남경 진출, ‘데이터 3법’ 모르고 사업하다간 큰일납니다

작년 이맘때쯤, 남경(난징)에 법인을 설립한 한국계 뷰티 스타트업 대표님 한 분과 카페에서 마주 앉은 적이 있습니다. “중국 개인정보보호법(PIPL, 个人信息保护法)이 한국 법이랑 비슷하지 않아요? 그냥 동의를 받으면 되는 거 아닌가요?“라며 가볍게 물으시더군요. 석 달 뒤, 그분은 장쑤성(江苏省) 시장감독관리국(市场监督管理局) 현장 조사에서 ‘동의 수집 절차 미흡’과 ‘국외 이전 영향평가 미실시’로 과징금 통지서를 받았습니다. 액수는 매출의 1% 수준이었지만, 브랜드 이미지 타격과 정정 명령 이행 비용까지 합치니 ‘수업료’가 만만치 않았습니다.

중국 개인정보보호법(PIPL)은 2021년 11월 1일 시행 이후, 2022년 ‘데이터 출국 안전평가办法(数据出境安全评估办法)’, 2023년 ‘개인정보 국외 이전 표준계약 측량 지침(个人信息出境标准合同指引)’ 등 하위 규정이 꼬리를 물고 나왔습니다. 특히 남경이 속한 장쑤성은 상하이, 베이징과 함께 데이터 규제 집행이 가장 적극적인 지역 중 하나로 꼽힙니다. 2024년 하반기부터 장쑤성 당국은 ‘중점 데이터 처리자(重点数据处理者)’ 지정 기준을 낮추고, 중소기업 대상 현장 점검 비중을 늘리고 있다는 현장 변호사들의 전언이 끊이지 않습니다.

한국 본사에서 “우리 한국 법무팀이 검토했으니 괜찮다"는 식의 접근은 위험합니다. 중국 법제는 ‘동의 중심’에서 ‘책임성 중심(Accountability)‘으로 무게중심이 이동했고, 장쑤성 지방 규정(江苏省数据条例 등)은 중앙 법보다 더 구체적인 의무(예: 데이터 보호 책임자 지정 기한, 현지화 저장 요건 등)를 부과하는 경우가 많기 때문입니다. 오늘은 남경 진출 한국 기업이 현지 변호사와 첫 미팅 때 **“이건 꼭 묻고, 이건 꼭 확인받자”**는 실무 체크리스트를 공유하려 합니다.

남경 현지 변호사 상담, ‘이 5가지’는 무조건 챙기세요

남경 소재 로펌이나 법률 서비스 플랫폼을 통해 변호사를 만나기 전, 아래 5개 영역은 사전 질문지로 정리해 가시길 권합니다. 구두 상담만으로는 놓치는 조항이 반드시 생깁니다.

1. ‘중점 데이터 처리자’ 해당 여부부터 확정 짓기

중국 국가인터넷정보판공실(CAC, 国家互联网信息办公室) 기준과 장쑤성 세부 기준을 교차 검토해야 합니다. 연간 처리 개인정보 건수 100만 건 이상, 민감 개인정보 1만 건 이상이면 ‘중점 데이터 처리자’로 지정될 가능성이 높습니다. 지정되면 ▲개인정보 보호 영향평가(DPIA) 연 1회 의무 ▲데이터 보호 책임자(DPO) 지정 및 CAC 신고 ▲연간 자체 감사 보고서 작성·보관(3년) 의무가 부과됩니다. 남경 소재 제조·유통 기업 중 ‘회원 수 50만 명’ 수준만 돼도 이 기준에 걸리는 사례가 적지 않습니다.

2. 국외 이전(한국 본사·클라우드 서버 전송) 경로별 대응 전략 분리

  • 표준계약(标准合同): 소규모·저위험 이전 시 활용. 2023년판 표준계약서(영문·중문 병기) 사용 필수, 체결 후 10영업일 내 성(省)급 인터넷정보판공실 신고.
  • 전문기구 인증(专业机构认证): ISO 27701 등 인증 보유 시 심사 간소화 가능하나, 장쑤성은 인증 기관 자격을 엄격히 심사함.
  • 안전평가(安全评估): 100만 건 이상 또는 민감 정보 1만 건 이상 이전 시 의무. 준비 기간만 2~3개월, 비용도 수만 위안 단위. 현실적 조언: 한국 본사 ERP·CRM 연동, 마케팅용 고객 데이터 분석 등 ‘업무 목적별’로 이전 경로를 쪼개어 각각 최적 방식을 조합하세요. “한 번에 표준계약으로 끝내자"는 안일한 접근은 반려 사유가 됩니다.

3. ‘민감 개인정보(敏感个人信息)’ 범위, 한국 법보다 넓다는 점 숙지

PIPL상 생체인식, 의료건강, 금융계좌, 행적(위치정보 24시간 이상 지속 추적 시), 14세 미만 아동 정보가 민감 정보입니다. 남경 소재 뷰티·헬스케어 앱 운영 시 ‘피부 타입 분석용 안면 사진(생체인식)’, ‘건강 설문 응답(의료건강)’, ‘위치 기반 매장 추천(행적)‘이 모두 민감 정보로 분류될 수 있습니다. 각각 별도 동의(单独同意), 필요성 입증 자료, 엄격한 접근 통제·암호화가 요구됩니다. 한국 ‘민감정보’ 정의(주민등록번호, 건강정보 등)와 겹치지만 다르니, 매핑표를 만들어 현지 변호사와 리뷰하세요.

4. 장쑤성·남경 지방 규정 ‘데이터 현지화(数据本地化)’ 요건 확인

『江苏省数据条例』(2023년 10월 시행)는 ‘중요 데이터(重要数据)‘와 ‘핵심 데이터(核心数据)‘의 역내 저장·처리를 원칙으로 합니다. 남경 시급 정책(南京市数据管理暂行规定 등)은 산업별(바이오, 스마트 제조, 크로스보더 전자상거래 등) 가이드라인을 별도 배포 중입니다. 귀사가 ‘중요 데이터 처리자’로 분류되면, 원본 데이터의 중국 역내 저장 및 ‘출국 진정 필요성(确需出境)’ 입증 서류를 갖춰야 합니다. 클라우드 아키텍처 설계 단계부터 ‘중국 리전(Region) 분리·암호화·접근 로그 보관’을 반영하지 않으면 나중에 인프라를 뜯어고쳐야 합니다.

5. 데이터 주체 권리(알 권리, 정정·삭제권, 동의 철회권) 운영 프로세스 ‘한국어·중국어 병행’ 구축

PIPL 제45~49조는 데이터 주체(중국 내 자연인)의 권리 행사 절차와 처리 기한(원칙 15영업일, 연장 시 30영업일)을 명시합니다. 남경 소비자 대상 서비스라면 ▲중국어 개인정보 처리방침(隐私政策) 최신화 ▲권리 행사 전용 창구(이메일·미니프로그램·전화) 마련 ▲내부 처리 워크플로(접수→본인 확인→처리→회신→기록) 문서화가 필수입니다. 한국 본사 CS팀이 중국 문의를 한국어로 받아 처리하는 구조라면, ‘처리 기한 초과’ 리스크가 큽니다. 현지 법무·컴플라이언스 담당자(또는 위탁 대행사) 지정해 ‘중국어 응대→증빙 보관’ 루틴을 만드세요.

실무자들이 자주 놓치는 ‘디테일’ 3가지

변호사 상담 후 내부 실행 단계에서 터지는 이슈들입니다. 미리 인지하고 대비하세요.

놓치기 쉬운 포인트왜 문제인가대응 팁
위탁 처리(委托处理) 계약서 미작성한국 본사·남경 법인·제3자 SaaS(CRM, 마케팅툴) 간 데이터 흐름이 ‘위탁’에 해당하나, PIPL 제22조 위탁 계약 필수 조항(처리 목적·방식·기한·보안 의무·감독 권리 등) 누락 시 연대 책임표준 위탁 계약서 템플릿(중문·영문 병기) 마련, 모든 수탁자와 체결·보관. 연 1회 수탁자 보안 점검 실시·기록
자동화 의사결정(自动化决策) 투명성 의무 무시AI 추천, 신용 평가, 채용 스크리닝 등 ‘자동화 의사결정’ 수행 시 ‘의미 있는 정보(算法逻辑, 意图结果 등)’ 고지 의무(PIPL 제24조). 남경 소재 HR테크·핀테크 스타트업 빈번 위반알고리즘 설명서(중문) 작성, 고지문안에 ‘거부권·설명 요구권’ 명시. 장쑤성 알고리즘 등록(算法备案) 대상 여부 별도 확인
직원 개인정보 처리, ‘동의’만 믿고 방치입사 지원서, 건강검진, 출퇴근 기록, 사내 메신저 로그 등 직원 정보도 PIPL 적용 대상. ‘고용 계약상 필요’ 법적 근거(PIPL 제13조 1항) 활용 시에도 ‘최소 필요 원칙·별도 고지’ 필수직원 개인정보 처리방침 별도 제정, 민감 정보(건강·생체) 별도 동의·암호화. 퇴사 후 파기 기한·절차 문서화

🙋 FAQ

Q1: 남경 법인 설립 초기 단계인데, 개인정보보호 체계를 어디서부터 시작해야 하나요?
A1: 다음 4단계 순서로 진행하세요.

  1. 데이터 맵핑(Data Mapping): 수집·이용·제공·저장·파기 전 생애주기 플로우도 작성(엑셀·비주얼 툴 무관).
  2. 기준 매핑: PIPL·데이터보안법(DSL)·장쑤성 데이터조례·남경시 정책 교차표 작성, 자사 해당 조항 표시.
  3. 격차 분석(Gap Analysis): 현행 약관·동의서·계약서·기술적 조치 vs 법적 요건 비교, 미비점 리스트업.
  4. 우선순위 실행 계획: 고위험(국외 이전, 민감 정보, 중점 처리자 지정) → 중위험(위탁 계약, 권리 보장 프로세스) → 저위험(정기 교육, 문서화) 순으로 3/6/12개월 로드맵 수립.
    현지 변호사와 1단계 워크숍(반나절)부터 시작하는 게 가장 효율적입니다.

Q2: 한국 본사 클라우드(AWS 서울 리전, Azure Korea 등)를 그대로 쓰는데, ‘국외 이전’으로 봐야 하나요?
A2: 네, **데이터가 중국 영토 밖으로 전송·저장·접근되면 모두 ‘국외 이전(提供境外)’**으로 간주됩니다. 한국 리전 서버에 중국 사용자 개인정보가 닿는 순간 PIPL 제38조 적용 대상입니다.

  • 즉시 조치: 중국 리전(베이징, 상하이, 선전 등) 별도 구축·이관, 또는 하이브리드 아키텍처(민감·중요 데이터만 중국 리전, 비식별 통계 데이터만 한국 전송) 설계.
  • 병행 조치: 표준계약 체결·신고, 영향평가 보고서 작성(중문), 수신자(한국 본사) 보안 능력 입증 자료 확보.
    클라우드 벤더(AWS, Azure, 알리바바클라우드 등) ‘데이터 처리 부속 약정(DPA)’ 최신판(2023년판 표준계약 반영) 여부도 확인하세요.

Q3: 장쑤성 ‘중점 데이터 처리자’로 지정되면 구체적으로 뭘 더 해야 하나요?
A3: 지정 통지 수령일로부터 10영업일 내 다음을 이행해야 합니다.

  • 데이터 보호 책임자(DPO) 지정 → 성급 인터넷정보판공실 신고(온라인 시스템).
  • 개인정보 보호 영향평가(DPIA) 보고서 작성·보관(3년), 필요 시 전문 기관 평가 의뢰.
  • 연간 자체 감사 보고서 작성·보관(3년), 주기적 직원 교육 실시·증빙 보관.
  • 데이터 유출 사고 응급 선안(应急预案) 수립·연 1회 모의 훈련 실시.
    지정 후 6개월 내 미이행 시 ‘시정 명령→영업 정지·면허 취소’ 행정 처분 경로로 직행합니다. 지정 전 선제적 DPIA 수행으로 ‘비지정’ 논리를 만드는 전략도 고려하세요.

🧩 마무리하며: ‘준수’는 비용이 아니라 ‘생존 인프라’입니다

남경에서 사업하는 한국 기업 대표님들께 드리고 싶은 말씀은 단순합니다. “중국 개인정보보호법은 피할 수 없는 게임의 룰이고, 룰을 아는 파트너가 곧 경쟁력입니다.”

  • 지금 당장: 자사 데이터 플로우도 한 장 그려보세요. ‘어디서 와서 어디로 가는지’ 모르면 변호사도 돕기 어렵습니다.
  • 이번 분기 내: 현지 변호사(남경/장쑤성 관할 경험 필수)와 ‘PIPL 갭 분석’ 미팅 1회 잡으세요. 비용은 1~2만 위안 선이면 충분합니다.
  • 연말까지: 국외 이전 경로 정비(표준계약·신고·영향평가), 위탁 계약서 전수 체결, 직원·고객 권리 보장 프로세스 문서화 완료.
  • 내년 상반기: 장쑤성·남경 당국 점검 대비 ‘자체 감사 보고서’ 초안 준비, DPO 지정·신고 완료(해당 시).

Lvga.com은 2015년부터 중국 현지 변호사 네트워크를 통해 한국 기업의 중국 진출 법률 리스크를 줄여온 작은 팀입니다. 화려한 약속보다 ‘현장에서 통하는 실무 조언’과 ‘투명한 비용 구조’로 함께합니다.

📣 중국 법률 파트너가 필요하신가요?

우리는 10년 차 작은 팀입니다. 과장하지 않고, 결과 장담하지 않습니다. 하지만 성실하게, 투명하게, 현지 변호사와 직접 연결해 드리는 일만큼은 자신 있습니다.

👋 중국 진출 개인정보보호·데이터 컴플라이언스, 법인 설립·계약·상표·세무 이슈로 고민 중이시라면
📧 lvga2015@qq.com 으로 메일 주세요.
메일이 불편하시면 위챗(WeChat ID: lvga2015, 담당: JingJing) 추가해 주셔도 됩니다. 위챗은 즉각 상담 채널이 아닙니다만, 기사 주제 관련해 이어가기 좋은 보조 수단입니다.

함께 ‘불필요한 수업료’ 아껴보시죠.
“국경 넘는 창업, 법률 리스크만큼은 확실하게 덜어드리고 싶습니다.”

📚 Further Reading

📌 Disclaimer

본 콘텐츠는 Lvga.com 플랫폼에서 정보 제공 목적으로 작성되었습니다. Lvga.com은 법률사무소가 아니며, 본문 내용은 AI 보조 작성된 일반 정보로 법률 자문, 재무 자문, 투자 권유를 대체하지 않습니다.
중국 법률·정책은 지역(성·시·구), 시기, 업종, 기업 규모에 따라 적용 기준과 집행 강도가 다를 수 있습니다. 최신 공식 발표(국가/성/시급 인터넷정보판공실, 시장감독관리국, 사법부 등)와 자격을 갖춘 중국 현지 변호사 자문을 반드시 확인하시기 바랍니다.
사실 오류, 구법 인용, 링크 손상 등 수정 사항이 있으시면 lvga2015@qq.com 로 알려주세요. 신속히 반영하겠습니다.