CHINA SYSTEM · OPERATING LOGIC
개념을 작동 구조로 읽습니다
데이터의 국경은 서버실에만 있지 않다
数据出境(데이터 국외이전)이라는 말을 들으면 중국 서버의 파일을 한국 서버로 복사하는 장면을 떠올리기 쉽다. 그러나 실제 규제는 더 넓다. 중국에서 수집·생성된 데이터를 해외 본사, 해외 클라우드나 협력사에 전송하는 것뿐 아니라 해외에서 원격으로 조회·다운로드하거나 API를 통해 지속 접근할 수 있게 하는 구조도 국외이전이 될 수 있다. 서버가 중국에 있다는 사실만으로 국외이전이 사라지는 것은 아니다.
그렇다고 중국의 모든 데이터가 국경을 넘지 못하는 것도 아니다. 규제의 핵심은 데이터가 무엇인지, 누가 처리하는지, 몇 명에 관한 것인지, 왜 보내야 하는지, 누가 받으며 다시 누구에게 제공하는지에 있다. 같은 고객관리 시스템이라도 이름·연락처만 보내는 경우와 생체·건강·금융정보를 결합해 보내는 경우는 위험이 다르다. ‘중국 데이터’라는 한 단어 대신 실제 필드와 흐름을 보아야 한다.
기업 지도도 서버 보유자만으로 그릴 수 없다. 중국법인의 개인정보 처리책임자, 현지 클라우드와 통신사업자, 한국 본사의 업무부서·보안관제, 글로벌 SaaS, 외부 개발사와 고객지원사가 한 데이터 흐름에 참여한다. 이 가운데 누가 목적을 정하고 누가 지시에 따라 처리하며 누가 다시 제3자에게 제공하는지를 계약과 권한표에서 일치시켜야 한다. 특히 본사가 공동으로 목적을 정하거나 중국 이용자에게 직접 기능을 제공하면 ‘현지법인이 모두 책임진다’는 조직도만으로 책임을 분리할 수 없다. 책임표에는 승인자·실행자·검토자뿐 아니라 데이터 항목별 원본 시스템, 수신 시스템과 권한 만료일을 넣어 조직개편 뒤에도 추적 가능하게 해야 한다.
세 법은 같은 일을 하지 않는다
网络安全法(네트워크안전법)은 네트워크 운영과 핵심정보인프라의 안전기반을, 数据安全法(데이터안전법)은 데이터 분류·등급과 국가안전·산업별 책임을, 个人信息保护法(개인정보보호법)은 개인의 권리와 처리자의 의무를 중심으로 한다. 세 법은 겹치지만 대체관계가 아니다. 한 데이터셋이 개인정보이면서 특정 산업의 중요데이터일 수 있고, 핵심정보인프라 운영자가 처리하면 추가 의무가 붙을 수 있다.
핵심은 重要数据(중요데이터)다. 중요데이터는 유출·변조·훼손될 때 국가안전, 경제운영, 사회질서와 공공이익에 중대한 영향을 줄 수 있는 데이터로 관리된다. 기업이 자체적으로 ‘영업데이터’라고 이름 붙였다고 일반데이터가 되는 것은 아니다. 산업·지역별 목록과 통보, 데이터의 규모·결합 가능성·영향을 함께 보아야 한다. 아직 모든 업종에서 경계가 똑같이 선명하지 않다는 점이 기업의 첫 병목이다.
산업별 분류는 중앙법 하나로 끝나지 않는다. 자동차 주행·지도, 금융거래, 의료·유전체, 산업제어, 통신과 공공서비스는 같은 개인정보 규모라도 국가안전과 공공이익에 미치는 영향이 다르다. 중앙 부처의 기준, 지방 인터넷정보 당국의 접수 관행, 자유무역시험구 목록과 기업이 받은 통보를 한 표에서 관리해야 한다. 기업은 ‘중요데이터가 아니라는 확인서’를 기대하기보다 데이터 항목·사용맥락·결합 가능성·피해 시나리오를 기록해 판단 근거를 남겨야 한다. 분류결정은 일회성 자문으로 종결하지 말고 산업목록 개정, 새로운 데이터 결합과 신규 사업기능을 재검토 조건으로 등록해야 한다.
안전평가·표준계약·인증은 선택상품이 아니다
数据出境安全评估(데이터 국외이전 안전평가)은 중요데이터나 법정 규모를 넘는 개인정보 이전 등에 적용되며, 国家互联网信息办公室(중국 국가인터넷정보판공실·CAC)이 담당하는 심사다. 목적과 필요성, 데이터의 범위·규모·민감도, 수신자의 보호능력, 계약, 사고와 국가안전 위험을 종합적으로 본다. 프로젝트를 여러 계약으로 쪼개거나 계열사별로 나눠도 누적 기준을 피할 수 있다고 가정해서는 안 된다.
个人信息出境标准合同(개인정보 국외이전 표준계약)은 법정 문안을 해외 수신자와 체결하고 개인정보보호 영향평가를 거쳐 관할 성급 인터넷정보부서에 신고하는 경로다. 个人信息出境认证(개인정보 국외이전 인증)은 전문 인증기관이 국외이전 처리활동의 보호요건 충족 여부를 평가하는 별도 경로다. 표준계약을 체결하거나 인증을 받았다고 고지·동의, 최소필요, 권리보장, 사고대응이 면제되는 것은 아니다. 안전평가 대상 기업이 더 간단해 보인다는 이유로 표준계약을 택할 수도 없다.
세 경로를 고르는 실무는 법률 메모가 아니라 사업 일정표여야 한다. 신규 서비스가 처리할 누적 인원과 민감정보, 핵심정보인프라 해당 가능성, 중요데이터 여부를 먼저 판정하고, 안전평가가 필요하면 심사자료와 시스템 보완을 출시 전 단계에 배치해야 한다. 표준계약이나 인증 경로도 영향평가, 수신자 실사, 이용자 고지·별도 동의, 신고·사후변경을 함께 계산해야 한다. 인수합병이나 클라우드 전환은 데이터 구조가 바뀌므로 과거의 승인과 계약을 그대로 승계할 수 있는지도 별도 검토해야 한다. 경로별 예상 심사기간·보완횟수와 효력기간을 프로젝트 예산에 반영하고, 이전 범위가 커질 때 재신고를 촉발하는 기준도 정해야 한다.
2024년 이후 중국은 ‘봉쇄’보다 정밀한 구분으로 이동했다
2024년 促进和规范数据跨境流动规定(데이터 국외이전 촉진·규범화 규정)은 국제무역, 국경 간 운송, 학술협력, 글로벌 생산·마케팅 과정에서 개인정보나 중요데이터가 아닌 데이터를 이전하는 경우와 계약이행·국경 간 인사관리 등 일부 상황에 면제·간소화 경로를 마련했다. 안전평가 유효기간도 늘어났다. 규제가 사라진 것이 아니라 고위험과 정상적 상업활동을 더 세밀하게 나누기 시작한 것이다.
自由贸易试验区(자유무역시험구)는 승인된 데이터 국외이전 네거티브리스트를 마련할 수 있다. 天津(톈진)·上海(상하이)·北京(베이징) 등은 산업 특성에 맞춘 목록과 절차를 탐색했고, 금융 분야에서는 2025년 中国人民银行(중국인민은행) 등 관계기관이 국경 간 금융데이터의 흐름을 더 구체적으로 설명했다. 그러나 시험구 안에 법인이 있다는 이유만으로 모든 사업과 데이터가 자동 면제되는 것은 아니다. 적용지역, 업종, 데이터 항목과 처리활동이 목록의 조건에 맞아야 한다.
자유무역시험구의 간소화는 ‘규제 없는 섬’이 아니라 항목별 통제의 실험이다. 같은 시험구에서도 법인 소재지, 데이터 생성활동, 수신자와 실제 처리 시스템이 목록의 범위에 들어가야 한다. 사업부가 주소만 옮기고 생산·고객·시스템이 밖에 남아 있으면 혜택을 적용하기 어렵다. 따라서 지방정부의 홍보자료보다 공표된 목록, 적용지침, 접수기관의 서면 답변과 실제 사례를 확인해야 한다. 이 차이를 읽는 능력이 지역 선택과 시스템 투자비를 결정한다. 시험구 선택의 경제성은 세제나 임대료가 아니라 적용 가능한 데이터 항목, 시스템 분리비, 인력 이전비와 승인시간을 합친 총비용으로 비교해야 한다.
기업의 규정준수는 데이터 지도에서 시작한다
한국 본사와 중국법인은 먼저 데이터 흐름도를 그려야 한다. 어떤 설비·앱·고객·직원에게서 어떤 데이터가 생성되고, 중국 내 어느 시스템에 저장되며, 어느 API와 관리자 계정을 거쳐 한국 또는 제3국의 누가 접근하는지를 표시해야 한다. 정기 전송뿐 아니라 장애대응, 개발자의 원격접속, 글로벌 보안관제, 백업, 고객지원과 생성형 AI 도구의 입력도 포함해야 한다.
그다음 각 흐름에 목적·법적 근거·필요한 필드·보존기간·누적인원·민감도·수신자·재위탁·삭제방식을 붙인다. 이전하지 않아도 중국 현지에서 집계·가명처리해 필요한 결과만 공유할 수 있는지 검토한다. 계약서는 이 지도 위에서 작성돼야 한다. 계약이 실제 시스템 권한과 다르면 서류상 준수만 남는다. 암호화, 접근통제, 로그, 키 관리, 데이터 유출방지와 수신자 감사를 기술적으로 확인해야 한다.
데이터 인프라와 자본도 연결된다. 중국 사업을 인수할 때 고객 수나 데이터량을 자산처럼 평가하면서도 그 데이터를 한국 본사와 공유할 수 있는지, 모델 학습이나 교차판매에 다시 쓸 수 있는지는 따로 보아야 한다. 데이터센터 위치, 암호키 소유자, 관리자 계정, 감사로그, 백업·재해복구와 협력사의 하도급까지 기술 실사에 포함해야 한다. 금융기관은 ‘데이터를 많이 보유한다’는 설명을 가치로 바로 환산하지 말고 합법적 사용목적, 이전 가능성, 삭제의무와 규제변경 때의 대체 운영비를 현금흐름에 반영해야 한다. 실사 결과는 거래가격 조정, 선행조건, 보증·면책과 데이터 분리계획으로 연결돼야 규제위험이 인수 뒤 숨은 부채로 남지 않는다.
병목은 ‘법을 모름’보다 시스템과 계약의 불일치다
기업이 자주 놓치는 것은 수신자 이후의 흐름이다. 한국 본사가 받은 데이터를 글로벌 클라우드, 분석사, 콜센터, 생성형 AI 제공자에게 다시 맡기면 재위탁과 제3국 이전이 생긴다. 표준계약의 수신자와 실제 처리자가 달라지고, 데이터 삭제를 요구해도 여러 백업과 모델 로그에 남을 수 있다. 해외 정부의 접근요청이 들어왔을 때 누가 판단하고 중국 측에 어떻게 알릴지도 계약과 운영절차에 들어가야 한다.
또 다른 위험은 규모 산정이다. 개인정보와 민감개인정보의 규모 기준은 그해 1월 1일부터 국외에 제공한 인원의 누적으로 판단하므로 사업부·법인·API별 숫자만 보면 기준을 과소평가할 수 있다. 반대로 모든 데이터를 중요데이터로 간주해 현지 시스템을 중복 구축하면 비용과 혁신속도가 과도하게 떨어진다. 규제회피와 과잉준수 사이에서 데이터의 사업가치와 위험을 함께 계산해야 한다.
사고와 사업종료가 가장 어려운 시험이다. 해외 수신자에서 유출이 발생하면 중국법인과 본사 중 누가 탐지하고, 어느 시간 안에 차단·통지·신고하며, 증거를 어느 나라에서 보존할지 미리 정해야 한다. 글로벌 시스템을 매각하거나 공급사를 교체할 때는 백업과 로그, 모델 입력기록까지 삭제·반환 범위에 넣어야 한다. 평상시 승인자료가 완벽해도 사고대응 권한과 데이터 회수권이 없으면 기업은 통제력을 잃는다. 규정준수 성숙도는 문서 수가 아니라 실제 권한회수 시간과 수신자 감사율로 측정해야 한다. 분기별로 해외 관리자 계정, 재위탁사와 실제 전송로그를 표본검사하고 모의유출 훈련으로 통지·차단·삭제가 계약대로 작동하는지 확인해야 한다.
한국은 데이터 이동보다 ‘업무 연속성’을 설계해야 한다
한국 기업의 목표는 가능한 한 많은 중국 데이터를 본사로 가져오는 것이 아니다. 본사가 의사결정에 필요한 최소 정보를 안정적으로 얻고, 중국 고객과 직원의 권리를 보호하며, 규칙이 바뀌어도 사업을 중단하지 않는 구조를 만드는 것이다. 현지 처리, 가명·집계, 승인된 국외이전, 수신자 통제와 비상대체 절차를 조합해야 한다. 규제완료일과 시스템 전환일, 사업출시일을 별도 이정표로 관리할 필요가 있다.
한국의 대응은 주체별로 달라야 한다. 대기업은 중국 데이터 통제위원회와 전송경로별 책임자를 두고, 중견·중소기업은 현지 처리와 최소필드 전송을 기본설계로 삼아야 한다. 정부·지방정부는 업종별 중요데이터 사례와 시험구 적용범위를 공동 데이터베이스로 제공하고, 대학·출연연은 가명처리·연합분석의 재식별 위험을 검증해야 한다. 스타트업은 권한·동의·로그·누적 인원을 자동 연결하고, 금융기관은 승인 가능성과 업무중단 시나리오를 투자조건에 넣어야 한다. 성과지표는 전송량이 아니라 최소화율, 권한회수 시간, 무단 재위탁 0건과 대체업무 복구시간이어야 한다. 이 구조를 이사회에 보고할 때는 전송건수보다 최소필드 비율, 승인경로 미확정 흐름, 수신자 감사완료율과 사고복구 시간을 함께 제시해야 한다.
정부는 업종별 목록과 자유무역시험구 사례를 실시간 해설하고, 대학·출연연은 재식별 위험과 안전한 연합분석 기술을 제공할 수 있다. 스타트업은 분류·권한·로그를 자동화하고, 금융기관은 중국 기업 투자와 M&A에서 데이터의 이전가능성을 자산가치와 분리해 평가해야 한다. 마지막으로 한국 산업계가 물어야 할 질문은 “중국 데이터를 가져올 수 있는가”가 아니라, 가져오지 않아도 필요한 사업성과를 만들고, 꼭 가져와야 할 데이터만 끝까지 통제할 수 있는가?