2025년 3월 30일, 중국 사이버 공간 관리국(CAC)은 특정 수의 개인의 얼굴 데이터를 처리하고 저장하는 데 얼굴 인식 기술을 사용하는 회사에 대한 제출 요구 사항을 명확히 하는 공지를 발표했습니다.
이 공지는 새로운 얼굴 인식 기술 사용에 관한 규정 2025년 3월 21일에 CAC와 공안부(MPS)에 의해 발표되었습니다. 이 조치는 얼굴 인식 기술 적용을 위한 보안 관리 조치 (“보안 관리 조치”), 2025년 6월 1일에 발효되며, 개인의 개인 정보 권리를 보호하면서 기술이 책임감 있고 합법적으로 적용되도록 설계되었습니다.
공지는 2025년 6월 1일 이전에 100,000명 이상의 얼굴 인식 데이터를 저장하는 임계값에 도달한 회사에 대한 전환 기간을 제공하여 즉각적인 준수 부담을 완화합니다.
별도로, CAC는 등록 절차를 완료하기 위한 가이드를 작성했으며, 여기에는 필요한 자료와 온라인 등록을 완료하는 방법에 대한 자세한 지침이 포함되어 있습니다.
얼굴 인식 정보 저장 회사의 제출 요구 사항
보안 관리 조치 제15조에 따라, 100,000명 이상의 개인의 얼굴 인식 데이터를 저장하는 회사는 이 임계값에 도달한 날로부터 30 근무일 이내에 성급 사이버 공간 관리국에 등록해야 합니다. 그러나 전환을 용이하게 하기 위해, 최근 공지는 2025년 6월 1일 이전에 이 임계값에 도달한 회사에 대해 연장된 기한을 제공합니다.
등록 기한은 다음과 같습니다:
- 2025년 6월 1일 이후: 얼굴 인식 데이터가 100,000명에 도달한 날로부터 30 근무일 이내에 회사는 등록을 완료해야 합니다.
- 2025년 6월 1일 이전: 회사는 2025년 7월 14일까지 등록을 완료해야 합니다.
더욱이, 공지는 등록된 정보에 중대한 변경이 있는 경우, 회사는 변경 발생일로부터 30 근무일 이내에 등록을 업데이트해야 한다고 명시하고 있습니다.
얼굴 인식 기술 사용이 중단되는 경우, 회사는 종료일로부터 30 근무일 이내에 등록 취소를 완료하고 수집된 얼굴 정보를 관련 법률 및 규정에 따라 처리해야 합니다.
사이버 공간 관리국에 등록하는 방법
공지는 또한 등록 절차가 개인 정보 보호 비즈니스 시스템 (). 등록은 얼굴 인식 기술 응용 제출 시스템 작성 지침 (초판) (“제출 지침”), 이 웹사이트에서 다운로드할 수 있습니다. 또는 회사는 국가 사이버 공간 관리 정부 업무 홀을 통해 개인 정보 보호 비즈니스 시스템에 액세스할 수 있습니다.사이버 공간 관리 정부 업무 홀() 열에서 CAC 홈페이지.
제출 지침은 온라인 등록을 완료할 때 제출해야 하는 다음 자료를 명시하고 있습니다:
- 개인 정보 처리자의 기본 정보 양식의 디지털 버전 (제출 지침, 부록 1에 제공된 템플릿);
- 얼굴 인식 기술 응용 기록 양식의 디지털 버전 (제출 지침, 부록 2에 제공된 템플릿);
- 디지털 버전의 개인 정보 보호 영향 평가 (PIPIA) (제출 지침, 부록 3에 제공된 템플릿);
- 통합 사회 신용 코드 증명서의 원본 스캔본 또는 사본(공식 인감으로 날인);
- 법정 대리인 또는 책임자의 신분증 스캔본;
- 대리인의 신분증 스캔본;
- 대리인의 위임장 스캔본(공식 인감으로 날인) (제출 지침, 부록 4에 제공된 템플릿);
- 서약서 스캔본(공식 인감으로 날인) (제출 지침, 부록 5에 제공된 템플릿);
- 기타 관련 자료의 스캔본.
회사는 위의 문서를 업로드하기 전에 개인정보 보호 비즈니스 시스템에 계정을 등록해야 합니다.
자료는 제출일로부터 15영업일 이내에 확인됩니다. 회사는 자료 검토 결과에 따라 “제출 완료”, “개선 요청” 또는 “검토 실패” 중 하나로 표시되는 “상태” 열을 확인하여 문서가 수락되었는지 여부를 확인할 수 있습니다.
“제출 완료”는 등록 절차가 성공적으로 완료되었음을 의미합니다. 상태가 “개선 요청”으로 표시되면 신청자는 10영업일 이내에 필요한 보충 자료를 제공해야 합니다. 신청자가 기한 내에 자료를 보충하지 않으면 제출 절차가 종료됩니다.
상태가 “검토 실패”로 표시되면 자료가 요구 사항을 충족하지 못했음을 의미하며 등록 절차가 자동으로 종료됩니다.
PIPIA 수행
중국의 개인정보 보호법(PIPL)에 따라 특정 개인 정보 처리 활동에 참여하는 회사는 PIPIAPIPIA의 내용은 처리 활동의 유형과 범위에 따라 다르지만 일반적으로 개인 정보 처리 목적과 방법이 합법적이고 정당하며 필요한지, 개인 권리에 미치는 잠재적 영향과 보안 위험, 개인 정보를 보호하기 위해 취한 보호 조치가 합법적이고 효과적이며 위험 수준에 상응하는지 평가하는 것을 포함합니다.
제출 지침은 얼굴 인식 정보 처리를 위한 PIPIA를 수행하기 위한 특정 템플릿을 제공했습니다. 이 템플릿은 개인 정보 보호 조치 평가 및 기타 법적 준수 절차에 대한 동일한 요구 사항을 주로 포함하지만, 회사가 다음을 공개하도록 요구합니다:
- 기본 기술 사양
- 개인(얼굴) 데이터의 수집, 사용 및 저장
- 데이터 입력, 얼굴 인식, 결과 처리, 데이터 저장, 위험 대응 및 기밀 유지에 대한 표준 운영 절차
- 얼굴 데이터를 수집하는 목적, 방법 및 법적/윤리적 근거
- 자동화된 의사 결정에 얼굴 데이터를 사용하는 것
- 저장 인프라, 플랫폼 및 기술 제공업체에 대한 세부 정보
회사의 전환을 용이하게 함
이 통지는 규제 집행과 실질적 구현 사이의 균형을 맞추려는 정부의 노력을 반영합니다. 2025년 6월 1일 이전에 데이터 임계값에 도달한 회사에 대한 유예 기간을 제공하고 제출 지침을 통해 상세한 지침을 제공함으로써 당국은 기업이 운영에 불필요한 혼란 없이 규정을 준수할 수 있도록 돕고 있습니다.
