베트남 개인데이터보호법 준수

베트남의 개인데이터 보호 체계

베트남의 현행 개인데이터 보호 체계는 개인데이터 보호에 관한 법률 제91/2025/QH15호, 그 이행을 구체화한 시행령 제356/2025/ND-CP호, 그리고 해당되는 경우 그 밖의 규정과 업종별 요건에 근거합니다.

• 개인데이터 보호에 관한 법률 제91/2025/QH15호
• 법률의 이행을 구체화한 시행령 제356/2025/ND-CP호
• 해당되는 경우 그 밖의 규정 및 업종별 요건

이 법은 동의를 처리의 중요한 법적 근거로 인정하지만, 동의가 개인데이터를 처리할 수 있는 유일한 근거는 아닙니다. 조직은 데이터를 처리하기 전에 적용되는 법적 근거를 확인하고 그에 따른 법정 요건을 충족해야 합니다.

동의가 요구되거나 동의에 근거하는 경우, 조직은 동의가 적절히 취득되고 이를 증명할 수 있도록 해야 합니다. 시행령 356/2025/ND-CP는 서면 및 전자적 방식을 포함해 재현 가능한 동의 형식을 규정합니다.

베트남 법에서 개인데이터란?

베트남 개인데이터보호법은 개인데이터를 특정 개인을 식별하거나 식별에 도움이 되는 디지털 데이터 또는 그 밖의 형태의 정보로 폭넓게 정의합니다.

이 체계는 기본 개인데이터와 민감 개인데이터를 구분하며, 각각의 세부 분류는 정부 규정으로 정합니다.

따라서 조직은 처리하는 개인데이터의 유형과 해당 데이터가 특별히 보호되는 범주에 속하는지를 함께 확인할 수 있는 데이터 목록을 유지해야 합니다.

기본 개인데이터

기본 개인데이터는 거래와 사회적 관계에서 사용되는 일반적인 개인정보와 배경 정보 가운데 정부가 정한 범주에 포함되는 것을 말합니다.

적용되는 분류에 따라 개인을 식별하거나 개인과 연락하기 위해 사용되는 정보가 포함될 수 있습니다.

민감 개인데이터

민감 개인데이터는 개인의 사생활에 관한 권리와 결부된 개인데이터로서, 그 침해가 관련 당사자의 정당한 권리와 이익에 직접 영향을 줄 수 있는 것을 말합니다.

민감 개인데이터의 세부 분류는 정부 규정으로 정합니다.

개인데이터 처리의 법적 근거

현행 베트남 법에서 동의는 모든 처리 활동에 일률적으로 요구되는 요건이 아닙니다.

이 법은 동의를, 법률에 다른 규정이 있는 경우를 제외하고, 개인데이터 주체가 자신의 개인데이터 처리를 허락하는 것으로 정의합니다.

따라서 조직은 다음을 확인해야 합니다.

• 어떤 개인데이터를 처리하는지
• 그 데이터를 왜 처리하는지
• 어떤 법적 근거가 처리를 허용하는지
• 동의가 필요한지
• 어떤 고지를 제공해야 하는지
• 어떤 보호조치가 적용되는지
• 영향평가나 그 밖의 문서가 필요한지

이는 베트남 체계를 단순히 모든 처리에 동의가 필요한 제도로 설명하던 것과 비교하면 중요한 변화입니다.

동의 요건

동의가 적용되는 법적 근거인 경우, 기업은 동의 취득 방식을 명확하고 증명 가능하며 적절히 기록되도록 설계해야 합니다.

현행 체계에서는 다음과 같습니다.

• 동의는 데이터 주체가 처리에 대해 부여하는 허락입니다.
• 동의가 필요한 시점은 적용되는 법적 요건에 따라 정해집니다.
• 조직은 처리의 근거를 증명할 수 있어야 합니다.
• 동의가 필요한 경우 적절하고 재현 가능한 방식으로 취득해야 합니다.
• 조직은 처리 활동을 뒷받침하는 증적을 보관해야 합니다.

시행령 356/2025/ND-CP는 서면 동의, 녹취된 통화, SMS, 이메일, 웹사이트, 플랫폼, 애플리케이션 및 재현이나 검증이 가능한 그 밖의 방법을 인정합니다.

동의는 개인정보 거버넌스를 대신하지 않습니다

동의 배너만으로 완전한 준수가 성립하지는 않습니다.

기업은 동의 관리를 다음과 연계해야 합니다.

• 개인정보 처리 고지
• 데이터 목록
• 처리 기록
• 데이터 주체 권리 처리 절차
• 보유 정책
• 보안 통제
• 수탁사 관리
• 국외 이전 통제
• 해당되는 경우 영향평가 문서

개인정보 처리 고지와 투명성

조직은 개인데이터 처리에 관해 개인에게 적절한 정보를 제공해야 합니다.

실무적으로 유용한 처리 고지는 관련되는 범위에서 다음을 설명해야 합니다.

• 어떤 개인데이터를 수집하는지
• 처리 목적
• 데이터 이용 방식
• 적용되는 법적 근거
• 관련 수령자 또는 수령자 유형
• 보유 기간에 관한 사항
• 국제 이전 또는 국외 이전
• 개인의 권리
• 권리 행사 방법
• 개인정보 관련 요청 연락처
• 적용 법률이 요구하는 그 밖의 정보

웹사이트와 애플리케이션에서는 개인데이터가 관련되는 한 쿠키, 분석, 광고 기술, 추적 기술 및 그 밖의 온라인 식별자에까지 투명성을 확대해야 합니다.

데이터 주체의 권리

베트남 개인데이터보호법은 개인데이터 주체의 권리를 규정하고, 개인데이터를 처리하는 조직에 이에 대응하는 책임을 부과합니다.

상황에 따라 조직은 다음과 관련된 요청에 대응할 준비를 갖추어야 합니다.

• 개인데이터 열람
• 부정확한 데이터의 정정 또는 갱신
• 동의에 근거한 처리에서 동의 철회
• 법적으로 해당되는 경우의 삭제
• 해당되는 경우 처리의 제한
• 이의 제기 또는 법이 인정하는 그 밖의 권리
• 개인데이터보호법과 시행 규정이 정하는 그 밖의 권리

조직은 데이터 주체의 요청을 접수하고 본인을 확인하며 진행 상황을 관리해 적용되는 법정 기간 내에 답변하는 내부 절차를 마련해야 합니다.

아동의 개인데이터

아동에 관한 개인데이터 처리에는 베트남 개인데이터 보호 체계에서 추가적인 보호조치가 요구됩니다.

아동에게 서비스를 제공하거나 아동의 개인데이터를 인지하고 처리하는 기업은 다음을 검토해야 합니다.

• 연령 관련 요건
• 동의 요건
• 필요한 경우 부모 또는 법정대리인의 참여
• 적절한 처리 고지
• 데이터 최소화
• 안전조치
• 보유 및 삭제 요건

아동을 대상으로 하는 서비스는 이러한 요건을 사후에 덧붙이지 말고 제품 설계 단계에서 반영해야 합니다.

민감 개인데이터의 처리

민감 개인데이터는 베트남 체계에서 한층 강화된 보호를 받습니다.

민감 개인데이터를 처리하는 기업은 해당 범주를 확인하고 다음 항목에 추가 의무가 적용되는지 검토해야 합니다.

• 법적 근거
• 투명성
• 보안
• 거버넌스
• 영향평가
• 접근 통제
• 보유 기간
• 데이터 이전
• 사고 대응

개인정보보호 체계는 민감 개인데이터를 어디에서 수집·처리·보관·이전하는지 보여 주는 명확한 목록을 유지해야 합니다.

개인데이터 처리 영향평가

베트남의 현행 체계는 정해진 처리 활동에 대해 영향평가 요건을 두고 있습니다.

조직은 자사 처리에 개인데이터 처리 영향평가 서류가 필요한지 검토하고, 필요한 문서를 적용 규정에 따라 유지하고 제출할 수 있도록 해야 합니다.

실효성 있는 평가는 다음을 고려해야 합니다.

• 개인데이터의 범주
• 처리 목적
• 처리 방법
• 데이터 주체에 대한 위험
• 안전조치
• 보유 기간
• 데이터 공유 약정
• 수탁자 및 제3자
• 국외 처리
• 확인된 위험을 줄이기 위한 조치

국외 데이터 이전

국외 처리는 현행 베트남 법에서 중요한 준수 영역입니다.

시행령 356/2025/ND-CP는 국외 이전 활동을 폭넓게 정의하며, 베트남에서 수집되거나 보관된 개인데이터를 해외 인프라, 외국 클라우드 서비스 또는 해외 수령자를 통해 이동하거나 처리하는 경우도 포함합니다.

다음을 이용하는 기업은

• 국제 클라우드 사업자
• 글로벌 CRM 시스템
• 해외 분석 플랫폼
• 국제 광고 플랫폼
• 외국 SaaS 애플리케이션
• 글로벌 고객 지원 도구
• 해외 데이터 처리 수탁사

자사 활동이 규제 대상 국외 처리에 해당하는지 검토해야 합니다.

상황에 따라 조직은 개인데이터 국외 이전 영향평가 서류를 작성·유지하거나, 적용되는 다른 법정 절차를 준수해야 할 수 있습니다.

데이터 보안 요건

개인데이터를 처리하는 조직은 적절한 관리적·기술적·인적 보호조치를 이행해야 합니다.

보안 조치에는 다음이 포함될 수 있습니다.

• 접근 통제
• 인증
• 필요한 경우의 암호화
• 네트워크 및 애플리케이션 보안
• 로그 기록 및 모니터링
• 취약점 관리
• 백업 및 복구
• 임직원 교육
• 수탁사 보안 통제
• 사고 대응 절차
• 데이터 최소화 및 보유 기간 통제

보안 수준은 처리하는 데이터의 성질과 그에 따른 위험에 비례해야 합니다.

개인데이터 침해 통지

현행 베트남 개인데이터보호법은 해당 개인데이터 위반에 대해 조직이 위반을 인지한 후 72시간 이내에 통지할 의무를 정하고 있습니다.

이 의무는 법정 조건에 따라 국방이나 안보, 사회질서와 안전, 생명이나 건강, 명예와 인격, 또는 재산 등에 해를 끼칠 수 있는 위반에 적용됩니다.

따라서 조직은 다음을 수행할 수 있는 사고 대응 절차를 유지해야 합니다.

• 침해 가능성 탐지
• 사고 평가
• 법정 기준 충족 여부 판단
• 사내 보고 및 확대
• 필요한 통지 준비
• 대응 내용 기록
• 시정 조치 이행

개인정보 사고 관리 절차는 조직의 더 넓은 사이버보안 사고 대응 체계와 연계되어야 합니다.

관리자와 수탁자

기업은 개인데이터를 처리할 때 자신의 역할을 명확히 정해야 합니다.

활동에 따라 조직은 다음 중 하나로 행위할 수 있습니다.

• 개인데이터 관리자
• 개인데이터 수탁자
• 관리와 처리 기능을 함께 수행하는 당사자
• 처리 사슬에 참여하는 그 밖의 규제 대상자

수탁자 및 협력사와의 계약에는 다음을 명확히 규정해야 합니다.

• 처리 목적
• 데이터의 범주
• 보안 의무
• 비밀 유지
• 재위탁
• 데이터 보유 기간
• 데이터의 삭제 또는 반환
• 사고 통지
• 데이터 주체 요청 지원
• 국외 처리에 관한 책임

데이터 보유와 삭제

베트남 체계는 다른 법률에 다른 규정이 없는 한 개인데이터를 처리 목적에 맞는 적정한 기간 동안 보관하도록 요구합니다.

따라서 조직은 다음을 포함하는 문서화된 보유 기준을 유지해야 합니다.

• 고객 정보
• 임직원 데이터
• 마케팅 데이터베이스
• 계정 정보
• 동의 기록
• 쿠키 및 추적 데이터
• 고객 지원 기록
• 데이터 주체 요청
• 보안 로그
• 수탁사가 보유한 개인데이터

저장 비용이 기술적으로 저렴하다는 이유만으로 보유를 무기한 이어가서는 안 됩니다.

쿠키와 온라인 추적

베트남에서 웹사이트를 운영하는 기업은 개인데이터 준수 체계의 일부로 자사 쿠키와 추적 기술을 점검해야 합니다.

여기에는 다음이 포함됩니다.

• 분석 쿠키
• 광고 쿠키
• 리타게팅 기술
• 소셜 미디어 픽셀
• 전환 추적
• 세션 기술
• 기기 식별자
• SDK
• 개인을 식별하거나 개인과 연관될 수 있는 정보를 수집하는 그 밖의 기술

동의 필요 여부는 적용되는 법적 근거와 상황에 따라 달라집니다. 조직은 모든 쿠키에 동의가 필요하다고 단정해서는 안 되지만, 적절한 법적 근거와 보호조치를 갖추지 않은 채 개인데이터 처리를 시작하는 것도 피해야 합니다.

ConsentX는 다음과 같은 방식으로 기업이 이 과정을 실행하도록 지원합니다.

• 웹사이트를 스캔해 쿠키와 추적기를 찾아냅니다.
• 추적 기술을 분류합니다.
• 적용되는 허용을 얻기 전까지 선택한 기술을 차단합니다.
• 동의 선택을 기록합니다.
• 지역별 동의 경험을 관리합니다.
• 감사 가능한 동의 증적을 유지합니다.

직접 마케팅과 광고

마케팅 활동은 개인데이터를 수반하는 경우가 많으므로 조직의 개인정보보호 준수 체계에 포함해야 합니다.

기업은 다음을 검토해야 합니다.

• 마케팅 데이터의 출처
• 처리의 법적 근거
• 동의가 필요한지 여부
• 마케팅 선호 기록 방식
• 수신 거부 및 철회 수단
• 제3자 광고 플랫폼
• 데이터 공유
• 프로파일링
• 보유 기간
• 국제 이전

동의가 필요한 경우 마케팅 동의는 관련 없는 약관과 명확히 분리해야 합니다.

자동화 처리, 프로파일링과 AI

AI, 자동화된 의사결정, 프로파일링 또는 행동 분석을 이용하는 기업은 이러한 활동이 개인데이터를 수반하는지, 추가 요건이 적용되는지 검토해야 합니다.

개인정보 영향 검토에서는 다음을 고려해야 합니다.

• 시스템에 어떤 데이터를 입력하는지
• 처리 목적
• 민감 개인데이터가 관련되는지
• 데이터가 해외 제공사업자에게 이전되는지
• 결정이 개인에게 중대한 영향을 주는지
• 개인이 적절한 정보를 제공받는지
• 보안 및 접근 통제
• 보유 기간
• 수탁사의 처리
• 필요한 경우 사람의 감독

조직은 AI와 자동화 처리의 활용 사례를 더 넓은 개인데이터 거버넌스의 일부로 문서화해야 합니다.

소규모 기업과 스타트업

베트남 개인데이터보호법은 일정한 소규모 기업과 스타트업에 대한 경과적 준수 규정을 두고 있습니다.

법에 따라 요건을 갖춘 소규모 기업과 스타트업은 법정 예외를 전제로, 법 시행일부터 5년간 특정 규정을 이행할지 선택할 수 있습니다. 다만 해당 기업이 개인데이터 처리 서비스를 제공하거나, 민감 개인데이터를 직접 처리하거나, 다수 데이터 주체의 개인데이터를 처리하는 경우에는 원칙적으로 이 면제가 적용되지 않습니다.

시행령 356/2025/ND-CP는 관련 기준과 면제에 대해 추가적인 세부 사항을 정합니다.

따라서 기업은 모든 스타트업이나 소규모 기업이 베트남의 개인정보보호 요건에서 자동으로 면제된다고 가정하지 말고, 자사가 요건을 충족하는지 확인해야 합니다.

시행령 13/2023에서의 전환

베트남의 개인정보보호 체계는 2026년 1월 1일 크게 바뀌었습니다.

새 개인데이터보호법은 새 법 시행 전에 시행령 13/2023/ND-CP에 따른 동의나 합의로 이미 수행되던 일정한 처리 활동에 대해 경과적 취급을 명시적으로 규정합니다. 이미 제출된 일부 영향평가 서류도 경과 규정에 따라 계속 유효할 수 있습니다.

동시에 시행령 356/2025/ND-CP는 시행령 13/2023/ND-CP가 2026년 1월 1일부터 효력을 상실한다고 정하고 있습니다.

따라서 기업은 종전 시행령 13 체제를 전제로 만들어진 지침에만 계속 의존하지 말고 준수 체계를 갱신해야 합니다.

베트남 개인데이터보호법 준수 체크리스트

이 체크리스트로 베트남에서의 개인정보보호 체계를 점검하세요.

• 수집·처리하는 개인데이터 파악
• 기본 개인데이터와 민감 개인데이터 분류
• 처리 목적 정리
• 적용되는 법적 근거 확인
• 동의가 필요한 경우 동의 취득 방식 점검
• 동의 증적 보관
• 개인정보 처리 고지 갱신
• 데이터 주체 요청 처리 절차 수립
• 적절한 안전조치 이행
• 데이터 보유 기간 점검
• 수탁자와 제3자 파악
• 국제 및 국외 이전 점검
• 영향평가 요건 평가
• 침해 대응 절차 수립
• 적용되는 72시간 통지 대비
• 마케팅 및 광고 기술 점검
• 쿠키와 웹사이트 추적기 스캔
• 선택한 비필수 기술을 적용되는 허용 전까지 차단
• 개인정보보호 통제를 정기적으로 점검·갱신

디지털 비즈니스에 베트남 준수가 중요한 이유

베트남에서 웹사이트, 앱, 디지털 플랫폼을 운영하는 조직에서 개인데이터 준수는 개인정보보호, 보안, 법무, 마케팅, 기술 팀 간의 조율을 점점 더 요구합니다.

따라서 현대적인 준수 체계는 법적 근거, 투명성, 동의 관리, 데이터 거버넌스, 보안, 권리 대응, 이전 통제, 감사 증적을 함께 갖추어야 합니다.

ConsentX는 동의 관리와 웹사이트 개인정보보호 계층을 지원하며, 베트남 체계가 요구하는 더 넓은 법적·조직적 통제는 조직이 직접 유지합니다.

개인데이터보호법은 베트남 법 체계 안에서 적용되며, 대상 개인데이터의 처리에 관여하는 일정한 외국 조직과 개인에게 영향을 주는 규정도 포함하고 있습니다.