들어가며

2023년 “개정 중국 간첩법”(이하 “반간첩법”이라 약칭함)이 정식으로 반포되어 7월 1일부터 시행중이다. 반간첩법의 시행을 전후하여 국내외 언론은 앞다투어 중국은 이제 출장이나 여행을 가서 사진을 찍는 것도 조심해야 한다고 했다. 반간첩법상의 “국가안보”등의 개념들이 지나치게 모호하여 자칫하면 간첩의 누명을 쓸 수 있음을 우려한 것이다. 특히 이번 반간첩법 제4조 제3항은 “국가안보 내지 이익과 관련한 문건, 데이터, 자료, 물품”을 절취, 정탐, 매수 또는 불법제공 같은 간첩행위의 새로운 객체로 규정했다. 데이터의 이동을 간첩행위로 볼 수 있는 근거규정을 마련한 것이다. 이미 중국은 개인정보보호법, 데이터보호법 등에서 개인정보 내지 데이터의 경외¹⁾ 이전을 상당히 엄격하게 규제하고 있었는데 이번 반간첩법의 제정을 통해 데이터의 경외이전은 잘못하면 간첩죄로까지 처벌될 수 있게 된 것이다. 

본문에서는 이번 반간첩법 개정의 가장 핵심적인 부분이라고 할 수 있는 데이터 내지 개인정보의 경외이전과 관련한 중국의 최근 입법 동향을 소개한다. 이는 데이터의 경외이전에 관한 중국의 입법 동향의 변화를 통해 이왕에 반간첩법이 시행되고 있는 현재 상황에서 우리가 중국에서 반간첩법이 어떻게 실제로 적용될 것인가에 대한 막연한 두려움을 떨쳐버리고 어떤 자세와 마음가짐으로 당면한 도전을 슬기롭게 극복할 수 있을지 그 방안을 고민해 보고자 하는데 그 목적이 있다. 중국의 반간첩법에 관한 작은 변론이라 할 수 있겠다. 

반간첩법과 데이터 경외이전 관련 법규 ²⁾ 의 연계

중국의 개인정보보호법 제38조 제1항 ³⁾ 은 개인정보를 경외로 이전하는 경우에는 반드시 (1) 네트워크 정보부서의 보안평가를 받거나, (2) 전문기관을 통한 개인정보 보호인증을 받거나, (3) 경외의 개인정보의 수령자와 표준계약을 체결할 것을 요구하고 있다. 이러한 개인정보보호법의 규정에 따라 제정한 “데이터 경외이전 보안 평가 방법”《数据出境安全评估办法》은 데이터 처리자가 (1) 경외에 중요데이터⁴⁾ 를 제공하는 경우, (2) 핵심정보기초시설 운영자⁵⁾ 와  100만 명 이상의 개인정보의 데이터 처리자가 경외에 개인정보를 제공하는 경우, (3) 전년 1월 1일부터 경외에 누적 10만 명의 개인정보 또는 1만 명의 민감개인정보⁶⁾ 를  제공하는 경우, (4) 기타 국가의 인터넷 정보부서가 데이터 경외이전 보안평가가 필요하다고 인정한 경우에는 소재지의 성급 인터넷 정보부서를 통해 국가 인터넷 정보부서에 데이터 경외이전 보안평가를 신청하도록 규정하고 있다(규정 제4조).

또한 “개인정보 경외이전 표준 계약 방법”《个人信息出境标准合同办法》에 따르면 개인정보처리자는 (1) 핵심정보기초시설 운영자가 아닌 경우, (2) 개인정보처리량이 100만 명 미만인 경우, (3) 전년 1월 1일부터 경외로 제공한 누적 개인정보가 10만 명 미만인 경우, (4) 전년 1월 1일부터 경외로 제공한 민감개인정보가 1만 명 미만인 경우에 경외로 개인정보를 제공할 때에는 표준계약의 형식을 따를 것을 요구하고 있다(규정 제4조, 제5조).

위와 같이 데이터의 경외이전에 관한 엄격한 규정들은 특히 해외로 일정한 정보를 이전해야 할 필요가 있는 중국측 담당자들을 긴장하게 만들었다. 예를 들어 한국의 관련 기관들과 활발한 학술 교류활동을 해 오던 중국 유수의 대학교 담당자들이 갑자기 학술 세미나와 관련한 기본적인 자료들을 한국에 메일로 송부하는 것도 내부적인 검토를 이유로 망설여 한중간의 소통이 더디게 진행되었다. 그리고 중국의 어느 인사는 중국의 개황 수준에 해당하는 전혀 비밀스럽지 않은 내용으로 한국에서 강연을 하고도 강연 자료를 건네주기를 끝까지 거부하여 강연을 준비하는 사람들을 곤혹스럽게 만들기도 했다. 이렇듯 위에서 언급한 중국의 데이터 경외이전에 관한 규정들에 따르면 단 한 건의 개인정보를 경외에 이전하는 경우에도 반드시 개인정보의 경외이전 표준계약의 형식으로 계약을 체결해야 하는지, 아니면 어떤 보안심사를 거쳐야 하는지 상당한 의문과 법위반에 대한 두려움을 수반하게 되는 상황이 벌어졌다. 이러한 현상을 목도한 중국 당국은 데이터의 경외이전에 관해서 숨통을 틔워주려는 시도를 한다. 

2023년 9월 28일, 국가 인터넷정보사무처는 “데이터의 경외이전 규제 및 촉진에 관한 규정”(의견 수렴안 ⁷⁾ ) 《规范和促进数据跨境流动规定(征求意见稿)》을 공포했다. 본 규정은 데이터를 경외로 이전할 때에 보안평가를 받지 않거나, 개인정보의 경외이전 표준 계약을 체결하지 않아도 되는 경우를 명확히 규정하였다. 구체적으로는 국제무역, 학술협력, 다국적 생산제조, 마케팅 등의 활동에서 생성된 데이터인 경우, 관련 부서  또는 지방정부가 공개적으로 중요데이터로 고지한 경우가 아닌 경우, 해외 쇼핑, 국외 송금, 항공권 및 호텔 예약, 비자 발급 등 개인이 당사자인 계약의 체결 및 그 이행에 필요한 개인 정보를 경외에 제공하는 경우, 법에 따라 제정한 노동 규칙 내지 규정과 법률에 따라 체결한 단체협약에 근거하여 인적 자원 관리를 위해 직원의 개인 정보를 경외에 제공해야 하는 경우, 긴급한 상황에서 생명과 재산을 보호하기 위해 개인정보를 경외에 제공해야 하는 경우, 1년 이내에 경외에 1만 명 미만의 개인정보의 제공이 예상되는 경우 등이다. 

위에서 살펴본 바와 같이 중국의 데이터의 경외이전에 관한 법제는 처음에는 예외 없이 엄격한 규제일변도의 강력한 입장을 취해 왔으나 현재는 조금씩 그러한 제한을 완화하고 있는 추세라고 할 수 있다. 한편 금번에 시행된 반간첩법에 따르면 경외로 일정한 데이터를 이전하는 것은 간첩행위의 태양에 해당한다. 그런데 법에서 규정하고 있는 “국가안보 내지 이익”과 관련한 데이터라는 요건은 그 기준이 상당히 자의적이고 데이터의 수량에 상관없이 이를 경외에 이전하는 것만으로도 간첩행위로 의율될 위험성이 있다고 한다면 중국에서 비즈니스를 하는 외국기업들은 극도의 예측불가능성에 노출되어 중국에서의 사업이 큰 위험을 맞게 되었을 것이다. 그러나 위에서 살펴본 바와 같이 데이터의 경외이전과 관련한 중국의 일련의 입법의 변화추세를 살펴 보면 데이터의 경외이전에 대한 규제의 정도를 점차 완화시키고 있음을 알 수 있다. 그렇다면 데이터의 경외이전이 중국내의 법위반이 되고 나아가 잘못하면 간첩죄의 억울함을 뒤집어 쓸 가능성 역시 줄어들게 되는 것이다. 

중국의 반간첩법에 관한 변론 

우리는 항상 중국과의 관계에서 정치적, 경제적, 역사적 근접성을 강조하면서 친밀감을 표시한다. 그러나 그러한 추상적이고 외교적인 수사보다는 실제로 중국 현지에서 벌어지는 일들을 우리가 어떻게 인식하고 대비할 지가 중요하다. 특히 우리가 냉정하게 읽어내야 할 것이 중국의 특정 법률의 제정과 시행이다. 반간첩법의 시행을 우리는 어떻게 받아들여야 할까? 중국의 반간첩법을 변론해 보고자 한다. 

1. 우선 반간첩법에 규정한 행위들은 다른 법규에서 이미 금지되어 있었던 경우가 적지 않다. 네트워크 보안법 제5조는 국가는 필요한 조치를 통해 중국 경내외에서 비롯되는 네트워크 보안에 대한 리스크와 위협을 모니터링, 방어, 처리하고  핵심정보기초시설을 공격, 침입, 간섭 내지 파괴하는 행위로부터 보호하고 네트워크상에서 발생하는 위법한 범죄활동을 법에 따라 정돈하고 네트워크 공간에서의 보안과 질서를 수호해야 한다고 규정하고 있다. 한편 반간첩법은 온라인 간첩행위를 처음으로 규정했는데 “핵심정보기초시설의 네트워크를 공격, 침입, 간섭, 통제 내지 파괴하는 행위”를 간첩행위에 포함시켰다(법 제4조 제4항). 즉, 특정 네트워크에 대한 온라인을 통한 침범행위는 간첩행위로 규정되기 전부터 이미 중국법상으로 금지되는 행위였다. 그렇기 때문에 반간첩법이 독자적으로 이전에 없던 행위들을 갑자기 간첩행위로 재단하겠다고 나선 것은 아니다. 

2. 데이터는 미래의 자산이고 어느 나라에서나 그 관리에 관한 규정을 강화하고 있는 것이 일반적인 추세이다. 중국도 예외는 아니다. 중국에서 비즈니스를 하는 외자기업은 합작 상대방의 동의를 얻은 후에 합법적으로 관련 데이터를 수집해야 한다. 특히 반간첩법이 시행된 상황에서는 더더욱 조심을 할 필요가 있다. 이른바 배경조사라 하여 컨설팅 기업과 같은 전문적인 제3의 기구를 통해 일방적으로 피투자자 또는 합작 상대방의 정보를 취득하는 것은 위험하다. 중국 고객 또는 공급상과 계약을 체결할 때에는 기밀, 정보, 데이터에 관한 컴플라이언스 조항을 통해 상대방이 제공하는 모든 데이터 또는 자료들이 국가기밀에 해당되지 않고 국가안보와 이익 내지는 그 외에 공개되어서는 안 되는 데이터를 포함하고 있지 않다는 확약을 받아야 한다.

3. 로마에 가면 로마법을 따르라고 했고 중국에는 수향입속(随乡入俗)이라 하여 어느 마을에 가면 그 마을의 풍속을 따르라고 했다. 반간첩법은 중국이 제정한, 현시대의 중국 정부의 의지가 녹아 들어가 있는 법이기 때문에 그들이 희망하는 것을 지켜 주려는 관용도 필요하다. 우리의 관심 사항과는 다르게 중국이 이번 반간첩법 개정에서 그들의 성과로 강조하고 있는 것은 반간첩법 집행에 있어서 절차적 정당성을 강화했다는 것이다. 간첩행위와 관련한 데이터의 열람조사, 소환, 재산정보의 조사에 관해서 법을 집행하는 국가안보기관이 심사비준 절차를 엄격하게 준수하도록 하여 법집행을 규범화시켰다고 자부한다. 물론 아직 우리의 눈높이와는 다른 부분이 있다고 해도 법의 의한 국가 통치, 즉, 의법치국(依法治国)을 강조하는 그들의 노력을 높이 평가할 줄도 알아야 한다. 이와 관련해서 중국에 진출한 우리나라 기업들은 반간첩법이 요구하고 있는 보안예방 의무에 관한 규정을 잘 준수해야 한다. 특히 민감산업(컨설팅, 반도체, 에너지, 전력, 금융 등)에 종사하는 회사는 반간첩 활동 관련 컴플라이언스 시스템을 구축하고 정기적으로 반간첩법에 관한 교육을 실시하고 이러한 활동은 사진, 직원들의 참가 확인서 등을 통해 증거로 남겨 놓아야 한다. 

4. 중국은 앞면만 봐서는 안 되고 그 뒷면에 다른 무언가가 없는지 를 항상 주의깊게 살펴야 한다. 반간첩법의 시행이 가지고 온 불편함의 뒷면에는 비슷한 시기에 제정한 다른 법률들도 있다. 중국은 2023년 7월 1일부터 대외관계법《中华人民共和国对外关系法》을 시행 중인데 이 법은 중국이 다른 나라와의 외교, 경제, 문화 등의 영역에서의 교류와 합작, UN등의 국제조직과의 관계 발전에 적용하기 위해 제정되었다(법 제2조). 이 법은 중국은 독립자주와 평화외교 정책을 견지하며 (1) 상호간의 주권과 영토의 완정성의 존중, (2) 상호 불가침, (3) 상호 내정 불간섭, (4) 평등과 상호이익, (5) 평화적 교류의 5대 원칙의 준수를 강조하고 있다(법 제4조), 또한 2024년 1월 1일부터는 중국의 외국국가면제법《中华人民共和国外国国家豁免法》이 시행될 예정이다. 이 법에 따르면 외국국가와 그 재산은 중국의 법원에서 일정한 예외적인 상황을 제외하고는 원칙적으로 재판 관할이 면제된다(법 제3조). 중국의 어떤 모습을 보고 어떻게 대처할 지는 결국 우리의 몫이다. 중국의 한면만 보고 쉽게 흥분해서는 안 된다. 그렇게 하면 우리가 챙길 것을 다 못 챙기게 되기 때문이다. 

5. “간첩”이라는 단어에 대한 우리 스스로의 거부감도 반간첩법에 대한 공포를 키운다. 60,70년대에 우리는 반공이 지상의 가치였다. “나는 공산당이 싫어요”를 외친 어린이를 영웅으로 교과서에서 배워왔고 “113수사본부” 같은 간첩 잡는 TV연속극을 보며 카타르시스를 느껴 왔던 우리 세대들은 “간첩”이라는 단어가 주는 무거움과 두려움을 누구보다 더 피부로 느끼며 성장했다. 하물며 여전히 사회주의 국가라고 하는 중국에서 내가 간첩으로 지목된다는 상상은 정말 악몽에서도 경험해 보고 싶지 않은 일이다. 반간첩법의 시행이 분명 중국에서 활동하는 외국기업, 외국인들에게 심적인 부담을 주는 점은 부인할 수 없다. 그러나 그러한 부담을 외면하고 회피하려고만 하는 것이 아니라면 시행되는 법의 부당하고 예측하기 어려운 점 만을 지나치게 부각해서 걱정만할 것이 아니고 그 안에서 우리가 여전히 활동할 수 있는 공간을 찾아내고 그에 새롭게 적응하려는 노력이 필요하다. 위에서 살펴본 반간첩과 데이터 경외이전 관련 법규들을 연결시켜 보면 여전히 숨을 쉴 수 있는 공간이 주어지고 있음을 알 수 있다.

6. 중국의 법률과 법현실간의 끊임없는 밀당 과정에서 우리는 중립적인 태도를 견지해야 하며 중국의 법률, 정책의 제정과 집행에 일희일비해서는 안 된다. 현재 중국의 발전이 정점을 찍었는지 여부에 관한 이른바 차이나 피크론에 대한 논쟁이 뜨겁다. 중국의 발전이 이미 정점을 찍었으니 이제 중국이 쇠락의 길로 접어 들 것인가, 아니면 아직 더 오를 정상이 남아 있는가라는 의견의 대립이다. 필자가 중국을 처음 본격적으로 공부하기 시작했던 2005년 무렵에도 중국이 앞으로 세계를 지배할 것인가라는 명제에 대해 찬반론이 뜨거웠다. 그 때에도 향후 중국이 위협적인 존재가 될 것이라는 점에는 동의한다고 해도 그 후로 불과 20년이 채 미치지 못한 시간 안에 G2, 투키디데스의 함정, 미중을 중심으로 한 반도체 산업 등의 글로벌 공급 체인의 재편과 같은 화두를 놓고 미국과 중국이 이렇게 극명하게 대립하는 시기가 올 것이라고는 미처 예상하지 못했다. 중국과의 무역수지가 적자일로에 서 있다. 점점 더 중국이 우리에게 필요한 것 내지는 아쉬운 것이 없어져 가고 있다는 말이다. 비단장사 왕서방이라고 했다. 곰한테 재주를 부리게 하고 실속은 다 챙겨가는 게 그 왕서방이다. 원래 중국은, 중국인들은 그렇게 쉬운 상대가 아니었다. 한중 수교 31년간의 행복한 추억들은 이제는 가슴에 따뜻하게 묻고 냉철한 머리로 중심을 잘 잡고 처음부터 다시 시작해야 한다.

----

1) 경외(境外)라고 하면 중국 대륙 본토 외라는 의미로 대만, 홍콩, 마카오도 포함된다.

2) 중국은 개인정보보호법, 데이터보안법, 네트워크보안법을 통해 이른바 데이터 보호 3법 체계를 구축하고 데이터 내지 개인정보를 경외로 이전하는 것에 관한 규정을 두고 있다. 본문에서는 개인정보보호법의 내용을 중심으로 검토한다.

3) 데이터의 경외이전과 관련하여 네트워크보안법 제37조는 “핵심정보기초시설의 운영자가 중국 경내에서 운영 중에 수집 내지 생산한 개인정보와 중요한 데이터는 경내에 보관해야 한다. 업무상의 필요에 의해서 경외에 제공할 필요가 있는 경우는 국가 인터넷 정보부서와 국무원 관련 부서가 제정한 방법에 따라 보안평가를 실시한다. 법률, 행정법규에 별도의 규정이 있는 경우에는 그 규정에 의한다”고 규정하고 있고, 데이터 보안법 제31조는 “핵심정보기초시설의 운영자가 중화인민공화국 경내에서 운영 중에 수집 내지 생산한 중요데이터의 경외이전 보안관리는 네트워크 보안법의 규정을 적용한다. 기타 데이터 처리자가 중국 경내에서 운영 중에 수집 내지 생산한 중요데이터의 경외이전 보안관리방법은 국가 인터넷 정보부서가 국무원의 관련 부서와 함께 제정한다.”라고 규정하고 있다. 

4) 중요데이터(重要数据)란 일단 변조, 파괴, 누설 또는 불법취득, 이용되면 국가안보, 경제운영, 사회의 안정, 공공건강과 안전에 위해를 끼칠 수 있는 데이터를 의미한다(데이터 경외이전 보안 평가 방법 제19조).

5) 핵심정보기초시설운영자(关键信息基础设施运营者, Critical Information Infrastructure Operator)란, 공공통신과 정보서비스, 에너지, 교통, 수리, 금융, 공공서비스, 전자정무, 국방과학기술 등의 중요산업 내지 영역 및 기타 파괴 내지 기능을 상실하거나 데이터가 유출되면 국가안보, 국민경제와 국민의 생활, 공공이익에 심각한 위해(危害)를 끼칠 수 있는 중요한 네트워크 시설, 정보시스템 등을 운영하는 자를 말한다(핵심정보기초시설 보안보호조례 제2조).

6) 민감개인정보(敏感个人信息)는 일단 누설되거나 불법적으로 사용되면 쉽게 자연인의 인격의 존엄성을 침해하거나 또는 인신, 재산의 안전에 위해를 끼칠 수 있는 개인정보로 이에는 생물식별정보, 종교신앙, 특정신분, 의료건강, 금융계좌, 이동경로 등의 정보와 만 14세 미만의 미성년자의 개인정보를 말한다(개인정보보호법 제28조)

7) 의견수렴안은 법률 또는 법규의 제정과정에서 사회일반 내지는 전문가 집단의 의견을 청취하는 절차로 의견수렴안은 정식 법안으로 공포된 것은 아니나 향후 법규의 기본적인 내용이나 입법방향을 파악할 수 있다는 점에 의미가 있다.