전문

이 조항은 본 <규정>의 취지로써 데이터 보안, 개인정보 보호에 관한 관련 법률의 모호하고 분쟁이 발생할 수 있는 관련 규정을 명확히 하기 위한 것이다.

첫째, 이 조항은 중요한 데이터의 식별 및 보고에 대한 데이터 처리자의 책임을 강조하며, <규정>이 발표되기 하루 전에 “중요한 데이터”의 특정 정의 기준에 관한 국가표준 <데이터 보안 기술 데이터 분류 및 분류 규칙(GB/T 43697-2024)>이 공식적으로 발표되었으며, 이 규칙의 부록 G 에는 “중요한 데이터”의 17가지 고려 사항 및 해당 예를 명확하게 나열하여 기업이 중요한 데이터를 판단하는 데 정책 기반을 제공하였다. 둘째, 이 조항은 중요한 데이터를 신고해야 하는지 여부에 대한 “입증 책임”을 각 지역 및 관련 부서로 이전하고, 기업이 관련 부서 및 지역으로부터 중요한 데이터를 처리해야 한다는 통지를 받지 않았거나, 관련 부서 및 지역에서 중요한 데이터 목록 및 리스트를 공표하지 않은 경우, 기업은 특정 유형의 데이터를 중요한 데이터로 보고할 필요가 없다. 이는 한편으로는 기업의 컴플라이언스 압력을 완화하고, 다른 한편으로는 관련 부서 및 지역에서 최대한 빨리 데이터 레벨링 체계를 구축 및 개선하고 중요한 데이터 목록 및 리스트를 공표하도록 독촉할 수 있다.

이 규정은 국제 무역, 국경간 운송, 학술 협력, 역외 제조 및 마케팅 활동 등 데이터 역외이전의 전치 규정을 면제하는 데이터 시나리오를 명시하였다. 의견수렴안과 비교할 때, 이 규정은

（1）데이터 시나리오를 확대하였다. 인터넷정보부서는 “국경간 운송”을 데이터 역외이전의 전치 규정을 면제하는 데이터 시나리오에 포함시켰으며；

（2）대부분의 시나리오에서 데이터의 생성과 수집이 함께 이루어지기 때문에 데이터 생명주기의 범위를 확대하여 본 조항이 실질적으로 더 의미 있는 조항이 될 수 있도록 하였다. 의견수렴안에서는 특정 데이터 시나리오에서 “생성된” 데이터가 중국 외부로 제공될 경우 데이터 역외이전의 전치 규정이 면제될 수 있다고만 규정하고 있는데, 이 조항에서는 데이터의 “수집”도 본 조항의 범위에 포함됨을 명확히 하였다(예: 해외 기업이 국내 스토리지 클라우드 서비스를 사용하는 경우 데이터 역외이전의 전치 규정이 면제될 수 있음). 단, 역외 이전 데이터에 “개인정보 또는 중요한 데이터”가 포함되어서는 안 된다는 점에 유의해야 한다.

해외에서 수집 및 생성된 개인정보가 중국에서 처리하는 동안 개인정보나 중요한 데이터가 포함되지 않은 경우, 신고를 면제한다고 명시하였다. 동시에 기업은 향후 당해 면제 규정이 적용될 수 있는 경우 해외에서 수집 및 생성된 데이터를 국내 데이터에서 분리하여 처리 과정의 국내외 데이터의 혼동으로 “데이터만 통과”로 간주되지 않아 면제 기회를 놓치는 경우를 방지해야 한다.

<규정>은 자유무역시범구의 네거티브 리스트 체계를 설계했으며, 이는 자유무역시범구의 기업이 네거티브 리스트 외의 데이터를 해외에 제공할 경우, 데이터 역외이전의 전치 규정을 면제할 수 있음을 의미한다. 이는 자유무역시범구의 기회이자 도전이며 모든 지역의 자유무역시범구는 데이터 안전을 보장하면서 데이터 흐름을 촉진하기 위해 최대한 빨리 네거티브 리스트 제도를 개선해야 한다. 상해시 임항신구는 선두주자로서 2024년 2월 8일 <중국(상해) 자유무역시범구 임항신편구 데이터 역외이전 분류 및 레벨링 관리조치(시행)>를 편찬하고 발표했으며, 중요한 데이터 리스트 및 일반 데이터 리스트에 대한 관리 요구 사항을 규정하였다. 기업은 중요한 데이터 리스트와 일반 데이터 리스트에 있는 데이터를 관리위원회에 신청하여 등기해야 하며 이는 기타 자유무역시범구의 <규정>의 이행을 촉진하고 제도를 수립하는 데 새로운 아이디어를 제공하였다. 

제7조 및 제8조는 데이터 유형 및 특정 데이터 수출량에 대한 제한 규정이며 자세한 내용은 다음 표를 참조. 인터넷정보부서는 특히 <규정>에 관한 질문의 답변에서 상술한 누적 데이터 역외이전 수량을 계산하는 과정에서 하나는 자연인을 기준으로 계산되고 다른 하나는 면제 상황(규정의 제3조, 제4조, 제5조 제1항 (1)-(3) 및 제6조에 규정된 상황)은 포함될 필요가 없음을 명확히 하였다.

기존 2년과 비교할 때, <규정>은 데이터 역외이전 보안평가 결과에 대한 유효 기간을 3년으로 연장하고 국가 인터넷정보부서의 인허가를 거쳐 최대 6년까지 연장할 수 있다. 이는 기업의 데이터 역외이전 컴플라이언스 부담을 크게 감소하였다.

데이터 처리자의 데이터 역외이전 컴플라이언스 의무를 다시 한 번 명확히 하였으며 특히는 개인정보를 해외에 제공하는 경우 데이터 처리자가 데이터 역외이전 면제 조항에 해당하더라도 개인정보 보호 영향평가, 통지 및 개인의 개별적 동의를 취득해야 한다.

데이터 처리자의 데이터 안전보호 의무 및 리스크 처리 의무를 강조하였다.

각 지역 인터넷정보부서의 지도 감독, 리스크 조사 및 처리, 검사 및 집법 기능을 강화하고 “데이터 역외이전 활동에 비교적 큰 리스크가 있음을 발견하거나 데이터 보안사고가 발생한 경우” 데이터 처리자에게 적시에 시정 및 잠재적 리스크를 제거하도록 요구하였으며 비교적 느슨한 처벌이 부과되었다. “시정을 거부하거나 심각한 결과를 초래하는” 상황에 대해 법률에 따라 법적 책임을 추궁할 것을 여전히 모호하게 규정하고 있으며, 관련 기업은 <데이터 역외이전 안전평가방법> 및 <개인정보 역외이전 표준계약방법>의 구체적인 벌칙 내용에 따라 가능한 법적 책임을 판단할 수 있다.

신법이 구법보다 우선 적용하는 원칙에 따라 <규정>의 우선 순위를 규정하였다.

이 규정은 2024년 3월 22일부터 시행된다는 점에 유의하시기 바람.