상하이시 네트워크안전정보화위원회판공실과 상하이시 데이터국은 4월 24일 공동으로 공문을 발행해 <중국(상하이) 자유무역시험구 및 린강신구(臨港新片區), 국가 서비스업 개방 확대 종합 시범 지역(상하이) 데이터 국외 이전 네거티브 리스트 관리 방법(시행)>을 공식 발표하고 선도적으로 해당 네거티브 리스트의 적용 범위를 자유무역시험구에서 상하이시 전역으로 확대했다. 이에 앞서 상하이는 2025년 2월 데이터 국외 이전 네거티브 리스트를 발표해 자유무역시험구 및 린강신구에서 적용한 바 있다.

네거티브 리스트 적용 범위 전면 확대

상하이시에는 현재 약 8만 개의 외국계 기업과 약 1,700개의 다국적 기업 지역 본사 및 연구개발(R&D) 센터가 입주해 있는데, 이들 시장 주체들은 시장 분석, 제품 개발부터 고객 서비스에 이르기까지 전 세계적인 데이터 이동 없이는 운영이 불가능하다. 뿐만 아니라 상하이 현지 기업의 해외 진출에 따른 국경 간 데이터 이전 수요도 증가하고 있다. 통계에 따르면, 상하이가 처리한 데이터 국외 이전 안전 평가 및 개인정보 국외 이전 표준 계약 누적 등록 건수는 중국 총량의 약 40%를 차지하며 전국에서 1위를 기록하고 있는 것으로 나타났다.

앞서 시행한 네거티브 리스트 편의 정책은 자유무역시험구 범위 내에서만 적용됐다. 따라서 징안구(靜安區), 황푸구(黃浦區) 등 도심 지역과 푸둥(浦東) 비자유무역구 지역에 등록된 다수의 외국계 기업 본사, R&D 센터 및 해외 진출 기업들은 정책 혜택을 누릴 수 없었다. 이번 네거티브 리스트의 확대 시행으로 기업을 위한 데이터 국경 간 이동의 '고속도로'가 열리면서 기업들은 더 낮은 컴플라이언스(compliance∙규정 준수) 비용으로 더 짧은 기간에 데이터 국외 이전 컴플라이언스 업무를 처리할 수 있게 됐다.

특히 주목할 점은 상하이는 자체적으로 제작한 '네거티브 리스트'뿐만 아니라 타 지역의 '네거티브 리스트'도 적용할 수 있다는 것이다. 중국 국가인터넷정보판공실의 '한 지역에서 제정하고 여러 지역에 적용한다'는 원칙에 따라 다른 자유무역시험구, 자유무역항, 개혁개방 선행구, 국가 서비스업 개방 확대 종합 시범 지역에서 공식 발표한 데이터 국외 이전 네거티브 리스트를 상하이시에도 참조하여 적용할 수 있게 된 것이다.

4개 업종 109개 데이터 항목

이번에 발표된 네거티브 리스트는 재보험∙국제 해운∙무역∙기상 등 4대 업종 분야를 포괄하며, 총 9개의 적용 시나리오, 29개의 데이터 하위 분류, 109개의 데이터 항목을 포함하고 있다. 이는 2025년 자유무역시험구 및 린강신구에서 발표된 3개 업종, 84개 데이터 항목에 비해 확대된 것이다.

왜 이 4개 업종인가? 국제 금융∙운항∙무역 중심 건설은 상하이의 '5대 중심' 건설의 핵심 요소이며 국경 간 데이터 유통과 필연적으로 연관이 있다. 따라서 이 4개 분야의 데이터 국외 이전 네거티브 리스트 작성은 상하이의 '필수 과제'이다. 이러한 분야에서 국경 간 데이터 이동은 마치 인체의 혈액과 같아 기업이 국제 비즈니스의 생명력을 유지하는 기초가 된다.

이번 리스트의 획기적인 의의는 바로 이러한 고빈도 수요 시나리오에 맞춰 명확한 '운영 매뉴얼'을 제공했다는 점에 있다. 우선 어떤 데이터가 중요 데이터인지 명확히 했다. 예를 들어 재보험의 경우, 네거티브 리스트는 국가 안보와 경제 운영에 영향을 미치는 보험 인수, 보험금 지급 등 관련 데이터가 '중요 데이터'에 해당한다고 명시했다. 또 개인정보의 국외 이전에 대해서도 '등급 하향 관리'가 가능해졌다. 이는 소비재 분야 외국계 기업들에게 '안심 보장'을 제공해 회원 정보의 일상적인 국경 간 처리 부담을 크게 줄여줬다.

네거티브 리스트 사용 절차

네거티브 리스트의 구체적인 사용 절차와 관련하여, 상하이시 네트워크안전정보화위원회판공실 관계자는 기업이 네거티브 리스트를 사용하려면 소재 구(區)에 신고 신청서를 제출해야 한다고 설명했다. 각 구는 데이터 처리자가 제출한 신고 자료를 접수한 후, 국외로 이전되는 데이터에 네거티브 리스트가 적용되는지에 대한 1차 심사 의견을 제시한 후, 이를 상하이시 네트워크안전정보화위원회판공실에 보고하여 2차 심사를 거친 뒤 데이터 처리자에게 신고 심사 결과를 통보한다. 국외로 이전되는 데이터가 네거티브 리스트에 포함된 경우, 데이터 처리자에게 데이터 국외 이전 안전 평가 신고, 개인정보 국외 이전 표준 계약 체결, 개인정보 보호 인증 절차를 안내한다. 국외로 이전되는 데이터가 네거티브 리스트에 포함되어 있지 않은 경우, 데이터 처리자에게 법에 따라 질서 있고 자유롭게 이동할 수 있음을 통지한다. 국외로 이전되는 데이터가 네거티브 리스트에 해당하지 않는 경우, 현행 법규에 따라 집행한다.

상하이시 네트워크안전정보화위원회판공실은 업계 수요를 바탕으로 지속적인 조사를 실시하고, 더 많은 업계 주무부처가 네거티브 리스트 제정 작업에 참여하도록 적극 추진할 것임을 분명히 했다. 꾸준히 최적화되는 '네거티브 리스트'는 상하이가 데이터 보안과 고수준 개방, 고품질 발전을 조화롭게 추진하는 중요한 토대가 될 것이다.

한국어 버전은 참고용일 뿐이며 중국어 공식 서류를 기준으로 한다.

원문 출처: 해방일보(解放日報)