독기관이 규제대상자를 불러 위험이나 위반사항을 지적하고 시정을 요구하는 중국 특유의 행정감독 수단이다. 그 자체가 곧바로 행정처분에 해당하지는 않으나 시정요구가 수반된다는 점에서 단순한 ‘면담’과 구별되므로, 기능을 드러내기 위하여 ‘행정면담’으로 번역하였다.

[11]이 첨부는 이 방법 제6조에 따라 국가인터넷정보판공실이 제정한 표준계약서 양식으로서, 당사자가 임의로 수정하거나 삭제할 수 없고 본문과 충돌하지 아니하는 범위에서 부록 2에 다른 조항을 추가할 수 있을 뿐이다(이 방법 제6조 제1항·제2항). 원문의 계층구조는 ‘条-项-目’이므로 이 번역에서는 각각 ‘조’, ‘호(1., 2., …)’, ‘목(1), 2), …)’으로 옮겼고, 목의 하위 항목인 ‘（1）’은 ‘①’로 표기하였다. 원문에 있는 빈칸(기재란)은 그대로 두었다.

[12]‘匿名化’와 ‘去标识化’는 중국 「개인정보 보호법」 제73조 제3호·제4호에 정의된 별개의 개념이다. 후자는 추가정보를 사용하면 특정 자연인을 다시 식별할 수 있는 상태를 뜻하므로 한국 「개인정보 보호법」 제2조 제1호의2의 ‘가명처리’에 가깝고, 전자는 같은 법 제58조의2가 적용을 배제하는 익명정보에 대응한다. 원문의 구별을 유지하기 위하여 각각 ‘익명화’와 ‘비식별화’로 직역하되, 한국법상의 대응개념을 여기에 밝혀 둔다.

[13]‘监管机构’는 이 계약 제1조 제7호의 정의에 따라 중화인민공화국 성급 이상 인터넷정보 부문을 가리키므로, 특정 한국 행정기관의 명칭으로 치환하지 아니하고 ‘감독기관’으로 옮겼다.

[14]‘第三方受益人’은 한국 민법 제539조의 ‘제3자를 위한 계약’에서의 수익자에 해당하므로 ‘제3자 수익자’로 번역하였다. 다만 이 표준계약은 개인정보처리자가 개인정보주체에게 그 지위를 고지한 후 개인정보주체가 30일 이내에 명시적으로 거절하지 아니하면 수익자의 권리를 가진다고 정하여(제2조 제4호), 수익자의 수익의 의사표시가 있는 때에 권리가 생긴다고 규정한 한국 민법 제539조 제2항과 구조가 다르다. 이른바 ‘이의를 제기하지 아니하면 동의한 것으로 본다(opt-out)’는 방식이다.

[15]‘举证责任’은 종래 강학상 용례에 따라 ‘입증책임’으로 번역하였다. 표준계약은 계약상 의무의 이행에 관한 입증책임을 개인정보처리자에게 부담시켜, 개인정보주체가 사실상 입증곤란에 처하지 아니하도록 하고 있다.

[16]‘合规审计’는 중국 「개인정보 보호법」 제54조가 정한 개인정보 처리활동의 정기적 준법감사를 가리키므로 ‘컴플라이언스 감사’로 옮겼다.

[17]이 조는 국외 수령자가 소재한 국가·지역의 법제가 계약 이행에 미치는 영향을 계약 체결 시점에 당사자가 스스로 평가하고 그 과정과 결과를 기록하도록 하는 조항으로서, 유럽연합 표준계약조항(SCC)의 전송영향평가(transfer impact assessment)에 대응하는 중국법상의 장치이다. 한국 「개인정보 보호법」 제28조의8 이하에는 이에 직접 대응하는 계약상 의무가 없다.

[18]‘追偿’은 연대책임을 부담한 당사자가 자기의 부담부분을 초과하여 변제한 경우 다른 당사자에게 그 초과분의 상환을 구하는 것으로서, 한국 민법 제425조의 구상권 행사에 해당하므로 ‘구상’으로 번역하였다.

[19]GB/T 35273 「정보안전기술 개인정보 안전규범」은 개인정보의 종류를 분류하는 중국의 권고성 국가표준이다. 표준계약의 부록 1은 이 표준을 참조하여 국외이전 개인정보의 종류를 특정하도록 요구하고 있으며, 이 부록의 기재사항이 신고(备案) 심사의 실질적 중심을 이룬다.