베트남 개인정보보호법: 외국 기업을 위한 준법 점검표
베트남은 가벼운 규제에서 포괄적인 체계로 가는 여정을 마쳤습니다. 2025년에 통과되어 2026년 초부터 시행된 개인정보보호법(PDPL)은 2023년 개인정보보호 시행령이 처음 들여온 규칙을 온전한 법률로 끌어올렸습니다. 적용 범위는 넓어졌고, 의무는 무거워졌으며, 실질적인 제재가 붙었습니다. 귀사가 베트남에 있는 사람들에 관한 데이터, 즉 고객, 임직원, 앱 사용자, 마케팅 리드의 데이터를 처리한다면, 베트남 법인이 있든 없든 이 법이 적용됩니다. 저희가 외국 고객사와 함께 훑는 준법 점검표를 소개합니다.
먼저, 적용 대상인지 확인하십시오
PDPL은 많은 외국 경영진이 짐작하는 것보다 멀리 미칩니다. 베트남 조직, 베트남 내 외국인 투자 법인, 그리고 베트남에 있는 개인의 개인정보를 처리하는 역외 기업까지 포함합니다. 베트남으로 배송하는 전자상거래 판매자, 베트남 사용자가 있는 SaaS 제품, 베트남 급여를 다루는 지역 인사 공유서비스 센터 모두 적용 대상일 수 있습니다. 소규모 사업을 면제해 주는 의미 있는 매출 기준선은 없습니다. 다만 초기 기간에 소기업과 스타트업에 일부 의무가 완화되는 부분이 있으니, 시행 지침이 계속 나오는 중인 만큼 현행 예외를 자문사와 확인하십시오.
가장 아프게 물리는 의무
1. 베트남식으로 받아야 하는 동의
베트남 체계는 동의 중심입니다. 동의는 명시적이고, 충분한 정보에 기초하며, 목적별로 구체적이고, 증명 가능해야 합니다. 침묵과 미리 체크된 상자는 인정되지 않습니다. 실무적으로는 개인정보를 수집하는 모든 지점, 즉 웹 폼, 앱, 영업 통화, 인사 온보딩을 감사해서, 그 사람이 무엇에 언제 동의했는지 증거로 제시할 수 있는지 확인하는 일입니다. 여러 목적을 한데 묶은 포괄 동의는 저희가 감사에서 발견하는 가장 흔한 결함입니다.
2. 민감정보는 한 단계 위
건강, 금융, 생체, 위치 같은 범주는 민감 개인정보로 다뤄지며, 정보주체에게 추가로 고지해야 하고 취급도 더 엄격합니다. 고용주는 진단서, 계좌 정보, 노조 가입 여부 같은 민감정보를 일상적으로 보유하면서, 그것이 가중된 의무를 발동시킨다는 사실을 모르는 경우가 많습니다.
3. 영향평가 서류철
개인정보를 처리하는 조직은 처리 영향평가 서류철을 작성하고 유지해야 하고, 데이터를 베트남 밖으로 이전하는 조직은 국외 이전 서류철을 갖춰 공안부의 개인정보 보호 당국이 언제든 볼 수 있게 두어야 합니다. 한 번 내고 끝나는 서류가 아닙니다. 처리 내용이 바뀌면 갱신해야 합니다. 서류철 작성과 제출에는 처리 개시 시점부터 기산되는 구체적인 기한이 있으니, 현행 기간을 법률 자문과 확인하십시오.
4. 국외 이전
베트남 개인정보를 지역 본부, 글로벌 CRM, 클라우드 사업자 등 해외로 보내는 일은 허용되지만 규제됩니다. 이전 서류철, 적절한 고지, 그리고 데이터가 실제로 어디로 흐르는지에 대한 명확한 지도가 필요합니다. IT 스택을 중앙집중한 다국적 기업이 이 의무를 가장 크게 체감합니다.
5. 권리 대응과 유출 대응
개인은 열람, 정정, 삭제, 동의 철회의 권리를 가지며, 기업은 규정된 기간 안에 응답할 수 있어야 합니다. 데이터 유출은 당국에 신속히 통지해야 하고 법정 기한이 짧으므로, 미리 합의된 내부 보고 경로가 필수입니다.
6. 금지되는 행위
이 법은 개인정보의 매매를 정면으로 금지합니다. 브로커에게서 '리드 리스트'를 사 오는 마케팅 팀이 여기서 걸리는 전형적인 함정입니다. 그 관행은 멈춰야 합니다.
외국 기업을 위한 우선순위 표
| 조치 | 긴급도 | 통상 담당 | 비고 |
|---|---|---|---|
| 데이터 매핑: 무엇을 갖고 있고 어디로 흐르는가 | 즉시 | 법무 + IT | 다른 모든 것의 전제 |
| 동의 수집 감사와 시정 | 즉시 | 마케팅, 인사, 제품 | 묶음 동의와 묵시적 동의를 고칠 것 |
| 영향평가와 국외 이전 서류철 | 높음 | 법무 / 개인정보 책임자 | 갱신 유지. 기한은 처리 개시부터 기산 |
| 개인정보 담당자·책임자 지정 | 높음 | 경영진 | 규모와 민감도에 따라 요건이 다름. 현행 규정 확인 |
| 공급업체·수탁자 계약 | 높음 | 법무 + 구매 | PDPL 의무를 수탁자에게 흘려보낼 것 |
| 유출 대응 플레이북 | 중간 | 정보보안 + 법무 | 통지 기한이 짧음. 반드시 예행연습 |
| 임직원 개인정보 고지와 교육 | 중간 | 인사 | 인사 데이터도 온전히 적용 대상 |
GDPR과의 비교, 그리고 그것이 중요한 이유
성숙한 GDPR 프로그램을 갖춘 회사는 앞서서 출발하지만, 끝난 것은 아닙니다. 겹치는 부분은 큽니다. 적법한 처리, 목적 제한, 정보주체의 권리, 유출 통지가 그렇습니다. 차이가 나는 지점에 위험이 숨어 있습니다. 베트남은 '정당한 이익' 같은 근거보다 동의에 훨씬 크게 기댑니다. 서류철 제도는 고유한 서식과 고유한 감독기관을 가진 별개의 행정 장치입니다. 그리고 당국을 상대할 때는 베트남어 문서가 실제로 중요합니다. GDPR 산출물을 PDPL 요건에 매핑하는 것은 효율적이지만, EU 프로그램을 복사해 붙여 넣으면 빈틈이 남습니다.
제재와 집행의 기조
행정 과징금은 상당할 수 있습니다. 일부 위반에 대해서는 매출에 연동된 제재와 처리 활동의 정지를 함께 상정한 제재 틀이 논의되어 왔습니다. 초기 집행은 대체로 악질적인 사안, 즉 데이터 매매, 대규모 유출, 협조 거부에 집중됩니다. 다만 외국인 투자 기업이 눈에 띄지 않기를 바라고 베팅해서는 안 됩니다. 전자상거래, 핀테크, 유통, 숙박처럼 대규모 소비자 데이터를 다루는 업종이 점검의 자연스러운 첫 대상입니다. 2차 요약본에 기대지 마시고 현행 제재 수위를 자문사와 확인하십시오.
현실적인 90일 계획
- 1~30일: 데이터 목록화와 흐름 매핑, 국외 이전 식별, 내부 책임자 지명.
- 31~60일: 동의 절차 시정, 영향평가와 이전 서류철 초안, 베트남어와 영어 개인정보 고지 갱신.
- 61~90일: 수탁자 계약 개정, 유출 대응 플레이북과 교육, 경영진 승인과 서류철 정기 갱신 일정 확정.
한 분기 만에 완벽해질 수는 없습니다. 다만 문서로 남은 성실한 진전은 당국이 귀사를 대하는 방식을 실질적으로 바꿉니다.
PDPL 준비에 도움이 필요하십니까? 베트남 현지의 저희 컴플라이언스 팀은 외국인 투자 기업을 위해 개인정보 서류철, 동의 체계, 상시 준법 일정표를 구축합니다. 첫 점검 통지서가 온 뒤가 아니라, 그 전에 이야기 나누십시오.
