베트남 개인정보보호법 A to Z: 적용 대상부터 과징금까지

[베트남 개인정보보호법 시행, 한국 기업도 예외가 아닙니다]

안녕하세요, 디센트 법률사무소 국제법무팀입니다.

최근 베트남에 진출했거나 진출을 준비하는 한국 기업들 사이에서 2026년 1월 시행된 「개인정보보호법」(제91/2025/QH15호)을 점검해야 한다는 문의가 늘고 있습니다.

이 법은 베트남 현지 법인에만 적용되지 않습니다.

베트남 국민의 개인정보 처리에 관여하는 외국 기업에도 적용될 수 있어, 한국 본사가 베트남 임직원 정보를 관리하거나 고객 정보를 한국 서버·해외 클라우드에서 처리한다면 적용 대상이 될 수 있습니다.

🕒 바쁜 분들을 위한 3줄 요약

1. 적용 범위: 한국에 법인과 서버를 두고 있더라도 베트남 고객이나 임직원의 개인정보 처리에 관여한다면 베트남 개인정보보호법이 적용될 수 있습니다.

2. 영향평가: 개인정보 처리를 시작한 날부터 60일 이내에 개인정보 처리 영향평가 서류를 제출해야 하며, 국외이전이 있다면 별도의 국외이전 영향평가가 필요할 수 있습니다.

3. 계약 정비: 한국 본사·베트남 법인·클라우드 및 외부 위탁업체 사이의 계약에는 처리 목적, 데이터 종류, 보관기간, 재위탁, 삭제 및 침해사고 대응 책임을 구체적으로 규정해야 합니다.

1. 한국 기업도 적용 대상이 될 수 있습니다

베트남은 2025년 6월 26일 법률 제91/2025/QH15호를 제정해 2026년 1월 1일부터 시행했고, 같은 날 시행된 시행령 제356/2025/NĐ-CP호가 기존 시행령 제13/2023/NĐ-CP호를 대체하면서 처리 영향평가, 국외이전, 위탁 및 침해사고 대응에 관한 요건이 한층 구체화됐습니다.

베트남 개인정보보호법은 다음 기관·기업·개인에게 적용됩니다.

• 베트남의 기관·기업 및 개인

• 베트남에 소재하거나 베트남에서 활동하는 외국 기관·기업 및 개인

• 베트남 국민 등의 개인정보 처리에 직접 참여하거나 관련된 외국 기관·기업 및 개인

따라서 한국에 본사와 서버를 두고 있다는 이유만으로 베트남 개인정보보호 규제와 무관하다고 보기는 어렵습니다.

🔹 한국 기업에 적용될 수 있는 주요 사례

다음과 같은 사업 방식에서는 적용 여부를 우선 확인해야 합니다.

• 베트남 소비자를 대상으로 이커머스·플랫폼 서비스를 제공하는 경우

• 베트남 이용자의 회원가입·결제·배송 정보를 한국 서버에 저장하는 경우

• 베트남 현지 법인의 임직원 정보를 한국 본사가 관리하는 경우

• 한국 본사가 베트남 법인의 급여·평가·인사시스템을 운영하는 경우

• 베트남 이용자의 정보를 해외 CRM이나 마케팅 솔루션에서 처리하는 경우

• 한국의 SaaS·AI 기업이 베트남 고객의 개인정보를 대신 처리하는 경우

• 베트남 현지 법인이 한국 본사의 클라우드와 업무시스템을 사용하는 경우

이 중 하나라도 해당된다면 🔽

개인정보 처리 과정에서 각 회사가 어떤 역할을 맡는지부터 구분해야 합니다.

🔹 개인정보 처리 주체의 역할 구분

베트남 개인정보보호법은 개인정보 처리 주체를 다음과 같이 구분합니다.

• 개인정보 관리자: 개인정보 처리의 목적과 방법을 결정하는 주체입니다. 회원가입 항목, 이용 목적, 보관기간 및 외부 제공 여부를 결정하는 서비스 운영회사가 이에 해당할 수 있습니다.

• 개인정보 처리자: 개인정보 관리자를 대신해 계약에 따라 개인정보를 처리하는 주체입니다. 클라우드, CRM, 급여관리, 고객상담, 데이터 분석 또는 외부 마케팅 업체 등이 이에 해당할 수 있습니다.

• 개인정보 관리·처리자: 처리의 목적과 방법을 결정하면서 직접 처리까지 수행하는 주체입니다.

• 제3자: 정보주체, 개인정보 관리자, 관리·처리자 및 처리자 외에 처리 과정에 관여하는 기관·기업 또는 개인입니다.

같은 기업집단에 속하더라도 한국 본사와 베트남 법인이 자동으로 하나의 처리 주체가 되는 것은 아닙니다. 각 법인이 개인정보 이용 목적과 처리 방법을 어느 정도 결정하는지, 실제로 어떤 시스템과 업무를 담당하는지에 따라 역할을 구분해야 합니다.

2. 개인정보 동의와 정보주체의 권리 행사 절차를 정비해야 합니다

베트남 개인정보보호법상 개인정보 처리에 대한 동의는 명확하고 구체적인 방식으로 받아야 합니다. 동의를 받을 때에는 개인정보의 종류와 처리 목적, 개인정보 관리자 또는 관리·처리자, 정보주체의 권리와 의무 등을 확인할 수 있도록 안내해야 합니다.

동의는 문서나 전자적 방식 등 사후에 확인할 수 있는 형태로 표시되어야 하며, 처리 목적별로 구분되어야 합니다. 침묵하거나 응답하지 않은 상태는 동의로 인정되지 않습니다.

🔹 기본 선택값을 동의로 설정하면 안 됩니다

웹사이트와 애플리케이션에서는 다음과 같은 동의 방식을 점검할 필요가 있습니다.

• 회원가입 시 마케팅 동의를 미리 선택해 두는 방식

• 서비스 이용에 필요하지 않은 광고 동의를 필수항목으로 묶는 방식

• 동의와 거부 버튼을 혼동하기 쉽게 배치하는 방식

• 개인정보 제공에 동의하지 않으면 필수 안내도 확인할 수 없게 하는 방식

• 동의 철회 메뉴를 지나치게 찾기 어렵게 구성하는 방식

💡 동의의 유효성이 문제되는 경우 개인정보 관리자가 동의 사실을 직접 증명해야 합니다. 동의한 사람, 동의 시각, 적용된 동의 문구 및 동의 목적을 추적할 수 있는 기록을 지금부터 보관해 두는 것이 안전합니다.

🔹 정보주체가 행사할 수 있는 권리

정보주체는 자신의 개인정보 처리와 관련하여 다음과 같은 권리를 행사할 수 있습니다.

• 개인정보 처리에 관한 정보를 제공받을 권리

• 개인정보 처리에 동의하거나 거부할 권리, 동의를 철회할 권리

• 개인정보를 열람하거나 정정을 요구할 권리

• 개인정보 제공과 삭제를 요구할 권리

• 개인정보 처리 제한을 요구할 권리

• 위반행위를 신고하거나 손해배상을 청구할 권리

🔹 정보주체 요청의 처리기한

시행령은 요청 유형에 따라 처리기한을 구분합니다.

요청을 접수한 경우에는 원칙적으로 2영업일 이내에 관련 절차를 안내해야 합니다. 사안의 성격과 복잡성에 따라 한 차례 연장할 수 있지만, 연장 사유와 필요성을 정보주체에게 안내해야 합니다.

따라서 개인정보 처리방침에 정보주체의 권리를 나열하는 것만으로는 충분하지 않습니다. 실제 요청을 접수하고 담당 부서에 전달하며, 법정기한에 맞춰 처리할 수 있는 내부 절차와 담당자를 함께 마련해야 합니다.

3. 개인정보 처리 영향평가 서류를 작성·제출해야 합니다

베트남 개인정보보호법은 개인정보 관리자, 관리·처리자 및 처리자에게 개인정보 처리 영향평가를 요구합니다. 개인정보 처리를 시작한 날부터 영향평가 서류를 작성·보관해야 하며, 처리 개시일부터 60일 이내에 개인정보보호 전담기관에 제출해야 합니다.

🔹 영향평가 서류의 주요 내용

• 개인정보 관리자·관리처리자·처리자 및 제3자의 정보

• 개인정보 보호 담당 부서와 담당자의 연락처

• 처리 목적과 처리하는 개인정보의 종류

• 개인정보 이동 경로를 나타내는 데이터 흐름도

• 동의 취득 방법, 보관·삭제·파기 정책

• 개인정보 보호를 위한 관리적·기술적 조치와 처리시스템 구조

• 법령 준수 여부에 관한 자체평가, 예상되는 위험과 대응 조치

영향평가 서류에는 개인정보 처리계약 또는 업무위탁계약, 개인정보 보호정책, 내부 업무절차 및 관련 양식도 포함될 수 있습니다.

🔹 사업을 시작하기 전에 준비하는 것이 안전합니다

법령상 제출기한은 처리 개시일부터 60일 이내이지만, 실제 사업을 시작하기 전에 자료를 준비하는 것이 안전합니다. 서비스 출시 이후에 개인정보 이동 경로를 뒤늦게 점검하면 다음과 같은 문제가 발견될 수 있습니다.

• 동의를 받지 않은 개인정보가 이미 수집된 경우

• 개인정보 처리방침과 실제 데이터 흐름이 다른 경우

• 해외 클라우드나 외부 솔루션을 누락한 경우

• 개인정보 처리자와 위탁계약을 체결하지 않은 경우

• 한국 본사와 베트남 법인의 책임이 구분되지 않은 경우

서비스 운영 방식과 계약관계를 확정하기 전에 데이터 흐름도와 역할 분담표를 먼저 작성해 두면 이러한 위험을 줄일 수 있습니다.

🔹 사업 방식이 변경되면 서류도 업데이트해야 합니다

새로운 처리 목적이 추가되거나 처리 주체 또는 제3자가 변경된 경우, 최초 제출일을 기준으로 6개월 주기로 변경 내용을 반영해야 합니다. 다음 변경은 10일 이내에 즉시 업데이트해야 합니다.

• 조직 개편, 영업 종료, 해산 또는 파산

• 개인정보 보호 서비스 제공자 변경

• 개인정보 처리 관련 사업 또는 서비스의 추가·변경

새로운 CRM, AI 솔루션, 클라우드 또는 마케팅 도구를 도입할 때에는 기존 영향평가 서류의 변경 여부도 함께 확인해야 합니다.

4. 국외이전 해당 여부와 예외 요건을 확인해야 합니다

베트남 개인정보보호법상 국외이전은 개인정보 파일을 해외로 직접 전송하는 경우에만 한정되지 않습니다. 다음과 같은 경우도 국외이전에 포함될 수 있습니다.

• 베트남에서 수집·저장한 개인정보를 해외 서버로 이전하는 경우

• 베트남의 기관·기업이 해외 기관·기업에 개인정보를 제공하는 경우

• 베트남에서 수집한 개인정보를 해외 플랫폼에서 처리하는 경우

• 외국 클라우드 사업자의 서버에 베트남 개인정보를 저장하는 경우

한국 본사가 베트남 현지 법인의 임직원 정보를 열람하거나, 베트남 고객정보를 한국의 CRM·ERP·데이터 분석 시스템에서 처리하는 구조도 국외이전에 해당할 수 있습니다.

🔹 국외이전 영향평가 서류

국외이전을 수행하는 기관·기업은 원칙적으로 국외이전을 시작한 날부터 60일 이내에 국외이전 영향평가 서류를 제출해야 합니다.

서류에는 국외이전 영향평가 보고서, 당사자 사이의 계약 또는 구속력 있는 문서, 개인정보 보호정책, 송신자·수신자 정보, 이전 목적과 개인정보 유형, 처리 흐름도, 동의 취득 방법, 보관·삭제 정책, 해외 수신자의 시스템과 보호 수준, 재이전 절차 및 위험 완화 조치 등이 포함됩니다.

국외이전 계약에는 이전하는 주체와 수신하는 주체의 책임과 의무가 구속력 있게 규정되어 있어야 합니다.

🔹 모든 국외이전에 영향평가가 필요한 것은 아닙니다

법률과 시행령은 일정한 국외이전에 대해 영향평가 의무의 예외를 인정합니다. 대표적인 예외는 다음과 같습니다.

• 국가기관이 수행하는 국외이전

• 기업이 임직원의 개인정보를 해외 클라우드에 저장하거나 국경 간 인사관리를 수행하는 경우

• 정보주체가 자신의 개인정보를 직접 해외로 이전하는 경우

• 법률에 따라 공개된 개인정보를 이전하는 경우

• 생명·건강·재산 보호를 위해 긴급히 필요한 경우

• 계약의 체결·이행을 위해 필요한 일정한 국외이전

다만 이는 주로 국외이전 영향평가 서류 제출의 예외입니다. 개인정보 처리의 적법성, 필요한 동의, 보안조치, 위탁계약 및 정보주체의 권리 보장 의무까지 전부 면제된다는 의미는 아닙니다.

💡 임직원 정보의 해외 클라우드 저장과 국경 간 인사관리 예외는 처리 목적과 이용 범위에 따라 판단이 달라질 수 있습니다. 한국 본사가 베트남 직원의 정보를 인사관리 외의 목적으로 분석하거나 계열사 마케팅·AI 학습 등에 사용하는 경우까지 예외로 인정된다고 단정해서는 안 됩니다.

5. 위탁계약, 담당 조직, 중소기업 특례를 함께 점검해야 합니다

개인정보 처리자는 개인정보 관리자 또는 관리·처리자와 체결한 계약이나 합의에 따라 개인정보를 처리해야 합니다. 한국 본사와 베트남 법인, 외부 클라우드 및 업무 솔루션 사업자 사이의 역할과 책임도 계약으로 구체화할 필요가 있습니다.

🔹 개인정보 위탁계약에 포함할 주요 내용

• 처리 및 이전 목적, 정보주체의 범위, 처리하는 개인정보의 종류와 처리기간

• 계약 종료 후 반환·삭제·파기 방법과 처리의 법적 근거

• 관리자와 처리자의 역할, 기술적·관리적 보호조치

• 정보주체의 권리 요청에 대한 협조, 제3자 제공과 재위탁 조건

• 국외이전과 재이전 조건, 개인정보 침해사고의 통지기한

• 감독기관의 조사·점검에 대한 협조, 손해배상 및 책임분담

계열회사 사이의 개인정보 공유도 자동으로 예외가 되는 것은 아닙니다. 한국 본사와 베트남 법인은 별도의 법인이므로, 실제 데이터 흐름과 각 회사의 역할에 맞는 개인정보 이전 또는 처리계약을 체결해야 합니다.

🔹 개인정보 보호 담당자 또는 조직을 마련해야 합니다

법률과 시행령은 기업이 개인정보 보호를 담당할 부서나 인력을 지정하거나 외부 서비스를 이용할 수 있도록 규정하고 있습니다.

담당 부서나 인력은 개인정보보호 정책과 절차 마련, 정보주체의 권리 요청 대응, 영향평가, 침해사고 보고 및 내부 교육 등의 업무를 수행합니다. 외부 전문가를 선임하는 경우에도 서비스 범위, 접근권한, 비밀유지, 계약 종료 후 데이터 삭제 등을 계약에 명확히 정해야 합니다.

🔹 중소기업과 스타트업에 대한 일부 특례

일정한 소기업과 스타트업은 법 시행일부터 5년 동안 개인정보 처리 영향평가, 영향평가 서류 업데이트 및 개인정보 보호 담당자 지정에 관한 일부 의무의 적용 여부를 선택할 수 있습니다. 다만 다음 기업은 특례 대상에서 제외됩니다.

• 개인정보 처리 서비스를 영위하는 기업

• 민감 개인정보를 직접 처리하는 기업

• 누적 10만 명 이상의 정보주체 개인정보를 처리하는 기업

스타트업이라는 이유만으로 모든 개인정보보호 의무가 면제되는 것은 아닙니다. 동의, 정보주체의 권리, 보호조치 및 국외이전 관련 다른 의무는 별도로 준수해야 합니다.

🔹 개인정보 처리 서비스 인증 대상인지 확인해야 합니다

시행령은 온라인 개인정보 수집·처리, 신용평가, 데이터 분석, AI·빅데이터 기반 자동처리 등 일정한 업무를 개인정보 처리 서비스로 규정합니다.

베트남에서 이러한 서비스를 사업으로 제공하는 조직은 설립·운영 요건, 전문인력, 기술설비 및 영향평가 요건을 갖추고 공안부의 적격 인증을 받아야 할 수 있습니다.

다만 한국 SaaS·AI 기업이 소프트웨어를 제공한다는 이유만으로 자동으로 인증 대상이 되는 것은 아니며, 실제 개인정보 처리 권한과 업무 수행 여부에 따라 구체적으로 판단해야 합니다.

6. 위반 시 매출액을 기준으로 과징금이 부과될 수 있습니다

베트남 개인정보보호법 위반은 사안에 따라 행정제재, 형사책임 및 손해배상책임으로 이어질 수 있습니다. 법률상 조직에 적용되는 행정제재의 최대 상한은 다음과 같습니다.

• 개인정보 매매: 위반으로 얻은 수익의 최대 10배 (수익이 없거나 이 기준으로 산정한 금액이 30억 베트남동 미만인 경우 최대 30억 베트남동 이내에서 산정)

• 국외이전 규정 위반: 전년도 매출액의 최대 5% (전년도 매출이 없거나 이 기준으로 산정한 금액이 30억 베트남동 미만인 경우 최대 30억 베트남동 이내에서 산정)

• 그 밖의 개인정보보호 위반: 최대 30억 베트남동

개인이 같은 위반행위를 한 경우에는 조직에 적용되는 최대 금액의 절반이 상한으로 적용됩니다.

국외이전 관련 제재가 매출액 기준으로 산정될 수 있다는 점에서, 베트남 현지 법인뿐 아니라 한국 본사와 해외 클라우드를 포함한 전체 데이터 이전 방식을 사전에 점검할 필요가 있습니다.

7. 한국 기업이 먼저 점검해야 할 실행 순서

🔹 1단계. 개인정보 처리 현황 파악

베트남 고객·임직원·거래처와 관련하여 수집하는 개인정보의 종류와 처리 목적을 확인합니다. 웹사이트뿐 아니라 CRM, ERP, 이메일, 메신저, 클라우드, CCTV, 출입관리 및 인사시스템까지 포함해야 합니다.

🔹 2단계. 한국 본사와 베트남 법인의 역할 구분

누가 개인정보 처리 목적과 방법을 결정하는지, 누가 실제 처리를 수행하는지를 기준으로 관리자·처리자 또는 관리·처리자에 해당하는지 구분합니다.

🔹 3단계. 개인정보 이동 경로 작성

베트남 이용자에서 현지 법인으로의 수집, 베트남 법인에서 한국 본사로의 이전, 해외 클라우드와 외부 SaaS 이용, 재위탁업체와 제3자 제공, 보관기간 종료 후 삭제·파기 경로를 포함한 데이터 흐름도를 작성합니다.

🔹 4단계. 동의와 개인정보 처리방침 점검

처리 목적별 동의가 구분되어 있는지, 민감정보 처리 사실을 적절하게 안내하는지, 정보주체가 동의를 철회하거나 삭제를 요청할 수 있는 절차가 있는지 확인합니다.

🔹 5단계. 영향평가와 국외이전 서류 준비

개인정보 처리 영향평가와 국외이전 영향평가의 적용 여부를 구분하고, 60일 제출기한과 이후 업데이트 일정을 관리합니다. 예외에 해당하는 경우에도 판단 근거를 내부적으로 남겨두어야 합니다.

🔹 6단계. 위탁·국외이전 계약 정비

한국 본사, 베트남 법인, 클라우드 사업자, CRM, 급여관리 및 마케팅 업체 사이의 계약에 처리 목적과 책임을 구체적으로 반영합니다.

🔹 7단계. 담당자와 사고 대응체계 마련

담당자를 지정하고, 정보주체의 요청과 침해사고를 법정기한 안에 처리할 수 있는 내부 절차를 마련합니다.

8. 자주 묻는 질문 (FAQ)

Q. 베트남에 법인이 없어도 베트남 개인정보보호법이 적용될 수 있나요?

A. 네, 그럴 수 있습니다. 이 법은 베트남 내 기관·기업뿐 아니라, 베트남 국민 등의 개인정보 처리에 직접 참여하거나 관련된 외국 기관·기업에도 적용될 수 있습니다. 법인 설립 여부보다 실제로 베트남 고객이나 임직원의 개인정보를 처리하는지가 판단 기준이 됩니다.

Q. 기존 시행령 제13호를 기준으로 이미 받은 동의나 제출한 영향평가는 다시 준비해야 하나요?

A. 기존 시행령 하에서 진행되던 개인정보 처리는 새로 동의를 다시 받지 않고도 계속할 수 있는 것으로 알려져 있으며, 이미 제출된 영향평가 서류도 원칙적으로 유효성이 유지되는 것으로 보입니다. 다만 해당 서류를 새로 업데이트하는 시점부터는 개인정보보호법과 시행령 제356호의 요건을 따라야 합니다. 개별 사안에 따라 결론이 달라질 수 있으므로 서류별로 확인이 필요합니다.

Q. 한국 본사의 개인정보 처리방침을 베트남어로 번역해서 사용하면 충분한가요?

A. 충분하지 않을 수 있습니다. 베트남 현지 서비스에서 실제로 수집하는 개인정보, 이용 목적, 처리 주체, 해외 수신자, 보관기간 및 정보주체의 권리 행사 방법이 문서에 구체적으로 반영되어야 합니다. 한국 본사와 베트남 법인이 같은 처리방침을 사용하더라도, 각 법인의 역할과 연락처, 개인정보 이전 방식은 구분해 표시해야 합니다.

Q. 스타트업이나 소규모 법인은 예외 없이 모든 의무를 면제받나요?

A. 아닙니다. 일정한 소기업과 스타트업은 법 시행일부터 5년 동안 영향평가와 담당자 지정 등 일부 의무의 적용 여부를 선택할 수 있지만, 개인정보 처리 서비스를 영위하거나 민감 개인정보를 직접 처리하거나 누적 10만 명 이상의 정보주체를 처리하는 기업은 특례 대상에서 제외됩니다. 동의, 정보주체의 권리, 국외이전 관련 의무는 기업 규모와 무관하게 준수해야 합니다.

9. 디센트 법률사무소 국제법무팀이 지원합니다

2026년 시행된 베트남 개인정보보호법은 개인정보 처리방침을 게시하거나 동의서를 받는 것만으로 대응할 수 있는 규제가 아닙니다.

기업은 개인정보 처리 주체의 역할을 구분하고, 개인정보 처리 영향평가와 국외이전 영향평가를 준비해야 합니다. 한국 본사와 베트남 법인, 외부 클라우드 및 업무위탁업체 사이의 계약과 책임도 실제 데이터 흐름에 맞춰 정비해야 합니다.

특히 베트남 고객과 임직원의 개인정보를 한국 본사나 해외 클라우드에서 처리하는 기업은 국외이전 해당 여부와 영향평가 예외 요건을 구체적으로 확인할 필요가 있습니다.

[디센트 법률사무소 – 일본 개인정보보 원스톱 서비스]

🔸 베트남 개인정보보호법 적용 대상 및 역할(관리자·처리자) 판단

🔸 개인정보 처리방침, 동의서 및 정보주체 권리 행사 절차 정비

🔸 개인정보 처리 영향평가 및 국외이전 영향평가 서류 작성 지원

🔸 한국 본사·베트남 법인·클라우드 사업자 간 위탁·이전 계약 검토

🔸 침해사고 대응체계 구축 및 내부 컴플라이언스 점검

디센트 법률사무소 상담 안내 ☎️

[유선 문의] 02-6951-5248

[이메일] admin@decentlaw.io

[주소] 06233 서울특별시 강남구 테헤란로4길 5 (역삼동, 해암빌딩), 7층