지난 2024. 11. 8. 및 2025. 1. 20.자 뉴스레터1에서 「네트워크 데이터안전 관리조례」2 (2025. 1. 1.부터 시행, 이하 “「관리조례」”)의 공포 배경, 총론적 일반조항 및 개인정보 보호와 중요데이터 안전 관련 조항들에 대해 소개하였습니다. 이번에는 그에 이어 「관리조례」의 데이터 국외이전 관련 조항들에 대해 분석합니다.
I. 「관리조례」 데이터의 국외이전 관련 규정
「관리조례」는 제5장에서 데이터 국외이전에 관한 사항을 상세히 규정하였으며, 현행 「개인정보보호법」, 「데이터 국외이전 안전평가방법」3(이하 “「안전평가방법」”), 「개인정보 국외이전 표준계약 방법」4(이하 “「표준계약방법」”), ｢데이터 국경간 유동을 촉진하고 규범화하기 위한 규정｣5(이하 “「유동규정」”) 등에 산재되어 있던 데이터 국외이전에 관한 규정들을 취합 및 보완하였습니다.
1. 개인정보 국외이전
- 개인정보 국외이전 시 이행해야 하는 조치
현행 「개인정보보호법」 제38조 제1항에 의하면, 개인정보처리자가 업무상 필요로 인해 국외에 개인정보를 제공해야 하는 경우, 특정한 예외를 제외하고(아래 예외규정 참고), 다음 조건 중 하나를 충족하여야 합니다.
한편, 상기 개인정보의 국외이전 조치와 관련하여, 2024. 3. 22.자로 공표된 「유동규정」 제5조는 아래와 같이 예외 사항을 규정하였습니다.
이번 「관리조례」에서는 상기 「개인정보보호법」 및 「유동규정」의 개인정보 국외이전 조치 관련 규정을 하나의 조항으로 통합하고 보완하였으며, 다음 조건 중 하나를 충족하는 경우 네트워크 데이터처리자는 국외에 개인정보를 제공할 수 있습니다(「관리조례」 제35조).
여기서 유의할 점은 「관리조례」는 “법적 책무 또는 법적 의무를 이행하기 위해 반드시 국외에 개인정보를 제공해야 하는 경우” 국외에 개인정보를 제공할 수 있다고 규정하여 이러한 경우에는 안전평가 등 국외이전 조치를 이행할 필요가 없도록 하였다는 점입니다. 이는 국외이전 조치 면제 범위를 확대한 것으로 기업의 컴플라이언스 부담을 경감시키고 더욱 원활한 국제 교류를 추진하기 위한 것으로 이해됩니다.
그 밖에, 위 「관리조례」 제35조에는 「유동규정」 제5조의 예외 규정 중 “당해 년도 1. 1.부터 누적하여 국외에 이전한 개인정보(민감개인정보 제외)가 10만명 미만인 경우”는 규정되어 있지 않은데, 제35조 제(3)호에 언급된 국가네트워크정보부서에서 제정한 개인정보 국외이전 표준계약 관련 규정(“「표준계약방법」” 제4조) 자체에 동일한 예외 규정을 포함하고 있으므로 「관리조례」 제35조에서는 별도로 명시하지 않은 것으로 이해됩니다. 따라서, 「관리조례」 시행 이후라 하더라도, “당해 년도 1. 1.부터 누적하여 국외에 이전한 개인정보(민감개인정보 제외)가 10만명 미만인 경우”에는 개인정보처리자는 여전히 「유동규정」에 따라 안전평가(조치①), 개인정보보호인증(조치②) 및 표준계약 신고(조치③)가 필요 없겠습니다.
2. 중요데이터 국외이전
중요데이터의 국외이전 관련해서는 「관리조례」에서 기본적으로 기존 「유동규정」의 관련 규정을 인용하여, 원칙적으로 모든 중요데이터의 국외이전은 국가네트워크정보부서의 안전평가에 통과해야 하나, 관련 부서, 지역에서 중요데이터로 고지 또는 공표하지 않은 데이터를 국외이전 하는 경우에는 안전평가를 진행할 필요가 없다고 규정하였습니다(제37조).
나아가, 이번 「관리조례」에서는 네트워크 데이터처리자가 데이터 국외이전 안전평가를 진행하는 방식(조치①)을 통해 국외에 개인정보 및 중요데이터를 제공하는 경우, 안전평가 시 신고된 데이터 국외이전 목적, 방식, 범위 및 종류, 규모 등을 초과하여서는 아니됨을 명확히 하였습니다(제38조).
다음 회에서는 「관리조례」상 플랫폼사업자의 법적 의무들에 대해 살펴보겠습니다.
1 본 법무법인의 2024.11.8.자 뉴스레터 및 2025.1.20.자 뉴스레터 참고하시기 바랍니다
2 网络数据安全管理条例
3 数据出境安全评估办法
4 个人信息出境标准合同办法
5 促进和规范数据跨境流动规定
