중국 공장의 품질 데이터를 한국 본사에서 분석하고, 중국법인의 채용자료를 본사 인사팀이 검토하며, 현지 고객정보를 글로벌 고객관리 시스템에 저장한다. 다국적 기업에서는 일상적인 업무다. 그러나 '본사와 자회사 사이'라는 이유로 모든 데이터 이동이 같은 내부업무가 되는 것은 아니다. 데이터의 종류와 목적, 접근자와 수신국이 달라지면 검토해야 할 규칙도 달라진다.
중국의 데이터 국외 이전(数据出境)을 이해하려면 전송량을 세기 전에 업무의 목적부터 정리해야 한다. 왜 본사에 보내야 하는지, 어느 항목이 필요한지, 누가 무엇을 할 수 있는지를 묻는 일이다. 중국의 데이터 규칙은 한 번의 신고로 끝나지 않는다. 기업의 운영과 정보기술, 인사와 법무가 함께 설계해야 하는 책임구조다.
![[테크 차이나] 중국 공장 데이터, 한국 본사로 보내도 될까…'데이터 국경' 운영법](https://img.etnews.com/news/article/2026/10/15/news-p.v1.20261015.e9d6ce362d4e458cb067ab27d86b10a6_Z1.png)
생산량과 장비 상태, 불량 이미지, 작업자 위치와 고객 연락처는 같은 서버에 있어도 성격이 다르다. 단순한 설비정보에 개인을 식별할 요소가 없을 수 있는 반면에, 작업영상과 인사자료에는 개인정보가 포함될 수 있다. 국가안보와 산업에 영향을 미치는 중요데이터 여부도 별도 확인이 필요하다. '제조업 데이터'라는 하나의 폴더 이름으로 법적 성격을 정할 수 없다.
국가인터넷정보판공실(国家互联网信息办公室)은 2024년 '데이터 국경 간 이동 촉진·규범화 규정'을 발표했다. 국제무역, 운송, 학술협력과 제조·마케팅 활동 등에서 수집·생성된 데이터 가운데 개인정보와 중요데이터를 포함하지 않는 경우에는 정해진 국외 이전 절차의 적용을 면제하는 내용을 담았다. 기업활동에 필요한 데이터까지 일괄 차단하는 방향은 아니라는 뜻이다.
다만 특정 국외 이전 절차의 면제와 모든 법적 책임의 면제는 다르다. 영업비밀, 계약, 사이버보안과 다른 분야의 규칙은 별도로 적용될 수 있다. 개인정보가 없다고 고객과 약정한 비밀유지 의무가 사라지지 않고, 내부 승인만 받았다고 전략기술 관련 정보를 자유롭게 제공할 수 있는 것도 아니다. 절차 간소화를 무제한 이전의 허가로 읽어서는 안 된다.
중요데이터도 기업이 중요하다고 느끼는 모든 자료를 뜻하지 않는다. 관련 부처와 지역이 공개하거나 통지한 식별기준과 목록, 적용 상황을 확인해야 한다. 2024년 규정은 중요데이터로 통지·공개되지 않은 데이터를 중요데이터로 보아 보안평가를 신청할 필요는 없다는 취지의 원칙을 제시한다. 그러나 업종별 의무와 뒤이은 통지 여부까지 확인하는 관리가 필요하다.
데이터 국외 이전에는 보안평가, 개인정보 국외 이전 표준계약, 개인정보 국외 이전 인증 등 서로 다른 경로가 있다. 어느 절차가 필요한지는 데이터의 성격, 처리자의 지위, 규모와 예외요건 등에 따라 달라진다. 모든 기업이 세 절차를 동시에 거치는 것도 아니고, 계약서만 서명하면 모든 이전이 가능한 것도 아니다.
보안평가는 규정된 위험요건에 해당하는 이전을 당국이 심사하는 절차다. 표준계약은 국외 수신자와의 보호조치와 책임을 정하고 신고하는 경로다. 인증은 전문 인증기관이 처리체계의 적합성을 확인하는 방식으로, 2026년 1월부터 별도의 '개인정보 국외 이전 인증방법'이 시행되고 있다. 인증을 택한다고 보안평가가 필요한 데이터를 우회해 보낼 수는 없다.
2024년 규정은 개인이 당사자인 계약의 체결·이행과 적법한 노동규칙·단체계약에 따른 국경 간 인사관리 등 일정한 상황에 절차상 예외를 뒀다. 예외를 적용할 때도 해당 업무에 꼭 필요한 이전인지 따져야 한다. 인사관리라는 이름을 붙였다고 직원과 지원자의 모든 자료를 본사로 보낼 수 있는 것은 아니다.
규모기준도 구분해야 한다. 별도 예외가 없는 경우, 핵심정보기반시설 운영자가 아닌 기업은 그해 1월 1일부터 국외 제공한 일반 개인정보가 누적 10만 명 미만이면 세 경로의 절차가 면제된다. 여기서 민감 개인정보와 중요데이터는 제외된다. 일반 개인정보가 10만 명 이상 100만 명 미만이거나 민감 개인정보가 1만 명 미만이면 표준계약이나 인증의 대상이다. 일반 개인정보 100만 명 이상, 민감 개인정보 1만 명 이상 또는 중요데이터 이전은 보안평가 영역으로 넘어간다. 핵심정보기반시설 운영자는 별도 기준을 적용하므로 인원수만으로 면제를 판단해서는 안 된다.
2026년 7월 국가인터넷정보판공실의 질의응답은 본사와 자회사 사이의 실무 문제를 구체적으로 다룬다. 해외 본사가 중국법인의 채용결정에 관여하지 않으면 지원자 이력서의 국외 이전은 필요성이 없다고 설명한다. 본사가 직접 결정에 참여하더라도 판단에 필요한 최소 인원과 항목으로 범위를 좁혀야 한다. 이후 적용되는 이전절차와 고지·동의, 영향평가 등을 이행해야 한다. 회사 간 관계보다 업무상 목적이 기준이 된다.
이 원리는 생산과 고객관리에도 적용해 생각할 수 있다. 본사가 불량 원인을 분석하는 데 작업자의 이름이 필요한지, 고객지원 통계를 만드는 데 연락처까지 필요한지 먼저 물어야 한다. 집계값이나 필요한 기간의 표본으로 목적을 달성할 수 있다면 원자료 전체를 이전할 이유가 줄어든다. 가명처리를 하더라도 재식별이 가능하면 개인정보에 해당할 수 있으므로, 이를 익명정보와 혼동해서는 안 된다.
글로벌 시스템을 이미 도입했다는 사실도 목적의 근거가 되지는 않는다. 시스템이 모든 정보를 자동으로 동기화한다면 무엇을 수집·전송하는지 회사가 통제하지 못할 수 있다. 중국법인의 업무 흐름과 본사의 권한을 분석해 불필요한 전송을 줄여야 한다. 법적 검토가 정보기술 구조를 따라가는 것이 아니라 업무 필요와 규칙이 시스템 설정에 반영돼야 한다.
중국 서버에 저장한 정보를 한국 본사 직원이 원격으로 조회·호출하는 경우도 국외 이전 검토 대상이다. 파일을 복사하지 않았다고 문제가 없어지는 것은 아니다. 클라우드와 분석서비스에서는 계약에 적힌 수신자뿐만 아니라 하위 처리업체, 원격지원 인력과 백업지역을 확인해야 한다. 중국 지역 서비스를 선택했다는 설명과 실제 접근경로가 일치하는지 점검하는 일이다.
데이터 이전의 책임도 한국 본사 한 곳에만 모이지 않는다. 중국법인이 어떤 정보를 수집하고 목적을 결정하는지, 본사가 어떤 지시를 내리는지, 외부 서비스기업이 어떤 권한으로 처리하는지 구분해야 한다. 서류상 수탁자라고 써놓고 실제로는 데이터를 독자적인 목적에 쓰면 계약과 운영이 어긋난다. 기업집단 내부에서도 역할을 사실대로 정리해야 한다.
일부 자유무역시험구는 데이터 국외 이전 네거티브리스트를 활용해 절차를 구체화한다. 베이징(北京)은 2026년 5월 자유무역시험구와 국가서비스업 확대개방 종합시범구를 대상으로 관리규정, 2025년판 목록과 2026년판 신청지침을 공개했다. 지역의 산업과 업무에 맞춰 이전 규칙을 정리한 것이다. 해당 구역에 등록하고 관련 활동을 하는 처리자 등 적용요건을 먼저 살펴야 한다.
기업은 소재지와 사업이 목록의 적용대상인지, 어떤 데이터와 행위가 포함되는지 확인해야 한다. 목록 밖이라는 사실이 개인정보와 다른 법령의 의무까지 없앤다고 읽어서는 안 된다. 자유무역시험구의 제도는 적용되는 범위에서 특정 절차를 조정하는 것이지 모든 데이터의 자유이동권을 부여하는 제도가 아니다.
이 차이는 입지선정에도 영향을 준다. 데이터 이전이 잦은 기업에는 지역의 지원창구와 절차 명확성이 운영비를 좌우하는 조건이 된다. 베이징의 관리규정은 데이터 국외 이전 서비스센터가 상담과 신청자료 검토를 지원하도록 한다. 다만 주소만 바꾸면 규제가 완화된다고 계산할 수는 없다. 실제 사업과 데이터 흐름이 적용요건에 맞아야 입지의 이점도 생긴다.
국가인터넷정보판공실은 2025년 보안평가 신청지침을 개정했다. 보안평가 결과의 유효기간과 연장, 이전내용의 변경 등 실무를 확인해야 한다. 2024년 규정은 보안평가 결과의 유효기간을 3년으로 정하고 조건에 따른 연장 신청을 허용했다. 그러나 기간이 남았다는 사실만으로 목적과 수신자, 위험이 달라진 모든 이전을 계속할 수 있는 것은 아니다.
기업에는 데이터의 변화와 사업의 변화를 연결하는 관리가 필요하다. 새로운 생산라인, 고객서비스, 채용방식이나 인수합병이 생기면 이전되는 자료도 바뀔 수 있다. 시스템 개발부서가 기능을 추가하는 순간 법무·보안 검토가 작동해야 한다. 규제 검토가 계약 갱신 때만 이뤄지면 일상적인 변경을 놓치기 쉽다.
동의도 만능 해결책이 아니다. 개인정보의 처리근거와 국외 제공에 필요한 고지·동의 의무를 구분해야 한다. 2026년 7월 당국의 해설은 법정 비동의 처리사유에 해당하면 개인 동의를 받지 않을 수 있지만 국외 이전에 관한 고지의무는 남는다고 설명한다. 동의를 받는 경우에도 다른 업무와 묶은 포괄적 승낙으로 갈음할 수 없다. 직원이나 고객의 서명 한 장보다 목적과 범위의 정합성이 먼저다.
기업 내부 감사는 전송기록만 볼 것이 아니라 실제 접근과 사용도 확인해야 한다. 본사가 받은 데이터를 약정된 목적에 썼는지, 보관기간이 지나면 삭제했는지, 재제공이 있었는지 점검해야 한다. 법적 문서와 기술로그, 업무담당자의 설명이 일치해야 한다. 데이터의 국경은 지도 위의 선이라기보다 이 책임과 증빙의 연결에서 작동한다.
중국 규칙의 해석과 지역별 절차는 기업의 부담이다. 그러나 기업 내부의 데이터 목록이 부실한 경우 그 부담은 더 커진다. 어느 시스템이 어떤 자료를 어디로 보내는지 모르면 전문가에게 물어도 정확한 답을 얻기 어렵다. 같은 회사의 인사팀과 정보기술팀이 서로 다른 데이터 흐름을 설명하면 신청과 계약은 지연된다.
불필요한 이전을 줄이는 것과 기업 운영을 단절시키는 것은 다르다. 중국법인을 완전히 고립시키면 글로벌 품질관리와 고객지원, 보안 대응이 어려워질 수 있다. 반대로 모든 정보를 본사로 모으는 기존 방식을 유지하면 규칙과 업무가 충돌한다. 데이터 종류와 목적별로 현지 처리, 제한적 공유, 적법한 국외 이전을 선택해야 한다.
협력사의 데이터도 자사 소유처럼 취급할 수 없다. 부품업체가 제공한 시험결과나 고객이 위탁한 자료에는 별도의 계약과 비밀유지 의무가 있을 수 있다. 기술적으로 전송할 수 있는지뿐 아니라 그 자료를 국외 수신자에게 제공할 권한이 있는지 확인해야 한다. 데이터 이전 체계는 자사 개인정보 규정만으로 완성되지 않는다.
인공지능을 활용할 때는 입력정보의 범위를 더 자세히 봐야 한다. 외부 분석도구나 모델 서비스에 넣은 문서와 로그가 어느 국가와 사업자에게 전달되는지, 학습이나 서비스 개선에 재사용되는지 확인해야 한다. AI라는 이름이 기존 국외 이전 규칙을 대체하지 않는다. 데이터의 목적과 수신자, 보관·재사용 권한을 먼저 정해야 한다.
한국 정부와 지원기관은 제조 품질관리, 직원 채용, 고객지원과 공동연구처럼 반복되는 업무별로 판단 절차를 제공할 필요가 있다. 어떤 자료를 준비해야 하고 어느 기관에 질의하는지, 개정된 규정이 기존 업무의 어느 부분을 바꾸는지를 연결해야 한다. 기업이 받는 지원의 단위도 법령 번역문 한 권에서 실제 데이터 흐름 한 건으로 바뀌어야 한다.
대기업은 중국법인의 데이터 지도를 실제 시스템과 연결해야 한다. 업무목적, 데이터 항목, 수집근거, 저장장소, 접근자, 국외 수신자와 계약을 한 단위로 관리하는 방식이다. 품질관리 자료는 현지에서 집계하고 필요한 결과만 공유할지, 원자료 분석을 위해 별도 이전절차를 밟을지 업무별로 결정할 수 있다. 지자체와 산업단지는 중소기업이 이런 목록을 만들고 전문가 검토를 받을 수 있도록 공동 지원체계를 제공할 수 있다.
대학은 중국 기관과 공동연구할 때 원자료, 가명·익명 처리자료와 연구결과의 공유범위를 연구계획과 협약에 반영해야 한다. 스타트업은 중국 고객에게 분석서비스를 제안할 때 현지 처리와 국외 분석을 구분하고 접근권한·보관기간·재사용 여부를 견적과 계약에 명시할 수 있다. 금융권과 벤처투자자는 중국 매출뿐 아니라 그 매출을 유지하는 데 필요한 데이터 접근과 규제 대응비용도 실사해야 한다.
한국 본사와 중국법인은 '본사 방침'이라는 이유로 법적 책임을 서로 넘겨서는 안 된다. 현지법인은 실제 수집과 이전을 설명하고, 본사는 필요성과 수신 이후의 사용·보호조치를 입증해야 한다. 외부 서비스업체도 자신이 수행하는 처리범위를 투명하게 밝혀야 한다. 데이터 운영은 세 주체의 계약과 기술구성이 맞아야 지속된다.
중국의 데이터 국경은 기업을 무조건 분리하라는 요구로만 읽을 수 없다. 필요한 이전과 위험한 이전을 구분하고 그 책임을 업무별로 증명하라는 운영문제다. 한국 기업은 중국 데이터를 본사로 모으는 방식부터 정할 것인가, 아니면 어떤 데이터에 누가 접근하고 책임질지부터 설계할 것인가.
박지민 36kr코리아 공동 대표 3guowill@krstar.cn
김현민 기자 minkim@etnews.com
