안녕하세요, 법무법인 시우입니다.
베트남에서 개인정보 규제가 새로운 단계에 들어섰습니다. 2026년 1월 1일부터 베트남 개인정보보호법(Law on Personal Data Protection, Law No. 91/2025/QH15)이 정식 시행되었습니다. 기존 시행령(Decree 13/2023) 체계에서 독립 법률 체계로 전환된 것으로, 규제의 무게와 적용 범위가 크게 달라졌습니다.
한국 기업 입장에서 이 변화는 단순한 IT 보안 문제가 아닙니다. 베트남 법인의 직원 정보를 한국 본사 HR 시스템에 올리거나, 고객 정보를 해외 클라우드에 저장하거나, 급여대행사·회계법인에 개인정보를 제공하는 행위 모두가 이 법의 적용 대상이 될 수 있습니다.
오늘은 베트남 개인정보보호법의 핵심 내용과 한국 기업이 준비해야 할 사항에 대해 단계별로 살펴보겠습니다.
📌 이런 상황, 혹시 겪어보셨나요?
베트남에 법인을 두고 있는 한국 기업 A사는 직원 급여 처리를 한국 본사 ERP 시스템으로 통합 관리하고 있었습니다. 베트남 법인 직원들의 이름, 계좌번호, 급여 내역이 매달 한국 서버로 전송되는 구조였지만, 별도의 동의서도, 국외이전 영향평가도 없었습니다. 영업 담당자는 출처를 알 수 없는 고객 DB를 구매해 마케팅에 활용하고 있었고, 이 모든 사항이 법 시행과 함께 리스크로 부상했습니다.
베트남 개인정보보호법, 무엇이 달라졌나
한국 기업이 알아야 할 핵심 변화
베트남 개인정보보호법은 개인정보를 특정 개인을 식별하거나 식별할 수 있게 하는 디지털 데이터 또는 기타 형태의 정보로 정의합니다. 이를 기본 개인정보와 민감 개인정보로 구분하며, 민감정보(건강, 금융, 생체정보 등)에는 더 높은 수준의 보호 의무가 적용됩니다.
적용 대상도 넓습니다. 베트남 내 기관·단체뿐 아니라, 베트남 국민의 개인정보 처리에 관여하는 해외 기관·개인도 적용 범위에 포함됩니다. 즉, 한국 본사가 베트남 법인의 인사자료를 직접 관리하거나 베트남 고객정보를 한국 서버에서 처리하는 경우에도 이 법이 적용될 수 있습니다.
법은 기업의 지위를 아래와 같이 구분합니다.
| 구분 | 의미 |
|---|---|
| 개인정보 관리자 | 처리 목적과 수단을 결정하는 자 |
| 개인정보 처리자 | 관리자의 요청에 따라 처리하는 자 |
| 관리자 겸 처리자 | 목적·수단을 결정하면서 직접 처리하는 자 |
| 제3자 | 위 세 주체 외에 처리에 관여하는 자 |
베트남 현지법인은 직원·고객정보에 대해 관리자 겸 처리자가 되는 경우가 많고, 한국 본사나 외주업체는 사안에 따라 처리자 또는 제3자로 평가될 수 있습니다.
💡 핵심: 베트남 개인정보보호법은 동의서 한 장으로 해결되지 않습니다. 데이터 수집부터 이전·삭제까지 전체 흐름을 관리하는 체계가 필요합니다.
한국 기업이 반드시 점검해야 할 4가지 영역
데이터 흐름 파악에서 침해사고 대응까지
① 데이터 흐름 파악 및 동의서 정비
가장 먼저 해야 할 일은 어떤 개인정보가, 어떤 목적으로, 어디로 이전되는지를 파악하는 것입니다. 직원 정보(급여, 근태, 여권, 비자), 고객 정보(연락처, 구매이력), CCTV 영상, 웹사이트 이용자 정보 등이 모두 검토 대상입니다.
동의는 포괄동의가 아닌 목적별 구체적 동의가 요구됩니다. 침묵이나 무응답은 동의로 인정되지 않습니다.
✔ 준비 서류: 직원 개인정보 수집·처리 동의서, 개인정보 처리방침, 마케팅 수신 동의서 (모두 베트남어 기준)
② 국외이전 영향평가
베트남 법인의 직원·고객 정보를 한국 본사 시스템, 해외 클라우드(AWS, Google Workspace, Microsoft 365), 글로벌 ERP·CRM에 연동하는 기업은 국외이전 영향평가 서류를 작성하고, 최초 이전일로부터 60일 이내에 개인정보보호 전문기관에 제출해야 합니다.
'그룹사 내부 공유'라는 이유만으로 의무가 면제되지 않습니다. 한국 본사와 베트남 법인은 별개 법인이기 때문입니다.
✔ 처리 기간: 사전 검토 포함 약 30~60일
③ 외주계약 정비
급여대행사, 회계법인, 비자대행사, IT 업체, 마케팅 대행사와의 계약서에는 개인정보 처리 범위, 보안조치, 재위탁 제한, 침해사고 발생 시 통지의무가 반드시 포함되어야 합니다.
✔ 처리 기간: 계약 검토 및 수정 협의 약 2~4주
④ 침해사고 대응체계 구축
개인정보 침해사고 발생 시, 관리자는 인지한 때로부터 72시간 이내에 개인정보보호 전문기관에 통지해야 합니다. 사고 발생 후 대응방안을 찾는 방식으로는 이 기한을 맞추기 어렵습니다.
✔ 사전 준비: 침해사고 대응 매뉴얼, 내부 보고라인, 베트남 법인-한국 본사 간 통지 절차
위반 시 제재: 매출의 5%까지 가능
행정 벌금에서 형사책임까지
베트남 개인정보보호법은 위반행위에 대해 행정처분뿐 아니라 형사책임과 손해배상책임도 규정하고 있습니다.
- ✓ 국외이전 규정 위반 → 전년도 매출의 최대 5%
- ✓ 개인정보 매매 → 위반행위 수익의 최대 10배
- ✓ 기타 개인정보보호 위반 → 최대 30억 VND
- ✓ 개인이 같은 위반을 한 경우 → 조직 기준 상한의 1/2
- ✓ 베트남 당국은 2025년 상반기에만 불법 개인정보 매매 관련 56건을 적발·처리했습니다.
📋 출처 불분명한 고객 DB 구매, 마케팅 리스트 활용, 퇴사자·불합격자 정보 미삭제는 실무상 가장 흔하게 발생하는 위험 요소입니다.
자주 묻는 질문 (FAQ)
Q1. 베트남 법인 직원이 퇴사했습니다. 그 직원의 정보는 언제까지 보관할 수 있나요?
퇴사자의 개인정보는 법령상 보관 근거가 있는 기간 동안만 보유할 수 있습니다. 예를 들어 사회보험·세무 신고 목적의 서류는 관련 법령이 정한 보존기간까지 보관이 가능하지만, 그 외 급여명세, 근태기록, 연락처 등은 보관 근거가 소멸한 시점에 삭제·파기해야 합니다. 채용 단계에서 수집한 불합격자 정보도 마찬가지입니다. "혹시 나중에 연락할 수도 있으니"라는 이유로 무기한 보관하는 것은 위반 소지가 있습니다.
Q2. 베트남 법인 직원 수가 적은 소규모 기업도 이 법을 적용받나요?
법인 규모와 관계없이 적용됩니다. 베트남 개인정보보호법은 종업원 수나 매출 규모에 따른 적용 면제 조항을 두고 있지 않습니다. 직원이 5명이든 500명이든, 직원 정보와 고객 정보를 처리하는 이상 동의서 정비, 처리방침 수립, 국외이전 검토 의무는 동일하게 적용됩니다. 오히려 소규모 법인일수록 내부 담당자가 없어 대응이 늦어지는 경우가 많습니다.
Q3. 베트남 고객에게 카카오톡이나 문자로 마케팅 메시지를 보내는 것도 규제 대상인가요?
네, 해당됩니다. 마케팅 목적의 연락처 활용은 정보주체의 별도 동의가 필요한 영역입니다. 단순히 서비스 이용 과정에서 수집한 연락처를 광고·홍보 목적으로 활용하려면, 광고 목적임을 명시하고 거부 방법을 안내한 별도의 마케팅 수신 동의를 받아야 합니다. 카카오톡, 문자, 이메일, SNS DM 등 채널을 불문하고 동일하게 적용됩니다.
Q4. 베트남 법인이 현지 클라우드 서비스(예: VNG Cloud)를 사용하면 국외이전 이슈가 없나요?
베트남 내 서버에 데이터가 저장되는 경우라면 국외이전 이슈는 발생하지 않습니다. 다만 해당 클라우드 업체가 개인정보 처리자에 해당하므로, 처리 범위·보안조치·재위탁 제한·사고 통지의무 등을 담은 위탁계약은 별도로 체결해야 합니다. 클라우드를 사용한다고 해서 모든 의무가 면제되는 것은 아닙니다.
위에서 살펴본 것처럼 베트남 개인정보보호법 대응은 단순한 문서 작성이 아니라 데이터 수집·이전·삭제 전 과정을 관리하는 체계를 구축해야 하는 문제이기 때문에, 처음부터 전문가의 도움을 받는 것이 중요합니다. 국외이전 평가, 동의서 정비, 외주계약 검토, 침해사고 대응 매뉴얼 구축까지 단계적으로 준비해야 사후 제재 리스크를 줄일 수 있습니다.
법무법인 시우에는 베트남·중국·일본 등 국제거래 및 투자구조 설계 전반을 직접 수행해 온 오형철 대표변호사와 베트남 호치민 법률 사무 경력 10년의 미국 변호사 이찬빈 전문위원 등 다수의 베트남 전문가가 함께 합니다. 법무법인 시우는 신뢰와 전문성을 바탕으로, 진출·투자·계약·분쟁 등 고객의 모든 법률 과제를 처음부터 끝까지 함께 해결해 드립니다.
대표전화: 010-8435-5997 (한국어 및 베트남어 상담 가능)
이메일: siwoovn@siwoo-law.com
감사합니다.
※ 본 포스팅은 일반적인 법률 정보 제공을 목적으로 하며, 특정 사안에 대한 법률 자문이 아닙니다. 개별 상황에 따라 법률 적용이 달라질 수 있으므로, 구체적인 사안은 반드시 전문가의 자문을 받으시기 바랍니다. © 법무법인 시우. 무단 전재 및 재배포를 금합니다.
