Earticle

기업의 중요한 생산요소가 되고 있는 데이터는 그 수집과 이용에 있어 중요 한 법적 이슈가 있는데 바로 개인정보보호 문제이다. 개인정보는 기업에게 소 비자의 라이프 스타일을 파악하고 고객수요를 예측하는 등 경영전략 수립에 중요한 역할을 하기 때문에 여러 주체가 생산하는 데이터 중에서 가장 가치 있는 정보라 할 수 있다. 이러한 개인정보를 비즈니스에 가장 적극적으로 활용 하고 있는 곳이 바로 온라인플랫폼 기업들이다. 중국 정부는 제10차 5개년 계 획(2001-2005)을 통해 정보산업 발전과 인터넷 기술 보급을 국가의 장기적인 정책 방향으로 설정하고 인터넷 플러스 정책을 추진하며 인터넷을 기반으로 한 산업구조의 혁신을 강조하였다. 이는 중국 기업의 기술혁신과 대형 플랫폼 기업 탄생에 많은 영향을 주었다. 본 논문은 플랫폼 기업에 대한 개념정의와 개인정보와의 관계에 대해 검토한 이후, 중국 정부의 온라인플랫폼 기업에 대 한 개인정보보호의 주요 규제내용과 법제현황에 대해 살펴보았다. 중국의 개인정보보호 법제는 ｢네트워크 안전법｣을 통해 분산 규정되어 있던 개 인정보 관련 규정이 한 차례 통합되었으며, 최근 입법 추진 중인 ｢개인정 보보호법(초안)｣ 을 통해 통합된 법률 형태로 제정될 예정이다. 이와 함께 본고에서는 개인정보 규제를 포함하는 플랫폼 기업에 대한 중국 정부의 규제를 공식적인 목적과 비공식적인 목적으로 구분하고 이러한 내용이 개인정 보 규제와 어떠한 연관성이 있는지 고찰하였다.

We’re in a digital economy where data is more valuable than ever. Personal information is the most important data since it plays an significiant role in establishing management strategies. Personal information can be used to analyse customer behaviour and predict purchases. Therefore, Protection of personal data became the key legal issue in the collection and use of the data. Smartphones and the internet have made data abundant. Online platform companies are the main beneficiaries of the data economy. Through the 10th Five-Year Plan (2001-2005), the Chinese government promoted the Internet Plus policy and it prompted rises and innovations of the platform companies. With network effects, a data economy is dominated by a few giants. Existing laws were facing a new problem in protecting privacy. The recent releases of Cybersecurity Law and a draft of the Personal Information Protection Law ushers in an new era for the china online platforms.This paper aims to review key concepts of platform economy and their relationship to personal information. In addition, it examined the major regulations of the online personal information protection in China. The article also tried to explores visible and invisible purpose of the new regulation trend.

4차 산업혁명의 진행으로 사회의 다양한 영역이 연결된 초-연결 사회로 진입하게 되었고 물리적 전쟁에 대한 정치, 사회적 비용이 급증하게 되었다. 이로 인해 국가 혹은 비국가적 행위자에 의한 사이버공격은 목표대상에게 가장 효과적인 수단으로 기능하게 되었다. 또한 전통적 격차가 북한과의 대립현실은 북한이 비대칭 전력인 사이버공격에 집중할 수밖에 없는 환경을 조성했으며 우리나라는 대부분의 기간시설을 정보통신기술을 이용하여 관리하는 정보통신기술분야의 선진국이기에 사이버공격이 한국에 가장 위협적인 요소가 되었다. 이러한 상황을 일찍부터 맞이했음에도 불구하고, 우리나라에서 사이버공격을 대응하는 방식은 항상 임기응변적이었다. 현재까지도 사이버안보 기본법이 표류되어 사이버안보 체계 구성에 한계를 가지고 있으며 보완에도 불구하고 사이버위협대응에 혼선이 발생해 지속적으로 사회의 문제점으로 제기되어 왔다. 이 연구는 우리나라 정도의 정보통신분야의 선진국에서 사이버안보 기본법이 꾸준히 발의되었음에도 불구하고 결과적으로 모두 임기만료 폐기되고 기존에는 대통령훈령의 형식으로 2021년이 되어서는 대통령령의 형식으로 제정된 원인을 입법교착의 요소인 거대양당이 제시하는 폐기안의 내용 및 이해관계의 차이, 제기된 시점과 주기를 포함하는 한국의 입법제도 등을 통해 분석하여 기존 사이버안보기본법이 왜 표류되었는지 분석한다.

This study analyzes the political and legislative progress that although basic acts to establish an integrated system of cybersecurity are steadily being proposed, they have not been passed as legislative deadlocks under the two major parties. It shall be analyzed through Korea's legislative system, including differences in contents and interests of the disposal act, the timing and cycle of election ect. The study analyzes why the basic cybersecurity law was previously scrapped and faced political gridlock situation by analyzing the differences in the contents and interests of the two major parties, and the timing and cycle of the proposed legislation.

This paper examines the controversies surrounding China’s Cybersecurity Law and evaluates whether this law violates the provisions of the Technical Barriers to Trade (TBT) Agreement. The primary reason countries consider China’s Cybersecurity Law as a TBT is due to its restrictions on cross-border data flows. The analysis reveals that the core issue behind differing national attitudes towards cross-border data flows lies in the significant differences in how key stakeholders define cybersecurity. Therefore, leading cyber powers should prioritize reaching a consensus on defining cybersecurity terms. Countries should enhance their cybersecurity strategies by issuing and refining relevant administrative regulations, departmental rules, and normative documents to provide a solid implementation foundation for network operators and law enforcement agencies. Additionally, given its significant economic relationship with China, the Korean government emphasizes the need for a balanced approach to data localization and cross-border data flow policies to ensure both national security and economic growth.

인터넷 시대가 되면서 인터넷은 우리의 정치와 경제, 사회 생활의 각 방면에 깊숙이 파고들어 세상을 변화시키고 있다. 사이버 공간의 발전은 우리에게 편리함을 안겨 주는 한편, 사이버 범죄를 야기하여 시시각각 사이버 안보를 위협하고 있다. 중국 정부는 이와 같은 사회적 변화와 새로운 위협에 대응하기 위해 “중화인민공화국네트워크안전법”(이하 “네트워크안전법”)을 2016년 11월 7일 제정하여 2017년 6월 1일부터 시행하고 있다. 중국 정부는 네트워크안전법의 제정 목적에서 사이버 주권과 국가안보, 사회공공이익을 수호하기 위해 네트워크보안을 강화함을 밝히면서 중국의 사이버안보에 대한 관심과 전략방향을 잘 보여주고 있다. 동시에 중국 네트워크 보안체계의 종합적인 정비를 목표로 법안에 네트워크 보안전략의 제정, 안전등급 보호제도의 시행, 네트워크 핵심 장비 및 보안 전용 제품에 대한 안전 인증 및 검사제도 시행 그리고 핵심 정보인프라 지정 보호를 위한 방법을 자세히 규정하고 있다. 또한 법안에 자국민 개인정보를 처리하는 기업이 수집한 데이터를 중국 영토 내 보관을 원칙으로, 비즈니스 목적의 해외저장 데이터는 중국 정부의 승인을 필요하도록 규정함으로써 자국데이터에 대한 통제의도를 명확히 밝히고 있다. 이 법의 내용은 중국 내 인터넷서비스사업자뿐만 아니라 수많은 외국계 기업에도 미칠 가능성이 매우 크다는 점에서 주목을 받고 있다. 본 논문은 네트워크안전법의 입법 배경 및 제정 과정, 주요 조항과 부대 법의 입법 목적 등의 해석을 통해 동법의 입법 목적 및 규제 내용에 대한 이해를 돕기 위해 작성되었다.

The development of the Network, which has been deeply integrated into our political, economic and social lives, has brought us convenience on the one hand, but on the other hand, cyber threats are increasingly important and strategically relevant in both developed and developing countries. Cyber security is one of the highest priority items on the global policy and national security agendas, and an increasingly challenging policy area for governments. For the purposes of guaranteeing cyber security, safeguarding cyberspace sovereignty, national security and public interest, protecting the lawful rights and interests of citizens, legal persons and other organizations, and promoting the sound development of economic and social informatization, China has developed the Cybersecurity Law, which is the first comprehensive and fundamental law in the field of cyber security in China. The new Cybersecurity Law introduces a number of measures designed to protect the government and individuals from cybercrime and data leakage. These measures include placing obligations on critical information infrastructure operators, network operators and providers of network products and services to take active steps to protect computer networks from cyber-attacks and protect personal information and important data from being stolen or used for unauthorized purposes. This essay aims to provide a comprehensive guide to the Cybersecurity Law by interpreting the background of legislative and main articles of the Cybersecurity Law.

정보화 사회가 고도화 될수록 사이버보안의 중요성은 매우 높아지고 있다. 이는 국가들이 사이버공간도 자국의 물리적인 영토, 영해, 영공 등과 같이 인식을 하고 있기 때문이다. 따라서 주요 선진국들은 사이버보안을 강화하기 위한 기술적 개발 및 인력양성 뿐 아니라 그를 지원하기 위한 법제도 개정에도 많은 노력을 기울이고 있다. 특히 미국이나 EU, 중국, 일본 등 주요 강대국들은 앞 다투어 사이버보안 관련 규정들을 강화하고 있다. 그런데 사이버보안법은 그 필요성과 함께 다양한 논점들을 만들어낸다. 예를 들어, 단순히 자국의 사이버공간을 보호하는 것 뿐 아니라 자국의 산업의 보호장벽을 높이는 효과도 생겨난다. 그러므로 또한 사이버보안을 이유로 국가가 민간정보를 검열하게 되는 문제도 발생할 수 있다. 그래서 본 논문에서는 주요 국가들의 사이버보안 관련 법률 내용과 동향을 살펴보고 한국의 시사점과 제언을 제시하고 있다. 시사점으로는 첫째, 사이버보안 담당 기관에 대해 권한을 집중시키고 사이버보안 관련 역량을 강화시키고 있다는 것이고, 둘째, 사이버보안이 새로운 무역장벽이 될 수 있으며, 셋째, 사이버보안을 위한 정부와 민간의 정보공유로 인해 국가의 감시문제가 구체화 될 수 있고, 넷째, 새로운 통신환경인 5G나 블록체인 등과 관련된 사이버보안 법제를 준비하고 있다는 것 등이 있었다. 그에 더해 아동 및 청소년부터 사이버안전 환경을 조성하고, 교육 및 지식 전파를 통해 시민들의 사이버보안 의식을 높일 필요가 있다. 그리고 한국의 법률 상황과 비교해 보았을 때, 첫째, 해외 주요국을 분석해 보면 한국의 사이버보안 관련 법제 정비가 시급하고, 둘째, 사이버보안 담당 기관 및 담당자에 대한 종국적인 전권이 필요하며, 셋째, 한국은 사이버보안의 전체적인 그림을 볼 수 있는 실질적인 사이버보안 정책전문가 풀(pool)을 운영할 필요가 있다는 제언을 하게 되었다. 대형 사이버보안 침해 사고가 발생하는 경우에는 임시방편적인 정책을 내어 놓고, 국민들의 관심이 줄어들면 뒷전으로 밀어 놓는 행태는 지양되어야 한다. 사이버보안을 위해서 국회가 좀 더 실질적이고 생산적인 노력을 해야 한다. 한국은 이미 4차 혁명시대를 살고 있으며, 사이버보안에 대한 새로운 도전을 받고 있다. 이제 미네르바의 올빼미가 날아올라야 할 시간이다.

As the information society becomes more advanced, the importance of cybersecurity is increasing. This is because countries recognize cyberspace as their physical territories, territorial waters and airspace. Therefore, major developted countries are putting a lot of effort into technological development and manpower training to enhance cybersecurity, as well as revising the legal system to support it. In particular, major powers such as the United States, the EU, China and Japan have been scrambling to tighten cybersecurity-related regulations. However, the cybersecurity law creates a variety of issues along with its need. For example, not only does it protect its own cyberspace, but it also has the effect of raising the barriers to protecting its industry. Thus, there could also be problems with the state censoring private information for cybersecurity reasons. So, in this paper, we examine the contents and trends of cyber security-related laws in major countries and present Korea’s implications and suggestions. Implications are: first, concentration of authority on agencies in charge of cybersecurity, second, new trade barriers through cybersecurity, third, monitoring the country for cybersecurity, fourth, legislation under the new communications environment. Comparing this with the legal situation in Korea, it calls for first, legislative adjustment related to cyber security in Korea, second, empowerment of Korean cybersecurity agencies and personnel, and third, operation of a pool of practical cybersecurity policy experts. Korea is already living in the fourth revolutionary era, and is facing new challenges for cybersecurity. It’s time for Minerva’s owl to fly up.

본 연구는 21세기 신흥 안보 영역인 사이버안보에서 지역기구의 규범이 어떠한 조건에서 연성규범에 머물거나 경성규범으로 제도화되는지를 ASEAN과 EU 사례를 통해 분석한다. 핵심 변수는 회원국 간 사이버 역량의 분포이다. 역량이 낮은 수준에서 균일하면 규범 수요 자체가 낮고, 역량 격차가 크면 이행비용과 기대편익의 비대칭으로 인해 연성규범이 지속되며, 역량이 높은 수준에서 수렴하면 경성규범으로 전환된다고 본다. 이를 검증하기 위해 ITU의 글로벌 사이버보안지수(GCI)와 e-Governance Academy의 국가 사이버보안지수(NCSI), ASEAN과 EU의 사이버안보 관련 공식 문서를 분석하였다. 분석 결과, 초국가주의를 지향하는 EU는 회원국 간 역량 수렴을 촉진하여 ENISA의 연성규범에서 NIS 1·NIS 2의 경성규범으로 발전한 반면, 정부간주의를 유지한 ASEAN은 역량 격차가 구조적으로 지속되면서 의무성·정밀성·위임성이 모두 낮은 연성규범을 유지하였다. 이는 지역기구의 제도적 특성이 회원국 간 사이버 역량의 분포를 형성하고, 이러한 역량 분포가 규범의 제도화 경로를 결정하는 핵심 메커니즘으로 작동함을 보여준다. 따라서 본 연구는 규범생애주기 이론이 전제하는 단선적 발전 경로를 보완하여, 회원국 간 역량 분포에 따라 상이한 규범 제도화 경로가 나타날 수 있음을 제시하며, 한국의 대 ASEAN 사이버 역량구축 외교에도 정책적 시사점을 제공한다.

This study examines the conditions under which regional organization norms in cybersecurity-an emerging security domain of the 21st century-either remain soft norms or become institutionalized as hard norms, through a comparative analysis of ASEAN and the EU. The key variable is the distribution of cyber capacities among member states. When capacities are uniformly low, demand for norms itself remains low; when capacity gaps are large, soft norms persist due to the asymmetry between compliance costs and expected benefits; and when capacities converge at a high level, norms transition into hard norms. To examine this argument, the study analyzes the ITU’s Global Cybersecurity Index (GCI), the e-Governance Academy’s National Cyber Security Index (NCSI), and official cybersecurity-related documents from ASEAN and the EU. The analysis finds that the EU, oriented toward supranationalism, facilitated convergence in capacities among member states and thereby progressed from the soft norms of ENISA to the hard norms of the NIS 1 and NIS 2 Directives, whereas ASEAN, which maintained intergovernmentalism, saw capacity gaps persist structurally, sustaining soft norms characterized by low obligation, precision, and delegation across all three dimensions. This demonstrates that the institutional characteristics of a regional organization shape the distribution of cyber capacities among its member states, and that this capacity distribution functions as a key mechanism determining the pathway of norm institutionalization. Accordingly, this study supplements the linear developmental trajectory presupposed by norm life cycle theory by showing that divergent pathways of norm institutionalization can emerge depending on the distribution of capacities among member states, and it offers policy implications for South Korea’s cyber capacity-building diplomacy toward ASEAN.

국가정보원은 2026년 5월 개정된 「국가 사이버보안 기본지침」 제4조 제3항을 통하여, 클라우드컴퓨팅서비스 제공자·전기통신사업자 등 다섯 유형의 민간 주체에 대하여 자료제출 등 협조 요청에 “정당한 사유가 없으면 응할 의무”를 부과하였다. 이는 상위 법령의 명시적 위임 없이 행정규칙으로써 민간의 기본권을 제한하는 새로운 의무를 창설한 것이다. 본고는 이 조항의 위법성을 검증하고 그 입법적 대안을 모색한다. 먼저 사이버안보 민관협력이 반복적으로 실패해 온 원인을, 공공재적 특성으로 인한 집합행동의 딜레마, 정치권력의 책임성 공백, 정보공유 생태계의 신뢰·상호성·품질관리의 결여, 정보기관에 대한 민주적 통제의 부재, 그리고 안보화의 딜레마라는 오중의 구조적 위기로 진단한다. 이어 일본·미국·독일·유럽연합·호주가 예외 없이 민간 의무를 ‘법률’로 부과하면서 면책·환류·독립 감독을 함께 설계하였음을 비교법적으로 확인하고, 한국 법제의 구조적 한계를 드러낸다. 그리고 지침 제4조 제3항이 법률유보원칙 위반, 과잉금지원칙 위반, 실정법과의 충돌, 행정조사법적 위법성, 적법절차원칙 위반이라는 결함을 지님을 논증한다. 결론적으로 2026년 「정보통신망법」 전부개정으로 직권조사의 법적 근거가 마련된 이상 위헌적 지침은 폐지되어야 하며, 민간에 대한 자료요구는 면책·환류·불복절차의 유인구조와 독립 감독기관 및 정보보호 규범을 갖춘 법률로써 재설계되어야 한다. 진정한 사이버안보는 절차적 정당성을 결여한 강제가 아니라 민주적 입법에 근거한 유인·신뢰·통제의 통합적 설계를 통하여서만 달성될 수 있다.

In May 2026, Korea’s National Intelligence Service amended the National Cybersecurity Guideline, and its new Article 4(3) imposed on five categories of private entities?including cloud service providers and telecommunications carriers?a duty to comply “absent justifiable grounds” with the NIS Director’s requests to submit data. Through a mere administrative rule and without any explicit statutory delegation, it thereby created an obligation restricting the fundamental rights of private actors. This study examines the provision from a public-law perspective and explores legislative alternatives. It first diagnoses the repeated failure of public-private cybersecurity cooperation in Korea as a five-fold structural crisis: the collective-action dilemma arising from the public-good nature of cybersecurity; the accountability gap of privatized political power; the absence of trust, reciprocity, and quality control in the information-sharing ecosystem; the lack of democratic control over the intelligence agency; and the dilemma of securitization. It then shows comparatively that Japan, the United States, Germany, the EU, and Australia all impose private obligations by statute while jointly designing liability protection, feedback, and independent oversight, thereby revealing the structural inferiority of the Korean regime. It further argues that Article 4(3) suffers from a five-fold constitutional defect: violation of the principle of statutory reservation; violation of the proportionality principle; conflict with existing statutes; illegality under administrative-investigation law; and violation of due process. Finally, since the 2026 wholesale amendment of the Network Act has established a lawful basis for ex officio investigation, the unconstitutional guideline should be repealed, and any request for private data should be redesigned by statute equipped with incentive structures (liability protection, feedback, and appeal), an independent oversight body, and information-protection norms. Genuine cybersecurity can be achieved not through coercion lacking procedural legitimacy, but only through an integrated design of incentive, trust, and control grounded in democratic legislation.

눈부시게 발전하는 정보통신기술의 영향력은 이미 산업기술 및 경제 분야를 넘어 일상생활의 전 영역에 급속히 확산되었으며, 오늘날 사이버공간은 국민생활의 보편적인 영역이 되었다. 그에 따라 정보통신 보호의 중요성이 점차 증대되어 오늘날에는 사이버안보라는 국가안보 문제로서 대두되고 있다. 심각한 수준의 국가안보 위협사태를 예방․대응하기 위하여 사이버안보 활동이 적극적으로 요구되며, 그러한 국가적․사회적 요구의 실행에 필요한 체계를 갖추기 위하여 올바른 사이버안보 거버넌스를 갖추는 것이 필요하다. 사이버안보는 국가안보적 관점에서 바라보는 정보통신 보호의 문제이며, 사이버안보를 위하여 국가가 일정한 역할을 수행하는 것은 국가가 국민에게 임의로 시혜를 베푸는 것이 아니라 국민으로부터 부여받고 국민을 위하여 행사하여야 하는 권한을 활용하여 현실상의 필요한 수요를 충족하는 활동을 수행하는 것이다. 현재 한국의 사이버안보 거버넌스는 미흡한 점이 없지 않으며, 사이버안보 거버넌스 개선을 위하여 관련 법제도 정비가 필요하다고 할 수 있다. 사이버안보는 공적 과제의 일종인 국가적 과제로서 헌법상 정보통신기반에 대한 국가책임의 주요 내용에 해당하며, 국가의 역할이 존재하는 동시에 정부와 민간의 협력적인 활동도 함께 요구된다. 향후 국가안보적 관점에서 사이버안보 분야를 다루는 법률을 어떻게 정비하여야 하는지에 관한 공법적 고찰이 면밀히 이루어질 필요가 있다.

Cyberspace is an essential environment in daily life. Information and telecommunications protection is more and more important, and cybersecurity is on rise as a matter of national security. It is necessary to action for cybersecurity to prevent national security threat. So it is required to have the right cyber security governance in order to establish the system for the implementation of national and social demands. Cyber??security is a matter of information and communications protection that is viewed from the point of view of national security. The role of the state in cybersecurity is not that the state freely gives favor to the people, but that the state carry out activities to meet the demands for people by use of the authority by people. Currently, cybersecurity governance in Korea has some problems, and it is necessary to reform legal system. Cybersecurity is a state task included in public task. It is the one of the main contents of constitutional state responsibility for information and telecommunications infrastructure. The activities of state is needed and so is cooperation between government and private entities. From now on, it will be necessary to consider the ways to enact and to amend the laws dealing with cybersecurity in the national security perspective.