'한국 서버'만 믿고 중국 진출? 더 무서운 '법률 만리장성'

한국에 서버를 두고 중국 법인 없이 현지 고객을 상대로 사업을 하려던 국내 기업의 계획에 적신호가 켜졌다.

법률 전문가들은 '서버가 한국에 있으니 괜찮다'는 생각은 치명적 착각이라며, 국경을 넘는 중국의 '개인정보보호법(PIPL)'이 한국 기업의 발목을 잡을 수 있다고 일제히 경고했다. 자칫 막대한 과징금은 물론, 서비스 자체가 차단될 수 있는 아찔한 상황에 놓일 수 있다는 지적이다.

"서버만 한국에 두면 끝?" 변호사들, "치명적 착각" 한목소리

최근 한 한국 법인은 중국에 별도 법인을 설립하지 않고, 한국 내 서버를 기반으로 중국 B2B 및 B2C 고객에게 서비스를 제공하는 사업 모델의 법률 리스크 검토를 의뢰했다. 물리적인 사업장이 중국에 없으니 중국법 규제에서 자유로울 것이라는 기대가 깔린 질문이었다.

하지만 돌아온 변호사들의 답변은 한결같이 '아니오'였다. 법무법인 게이트의 김범석 변호사는 "한국 법인이 한국 서버를 기반으로 운영하더라도, 중국 이용자의 개인정보를 처리하는 이상 중국 개인정보보호법인 PIPL의 역외적용 가능성을 검토하셔야 합니다"라고 잘라 말했다.

PIPL은 중국 영토 밖에서 이뤄진 개인정보 처리 활동이라도 '중국 내 개인에게 재화나 서비스를 제공하는 경우'에 적용될 수 있기 때문이다.

디센트 법률사무소 임호균 변호사 역시 "한국 서버를 사용한다는 점만으로 중국 규제가 배제되는 것은 아닙니다"라며, 오히려 중국 기준에서는 개인정보가 국외로 이전되는 이슈가 발생할 수 있다고 경고했다.

'보이지 않는 법률 그물' PIPL, 무엇이 문제되나

전문가들이 공통적으로 지적하는 가장 큰 장애물은 중국의 개인정보보호법(PIPL), 사이버보안법(CSL), 데이터보안법(DSL)이다. 특히 PIPL의 '역외적용' 조항은 중국 밖에 있는 기업이라도 중국인을 상대로 사업을 한다면 중국법의 규제를 받게 하는 강력한 '그물' 역할을 한다.

PIPL이 적용될 경우, 한국 기업은 상상하지 못했던 의무를 부담하게 된다. 디센트 법률사무소 홍푸른 변호사는 "특히 B2C 구조에서는 ① 중국 내 대리인 지정 의무, ② 개인정보 국외이전 요건 충족, ③ 민감정보 처리 시 별도 동의가 핵심 쟁점입니다"라고 짚었다.

즉, 사업을 위해 중국 현지에 대리인을 둬야 하고, 중국 고객의 정보를 한국 서버로 가져오는 행위 자체를 '국외 이전'으로 보고 중국 당국의 안전 평가나 표준계약 체결 등 까다로운 조건을 맞춰야 한다는 의미다. 이를 위반하면 막대한 과징금은 물론 중국 내 서비스 접속이 차단될 수도 있다.

이용약관·개인정보처리방침, '두 나라 숙제' 동시에 풀어야

상황은 단순히 중국법만 신경 쓴다고 해서 해결되지 않는다. 한국 법인이므로 당연히 한국의 개인정보 보호법도 준수해야 한다.

결국 이용약관과 개인정보처리방침을 만들 때 한국과 중국, 양국의 법률 요건을 모두 충족해야 하는 이중 과제가 주어진다.

법률사무소 시야 오희재 변호사는 "질문 주신 항목들은 단순 이용약관 또는 개인정보처리방침 검토에 그치는 것이 아니라, 중국 고객을 대상으로 서비스를 제공하는 과정에서 적용될 수 있는 규제 전반을 함께 검토해야 하는 사안으로 보입니다"라고 강조했다.

이는 개인정보 수집·이용 동의 방식부터 데이터 보관, 국외 이전 고지, 소비자 보호 조항까지 양국 법에 맞춰 꼼꼼히 설계해야 함을 뜻한다. 법무법인 심 심규덕 변호사는 "B2B와 B2C는 적용 쟁점과 동의 구조가 다르므로 구분해 설계해야 합니다."라며 사업 유형에 따른 맞춤형 접근이 필요하다고 조언했다.