중국 직원 데이터를 해외 본사에 제공하는 경우: 인사관리 면제

1. 본사가 실제로 볼 수 있는 정보를 파악해야 합니다

중국 고용 주체, 해외 수령자와 서비스 제공자, 접근 장소와 이용자, 목적, 데이터 항목 및 보존기간을 목록으로 정리해야 합니다. 내보낸 스프레드시트뿐 아니라 첨부파일과 원격 접근도 포함해야 합니다. 국가인터넷정보판공실(CAC)의 2025년 10월 질의응답은 중국 내에 저장된 데이터에 해외에서 접근하는 것이 데이터의 국외 제공에 해당할 수 있다고 설명합니다. 외국 기관의 직원이 중국 내에서 접근하고 데이터를 국외로 전송하지 않는 경우에는 기관이 외국 소속이라는 이유만으로 국외 제공으로 취급하지 않습니다.

요청된 각 항목에 대해 실제 인사관리 결정 사항과 해당 수령자에게 개인을 식별할 수 있는 정보가 제공되어야 하는 이유를 기록해야 합니다. 예를 들어 본사에 각 개인의 은행계좌 번호가 필요한지, 아니면 급여 총액만 필요한지 검토해야 합니다. 이는 필요성에 관한 판단이며 어느 방식이든 항상 적법하다고 전제하는 것이 아닙니다. 선택적인 그룹 분석과 채용 자료는 직원 관리와 구분해야 합니다. 하나의 시스템 안에도 법적 근거가 다른 데이터 흐름이 존재할 수 있습니다.

2. 그룹 전체에 적용된다고 가정하지 말고 인사관리 면제 근거를 기록해야 합니다

「데이터의 국경 간 이동 촉진 및 규범화에 관한 규정」 제5조 제1항 제2호는 적법하게 제정된 노동 규정과 적법하게 체결된 단체계약에 따라 국경 간 인사관리를 실시하기 위해 직원의 개인정보를 국외에 제공할 필요가 실제로 있는 경우를 대상으로 합니다. 요건을 충족하는 이전은 데이터 국외 제공 안전성 평가 신고, 정해진 개인정보 국외 제공 표준계약 체결 및 개인정보 보호 인증 취득이 면제됩니다. 제5조는 중요 데이터를 제외합니다. 요건 충족을 입증할 수 없다면 접근을 시작하기 전에 적용되는 국외 제공 경로를 별도로 검토해야 합니다.

실제로 적용되는 중국 노동 규정, 단체계약 자료 및 이를 적법하게 제정·체결하고 이행한 증거를 보관해야 합니다. 본사의 양식이나 플랫폼이 편리하다는 설명만으로는 충분하지 않습니다. 2025년 10월 질의응답은 직원의 신분증, 여권 및 은행계좌에 대해 구체적 사실에 따른 필요성과 최소화 분석을 요구합니다. 면제는 이러한 서류를 일률적으로 업로드해도 된다는 허가가 아닙니다. 프로젝트에서 필요성을 설명할 수 없는 항목은 삭제하거나 해외 접근을 제한해야 합니다.

3. 동의 여부와 국외 제공 절차를 별도로 판단해야 합니다

「중화인민공화국 개인정보보호법」(PIPL) 제13조는 정해진 적법한 규정과 단체계약에 따른 인사관리에 필요한 경우를 포함하여 개인정보 처리의 법적 근거를 규정합니다. 국가인터넷정보판공실의 2026년 7월 질의응답은 국외 제공이 제13조 제1항 제2호부터 제7호에 해당하면 개인의 동의가 필요하지 않지만 국외 제공에 관한 고지는 여전히 필요하다고 확인합니다. 해당 활동이 왜 동의를 필요로 하지 않는 법정 근거를 충족하는지 기록해야 합니다. 국외 제공 절차의 면제 요건을 충족한다는 사실만으로 이러한 분석을 대신할 수는 없습니다.

제39조에 따른 고지에는 해외 수령자와 연락처, 처리 목적과 방법, 정보의 종류 및 해당 수령자에게 권리를 행사하는 방법과 절차가 포함되어야 합니다. 보존기간을 포함한 제17조의 일반 고지 요건도 충족해야 합니다. 별도 동의가 필요한 경우에는 포괄적인 일괄 승인이 아니라 구체적인 내용에 관해 충분한 정보를 제공받은 상태에서의 의사표시를 받아야 합니다. 민감정보에 대해서는 제28–30조에 따라 특정 목적, 충분한 필요성, 엄격한 보호조치 및 필요성과 개인의 권익에 미치는 영향에 대한 추가 설명을 검토해야 합니다.

4. 채용 자료 업로드는 개별 사실관계에 따라 검토해야 합니다

2026년 7월 질의응답은 구체적인 경계를 제시합니다. 해외 본사나 계열사가 중국 내 채용 결정에 참여하지 않는 경우 지원자의 이력서를 국외에 제공할 필요성이 없습니다. 채용 결정에 직접 참여한다면 대상 지원자와 데이터 항목을 그 결정에 필요한 최소 범위로 제한하고 관련 국외 제공 요건을 적용해야 합니다. 모든 지원자를 인사관리 면제가 적용되는 직원으로 자동 분류해서는 안 됩니다.

글로벌 채용 모듈을 활성화하기 전에 실제 의사결정자, 해외 검토가 필요한 후보자 및 접근이 종료되는 시점을 확인해야 합니다. 향후 그룹 내 채용을 위해 광범위한 인재풀을 구축하는 것은 중국의 특정 공석에 대한 채용을 결정하는 것과 목적이 다릅니다. 해당 목적과 법적 근거를 별도로 검토해야 하며, 확인 없이 현재의 채용 근거를 재사용해서는 안 됩니다. 이 구분을 법률 검토 메모뿐 아니라 시스템 권한과 고지 내용에도 반영해야 합니다.

5. 영향평가와 운영 개시 자료를 완비해야 합니다

개인정보보호법 제55–56조는 개인정보를 국외에 제공하기 전에 개인정보 보호 영향평가를 실시하고 처리 상황을 기록하도록 요구합니다. 적법성, 필요성, 개인에게 미치는 영향, 위험 및 보호조치를 검토해야 합니다. 평가 보고서와 처리 기록은 최소 3년간 보존해야 합니다. 이는 기초가 되는 모든 인사 서류를 3년간 보관하라는 지시가 아닙니다. 제19조는 법률이나 행정법규에 달리 정한 경우를 제외하고 원칙적으로 목적 달성에 필요한 최단기간만 보존하도록 요구합니다.

데이터 흐름도, 항목별 필요성 분석, 규정과 단체계약 자료, 면제 또는 대체 경로에 대한 평가, 고지 및 필요한 동의 증거, 영향평가, 수령자 관련 약정 및 접근 통제를 준비해야 합니다. 제38조는 해외 수령자가 개인정보보호법의 보호 기준을 충족하도록 보장하는 조치를 요구합니다. 처리를 위탁받은 서비스 제공자에 대해서는 제21조의 계약 및 감독 사항도 마련해야 합니다. 삭제, 권리 행사 요청 및 사고 대응의 책임을 정해야 합니다. 수령자, 데이터 항목 또는 새로운 용도를 추가하기 전에 분석을 다시 확인해야 합니다.

초기 법률 검토에서는 중국 주체, 인사관리 목적, 수령자의 소재지, 대략적인 직원 규모 및 예정된 데이터 종류에 관한 비밀정보가 아닌 개요를 보내야 합니다. 첫 문의에 직원의 신분증, 은행 정보 또는 이력서를 보내지 마세요. 상세 자료에 대해서는 안전한 검토 절차를 합의해야 합니다.