최근 중국에서 개인정보 관련 사고 발생과 그에 따른 피해가 증가함에 따라, 중국 정부가 개인정보에 대한 중요성을 강조하고 그에 따른 관리를 강화하는 한편, 개인정보 관련 법규들을 제정하고 있습니다. 관련 법규 중 개인정보 보호에 대한 규정들이 상세하게 나와 있는 ‘개인정보 안전규범(2016.12 초안)’에 대해 알아보도록 하겠습니다.
중국 개인정보 안전규범이란
개인정보 안전규범은 정보시스템을 이용하여 개인정보를 처리할 때 지켜야 할 원칙과 적용해야 할 안전조치를 규범화하고 있습니다. 먼저 개인정보 안전규범의 개인정보 개념에 대해 알아보겠습니다.
‘개인정보란 전자적 방식이나 기타 방식으로 기록되어 다른 정보와 결합하여 자연인 신분을 식별할 수 있는 정보로, 자연인의 확인과 관련된 생물적 특징, 위치, 행위 등의 정보를 포함한다.’고 정의하고 있습니다.
개인정보 안전규범은 일반적인 개인정보보다 개인 민감정보의 중요성을 강조하고 있으며, 개인 정보의 안전조치도 개인 민감정보를 기준으로 하고 있습니다. 중국에서 정의한 개인 민감정보는 다음과 같습니다.
개인 민감정보란 ‘개인 이익과 밀접한 관계를 맺고 노출, 공개공시 또는 남용되는 경우 인신과 재산 안전, 개인명예, 심신건강을 손해 또는 차별성 대우를 초래할 수 있는 정보’를 말합니다.
개인 민감정보의 유형으로는 재산정보, 건강정보, 생물특징정보, 생활프라이버시정보, 신분 정보, 기타 정보가 있습니다.
개인정보 안전규범의 주요 요구사항
개인정보 안전규범은 개인정보 관리 및 개인정보 수집•저장•사용•양도•공시 등의 과정에서 지켜야 할 요구사항에 대해 다음과 같이 정하고 있습니다.
1.개인정보 안전 통용 요구사항
- 개인정보 집행책임자•집행책임부서•담당자를 지정하여 개인정보 관리요구
- 개인정보 관련 정책, 규정 제정
- 안전리스크 평가 전개 (개인정보처리 활동이 개인정보 주체에 미치는 영향 평가)
- 개인정보, 개인 민감정보에 대한 안전조치 채택
- 안전감사요구 등
2.개인정보 수집 요구사항
- 개인정보처리 목적의 합법성을 검증
- 개인정보수집 최소화
- 개인정보 주체의 동의
개인정보 수집 시에는 법률법규에서 별도로 규정한 경우를 제외하고는 개인정보 주체의 수권 동의를 취득한 후 개인정보를 수집할 수 있으며, 아래의 경우에는 별도 동의가 필요합니다.
[별도 동의 필요항목]
개인 민감정보 수집 시•신분증, 여권, 운전면허증 등 법정증서정보의 취합 시•미성년자 개인정보 수집 시 등
3.개인정보 저장 요구사항
- 저장기한이 만기 된 개인정보 삭제
- 개인 민감정보는 암호화 방식을 채용하여 저장
- 개인정보 저장 시간 최소화
- 개인정보 품질 보증
- 개인정보 가명화 처리 등
4.개인정보 사용 요구사항
- 개인정보 주체의 열람•수정•삭제•동의•철회 등에 대응 시 요구사항
- 개인정보 요구사항에 대한 대응방안
- 위탁처리 시 준수사항 등
5.개인정보의 양도•공시
개인정보는 원칙상 양도•공시 할 수 없으며, 양도•공시가 필요할 시 아래와 같은 요구를 준수해야 합니다.
- 사전에 개인정보 주체의 명시 동의
- 사전 안전리스크 평가
- 계약 등 법률문서를 통하여 양쪽의 안전책임 명확히 해야 함
- 개인정보 안전조치 요구
- 개인정보 주체의 요구사항 대응
- 개인정보공시 요구사항 대응
- 개인정보 국경간 전송요구 등
개인정보 안전규범 대응 방향성
이처럼 중국 정부가 개인정보에 대한 통제를 강화하고 있어 중국에서 활동하는 국내기업은 개인정보 안전규범 법률요구사항을 확인 후 대응 방향을 준비해야 할 것입니다.
이를 위해 개인정보 수집 동의, 개인정보 관리체계 수립, 개인정보 주체 권익 보호 등 기본적인 개인정보 보호 요구사항이 잘 수립되어 있는지 검토할 필요가 있습니다. 그리고, 아직 구체화 되지 않은 항목들은 법규 진행 동향을 주시하면서 중국에서 필요한 항목들을 꼼꼼히 준비할 필요가 있습니다.
글 ㅣ LG CNS 보안컨설팅팀
