PDP Law

이러한 원칙은 개인정보 보호 컴플라이언스가 조직의 폭넓은 데이터 거버넌스 및 보안 프로그램에 통합되어야 함을 의미합니다.

베트남 법에서 개인정보란 무엇입니까?

베트남 개인정보 보호법은 개인정보를 특정 개인을 식별하거나 식별하는 데 도움이 되는 디지털 데이터 또는 그 밖의 형태의 정보로 폭넓게 정의합니다.

이 체계는 다음을 구분합니다.

따라서 조직은 처리하는 개인정보의 유형과 그것이 특별히 보호되는 범주에 해당하는지 여부를 함께 식별하는 데이터 목록을 유지해야 합니다.

개인정보 처리의 적법 근거

베트남의 현행법에서 동의는 모든 처리 활동에 일률적으로 요구되는 요건이 아닙니다.

이 법은 동의를, 법률에 다른 규정이 있는 경우를 제외하고, 정보주체가 자신의 개인정보 처리를 허락하는 것으로 정의합니다.

따라서 조직은 다음 사항을 결정해야 합니다.

1. 1어떤 개인정보를 처리하는지
2. 2데이터를 처리하는 이유가 무엇인지
3. 3어떤 적법 근거가 그 처리를 허용하는지
4. 4동의가 필요한지 여부
5. 5어떤 고지를 제공해야 하는지
6. 6어떤 안전조치가 적용되는지
7. 7영향평가나 그 밖의 문서가 필요한지 여부

이는 베트남의 체계를 단순히 모든 처리에 동의를 요구하는 제도로 설명하던 것과 비교할 때 중요한 변화입니다.

동의 요건

동의가 적용되는 적법 근거인 경우, 기업은 동의 방식이 명확하고 증명 가능하며 적절히 문서화되도록 설계해야 합니다.

현행 체계에서는 다음과 같습니다.

• 동의는 정보주체가 처리를 허락하는 것입니다.
• 동의가 언제 필요한지는 적용되는 법적 요건에 따라 결정됩니다.
• 조직은 처리의 근거를 증명할 수 있어야 합니다.
• 필요한 경우 동의는 적절하고 재현 가능한 방식으로 수집되어야 합니다.
• 조직은 처리 활동을 뒷받침하는 증빙을 유지해야 합니다.

Decree 356/2025/ND-CP는 서면 동의, 통화 녹음, SMS, 이메일, 웹사이트, 플랫폼, 애플리케이션 및 그 밖에 재현하거나 검증할 수 있는 방식을 인정합니다.

동의를 개인정보 거버넌스의 대체물로 취급해서는 안 됩니다

동의 배너만으로는 완전한 컴플라이언스가 성립하지 않습니다.

기업은 동의 관리를 다음과 연결해야 합니다.

• 개인정보 처리방침 고지
• 데이터 목록
• 처리 기록
• 정보주체 권리 워크플로
• 보존 정책
• 보안 통제
• 공급업체 관리
• 국외 이전 통제
• 해당하는 경우 영향평가 문서

개인정보 처리방침 고지 및 투명성

조직은 개인에게 자신의 개인정보 처리에 관한 적절한 정보를 제공해야 합니다.

실무적인 개인정보 처리방침 고지는 해당하는 경우 다음을 설명해야 합니다.

• 수집하는 개인정보
• 처리 목적
• 데이터의 이용 방식
• 적용되는 적법 근거
• 관련 수령인 또는 수령인의 범주
• 데이터 보존에 관한 고려 사항
• 국제 이전 또는 국외 이전
• 개인의 권리
• 개인이 권리를 행사하는 방법
• 개인정보 관련 요청을 위한 연락처
• 그 밖에 관련 법령이 요구하는 정보

웹사이트와 애플리케이션의 경우, 쿠키, 분석, 광고 기술, 추적 기술 및 그 밖의 온라인 식별자가 개인정보를 수반하는 때에는 투명성이 이러한 기술에까지 확장되어야 합니다.

정보주체의 권리

베트남 개인정보 보호법은 정보주체의 권리를 규정하고, 개인정보를 처리하는 조직에 이에 상응하는 책임을 부과합니다.

조직은 해당 상황에 따라 다음과 관련된 요청을 처리할 수 있도록 준비해야 합니다.

• 개인정보에 대한 열람
• 부정확한 데이터의 정정 또는 갱신
• 처리가 동의에 근거하는 경우의 동의 철회
• 법적으로 해당하는 경우의 삭제
• 해당하는 경우 처리의 제한
• 반대권 또는 법이 인정하는 그 밖의 권리
• 개인정보 보호법과 시행규정이 정하는 그 밖의 권리

조직은 법정 기한 내에 정보주체의 요청을 접수, 본인 확인, 추적 및 회신할 수 있는 내부 워크플로를 마련해야 합니다.

아동의 개인정보

아동과 관련된 개인정보를 처리하려면 베트남 개인정보 보호 체계에 따른 추가적인 안전조치가 필요합니다.

아동에게 서비스를 제공하거나 아동의 개인정보를 처리하고 있음을 인지한 기업은 다음을 평가해야 합니다.

• 연령 관련 요건
• 동의 요건
• 필요한 경우 부모 또는 법정대리인의 관여
• 적절한 개인정보 처리방침 고지
• 데이터 최소화
• 보안 안전조치
• 보존 및 삭제 요건

아동을 대상으로 하는 서비스는 이러한 요건을 사후에 고려할 것이 아니라 제품 설계 단계에서부터 반영해야 합니다.

민감 개인정보

민감 개인정보는 베트남 체계에서 강화된 보호를 받습니다.

민감 개인정보를 처리하는 기업은 해당 범주를 식별하고 다음 영역에 추가 의무가 적용되는지 평가해야 합니다.

• 적법 근거
• 투명성
• 보안
• 거버넌스
• 영향평가
• 접근 통제
• 보존
• 데이터 이전
• 사고 관리

개인정보 보호 프로그램은 민감 개인정보가 어디에서 수집, 처리, 저장 또는 이전되는지를 보여주는 명확한 목록을 유지해야 합니다.

개인정보 처리 영향평가

베트남의 현행 체계는 지정된 처리 활동에 대해 영향평가 요건을 두고 있습니다.

조직은 자사의 처리에 개인정보 처리 영향평가 서류가 필요한지 평가하고, 요구되는 문서를 적용 규칙에 따라 유지하고 제출해야 합니다.

효과적인 평가는 다음을 고려해야 합니다.

• 개인정보의 범주
• 처리 목적
• 처리 방식
• 정보주체에 대한 위험
• 보안 안전조치
• 보존
• 데이터 공유 방식
• 프로세서 및 제3자
• 국외 처리
• 식별된 위험을 줄이기 위한 조치

국외 데이터 이전

국외 처리는 베트남 현행법에서 중요한 컴플라이언스 영역입니다.

Decree 356/2025/ND-CP는 베트남에서 수집되거나 저장된 개인정보가 해외 인프라, 외국 클라우드 서비스 또는 해외 수령인을 통해 이동하거나 처리되는 경우를 포함하여 국외 이전 활동을 폭넓게 정의합니다.

다음을 이용하는 기업은

• 국제 클라우드 제공업체
• 글로벌 CRM 시스템
• 해외 분석 플랫폼
• 국제 광고 플랫폼
• 외국 SaaS 애플리케이션
• 글로벌 고객 지원 도구
• 역외 데이터 처리 공급업체

자사의 활동이 규제 대상 국외 처리에 해당하는지 평가해야 합니다.

상황에 따라 조직은 국외 개인정보 이전 영향평가 서류를 준비하거나 유지해야 할 수 있으며, 그 밖에 적용되는 법정 수단을 준수해야 할 수도 있습니다.

데이터 보안 요건

개인정보를 처리하는 조직은 적절한 조직적, 기술적 및 인적 안전조치를 시행해야 합니다.

보안 조치에는 다음이 포함될 수 있습니다.

• 접근 통제
• 인증
• 필요한 경우 암호화
• 네트워크 및 애플리케이션 보안
• 로깅 및 모니터링
• 취약점 관리
• 백업 및 복구
• 임직원 교육
• 공급업체 보안 통제
• 사고 대응 절차
• 데이터 최소화 및 보존 통제

보안은 처리되는 데이터의 성격과 그에 따르는 위험에 비례해야 합니다.

개인정보 유출 통지

베트남의 현행 개인정보 보호법은 해당 조직이 위반을 인지한 때로부터 요건에 해당하는 개인정보 위반에 대한 72시간 통지 의무를 규정하고 있습니다.

이 요건은 법정 조건에 따라 국방이나 안보, 사회질서와 안전, 생명이나 건강, 명예와 존엄, 또는 재산 등에 피해를 줄 수 있는 요건 해당 위반에 적용됩니다.

따라서 조직은 다음을 수행할 수 있는 사고 대응 절차를 유지해야 합니다.

1. 1잠재적 유출의 탐지
2. 2사고의 평가
3. 3법정 기준의 충족 여부 판단
4. 4사내 보고 및 에스컬레이션
5. 5필요한 통지의 준비
6. 6대응 내용의 문서화
7. 7시정 조치의 실행

개인정보 사고 관리 절차는 조직의 폭넓은 사이버보안 사고 대응 프로그램과 연결되어야 합니다.

컨트롤러와 프로세서

기업은 개인정보를 처리할 때 자신의 역할을 명확히 정의해야 합니다.

조직은 활동에 따라 다음 중 하나로 활동할 수 있습니다.

• 개인정보 컨트롤러
• 개인정보 프로세서
• 컨트롤러와 프로세서의 기능을 함께 수행하는 당사자
• 처리 과정에 참여하는 그 밖의 규제 대상 참여자

프로세서 및 공급업체와 체결하는 계약에는 다음 사항이 명확히 규정되어야 합니다.

• 처리 목적
• 데이터의 범주
• 보안 의무
• 기밀 유지
• 재위탁 처리
• 데이터 보존
• 데이터의 삭제 또는 반환
• 사고 통지
• 정보주체 요청 지원
• 국외 처리에 관한 책임

데이터 보존 및 삭제

베트남의 체계는 다른 법률에 다른 규정이 없는 한 개인정보를 처리 목적에 상응하는 적절한 기간 동안 보관하도록 요구합니다.

따라서 조직은 다음을 포괄하는 문서화된 보존 기준을 유지해야 합니다.

• 고객 정보
• 임직원 데이터
• 마케팅 데이터베이스
• 계정 정보
• 동의 기록
• 쿠키 및 추적 데이터
• 고객 지원 기록
• 정보주체 요청
• 보안 로그
• 공급업체가 보유한 개인정보

데이터를 저장하는 데 기술적으로 비용이 적게 든다는 이유만으로 보존이 무기한 지속되어서는 안 됩니다.

쿠키 및 온라인 추적

베트남에서 웹사이트를 운영하는 기업은 개인정보 컴플라이언스 프로그램의 일환으로 자사의 쿠키와 추적 기술을 평가해야 합니다.

여기에는 다음이 포함됩니다.

• 분석 쿠키
• 광고 쿠키
• 리타기팅 기술
• 소셜 미디어 픽셀
• 전환 추적
• 세션 기술
• 기기 식별자
• SDK
• 개인을 식별하거나 개인과 관련될 수 있는 정보를 수집하는 그 밖의 기술

동의 요건은 적용되는 적법 근거와 상황에 따라 달라집니다. 조직은 모든 쿠키에 동의가 필요하다고 단정해서는 안 되지만, 적절한 적법 근거와 안전조치를 마련하지 않은 채 개인정보 처리를 배포하는 것도 피해야 합니다.

ConsentX는 다음과 같은 방식으로 기업이 이 과정을 실무에 적용하도록 지원합니다.

• 웹사이트의 쿠키와 트래커 스캔
• 추적 기술의 분류
• 해당 허가를 받기 전 선택한 기술의 차단
• 동의 선택의 기록
• 지역별 동의 경험의 관리
• 감사 가능한 동의 증빙의 유지

다이렉트 마케팅 및 광고

마케팅 활동은 개인정보를 수반하는 경우가 많으므로 조직의 개인정보 보호 컴플라이언스 프로그램에 포함되어야 합니다.

기업은 다음을 평가해야 합니다.

• 마케팅 데이터의 출처
• 처리의 적법 근거
• 동의 필요 여부
• 마케팅 설정의 기록 방식
• 옵트아웃 및 철회 수단
• 제3자 광고 플랫폼
• 데이터 공유
• 프로파일링
• 보존
• 국제 이전

동의가 필요한 경우 마케팅 동의는 관련 없는 약관과 명확히 분리되어야 합니다.

자동화된 처리, 프로파일링 및 AI

AI, 자동화된 의사결정, 프로파일링 또는 행동 분석을 이용하는 기업은 이러한 활동이 개인정보를 수반하는지, 그리고 추가 요건이 적용되는지 평가해야 합니다.

개인정보 보호 평가는 다음을 고려해야 합니다.

• 시스템에 제공되는 데이터
• 처리 목적
• 민감 개인정보의 포함 여부
• 데이터가 해외 제공업체로 이전되는지 여부
• 결정이 개인에게 중대한 영향을 미치는지 여부
• 개인이 적절한 정보를 제공받는지 여부
• 보안 및 접근 통제
• 보존
• 공급업체의 처리
• 필요한 경우 인적 감독

조직은 폭넓은 개인정보 거버넌스 프로그램의 일환으로 AI 및 자동화된 처리의 활용 사례를 문서화해야 합니다.

소규모 사업자와 스타트업

베트남 개인정보 보호법은 일정한 소규모 기업과 스타트업에 대한 경과적 컴플라이언스 규정을 두고 있습니다.

이 법에 따라 요건을 충족하는 소규모 기업과 스타트업은 법정 예외를 조건으로 법 시행일로부터 5년간 일부 규정의 이행 여부를 선택할 수 있습니다. 다만 해당 사업자가 개인정보 처리 서비스를 제공하거나, 민감 개인정보를 직접 처리하거나, 다수의 정보주체와 관련된 개인정보를 처리하는 경우에는 일반적으로 이 면제가 적용되지 않습니다.

Decree 356/2025/ND-CP는 관련 기준과 면제에 관한 세부 사항을 추가로 정하고 있습니다.

따라서 기업은 모든 스타트업이나 소규모 사업자가 베트남의 개인정보 보호 요건에서 자동으로 면제된다고 단정하지 말고 스스로 적용 자격을 확인해야 합니다.

Decree 13/2023에서의 전환

베트남의 개인정보 보호 체계는 2026년 1월 1일에 크게 바뀌었습니다.

새 개인정보 보호법은 새 법의 시행 전에 Decree 13/2023/ND-CP에 따른 동의나 합의를 근거로 이미 수행되고 있던 일정한 처리 활동에 대해 경과 조치를 명시적으로 규정합니다. 이미 제출된 일부 영향평가 서류도 경과 규정에 따라 계속 유지될 수 있습니다.

동시에 Decree 356/2025/ND-CP는 Decree 13/2023/ND-CP가 2026년 1월 1일부터 효력을 상실한다고 규정합니다.

따라서 기업은 종전 Decree 13 체제에 맞추어 작성된 지침에만 계속 의존하지 말고 자사의 컴플라이언스 프로그램을 업데이트해야 합니다.

베트남 개인정보 보호법 — 주요 컴플라이언스 체크리스트

이 체크리스트를 활용해 조직의 베트남 개인정보 보호 프로그램을 점검하세요.

• 수집 및 처리하는 개인정보 식별
• 기본 개인정보와 민감 개인정보 분류
• 처리 목적 매핑
• 적용되는 적법 근거 식별
• 동의가 필요한 경우 동의 방식 검토
• 동의 증빙 유지
• 개인정보 처리방침 고지 업데이트
• 정보주체 요청 절차 마련
• 적절한 보안 안전조치 시행
• 데이터 보존 기간 검토
• 프로세서와 제3자 식별
• 국제 이전 및 국외 이전 검토
• 영향평가 요건 평가
• 유출 대응 절차 마련
• 해당하는 72시간 통지 대비
• 마케팅 및 광고 기술 검토
• 쿠키 및 웹사이트 트래커 스캔
• 해당 허가 전 선택한 비필수 기술 차단
• 개인정보 보호 통제의 정기적 검토 및 업데이트

디지털 비즈니스에 베트남 개인정보 보호 컴플라이언스가 중요한 이유

베트남에서 웹사이트, 앱 및 디지털 플랫폼을 운영하는 조직에게 개인정보 컴플라이언스는 점점 더 개인정보 보호, 보안, 법무, 마케팅 및 기술 팀 간의 협업을 요구합니다.

따라서 현대적인 컴플라이언스 프로그램은 다음을 결합해야 합니다.

적법 근거 + 투명성 + 동의 관리 + 데이터 거버넌스 + 보안 + 권리 관리 + 이전 통제 + 감사 증빙.

ConsentX는 동의 관리와 웹사이트 개인정보 보호 계층을 지원할 수 있으며, 조직은 베트남 체계가 요구하는 폭넓은 법적, 조직적 통제를 함께 유지해야 합니다.

개인정보 보호법은 베트남의 법 체계 안에서 적용되며, 적용 대상 개인정보의 처리에 관여하는 일정한 외국 조직과 개인에게 영향을 미치는 규정도 포함하고 있습니다.

기타 개인정보 보호 규정

국제적으로 사업을 운영하는 기업은 다음도 함께 검토해야 할 수 있습니다.

• GDPR — 유럽연합
• UK GDPR — 영국
• CCPA/CPRA — 캘리포니아
• LGPD — 브라질
• PIPEDA — 캐나다
• DPDP Act — 인도
• PDPA — 싱가포르
• PDPA — 태국
• POPIA — 남아프리카공화국
• FADP — 스위스
• Law 25 — 캐나다 퀘벡주
• LFPDPPP — 멕시코
• PDPL — 아르헨티나
• Law 21.719 — 칠레
• Law 1581 — 콜롬비아
• Law 29733 — 페루
• Law 18.331 — 우루과이

적용되는 요건은 조직, 처리 활동, 관련 개인 및 관할권에 따라 달라집니다.