1) ｢네트워크안전법｣(2017.6.1. 시행), ｢데이터안전법｣(2021.9.1. 시행), ｢개인정보보호법｣(2021. 11. 1. 시행)으로 구성된 중국 데이터 3법은 중국 데이터 법체계(개인정보 보호 + 데이터 보안) 구축에 중추적인 역할을 하고 있다(이상우, “중국 데이터의 역외 적용”, 「법학논총(숭실대학교 법학연구소)」제54집, 2022, 162면).

2) 동법 제4조제1항은 “개인정보란 전자적 또는 기타의 방식으로 기록된 식별되거나 식별 가능한 자연인과 관련된 각종의 정보를 말하며, 익명화 처리된 후의 정보는 이에 포함하지 않는다.”고 정한다. 이에 따라 중국 국내에서 수집·생성된 개인정보는 중국 공민의 개인정보를 포함하여 국적 불문 모든 자연인의 개인정보를 포함하는 것으로 보는 것이 타당한 해석일 것이다. 

3) 중국에서 개인정보 국외 이전 제한 규정은 「네트워크안전법」제37조에서 ‘핵심정보기반시설의 운영자는 중화인민공화국 경내에서 수집하거나 발생한 개인정보와 중요 데이터를 중국 내에 저장해야 한다. 사업적인 필요로 중국 경외로 전송해야 하는 경우에는 반드시 보안평가를 진행한다.’고 규정하면서부터 시작되었다. 이에 관한 자세한 내용은 서의경, “중국의 개인정보보호 입법에 관한 연구-사이버보안법을 중심으로”, 「中國硏究」제72권, 2017, 146면 이하 참조. 다만, 본문에서는 「개인정보보호법」을 중심으로 살펴본다. 참고로, 핵심정보기반시설이란 공공통신과 정보서비스 등 중요 산업 분야의 기능 파괴 또는 데이터가 유출되면 국가안전·공공이익에 심각한 위험이 될 수 있는 중요 네트워크 시설·정보시스템 등을 말한다. 이와 관련된 자세한 내용은 임종천·한지민, “중국의 데이터 국외 이전(移轉) 법적 절차에 관한 소고”, 「현대중국연구」제24집3호, 2022, 104면 이하 참조. 

4) 중국 「개인정보보호법」 제정 배경 및 주요 내용 등에 관한 자세한 사항은 배덕현, “중국의 개인정보보호 법제 구축에 대한 소고” -중화인민공화국 개인정보보호법(초안)을 중심으로-,「IT와 法연구」제22집, 2021, 250면 이하 참조. 

5) 국가 인터넷 통신부처란 중국 국무원 조직 구성 상 ‘국가인터넷정보판공실(国家互联网信息办公室)’로 보는 것이 합리적이다.

6) 2022년 11월 4일 중국 국가시장감독관리총국과 국가인터넷정보판공실은 합동으로 「개인정보보호인증 실시규칙(个人信息保护认证实施规则)」을 마련하였지만, 구체적인 절차 규정이 미비하여 본문에서는 다루지 않는다.

7) 동법 제40조는 “핵심정보기반시설 운영자와 개인정보 처리량이 국가 인터넷 통신부처의 규정에 부합하는 개인정보처리자는 중화인민공화국 역내에서 수집하거나 생산한 개인정보는 역내에 보관하여야 한다. 국외 제공의 필요가 있는 때에는 국가 인터넷 통신부처에서 행하는 안전평가를 거쳐야만하나, 법률ㆍ행정법규와 국가 인터넷 통신부처 규정에 따라 안전평가를 진행하지 않는 때에는 그에 따른다.”고 정한다.

8) 이에 관한 자세한 사항은 임종천·한지민, 앞의 논문, 110면 이하 참조. 

9)「데이터 국외 이전 안전평가방법」제4조제2항은 「개인정보보호법」제40조의 요건을 구체화하였다.

10) 이 규정은 개인정보를 전문적으로 취급하지 않는 일반 기업체들도 데이터 국외 이전 안전평가방법의 규제 대상에 포함시키기 위한 조치로 보인다.

11)「데이터 국외이전 안전평가방법」에 필요한 첨부자료 및 실무절차 등을 정한 「데이터 국외 이전 안전평가방법 가이드라인(제1판)」에서는 위험성 사전평가를 데이터 국외 이전 안전평가 실시 전(前) 3개월 이내에 완료하여야 함을 정한다.

12) 이 경우 ‘기간을 적절히 연장한다.’로 규정되어 있기 때문에 국가인터넷정보판공실의 재량 범위는 상당히 넓다.

13) 중국 「개인정보보호법」제55조에는 민감한 개인정보를 처리하거나 개인정보를 국외에 제공하는 경우 등에는 ‘개인정보보호 영향평가’를 거치도록 정하며, 동법 제56조에는 개인정보보호 영향평가 사항에 포함되어야 하는 내용들을 규정한다. 

14) 한국 「개인정보보호법」 제28조의 8; 중국 「개인정보보호법」 제38조.