베트남 개인정보보호법 A to Z: 적용 대상부터 과징금까지
2026년 1월 1일부터 베트남 「개인정보보호법」이 시행되면서, 베트남 현지 법인뿐 아니라 베트남 고객·임직원 정보를 처리하는 외국 기업도 개인정보보호 의무를 점검해야 하는 상황이 되었습니다.
한국에 본사와 서버를 두고 있더라도 베트남 이용자의 회원가입 정보, 결제 정보, 배송 정보, 임직원 정보 또는 고객 데이터를 처리한다면 베트남 개인정보보호법 적용 가능성을 검토해야 합니다.
특히 한국 본사가 베트남 법인의 인사시스템을 운영하거나, 베트남 고객 정보를 한국 서버·해외 클라우드·CRM·AI 솔루션에서 처리하는 구조라면 개인정보 처리 주체, 국외이전, 위탁계약 및 영향평가 의무를 함께 확인할 필요가 있습니다.
핵심 요약
베트남 개인정보보호법 대응에서 한국 기업이 우선 확인해야 할 사항은 다음과 같습니다.
첫째, 베트남에 법인이 없더라도 베트남 국민 등의 개인정보 처리에 직접 참여하거나 관련되는 경우 법 적용 대상이 될 수 있습니다.
둘째, 개인정보 처리를 시작한 날부터 60일 이내에 개인정보 처리 영향평가 서류를 제출해야 하며, 국외이전이 있는 경우 별도의 국외이전 영향평가가 문제될 수 있습니다.
셋째, 한국 본사·베트남 법인·클라우드·외부 위탁업체 사이의 계약에는 처리 목적, 데이터 종류, 보관기간, 재위탁, 삭제 및 침해사고 대응 책임을 구체적으로 반영해야 합니다.
1. 한국 기업도 적용 대상이 될 수 있습니다
베트남 개인정보보호법은 베트남 내 기관·기업·개인뿐 아니라, 베트남에 소재하거나 베트남에서 활동하는 외국 기관·기업·개인에게도 적용될 수 있습니다.
또한 베트남 국민 등의 개인정보 처리에 직접 참여하거나 관련되는 외국 기관·기업·개인도 적용 대상에 포함될 수 있습니다.
따라서 한국 기업은 다음과 같은 경우 적용 여부를 우선 검토해야 합니다.
▪️ 베트남 소비자를 대상으로 이커머스·플랫폼 서비스를 제공하는 경우
▪️ 베트남 이용자의 회원가입·결제·배송 정보를 한국 서버에 저장하는 경우
▪️ 베트남 현지 법인의 임직원 정보를 한국 본사가 관리하는 경우
▪️ 한국 본사가 베트남 법인의 급여·평가·인사시스템을 운영하는 경우
▪️ 베트남 이용자 정보를 해외 CRM, 마케팅 솔루션, AI 솔루션에서 처리하는 경우
▪️ 베트남 현지 법인이 한국 본사의 클라우드와 업무시스템을 사용하는 경우
이 경우 먼저 각 회사의 역할을 구분해야 합니다. 베트남 개인정보보호법은 개인정보 처리 주체를 개인정보 관리자, 개인정보 처리자, 개인정보 관리·처리자, 제3자로 구분합니다.
같은 기업집단에 속해 있더라도 한국 본사와 베트남 법인이 자동으로 하나의 처리 주체가 되는 것은 아닙니다. 개인정보의 이용 목적과 처리 방법을 누가 결정하는지, 실제 처리 업무를 누가 수행하는지에 따라 책임 구조가 달라질 수 있습니다.
2. 개인정보 동의와 정보주체 권리 절차를 정비해야 합니다
베트남 개인정보보호법상 개인정보 처리 동의는 명확하고 구체적인 방식으로 받아야 합니다.
동의를 받을 때에는 처리하는 개인정보의 종류, 처리 목적, 개인정보 관리자 또는 관리·처리자, 정보주체의 권리와 의무 등을 확인할 수 있도록 안내해야 합니다. 동의는 문서, 전자적 방식 등 사후에 확인 가능한 형태로 남아야 하며, 침묵이나 무응답은 동의로 인정되기 어렵습니다.
특히 웹사이트와 애플리케이션에서는 다음과 같은 방식을 주의해야 합니다.
▪️ 마케팅 동의를 미리 선택해 두는 방식
▪️ 서비스 이용에 필요하지 않은 광고 동의를 필수항목으로 묶는 방식
▪️ 동의와 거부 버튼을 혼동하기 쉽게 배치하는 방식
▪️ 동의 철회 메뉴를 지나치게 찾기 어렵게 구성하는 방식
동의의 유효성이 문제될 경우 개인정보 관리자가 동의 사실을 증명해야 합니다. 따라서 동의한 사람, 동의 시각, 적용된 동의 문구, 동의 목적을 추적할 수 있는 기록을 보관하는 것이 중요합니다.
정보주체의 권리 행사 절차도 함께 정비해야 합니다. 정보주체는 개인정보 처리에 관한 정보 제공, 동의 철회, 열람·정정·삭제, 처리 제한, 위반행위 신고 및 손해배상 청구 등의 권리를 행사할 수 있습니다.
요청을 접수한 경우에는 법정기한 내에 처리할 수 있도록 내부 담당자와 절차를 마련해야 합니다. 개인정보 처리방침에 권리 목록을 기재하는 것만으로는 충분하지 않고, 실제 요청 접수·검토·회신·기록 보관 체계가 필요합니다.
3. 개인정보 처리 영향평가 서류를 준비해야 합니다
베트남 개인정보보호법은 개인정보 관리자, 관리·처리자 및 처리자에게 개인정보 처리 영향평가를 요구합니다.
개인정보 처리를 시작한 날부터 영향평가 서류를 작성·보관해야 하며, 처리 개시일부터 60일 이내에 개인정보보호 전담기관에 제출해야 합니다.
영향평가 서류에는 일반적으로 다음 내용이 포함됩니다.
▪️ 개인정보 관리자·관리처리자·처리자 및 제3자의 정보
▪️ 개인정보 보호 담당 부서와 담당자의 연락처
▪️ 처리 목적과 처리하는 개인정보의 종류
▪️ 개인정보 이동 경로를 나타내는 데이터 흐름도
▪️ 동의 취득 방법, 보관·삭제·파기 정책
▪️ 개인정보 보호를 위한 관리적·기술적 조치
▪️ 처리시스템 구조, 예상 위험 및 대응 조치
실무상 가장 중요한 자료는 데이터 흐름도입니다. 베트남 이용자 또는 임직원으로부터 개인정보가 수집된 뒤 베트남 법인, 한국 본사, 해외 클라우드, 외부 위탁업체, 재위탁업체로 어떻게 이동하는지 확인해야 합니다.
서비스 출시 이후 뒤늦게 영향평가를 준비하면 실제 데이터 흐름과 개인정보 처리방침, 계약서 내용이 서로 맞지 않는 문제가 발견될 수 있습니다. 따라서 베트남 진출 또는 서비스 출시 전 단계에서 개인정보 처리 현황을 먼저 정리하는 것이 안전합니다.
사업 방식이 변경되는 경우에도 영향평가 서류를 업데이트해야 합니다. 새로운 처리 목적이 추가되거나 처리 주체, 처리자, 제3자 등이 변경되는 경우에는 기존 서류에 변경 내용을 반영해야 합니다.
4. 국외이전과 해외 클라우드 사용 여부를 확인해야 합니다
베트남 개인정보보호법상 국외이전은 개인정보 파일을 해외로 직접 전송하는 경우에만 한정되지 않습니다.
베트남에서 수집한 개인정보를 한국 서버, 해외 클라우드, 글로벌 CRM, 데이터 분석 도구 또는 AI 솔루션에서 처리하는 경우도 국외이전에 해당할 수 있습니다.
한국 기업은 다음과 같은 구조를 우선 점검해야 합니다.
▪️ 베트남 고객 정보를 한국 본사 서버에 저장하는 경우
▪️ 베트남 법인의 임직원 정보를 한국 본사가 열람·관리하는 경우
▪️ 베트남 이용자 정보를 해외 클라우드 또는 SaaS에서 처리하는 경우
▪️ 해외 마케팅 솔루션이나 분석 도구에 베트남 고객 정보가 연동되는 경우
▪️ 한국 본사, 계열회사, 외부 업체 사이에 베트남 개인정보가 공유되는 경우
국외이전이 있는 경우에는 국외이전 영향평가 서류 제출 여부를 검토해야 합니다. 서류에는 이전 목적, 개인정보 유형, 송신자·수신자 정보, 처리 흐름도, 동의 취득 방법, 보관·삭제 정책, 해외 수신자의 보호 수준, 재이전 절차 및 위험 완화 조치 등이 포함될 수 있습니다.
일정한 경우 국외이전 영향평가 서류 제출 의무의 예외가 인정될 수 있습니다. 예를 들어 임직원 개인정보를 해외 클라우드에 저장하거나 국경 간 인사관리를 수행하는 경우 등은 예외 가능성을 검토할 수 있습니다.
다만 이는 주로 국외이전 영향평가 서류 제출에 관한 예외입니다. 개인정보 처리의 적법성, 필요한 동의, 보호조치, 위탁계약, 정보주체 권리 보장 의무까지 모두 면제된다는 의미는 아닙니다.
5. 위탁계약과 개인정보 보호 담당 조직을 정비해야 합니다
개인정보 처리자는 개인정보 관리자 또는 관리·처리자와 체결한 계약이나 합의에 따라 개인정보를 처리해야 합니다.
한국 본사, 베트남 법인, 클라우드 사업자, CRM, 급여관리 업체, 고객상담 업체, 마케팅 대행사 사이에 개인정보가 이전되거나 처리되는 경우에는 각 당사자의 역할과 책임을 계약으로 구체화해야 합니다.
위탁계약 또는 개인정보 처리계약에는 다음 사항을 반영하는 것이 필요합니다.
▪️ 처리 및 이전 목적
▪️ 정보주체의 범위와 처리하는 개인정보의 종류
▪️ 처리기간, 보관기간, 삭제·파기 방법
▪️ 관리자와 처리자의 역할 및 책임
▪️ 기술적·관리적 보호조치
▪️ 정보주체 권리 요청에 대한 협조 방식
▪️ 제3자 제공과 재위탁 조건
▪️ 국외이전과 재이전 조건
▪️ 개인정보 침해사고 통지 및 대응 절차
▪️ 감독기관 조사·점검에 대한 협조 의무
▪️ 손해배상 및 책임분담
계열회사 사이의 개인정보 공유도 자동으로 예외가 되는 것은 아닙니다. 한국 본사와 베트남 법인은 별도의 법인이므로, 실제 데이터 흐름과 각 회사의 역할에 맞는 계약 구조가 필요합니다.
또한 기업은 개인정보 보호를 담당할 부서나 인력을 지정하거나 외부 전문가를 활용할 수 있습니다. 담당 조직은 개인정보보호 정책과 절차 마련, 정보주체 요청 대응, 영향평가, 침해사고 보고, 내부 교육 등의 업무를 수행해야 합니다.
일정한 소기업과 스타트업에는 일부 의무에 대한 특례가 인정될 수 있으나, 개인정보 처리 서비스를 영위하거나 민감 개인정보를 직접 처리하거나 대규모 개인정보를 처리하는 기업은 특례 대상에서 제외될 수 있습니다.
6. 위반 시 과징금과 손해배상 리스크가 발생할 수 있습니다
베트남 개인정보보호법 위반은 사안에 따라 행정제재, 형사책임 및 손해배상책임으로 이어질 수 있습니다.
조직에 적용되는 행정제재의 최대 상한은 위반 유형에 따라 달라집니다.
개인정보 매매의 경우 위반으로 얻은 수익의 최대 10배가 문제될 수 있습니다. 국외이전 규정 위반의 경우 전년도 매출액의 최대 5%까지 과징금이 부과될 수 있습니다. 그 밖의 개인정보보호 위반은 최대 30억 베트남동까지 제재가 가능할 수 있습니다.
개인이 같은 위반행위를 한 경우에는 조직에 적용되는 최대 금액의 절반이 상한으로 적용됩니다.
특히 국외이전 관련 제재가 매출액 기준으로 산정될 수 있다는 점에서, 베트남 현지 법인뿐 아니라 한국 본사와 해외 클라우드를 포함한 전체 데이터 이전 방식을 사전에 점검해야 합니다.
베트남 개인정보보호법 대응, 데이터 흐름 점검부터 시작해야 합니다
베트남 개인정보보호법은 개인정보 처리방침을 게시하거나 동의서를 받는 것만으로 대응할 수 있는 규제가 아닙니다.
한국 기업은 먼저 베트남 고객·임직원·거래처와 관련해 어떤 개인정보를 수집하고, 어느 시스템에서 처리하며, 어느 국가로 이전되는지 확인해야 합니다.
이후 한국 본사와 베트남 법인의 역할, 개인정보 처리 영향평가와 국외이전 영향평가 필요성, 위탁계약과 침해사고 대응 체계를 순서대로 정비해야 합니다.
디센트 법률사무소 국제법무팀은 베트남 진출 기업을 대상으로 개인정보 처리 현황 진단, 국외이전 및 영향평가 검토, 개인정보 처리방침·동의서·위탁계약 정비, 침해사고 대응 자문을 제공하고 있습니다.
본 콘텐츠는 일반적인 법률 정보이며, 개별 사안에 대한 법률 자문을 대신하지 않습니다.
