홍콩의 개인정보보호 법령(Cap. 486 Personal Data (Privacy) Ordinance)은 1995년 처음 시행된 후 개정을 통해 2013년 4월부터 현재의 내용으로 시행 중이지만, 그 중 해외로 개인정보를 송출하는 행위를 규제하는 내용을 담은 제33조는 2015년 11월 현재까지도 시행이 보류된 상태이다.

이와 관련하여 홍콩 입법부 의원은 2015년 4월 정부에 20년 넘도록 동 조항의 시행을 보류하고 있는 이유에 대해서 질의한 바 있으며, 그에 앞선 2014년 12월에는 담당 기관인 The Office of the Privacy Commis-sioner for Personal Data (“PCPD”)에서도 유관 지침서(Gu-ideline)를 발행함으로써 동 조항의 시행 필요성을 언급한 바 있다.

비록 정부의 정확한 표명은 아직 없는 상황이지만 동 조항의 시행이 다가왔다는 예상을 해 볼 수 있으며 동 조항에 적용대상이 될 수 있는 기관이나 단체들은 아래 소개하는 해당 Guideline을 숙지할 필요가 있겠다. 

 

 

 

S. 33 of the Personal Data (Privacy) Ordinance
관련 조항은 개인정보를 홍콩 외 지역으로 송출하는 행위를 금지하고 있는 동시에 아래와 같은 예외 규정을 제시하고 있다:
1. 해당 지역에는 홍콩의 Personal Data (Privacy) 법령과 유사한 내용의 법령이 존재한다는 사실을 PCPD의 Commissioner 명의로 관보에 게재하였을 경우;
2. 개인정보 자료를 사용하는 사람은 자료를 송출하고자 하는 대상 지역에도 홍콩의 Personal Data (Privacy) 법령과 내용 면에서 유사한 법령이 존재한다고 합리적으로 믿고 있을 때;
3. 개인정보를 제공한 사람이 서면으로 자료송출에 대해서 동의하였을 시;
4. 개인정보 자료를 사용하는 사람이 제공자의 이익을 위하여 자료를 송출하고자 하였지만 자료송출 이전에 제공자의 동의를 구할 수 없는 상황이었으며 만일 동의를 구할 수 있는 상황이었다 하더라도 제공자가 동의했을 것이라는 점이 인정될 경우;
5. 자료송출이 범죄를 예방하기 위해서이거나 소송에 필요하여 송출한 경우;
6. 자료송출이 자료제공자의 신체적 혹은 정신적 보호를 위하여 필요한 경우 (의료 용도)이거나 기타 생명 또는 안위와 관련된 긴급한 상황에 의해서 필요한 경우;
7. 기타 (가족 간의), 뉴스송출, 통계 등의 조사를 위함)

 

 

Guideline에서 제시하고 있는 예방조치
1. 개인정보 자료의 관리를 담당하고 있는 사람은 우선 사용 중인 현 시스템에 홍콩 외 지역으로 자료가 송출되고 있는지 여부를 확인하고 관련 소출이 이루어지고 있다면 위 예외사항에 적용될 수(따라서 문제가 없음) 있는지 여부를 평가한 후 적절한 보완조치를 할 것;
2. 필요하지 않다고 판단되는 자료송출은 미리 차단하는 조치를 위할 것;
3. 만일 홍콩 외 지역으로 자료송출이 불가피한 경우는 사전에 자료제공자에게 서면 동의서를 받을 것;
4. 해외로 자료송출이 이루어지는 경우 해당 자료를 기록하고 보관함으로써 사후관리가 가능하도록 조치할 것;

 

 

홍콩 외 지역으로 “자료송출”
자료를 홍콩 외 지역으로 송출하는 방법은 특정 개인의 정보를 전산은 물론이고 편지, 이메일, 인쇄물 등의 형식으로 송출하는 것은 물론이고 방대한 데이터를 저장장치에 저장하여 전산을 통하여 해외로 송출하는 행위를 모두 포함한다.

따라서 홍콩 소재 지점에서 고객의 정보를 담고 있는 자료를 본국 소재 본사로 보내는 행동은 그 방식이 전산을 통한 데이터 전송이건 1장의 A4 종이에 인쇄된 서신을 편지형식으로 발송하건 모두 해외로 자료를 송출하는 것으로 간주한다는 의미이다. 

또한, 해외에 소재한 marketing 대행사에 홍콩에서 취득한 개인정보를 제공하여 홍콩으로 전화하도록 하는 행위도 해외로 자료를 송출하는 것으로 간주하게 되며 Cloud와 같은 방식의 해외소재 데이터 저장시설에 홍콩에서 취득한 개인정보를 저장하는 행위도 금지대상이 되기 때문에 Cloud service를 이용하고 있다면 해당 서비스 제공자의 서버가 어디에 위치하고 있는지 확인할 필요가 있겠다.

 

 

위반에 따른 벌칙
Personal Data (Privacy) Ordinance에서 정하고 있는 규정을 위반하는 것 자체로는 형사적인 위법행위로 간주하지 않는다. 하지만 개인정보보호와 관련된 업무를 담당하는 기관인 PCPD는 Commissioner 권한 및 명의로 조사 및 시행요구서를 발송할 수 있으며 위반자가 해당 시행요구서를 받고도 이행을 하지 않을 경우는 형사처벌 대상이 된다. 벌칙의 범위는 2년 이하의 징역과 HKD50,000의 벌금형으로 규정하고 있다. 

 

 

위 내용은 해당 법률분야의 개괄적인 설명을 참고용으로 제공하고자 작성된 것입니다. 따라서 윗글이 법률의견은 아니라는 사실을 고지 드리며 내용 중 일부 혹은 전부를 특정사안에 직접 또는 간접적으로 적용해서도 안 됩니다. 개별 사안에 대한 법률의견이 필요하실 경우 변호사에게 별도의 조언을 구하시기 바랍니다.