국외이전이란 무엇인가?
중국 시장에 진입하는 외자 브랜드는 매일 방대한 데이터를 생성합니다. Tmall Global(틴마오궈지)과 JD Worldwide(징둥취안치우)의 고객 프로필, 샤오홍슈(RED)와 도우인(Douyin) 캠페인에서 얻은 잠재 고객, 현지 직원의 고용 기록, 그리고 해외 지역 본부로 전송되는 운영 지표가 그렇습니다. 이 데이터가 중국 본토를 벗어나는 순간, 세계에서 가장 엄격한 데이터 반출 체계 중 하나에 해당하게 됩니다. 개인정보보호법(PIPL)과 데이터 안전법(DSL)에 따라 국외이전은 규제 대상 활동이며, 미준수는 중대한 제재를 초래합니다. 이 가이드는 외자 기업이 2026년에 중국 밖으로 데이터를 합법적으로 이전하기 위해 무엇을 해야 하는지 알기 쉽게 설명합니다.
세 가지 합법 경로
중국은 데이터 반출을 금지하는 것이 아니라, 2024년 ‘데이터 국경 간 이동 촉진 및 규범화 규정’으로 정비되어 2026년까지 전면 시행된 세 가지 승인 메커니즘을 통해 관리합니다.
- CAC 안보 평가. 대규모 또는 민감한 이전에 필요합니다. 예를 들어 기업이 100만 명 이상의 개인정보를 처리하거나, 중요 데이터를 이전하거나, 중요 정보 인프라를 운영하는 경우입니다. 중국 사이버공간관리국(CAC)은 안보와 공공 이익 차원에서 이전을 심사합니다.
- 표준 계약. 기업은 CAC 표준 계약서 모델을 채택해 해외 수령인과 서명하고 CAC에 신고할 수 있습니다. 이 경로는 안보 평가 기준 미만의 중간 규모 이전에 적합합니다.
- 인증. 이전은 CAC 지정 전문 기관이 발급하는 개인정보 보호 인증을 통해 승인될 수 있으며, 다국적 그룹 내에서 흔히 쓰입니다.
2026년에 알아야 할 기준
- 100만 명 이상의 개인정보를 포함한 이전은 CAC 안보 평가가 필요합니다.
- 10만 명에서 100만 명의 개인정보 이전은 표준 계약 경로를 사용할 수 있습니다.
- 1만 명 이상의 민감한 개인정보 이전은 최소한 표준 계약이 필요하며, 많은 경우 평가도 필요합니다.
- 산업 규제 기관이 정의한 중요 데이터는 항상 안보 평가 대상이 됩니다.
- 내부 인사 데이터나 제한적인 국경 간 전자상거래 풀필먼트 데이터 같은 소량·필수 이전은 2024년 규정의 간소화 또는 면제 사례에 해당할 수 있습니다.
준수를 위한 단계
- 데이터 흐름 파악. WFOE가 수집하는 데이터, 저장 위치, 중국 외부에서 누가 접근하는지 목록화합니다.
- 데이터 분류. 개인정보, 민감한 개인정보, 그리고 중요 데이터를 식별합니다.
- 경로 선택. 규모와 민감도에 따라 평가, 표준 계약, 또는 인증을 매칭합니다.
- 문서 준비. 개인정보 보호 영향 평가를 수행하고, 표준 계약 또는 평가 신청서를 작성하며, 중국 규정에 부합하는 개인정보 처리방침을 채택합니다.
- 신고 및 실행. CAC에 신고를 제출하고 암호화, 접근 통제, 감사 로그 등 기술적 보호 조치를 시행합니다.
미준수에 대한 제재
위반은 경고, 시정 명령, 위법 수익 몰수, 5,000만 위안 또는 전년도 매출의 5%에 이르는 과징금, 그리고 책임 관리자에 대한 개인 책임 추궁으로 이어질 수 있습니다. 평판 훼손과 데이터 운영 중단도 흔한 결과입니다.
외자 브랜드를 위한 실무 조언
- 시장 진입 첫날부터 데이터 반출을 이사회 차원의 준수 사항으로 다루십시오.
- 가능한 한 데이터 저장을 현지화하십시오. 중국 고객 데이터를 본토 서버에 유지하면 반출량을 줄일 수 있습니다.
- Tmall, JD, RED, Douyin에서 국경 간 캠페인을 시작하기 전에 데이터 목록을 구축하십시오.
- 신고 절차가 서류 부담이 크므로 초기에 자격을 갖춘 중국 개인정보 전문가를 활용하십시오.
자주 묻는 질문
월간 보고서만 본부에 이메일로 보낸다면 WFOE도 신고해야 하나요?
그 보고서에 면제 기준을 초과하는 중국 고객이나 직원의 개인정보가 포함되어 있다면 필요합니다. 집계·비식별화된 통계는 원칙적으로 대상 외지만, 식별 가능한 기록은 해당합니다.
중요 데이터란 정확히 무엇인가요?
중요 데이터란 변조·유출·남용 시 국가 안보, 공중 보건, 또는 경제적 이익을 해칠 우려가 있는 데이터입니다. 산업 규제 기관이 목록을 공표합니다. 의심스러우면 신중히 대응하십시오.
CAC 안보 평가는 얼마나 걸리나요?
심사에는 보통 수개월이 소요됩니다. 시장 진입 일정에는 형식 절차가 아닌 이 리드타임을 반영해야 합니다.
모든 데이터를 중국 밖 글로벌 클라우드에 저장할 수 있나요?
규제 대상 데이터는 불가능합니다. 중국 개인정보와 중요 데이터는 원칙적으로 본토 저장 또는 준수된 반출 메커니즘이 필요하며, 그 이전의 해외 처리는 인정되지 않습니다.
준수하지 않고 이전하면 어떻게 되나요?
규제 당국은 중단 명령, 과징금 부과, 책임자 추궁이 가능합니다. 비준수 데이터 흐름은 중국 내 더 광범위한 인허가와 플랫폼 운영에도 위험을 줍니다.