「데이터 국경 간 이동 촉진 및 규범화 규정」 《促进和规范数据跨境流动规定 》

[1] 이 규정의 제목은 “跨境流动”(국경 간 이동)이라는 넓은 표현을 쓰지만, 본문의 규율대상은 모두 “出境”, 즉 경내에서 경외로의 이전이다. 跨境은 입경(入境)을 포함하는 상위 개념이므로 “국경 간”으로, 出境은 한국 법제에서 통용되는 “국외이전”으로 각각 구분하여 번역하였다.

[2] “数据处理者”에 관한 정의규정은 이 규정에 없고 「중화인민공화국 데이터안전법」과 「중화인민공화국 개인정보보호법」의 개념을 원용한다. 「네트워크 데이터 안전관리조례」 제62조제3호는 이를 “처리 목적과 처리 방식을 독자적으로 결정하는 개인·조직”으로 정의한다. 한국 「개인정보 보호법」상 “개인정보처리자”보다 대상 범위가 넓으므로 “데이터 처리자”로 직역하였다.

[3] “重要数据” 역시 이 규정에 정의가 없다. 「중화인민공화국 데이터안전법」 제21조의 분류·등급별 보호제도를 전제로 하며, 「네트워크 데이터 안전관리조례」 제62조제4호가 “특정 분야·특정 집단·특정 지역에 관한 데이터이거나 일정한 정밀도와 규모에 이른 데이터로서, 변조·훼손·유출 등의 경우 국가안전, 경제운영, 사회안정, 공중보건과 안전을 직접 해칠 가능성이 있는 데이터”로 정의한다. 일반적 의미의 “중요한 데이터”가 아니라 법정 개념이므로 문서 전체에서 같은 용어를 사용하였다.

[4] 원문은 “申报”를 두 가지 의미로 사용한다. 앞의 “申报重要数据”는 식별한 중요 데이터를 관계 부문에 알리는 신고이고, 뒤의 “申报数据出境安全评估”는 성급 인터넷정보 부문을 거쳐 국가 인터넷정보 부문에 안전평가 절차의 개시를 구하는 신청이다. 의미의 차이를 드러내기 위하여 각각 “신고”와 “신청”으로 구분하여 번역하였으며, 이 원칙을 이 규정 전체에 일관되게 적용하였다.

[5] 중국 데이터법제에서 “境内”와 “境外”는 홍콩특별행정구·마카오특별행정구·타이완 지역을 제외한 중국 대륙을 기준으로 하는 개념이다. 따라서 “境外提供”은 지리적 국경 이전이 아니라 이 법역(法域) 밖으로의 제공을 뜻한다. 본 번역에서는 행위를 가리키는 “向境外提供”은 “국외에 제공”으로, 장소를 가리키는 “境内·境外”는 “경내·경외”로 옮겼다.

[6] “劳动规章制度”는 사용자가 법에 따라 제정하는 사업장 내부의 노무관리 규범으로서 한국 「근로기준법」 제93조의 “취업규칙”에 대응한다. 한국법상 통용 용어를 사용하되 원문 용어를 이 각주에 밝혀 둔다.

[7] “关键信息基础设施”는 「중화인민공화국 네트워크안전법」 제31조 및 「주요정보기반시설 안전보호조례(关键信息基础设施安全保护条例)」가 규정하는 개념으로, 공공통신·정보서비스, 에너지, 교통, 금융 등 중요 업종에서 훼손 시 국가안전 등에 심각한 위해를 줄 수 있는 시설을 말한다. 한국 「정보통신기반 보호법」의 “주요정보통신기반시설”에 기능적으로 대응하므로 “주요정보기반시설”로 번역하였다.

[8] “敏感个人信息”은 「중화인민공화국 개인정보보호법」 제28조가 “유출되거나 불법적으로 이용될 경우 자연인의 인격존엄이 침해되거나 신체·재산의 안전이 위태롭게 되기 쉬운 개인정보”로 정의하는 개념으로, 생체식별정보·종교신앙·특정신분·의료건강·금융계좌·이동경로 및 14세 미만 미성년자의 개인정보를 포함한다. 한국 「개인정보 보호법」 제23조의 “민감정보”와 포섭 범위가 완전히 일치하지 아니하므로 원문에 따라 “민감 개인정보”로 직역하였다.

[9] “自由贸易试验区”는 국무원이 지정하여 제도·정책 실험을 허용하는 구역으로, 한국 「자유무역지역의 지정 및 운영에 관한 법률」상 관세 중심의 “자유무역지역”과는 성격이 다르다. 이 조는 데이터 국외이전 규제에 관한 지역적 실험권한을 인정한 것으로, 자유무역시험구가 자체 목록을 정할 수 있도록 한 점에 이 규정의 특색이 있다.

[10] “负面清单”은 목록에 열거된 것만 규제하고 그 밖의 것은 원칙적으로 허용하는 규율방식을 말한다. 이 조에서는 목록에 포함된 데이터만 안전평가·표준계약·보호인증의 대상이 되고, 목록 밖의 데이터는 국외제공이 면제될 수 있다.

[11] “省级网络安全和信息化委员会”는 각 성·자치구·직할시의 당·정 합동 의사조정기구로서, 행정기관인 인터넷정보 부문(网信办)과는 구별된다. 목록의 승인권이 행정부문이 아니라 이 위원회에 있다는 점이 이 조의 특징이다.

[12] “备案”은 감독기관에 자료를 제출하여 기록·보존하게 하는 절차로서, 실질심사를 거쳐 효력을 부여하는 허가·승인과 구별된다. 한국법상 완전히 대응하는 개념이 없어 “등록”으로 옮겼으나, 그 실질은 사후적 신고·기록에 가깝다. 이 조에서는 성급 위원회의 “批准”(승인)과 국가 부문에 대한 “备案”(등록)이 단계적으로 구분되어 있다.

[13] “工作日”는 법정공휴일과 휴일을 제외한 근무일을 말한다. 역일(曆日)과 구별되므로 “근무일”로 번역하였다. 안전평가 결과의 유효기간을 3년으로 정하고 연장을 허용한 이 조는 「데이터 국외이전 안전평가방법」(2022년)의 2년 유효기간을 변경한 것이다.

[14] “单独同意”는 다른 동의사항과 구분하여 특정한 처리에 관하여 개별적으로 받는 동의를 말한다(「네트워크 데이터 안전관리조례」 제62조제7호). 한국 개인정보 법제에서 통용되는 “별도 동의”로 번역하였다.

[15] “个人信息保护影响评估”는 「중화인민공화국 개인정보보호법」 제55조·제56조가 정한 사전 평가절차로, 민감 개인정보 처리·자동화 의사결정·국외제공 등의 경우에 의무화된다. 한국 「개인정보 보호법」 제33조의 “개인정보 영향평가”가 공공기관의 일정 규모 개인정보파일을 대상으로 하는 것과 달리 처리자 일반에게 적용되므로, 제도의 차이를 드러내기 위하여 원문에 따라 직역하였다.

[16] “办法”는 부문규장의 명칭 가운데 하나로 “방법”으로 옮겼다. 이 조는 동일한 효력등급의 선행 부문규장인 「데이터 국외이전 안전평가방법」(2022년 국가인터넷정보판공실령 제11호)과 「개인정보 국외이전 표준계약방법」(2023년 동 판공실령 제13호)에 대하여 이 규정을 우선 적용하도록 한 것으로, 신법 우선의 원칙을 명문화한 것이다.

[17] 이 규정 이후인 2024년 9월 24일 공포되어 2025년 1월 1일 시행된 행정법규 「네트워크 데이터 안전관리조례」 제5장은 네트워크 데이터의 국경 간 안전관리를 규율하면서 이 규정의 면제사유(개인정보 국외제공 요건)를 사실상 흡수하였다. 다만 위 조례는 안전평가 결과의 유효기간(제9조)이나 자유무역시험구 네거티브 리스트(제6조)와 같은 구체적 사항을 규정하지 아니하므로, 이 규정은 상위법규와 저촉되지 아니하는 범위에서 여전히 적용된다.