아직 의견수렴 단계인 만큼 기업들은 현재 규정안을 확정된 준수 의무가 아닌 예정된 규제 방향으로 봐야 한다. 초안 제50조에도 시행일은 비어 있다.

‘대형 개인정보 처리자’는 어떻게 정해지나

초안은 단일한 이용자 수 기준만으로 대상을 정하지 않는다. 다음과 같은 요소를 종합적으로 평가한다.

• 1,000만 명을 초과하는 자연인의 개인정보를 처리하는지
• 개인정보 처리가 수반되는 중요한 온라인 서비스를 제공하거나 관련 사업을 여러 개 운영하는지
• 국가안보, 경제 운영, 사회 안정, 공중보건 또는 안전에 중대한 영향을 미치는지

1,000만 명을 초과하는 사람의 정보를 처리하는 기업과, 스스로 더 넓은 요건을 충족한다고 판단한 기업은 성(省) 단위 CAC를 통해 지정 신청을 해야 한다. 이후 국가 CAC가 관련 당국과 함께 대상 목록을 결정해 공개한다. 요건을 충족하는 것으로 보이지만 신청하지 않은 기업에 대해 당국이 신청을 요구할 수도 있다.

따라서 이용자 수만으로 경계선이 명확하지 않더라도 사회적 영향력이 큰 플랫폼이나 여러 핵심 서비스를 운영하는 기업이 규제 대상에 포함될 가능성이 있다.

중국 시민 정보 침해한 해외 기업은 제공 제한 대상이 될 수 있어

초안은 중국 시민의 개인정보 권리를 침해하거나 중국의 국가안보·공공이익을 위협하는 개인정보 처리 활동을 한 해외 조직이나 개인을 국가 CAC가 공개 목록에 올릴 수 있도록 한다. 목록에 오른 대상에는 중국에서 해당 해외 수령자에게 개인정보를 제공하는 행위의 제한 또는 금지 조치가 내려질 수 있다.

이는 중국 내 플랫폼뿐 아니라 중국에서 개인정보를 전달받는 해외 조직에도 직접적인 위험이 될 수 있는 조항이다. 국경 간 데이터 흐름을 검토할 때 일반적인 개인정보 보호 요건뿐 아니라 국가안보와 공공이익 관련 위험까지 함께 살펴야 한다는 의미다.

수집은 필요한 범위로, 고위험 처리에는 별도 동의

규제 대상 기업은 적법성, 적절성, 필요성, 신의성실 원칙에 따라 개인정보를 처리해야 한다. 제품이나 서비스 제공에 필요한 정보만 수집해야 하며 과도하게 수집해서는 안 된다.

동의가 법적 처리 근거인 경우에는 다음 행위에 대해 별도의 동의를 받아야 한다.

• 다른 개인정보 처리자에게 정보를 제공하는 행위
• 중국 밖으로 정보를 제공하는 행위
• 개인정보를 공개하는 행위
• 민감한 개인정보를 처리하는 행위

처리 목적, 방식 또는 정보 범주가 바뀌면 다시 동의를 받아야 한다. 이용자가 동의를 철회할 수 있는 절차도 편리하게 마련해야 한다.

만 14세 미만 아동의 개인정보를 처리하려면 부모나 다른 보호자의 동의가 필요하다. 기업은 보호자가 동의를 제공하거나 철회할 수 있는 접근하기 쉬운 절차도 마련해야 한다.

중국에서 수집한 개인정보는 중국 내 저장이 원칙

중국 내 사업 활동을 통해 수집하거나 생성한 개인정보는 중국 안에 저장해야 한다. 데이터센터 역시 중국에 위치해야 하며, 관련 국가 정책과 기준을 충족해야 한다. 데이터센터 운영 주체의 법정대표자 또는 실제 지배자도 중국 국적자여야 한다.

데이터센터 운영자에게도 별도의 책임이 부과된다. 운영자는 내부 통제와 사고 대응 계획을 마련하고, 보안 취약점을 식별해 개선해야 한다. 필요한 경우 플랫폼과 당국에 통지하고, 개인정보 유출 사고 대응에도 협조해야 한다.

이에 따라 외부 클라우드나 데이터센터를 이용하는 기업은 인프라 제공업체 선정과 계약, 운영 감독을 단순한 기술·조달 문제로 볼 수 없게 된다. 데이터센터의 지배구조와 사고 대응 능력까지 개인정보 보호 프로그램의 핵심 항목으로 관리해야 할 수 있다.

국경 간 이전은 가능하지만 절차와 통제는 강화

중국 내 저장 의무가 모든 국외 제공을 자동으로 금지하는 것은 아니다. 사업상 실제 필요성이 있는 경우 국경 간 제공은 가능하지만, 중국의 관련 데이터 국외 반출 절차를 따르고 필요한 별도 동의도 받아야 한다.

기업은 중국 내에서 데이터를 저장하는 것과 해외 수령자에게 데이터를 제공하는 것을 구분해 관리해야 한다. 전자는 기본 저장 요건이고, 후자는 별도의 법적·절차적 통제를 추가로 촉발하는 행위가 된다.

고위 경영진 책임과 정기 보고 체계

초안은 고위 경영진 중에서 개인정보 보호 책임자를 두도록 하는 등 보다 공식적인 준법 체계를 요구한다. 관련 보도에 따르면 이 책임자는 중국 국적자여야 하고, 외국의 영주권이나 장기 거류 자격이 없어야 하며, 개인정보 보호 전문 지식과 관련 경험을 갖춰야 한다.

그 밖에 제안된 내부 관리 조치는 다음과 같다.

• 직접적인 준법 조직과 명확한 책임 배분
• 정기적인 개인정보 보호 영향평가
• 주기적인 준법 감사
• 개인정보 처리 활동과 보안 취약점 모니터링
• 위험 식별 및 개선 절차
• 이용자 권리 행사와 민원 제기를 위한 실효성 있는 채널
• 매년 공개하는 개인정보 보호 사회책임 보고서

미성년자를 위한 별도 보호 조치도 강조된다. 특히 보호자 동의와 철회가 실제로 작동할 수 있는 절차를 마련하는 것이 중요해질 전망이다.

외부위원 중심의 개인정보 보호 감독위원회

이번 초안에서 가장 구조적인 변화 중 하나는 적용 대상 기업마다 개인정보 보호 감독위원회를 설치하도록 한 점이다. 이 위원회는 기업의 개인정보 처리 활동을 독립적으로 감독하는 역할을 맡는다.

위원회 구성 요건은 다음과 같다.

• 위원 수는 홀수여야 한다.
• 최소 7명 이상이어야 한다.
• 기업의 사업 규모와 이용자 수에 비례해 구성해야 한다.
• 위원의 최소 3분의 2는 외부 인사여야 한다.
• 위원장은 외부 인사 중에서 선임하며, 개인정보 보호 준법·감사 역량을 갖춰야 한다.

외부위원은 독립성, 평판과 관련 준법 업무 경험을 갖춰야 한다. 일반적으로 외부위원 한 명이 동시에 맡을 수 있는 대형 개인정보 처리자는 3곳 이하로 제한된다.

감독위원회는 개인정보 보호 준법 상태와 중대한 보호 사안을 감독하고, 관련 정책과 고위험 처리 활동을 검토해야 한다. 기업의 의견이나 권고를 제시하고, 보고 및 감독 체계를 통해 책임성을 높이는 역할도 맡는다. 기업은 위원회가 기능을 수행하는 데 필요한 충분한 자원을 제공해야 한다.

이는 개인정보 보호 책임자 한 명을 지정하는 수준을 넘어선다. 외부위원이 다수를 차지하는 별도의 감독 층을 두고, 개인정보 보호를 기업의 공식적인 책임·감사 구조 안에 편입하려는 방식이다.

기업이 지금 점검해야 할 항목

초안이 최종 규정으로 확정된 것은 아니지만, 적용 가능성이 있는 기업은 우선 다음 사항을 점검할 필요가 있다.

1. 처리 중인 정보주체의 수와 개인정보 유형
2. 주요 서비스와 사업 분야, 공공이익에 미칠 수 있는 영향
3. 중국 개인정보의 저장 위치와 관련 데이터센터의 지배 주체
4. 민감정보, 제3자 제공, 공개 및 국외 제공에 관한 동의 절차
5. 국경 간 이전 방식과 해외 수령자
6. 고위 경영진의 책임 배분과 감사 체계
7. 외부위원 중심 감독위원회의 독립성, 구성과 운영 자원

최종 규정은 의견수렴 과정에서 달라질 수 있다. 그러나 현재 초안이 보여주는 방향은 분명하다. 중국은 가장 많은 개인정보를 보유하거나 사회적 영향력이 큰 처리자를 대상으로 국내 인프라, 고위급 책임, 강화된 이용자 동의와 외부 감독을 결합한 별도 관리 체계를 검토하고 있다.

아직 의견수렴 단계인 만큼 기업들은 현재 규정안을 확정된 준수 의무가 아닌 예정된 규제 방향으로 봐야 한다. 초안 제50조에도 시행일은 비어 있다.

‘대형 개인정보 처리자’는 어떻게 정해지나

초안은 단일한 이용자 수 기준만으로 대상을 정하지 않는다. 다음과 같은 요소를 종합적으로 평가한다.

• 1,000만 명을 초과하는 자연인의 개인정보를 처리하는지
• 개인정보 처리가 수반되는 중요한 온라인 서비스를 제공하거나 관련 사업을 여러 개 운영하는지
• 국가안보, 경제 운영, 사회 안정, 공중보건 또는 안전에 중대한 영향을 미치는지

1,000만 명을 초과하는 사람의 정보를 처리하는 기업과, 스스로 더 넓은 요건을 충족한다고 판단한 기업은 성(省) 단위 CAC를 통해 지정 신청을 해야 한다. 이후 국가 CAC가 관련 당국과 함께 대상 목록을 결정해 공개한다. 요건을 충족하는 것으로 보이지만 신청하지 않은 기업에 대해 당국이 신청을 요구할 수도 있다.

따라서 이용자 수만으로 경계선이 명확하지 않더라도 사회적 영향력이 큰 플랫폼이나 여러 핵심 서비스를 운영하는 기업이 규제 대상에 포함될 가능성이 있다.

중국 시민 정보 침해한 해외 기업은 제공 제한 대상이 될 수 있어

초안은 중국 시민의 개인정보 권리를 침해하거나 중국의 국가안보·공공이익을 위협하는 개인정보 처리 활동을 한 해외 조직이나 개인을 국가 CAC가 공개 목록에 올릴 수 있도록 한다. 목록에 오른 대상에는 중국에서 해당 해외 수령자에게 개인정보를 제공하는 행위의 제한 또는 금지 조치가 내려질 수 있다.

이는 중국 내 플랫폼뿐 아니라 중국에서 개인정보를 전달받는 해외 조직에도 직접적인 위험이 될 수 있는 조항이다. 국경 간 데이터 흐름을 검토할 때 일반적인 개인정보 보호 요건뿐 아니라 국가안보와 공공이익 관련 위험까지 함께 살펴야 한다는 의미다.

수집은 필요한 범위로, 고위험 처리에는 별도 동의

규제 대상 기업은 적법성, 적절성, 필요성, 신의성실 원칙에 따라 개인정보를 처리해야 한다. 제품이나 서비스 제공에 필요한 정보만 수집해야 하며 과도하게 수집해서는 안 된다.

동의가 법적 처리 근거인 경우에는 다음 행위에 대해 별도의 동의를 받아야 한다.

• 다른 개인정보 처리자에게 정보를 제공하는 행위
• 중국 밖으로 정보를 제공하는 행위
• 개인정보를 공개하는 행위
• 민감한 개인정보를 처리하는 행위

처리 목적, 방식 또는 정보 범주가 바뀌면 다시 동의를 받아야 한다. 이용자가 동의를 철회할 수 있는 절차도 편리하게 마련해야 한다.

만 14세 미만 아동의 개인정보를 처리하려면 부모나 다른 보호자의 동의가 필요하다. 기업은 보호자가 동의를 제공하거나 철회할 수 있는 접근하기 쉬운 절차도 마련해야 한다.

중국에서 수집한 개인정보는 중국 내 저장이 원칙

중국 내 사업 활동을 통해 수집하거나 생성한 개인정보는 중국 안에 저장해야 한다. 데이터센터 역시 중국에 위치해야 하며, 관련 국가 정책과 기준을 충족해야 한다. 데이터센터 운영 주체의 법정대표자 또는 실제 지배자도 중국 국적자여야 한다.

데이터센터 운영자에게도 별도의 책임이 부과된다. 운영자는 내부 통제와 사고 대응 계획을 마련하고, 보안 취약점을 식별해 개선해야 한다. 필요한 경우 플랫폼과 당국에 통지하고, 개인정보 유출 사고 대응에도 협조해야 한다.

이에 따라 외부 클라우드나 데이터센터를 이용하는 기업은 인프라 제공업체 선정과 계약, 운영 감독을 단순한 기술·조달 문제로 볼 수 없게 된다. 데이터센터의 지배구조와 사고 대응 능력까지 개인정보 보호 프로그램의 핵심 항목으로 관리해야 할 수 있다.

국경 간 이전은 가능하지만 절차와 통제는 강화

중국 내 저장 의무가 모든 국외 제공을 자동으로 금지하는 것은 아니다. 사업상 실제 필요성이 있는 경우 국경 간 제공은 가능하지만, 중국의 관련 데이터 국외 반출 절차를 따르고 필요한 별도 동의도 받아야 한다.

기업은 중국 내에서 데이터를 저장하는 것과 해외 수령자에게 데이터를 제공하는 것을 구분해 관리해야 한다. 전자는 기본 저장 요건이고, 후자는 별도의 법적·절차적 통제를 추가로 촉발하는 행위가 된다.

고위 경영진 책임과 정기 보고 체계

초안은 고위 경영진 중에서 개인정보 보호 책임자를 두도록 하는 등 보다 공식적인 준법 체계를 요구한다. 관련 보도에 따르면 이 책임자는 중국 국적자여야 하고, 외국의 영주권이나 장기 거류 자격이 없어야 하며, 개인정보 보호 전문 지식과 관련 경험을 갖춰야 한다.

그 밖에 제안된 내부 관리 조치는 다음과 같다.

• 직접적인 준법 조직과 명확한 책임 배분
• 정기적인 개인정보 보호 영향평가
• 주기적인 준법 감사
• 개인정보 처리 활동과 보안 취약점 모니터링
• 위험 식별 및 개선 절차
• 이용자 권리 행사와 민원 제기를 위한 실효성 있는 채널
• 매년 공개하는 개인정보 보호 사회책임 보고서

미성년자를 위한 별도 보호 조치도 강조된다. 특히 보호자 동의와 철회가 실제로 작동할 수 있는 절차를 마련하는 것이 중요해질 전망이다.

외부위원 중심의 개인정보 보호 감독위원회

이번 초안에서 가장 구조적인 변화 중 하나는 적용 대상 기업마다 개인정보 보호 감독위원회를 설치하도록 한 점이다. 이 위원회는 기업의 개인정보 처리 활동을 독립적으로 감독하는 역할을 맡는다.

위원회 구성 요건은 다음과 같다.

• 위원 수는 홀수여야 한다.
• 최소 7명 이상이어야 한다.
• 기업의 사업 규모와 이용자 수에 비례해 구성해야 한다.
• 위원의 최소 3분의 2는 외부 인사여야 한다.
• 위원장은 외부 인사 중에서 선임하며, 개인정보 보호 준법·감사 역량을 갖춰야 한다.

외부위원은 독립성, 평판과 관련 준법 업무 경험을 갖춰야 한다. 일반적으로 외부위원 한 명이 동시에 맡을 수 있는 대형 개인정보 처리자는 3곳 이하로 제한된다.

감독위원회는 개인정보 보호 준법 상태와 중대한 보호 사안을 감독하고, 관련 정책과 고위험 처리 활동을 검토해야 한다. 기업의 의견이나 권고를 제시하고, 보고 및 감독 체계를 통해 책임성을 높이는 역할도 맡는다. 기업은 위원회가 기능을 수행하는 데 필요한 충분한 자원을 제공해야 한다.

이는 개인정보 보호 책임자 한 명을 지정하는 수준을 넘어선다. 외부위원이 다수를 차지하는 별도의 감독 층을 두고, 개인정보 보호를 기업의 공식적인 책임·감사 구조 안에 편입하려는 방식이다.

기업이 지금 점검해야 할 항목

초안이 최종 규정으로 확정된 것은 아니지만, 적용 가능성이 있는 기업은 우선 다음 사항을 점검할 필요가 있다.

1. 처리 중인 정보주체의 수와 개인정보 유형
2. 주요 서비스와 사업 분야, 공공이익에 미칠 수 있는 영향
3. 중국 개인정보의 저장 위치와 관련 데이터센터의 지배 주체
4. 민감정보, 제3자 제공, 공개 및 국외 제공에 관한 동의 절차
5. 국경 간 이전 방식과 해외 수령자
6. 고위 경영진의 책임 배분과 감사 체계
7. 외부위원 중심 감독위원회의 독립성, 구성과 운영 자원

최종 규정은 의견수렴 과정에서 달라질 수 있다. 그러나 현재 초안이 보여주는 방향은 분명하다. 중국은 가장 많은 개인정보를 보유하거나 사회적 영향력이 큰 처리자를 대상으로 국내 인프라, 고위급 책임, 강화된 이용자 동의와 외부 감독을 결합한 별도 관리 체계를 검토하고 있다.