|
- 4차 산업혁명 시대 빅데이터 정보, 기업의 핵심자원으로 자리. 중국 관련 개인정보 보호 입법 준비 중 -
- 우리 기업의 개인정보 보호법에 대한 이해 및 향후 법규 제정에 대해 사전 대비 필요 -
배경
글로벌 네트워크 인프라가 완비함에 따라 모바일 인터넷, 사물인터넷, 클라우드 컴퓨팅 등의 서비스가 보편화되고, 전 세계는 현재 디지털 시대로 전환하고 있다. 디지털 시대에서 데이터가 중요한 생산 요소로 자리 잡고 있으며, 특히 4차산업의 핵심 자원인 개인정보는 가장 중요한 요소 중 하나다. 중국 인터넷 사용자는 총 규모로 10억8000만 명에 이르렀으며, 인터넷 사이트 443만 개, 애플리케이션 수가 345만 개에 달하여, 인터넷을 통한 개인정보 수집과 이용이 광범위하게 이루어지고 있는 현실이다. 이에 개인정보 침해, 개인정보 유출 등의 문제도 심각한 사회 문제 중 하나로 떠올랐다. 중국은 디지털 경제 강국으로 개인정보 보호와 관련한 법률 제정의 필요성을 절감하고 있으며 그간 개인정보와 관련된 규정, 법규가 부처별로 분산되어 있던 문제가 있었다. 이러한 상황 하에서 체계적인 입법을 추진해야 한다는 사회의 요구가 커지고 있으며, 이에 2020년 10월 정부는 <중국판 GDPR(General Data Protection Regulation), <중국인민공화국 개인정보 보호법(초안)>을 공표하였고 이어 2021년 4월, 제13차 전국인민대표대회 상임위원회 제28차 회의에서 <중화인민공화국 개인정보 보호법(초안 제2차 심의초안)>을 추가로 발표해 개인정보의 수집, 이용규칙의 불투명성, 개인정보의 과도한 수집 및 이용과 같은 현안을 재검토한 바 있다.
① 중국 개인정보 보호 법안 세부안내
4차 산업혁명 시대에 정보/빅데이터는 원유에 비유될 만큼 기업의 핵심자원으로 자리잡았으며, 2020년 기준 중국 인구 14억 명 중 인터넷 이용자수 10억8000만 명으로 개인정보 데이터 활용 규모가 매우 크다. 동시에 인터넷 기업 위주로 개인정보 과잉 수집, 불법적인 개인정보 접근 등 문제도 발생하고 있어 최근 정부의 제재가 강화되는 추세다.
(사례) 2018년 Alibaba가 운영하는 Alipay가 불필요한 개인정보 수집 및 최소한의 필요원칙을 위반하였다는 사유로 약 18만 위안(약 3000만 원)의 행정처벌 조치를 받았다. 단, 개인정보 보호법이 공식적으로 공포되지 않아 <비금융기구지급서비스 관리방법>, <소비자권익보호법>등 위반으로 처벌되었다. |
개인정보에 관한 법제의 발전 경과
중국 법률 체계는 헌법, 법률, 행정법규, 지방성 법규, 자치조례, 단행조례, 부문규정으로 분류된다.
중국 법률 체계
유형 | 입법 주체 | 예 시 |
헌법 | 전국인민대표대회 | 헌법 |
법률 | 전국인민대표대회 | 기본법률(민법통칙, 형법) |
전국인민대표대회 상무위원회 | 기본법률 이외(상표법) | |
행정법규 | 국무원 | 인터넷 정보 서비스 관리 방법 |
지방성 법규 | 지방 인민대표대회 및 상무위원회 | 상하이시 조례 |
자치조례, 단행조례, 부문규장 | 민족자치구역 자치기관 | 자치주 자치 조례 |
국무원 산하 부처 | 인터넷 뉴스 정보 서비스 관리 규정 |
자 료: 태평양 (상하이) 법무법인
세부적으로 중국 민법전(제4편 6장) , 네트워크 안전법(2017년 시행), 개인정보 보호법(초안), 데이터안전법(초안) 등에 개인정보 보호에 관한 내용이 포함돼 있고, 현재 세부 규정 및 국가 표준이 제정되는 과정 중이다. 각 법안은 유기적으로 연계되며, 예를 들어 올해부터 시행된 민법은 개인정보 보호 및 개인정보 보호를 '인격권 보호'로 별도의 장으로 규정하고 각각의 정의와 구별을 명시했다. 또 현재 제정 중인 개인정보 보호법은 개인정보의 개념과 내부 분류에 대한 기본조항에 대해 세부적으로 규정하고 있다.
중국 개인정보 관한 법제 발전 경과
자료: 태평양 (상하이) 법무법인
중국 개인정보 보호법(초안) 주요내용
분 류 | 내 용 |
개인정보의 의미 | - '개인정보'란 전자 또는 기타 방식으로 기록돼 식별되었거나 식별이 가능한 자연인과 관련된 각종 정보를 의미 - 익명화 처리된 후의 정보는 제외 - “익명화 처리”는 개인정보처리를 통하여 특정 자연인을 식별하는 것이 불가능하고 또한 기존 정보로 복원할 수 없는 과정을 의미 - 민감한 개인정보(법 제29조): 유출되거나 불법 사용될 경우 개인이 차별을 받을 수 있거나 인신, 재산 안전에 엄중한 위험을 초래 할 수 있는 개인정보 (예: 종족, 민족, 종교신앙, 개인의 생물적 특징, 의료건강 정보, 금융계좌 정보, 개인의 행적 등) |
적용범위-역외적용 가능 | - 중국 국외에서 중국 경내의 자연인 개인정보를 처리하는 활동에 대해 다음 사항 중 하나에 해당하는 경우 개인정보 보호법이 적용 (1) 중국 내 자연인에게 제품 또는 서비스를 제공하는 것을 목적으로 하는 경우 (2) 중국 내 자연인의 행위를 분석하고 평가하기 위한 경우 (3) 법률, 행정법규에 규정된 기타 상황 - GDPR 제3조(Territorial Scope) 제2항을 참고 |
개인정보 주체의 권리 | - 개인정보 처리에 대한 알 권리 및 결정권, 제한/거부권 (제44조) 자신의 개인정보 처리에 대해 알권리와 결정권을 가지며, 타인에 의한 자신의 개인정보 처리를 제한하거나 거절할 권리를 가짐 - 열람/복제권(제45조) 개인정보처리자에게 자신의 개인정보 열람, 복제를 요구할 권리 - 정정권(제46조) 자신의 개인정보가 부정확하거나 불 완전하다는 사실을 발견한 경우, 개인정보처리자에 게 정정, 보완을 요구할 권리 - 삭제청구권 (제47조) (1) 약정한 보관 기간이 이미 만료되었거나 처리 목적이 실현된 경우 (2) 개인정보처리자가 상품 또는 서비스 제공을 중지한 경우 (3) 개인이 동의를 철회한 경우에 개인정보처리자가 법률, 행정법규를 위반하거나 약정을 위반해 개인정보를 처리한 경우 (4) 법률, 행정법규에서 규정된 기타 사항 - 해석/설명 요구권(제48조) 개인정보처리자에게 개인정보 처리 규칙에 대한 해석, 설명을 요구 - 자동화 결정 관련 권리 (제25조) (1) 개인정보를 이용하여 자동 의사 결정을 하는 경우 의사 결정의 투명성과 처리 결과의 공정성, 합리성을 보장해야 하고 개인이 자동 의사결정이 자신의 권익에 중대한 영향을 미친다고 판단하는 경우 개인정보처리자에게 설명을 요구할 권리를 가짐. (2) 개인정보처리자가 자동 의사 결정 방식만을 통해 의사를 결정하는 것을 거절할 권리 |
개인정보 처리자의 의무 | - 개인정보 보호조치(제50조) (1) 내부 관리 제도 및 운영 규정을 마련 (2) 개인정보를 등급별로 구분 관리 (3) 암호화, 비식별화 등 상응하는 보안 기술 조치 (4) 개인정보 처리 운영 권한을 합리적으로 확정, 종사자에 대한 보안 교육 및 훈련을 정기적으로 실시 (5) 개인정보 안전 사고 응급방안을 수립 (6) 법률, 행정법규에서 규정한 기타 조치 - 개인정보 보호책임자 지정 (제52조) 국외 개인정보처리자는 중국 국내에 전문 기관을 설립하거나 대표자를 지정하여 개인정보 보호 관련 사무를 책임지도록 해야 함. - 정기 점검(제53조) - 사전위험평가(제54조) - 개인정보 유출 시 구제조치 및 통지(제55조) - 편리한 동의철회 방식 제공(제16조) - 초대형 인터넷 플랫폼 개인정보 처리자(제57조) 기초적인 인터넷 플랫폼 서비스제공, 사용자 수량이 엄청 많고 업무 유형이 복잡한 개인정보처리자는 응당 이하의 의무를 이행 (1) 외부인원으로 구성된 독립기구를 설치하여 개인정보처리활동을 감독 (2) 법률, 행정법규를 중대하게 위반하여 개인정보를 처리하는 플랫폼 내 제품 혹은 서비스 제공자에 대해 서비스 제공 중지 (3) 정기적으로 개인정보 보호 사회책임보고 발표, 사회의 감독을 받도록 함. |
개인정보의 해외전송 (제38조, 제39조) | 이하 조건 중 최소 한 개 구비: (1) 국가 네트워크 정보 판공실의 안전평가 통과 (2) 국가 네트워크 정보 판공실이 규정한 전문기구에서 개인정보 보호 인증 (3) 국가 네트워크 정보 판공실이 제정한 표준계약서에 따라 해외의 정보 처리 측 과 계약 체결 및 개인정보 처리 감득 (4) 기타 법률 및 행정법규, 국가 네트워크 판공실이 제정한 조건 - 해외에 개인정보를 이전하는 경우, 개인정보처리자는 개인에게 해외에서 정보를 이전받는 자의 신분, 연락처, 처리 목적, 처리방식, 개인정보 유형, 정보를 이전받는 해외 주체에 게 본 법률에 규정된 권리를 행사하는 방법 등 사항을 고지하고 별도 동의를 받아야 함. |
핵심정보 인프라시설 (제40조) | (1) 핵심정보 인프라 시설 운영자와 개인정보처리 규모가 국가 네트워크 정보 부처에서 규정한 기준에 해당하는 개인정보처리자는 중국 국 내에서 수집하고 생성된 개인정보를 국내에 보관해야 함. (2) 이를 해외로 제공해야 하는 경우, 국가 네트워크 정보 부처 기관의 안전성 평가를 통과해야 함. |
자료: 태평양 (상하이) 법무법인
위의 2020년 10월본 <초안>에 이어 발표된 2021년 4월의 개인정보 보호법 제2차 심의 초안에서는 개인정보 보호에 대해 세부적으로 보완한 내용을 담고 있다. 2차 심의 초안의 8가지 포인트는 아래와 같다.
2021년 4월 개인정보 보호법 2차 초안 주요 포인트
주 제 | 내 용 |
개인정보 과도한 처리 엄격 제한 | ① 개인정보보호법(초안)(제2심 초안) 제1조는 개인정보의 권리와 이익을 보호하고 개인정보 처리활동을 규제하며, 개인정보의 합리적 이용을 촉진한다는 전제 하에 제1차 초안의 '법률적이고 자유로운 개인정보의 이동 보장' 내용이 삭제됨. ② 2차 초안 제6조에서는 1차 초안에 더하여 '개인권익에 미치는 영향이 가장 적은 방식을 채택한다'라는 내용을 추가. 즉 '개인정보의 처리는 분명하고 합리적인 목적을 가져야 하며, 처리목적의 실현에 필요한 최소한의 범위에 한정되어야 한다'고 밝힘. ③ '개인정보 권익' 이라는 개념 정립. '권익'은 '권리'와 '이익'을 모두 포함하며, 최근 발달한 인터넷 시대 하에서 데이터와 정보는 소셜 네트워크, 전자상거래, 모바일 스마트 단말 등의 인터넷 플랫폼에 집합하는 형태로 존재하며, 특히 대형 플랫폼은 이미 개인정보에 대한 실질적인 통제와 독점을 형성하고 있는 현실로, 개인은 콘텐츠의 주체이나 자신의 개인정보를 통제·보호할 수 없으며 자신의 개인정보가 언제, 어디서 누가 어떤 방식으로 불법 수집·이용·가공·전송되는지 알 수 없는 위치에 처해있음을 지적함. 이에 어떠한 조직이나 개인이 타인의 개인정보를 취득할 경우에는 법에 따라 정보를 취득, 확보해야 하며 타인의 개인정보를 불법적으로 수집, 이용, 가공, 전송하거나 불법적으로 거래, 제공, 공개해서는 안된다는 내용을 강조함. ④ 2차 초안에서는 '개인정보처리 최소화' 원칙을 강조하여, EU GDPR('범용데이터보호조례)는 개인 데이터 처리 수량에 대한 제한을 규정하고 있으며, 반드시 해당 업무의 필요를 충족하는 최소 수량을 한도로 하여 불필요한 개인 데이터를 수집할 수 없도록 하고 있는 점을 포함 |
개인정보 처리의 기본 규칙 완비 | 2차 초안 제7조는 민법전 제 1035조와 사이버안전법 제41조를 참조하여, '개인정보처리 규칙의 명시'에서 '공개'로 변경하고 처분의 목적과 방식, 범위를 명시적으로 추가함. 법에서 명시란 명확한 의사표시를 의미하며 공개는 대중과 사회를 상대하는 것으로, 개인정보 취급자의 '개인정보 취급규칙'은 '명시'가 아니라 사회 일반에 공개돼야 한다는 기본 개념을 완비한 것 |
미성년자 개인정보 보호 강화 | 2021년 6월 1일부터 개정 시행 중인 중화인민공화국 <미성년자보호법> 제72조에는 '정보처리자가 인터넷을 통해 미성년자의 개인정보를 처리하는 것은 합법적이고 정당하며 필요한 원칙에 따라야 하며, 만 14세 미만의 미성년자 개인정보를 취급할 때에는 미성년자의 부모를 구하거나 다른 보호자는 동의하지만 법률·행정법규에 따로 규정된 것은 제외된다'고 규정되어 있다.2차 초안 또한 미성년자 보호법과 일치하여 강화. 따라서 2차 초안에서는 만 14세 미만 미성년자의 개인정보일 경우 미성년자의 부모나 기타 보호자의 동의를 얻어야 함. |
개인 동의 없이 개인 정보 공개 불가 | 개인정보 취급 기간 중 개인정보 취급자의 '과잉처리' 행위가 발견되어 그 이전의 동의를 철회하고 싶은 경우, 인터넷 플랫폼 환경에서 개인의 동의철회 행위는 개인정보 취급자의 협조를 얻어야하며 그렇지 않으면 개인은 동의철회를 할 수 없게 되어있음. 하지만 2차 초안에서는 개인의 개별 동의없이 개인정보를 공개할 수 없도록 하고 '개인정보처리자는 편리하게 동의를 철회하는 방식을 제공해야 한다'는 개인정보취급규칙을 확립함. |
개인정보취급자의 삭제 의무 강화 | 2차 초안 제47조에 규정된 경우로, 개인정보처리자는 개인정보를 자진 삭제해야 하며 개인정보처리자가 삭제하지 않은 경우 개인은 삭제 청구할 권리를 보장함. 법률·행정법규에 의한 보존기간 미만이거나 개인정보를 삭제하는 것이 기술적으로 어려운 경우, 개인정보 취급자는 저장 및 필요한 보안조치를 제외한 정보 처리를 중단해야 함. |
개인정보처리를 위한 적정한 감사제도 | 개인정보보호법(초안) 1차 원고 제53조는 개인정보취급자의 개인정보취급활동, 보호조치 등 법률 행정법규에 부합하는지 주기적으로 심사해야 한다고 규정하고 있고 2차 초안 제53, 54조는 개인정보취급자는 정기적으로 개인정보취급활동에 대한 법률 행정법규를 준수하는 경우에 대해 적법한 감사를 실시해야 한다고 내용을 단순화함. |
인터넷 플랫폼의 보호 의무 강화 | 2차 초안은, 기초적인 인터넷 플랫폼의 개인정보보호 의무에 대한 내용을 추가했으며, 또 제57조에서 '기본적인 인터넷 플랫폼 서비스를 제공하며 이용자 수가 매우 많고 업무 유형이 복잡한 개인정보 처리자는 외부 구성원으로부터 독립된 기구를 설립하여 개인정보 처리 활동을 감독하고 법률·행정법규를 심각하게 위반하는 것에 대해 의무를 이행해야 한다'고 규정함. 개인정보의 플랫폼 내 제품이나 서비스 제공자는 서비스 제공을 중지하고 개인정보 보호에 관한 사회적 책임보고서를 정기적으로 배포하여 사회적 관리감독을 받게됨. |
정보처리자 권리침해 행위에 대한 책임, 배상 | 인터넷 시대에 대형 네트워크 사업자는 이미 개인 데이터와 정보에 대한 실질적인 통제와 독점을 구도를 형성하고 있으며, 개인은 데이터 콘텐츠의 주체이나 반면 자신의 개인 데이터와 정보를 전혀 통제할 수 없어 자신의 정보와 데이터가 언제, 어디서 누가 어떤 방식으로 불법적으로 수집, 사용, 가공, 전송되고 있는지 알기 어렵다. 이에 2차 초안은 1차 초안에서 '개인정보처리자가 잘못이 없음을 증명할 수 있다면 책임을 경감하거나 면제한다'는 기존 내용이 '개인정보처리자가 잘못이 없음을 증명할 수 없으면 손해배상 등 권리침해 책임을 져야 한다'고 조정됨. |
자료: 중국정보산업망(cnii)
② 중국 개인정보 보호법 시행 대비 한국 기업 주의 사항
개인정보는 수집, 보관, 이용, 파기 일련의 절차가 있으며 개인정보 보호법에서는 각각의 단계에서 규정을 제시하고 있다.이 중 가장 중요하면서 기업이 어려워 하는 것이 바로 개인정보의 수집과 이용 분야로 볼 수 있다.
개인정보의 수집에 관한 규정
제 13조 개인정보 처리 조건 (2-7항 동의 불요) | 네크워크 안전법 (제41조) | (제17조), 모바일 앱 규정 (제3조, 4조) |
(1) 개인의 동의를 받은 경우 (2) 계약의 수립 또는 이행에 필요한 경우 (3) 법적 직무 또는 법적 의무의 이행을 위해 필요한 경우 (4) 공공보건사고에 대응하거나 응급한 상황에서 자연인의 생명 건강 및 자산 안전보호를 위해 필요한 경우 (5) 합리적인 범위 내에서 이미 공개된 개인정보를 처리하는 경우 (6) 공공의 이익을 위한 신문 보도, 여론 모니터링 등 합리적인 범위 내에서 개인정보를 처리하는 경우 (7) 법률, 행정법규에서 규정하는 기타 상황 | 네트워크운영자는 그가 제공하는 서비스와 무관한 개인정보를 수집해서는 안되며 법률, 행정법규의 규정과 쌍방의 약정을 어기면서 개인정보를 수집 및 사용해서는 안됨. | 필수/선택 개인정보로 구분하여 동의를 받고 선택 개인정보의 경우 동의를 하지 않는다고 기본 기능 서비스를 거부해서는 안 됨. |
자료 : KISA
개인정보를 수집할 때 △개인정보처리자 신분, 연락처 △처리 목적, 방식, 개인정보 유형, 보관 기간 △개인 권리,행사 방식, 절차 △법에서 정한 고지 사항을 고지 후 개인정보를 수집해야 하며, 또 개인정보 수집 시 사전에 분명한 방식과 명확하며 알기 쉬운 언어로 고지하고 변경이 발생할 경우 변경된 내용 또한 고지해야 한다. 그리고 편리하고 빠른 방식으로 개인정보 제공 동의 철회 방식을 제공해야 하며, 공공장소에 이미지 수집, 개인신분 식별 설비를 설치하는 경우 안내표식 설치, 공공안전 보호 목적으로만 사용해야 하고 공개하거나 타인에게 제공할 수 없다.(별도 동의를 받은 경우는 제외한다)
중국 개인정보 보호법(초안) 이용: 위탁과 제3자 제공
개인정보처리자가 개인정보 처리를 위탁하는 경우에 수탁 처리의 목적, 방식, 개인정보 유형, 보호 조치 및 양측의 권리 의무 등을 수탁자와 약정해야 하며 수탁자의 개인정보 처리 행위에 대하여 감독을 실시해야 한다. 개인정보처리자가 제3자에게 처리한 개인정보를 제공하는 경우에 개인에게 제3자의 신분, 연락처, 처리 목적, 처리 방식 및 개인정보 유형을 고지하고 개인으로부터 별도의 동의를 받아야 한다. 개인정보를 이전 받은 제3자는 위에서 언급한 처리 목적, 처리 방식 및 개인정보 유형 등 범위 내에서 개인정보를 처리해야 하며 제3자가 기존의 처리 목적, 처리 방식을 변경하는 경우 본 법의 규정에 근거하여 개인에게 다시 고지하고 동의를 받아야 한다.
위탁과 제3자 제공 비교
자료: KISA
마지막으로 개인정보보호는 생각보다 광범위한 점을 유의해 개인정보 수집 시 각 항을 잘 구분하여 동의를 받아야한다. 개인정보 취득 과정에서 개인정보보호법 위반 시 개별 소송 및 행정, 사법기관 조사가 발생할 수 있므로 개인정보를 수집에 신중해야 하며, 우리 기업은 중국 개인정보보호법의 동향을 지속적으로 모니터링해야 한다. 특히 개인(个人/ individual)정보는 '개인'의 문제에 한정하지 않는다고 규정된 점을 주의해야 하며, 기업은 개인정보보호법의 본격적인 시행에 앞서 아래와 같은 진단 및 개선방안을 참고하여 자가 진단을 시행할 필요가 있다.
진단 및 개선 방안
순서 | 이슈 | 확인 |
1 | 개인정보 단계별 문제 | 개인정보의 수집, 보관, 처리, 위탁, 공유, (해외) 전송, 폐기 등 전 과정 점검 |
2 | 개인정보 내용별 문제 | 고객정보, 직원정보, 민감정보, 아동정보 |
3 | 인력 | 개인정보 보호책임자, CIO 지정 |
4 | 핵심정보 인프라시설 | 해당여부 점검 |
5 | Privacy Policy, Cookie Policy 등 | 정책 마련 |
6 | 웹사이트 점검 | 웹사이트상 문제 없는지 확인 |
7 | 장비/설비 | 인증받은 장비를 구매하는지, 기술적 조치를 취하였는지 |
8 | 교육 | 전 직원을 대상으로 적절한 교육을 하였는지 |
9 | GDPR 및 한국법과 조화 | 중국 및 국내외 각 계열사들과 함께 점검 |
10 | Emergency Plan | 긴급 대책 마련 |
진단 및 개선방안 제시 |
자료: 태평양 (상하이) 법무법인
시사점
5월 21일, 국가인터넷정보판공실(国家网信办)은 더우인(抖音), 콰이쇼우(快手),바이두(百度), 360 등 불법으로 개인정보를 수집한 105개 인터넷 플랫폼 명단을 공개했다. 105개 인터넷 플랫폼은 개인정보 무단 또는 과잉 수집, 서비스와 무관한 개인정보 수집, 개인의 동의를 얻지 않았거나 개인정보 수집의 사용 목적 미공개 등의 방식으로 개인정보를 침해한 문제가 있었다. 이 중 가장 많은 불법적으로 개인정보를 수집한 것은 구인구직 플랫폼인 즈렌자오핀(智联招聘), 첸청우요(前程无忧) 등을 포함한 51개사였다. 이번에 명단에 오른 기업들은 15일 이내에 모든 지적 사항을 시정할 것을 요구받았으며, 규정 기간 동안 별다른 조치가 이뤄지지 않을 시 법적 처벌을 받을 수 있다. 이처럼 중국 내 개인정보보호 강도는 점차 높아지고 있으며 10억 명 이상의 인터넷 사용자를 보유한 중국은 향후에도 지속적으로 합법적이고 안전한 개인정보의 활용을 촉진하여 디지털 경제를 더욱 활성화할 것으로 전망된다.
중국 개인정보보호법 초안에 따르면 심각한 개인정보 침해 행위에 대해 최대 5000만 위안, 또는 매출 5%에 상당하는 벌금을 부과할 수 있어 법안 통과 시 중국 내 개인정보보호와 처벌 수준이 강화될 전망이다. 또한 초안은 개인정보 국외 이전과 관련, 규제당국이 정한 수량을 초과하는 경우 보안 심사를 받도록 요구하고 있어 기존 네트워크안전법의 국외 이전 제한규정과 함께 우리 기업의 주의가 필요하다. 추가로 2021년 4월 29일 전국인민대표대회 상무위원회(全国人大常委会)에서는 <개인정보보호법(초안2심)>을 발표하여 의견 수렴을 시작하였으며 1차 초안과 비교 시 31개의 수정사항이 있는 점이 특징이다. 중국 시장에 진출하였거나 진출을 희망하는 기업에서는 중국 개인정보보호법의 법안이 발표되기 까지 지속적으로 동향 파악을 해야하며, 신속히 대응할 수 있도록 준비해야 한다.
자료: KOTRA 상하이-KISA 공동 <개인정보 보호 세미나> 발표자료, 태평양(상하이)법무법인, 중국정보산업망, KOTRA 상하이 무역관 자료 종합