베트남 개인정보보호법에서 한국 서비스가 걸리는 조항: 시계는 첫날부터 60일입니다

핵심 요약

베트남 밖에 있는 회사에도 적용됩니다. 제1조 2항 다목이 베트남 시민의 개인정보 처리에 직접 참여하거나 관련된 외국 기관, 조직, 개인을 적용 대상으로 적었습니다. 베트남에 법인이 없어도 베트남 이용자를 받으면 대상입니다.
시계가 두 개 돕니다. 둘 다 60일입니다. 처리 영향평가서는 최초 처리일부터 60일 안에(제21조 1항), 국외이전 영향평가서는 최초 이전일부터 60일 안에(제20조 2항) 전담기관에 원본 1부를 내야 합니다.
한국 서버에서 처리하면 국외 이전입니다. 제20조 1항 다목은 베트남 영토 밖의 플랫폼으로 베트남에서 수집한 개인정보를 처리하는 것을 국외 이전으로 규정합니다. 데이터를 옮기지 않아도 처리 위치가 밖이면 걸립니다.
국외 이전 규정 위반의 제재금 상한은 직전 연도 매출의 5% 입니다. (제8조 4항) 개인정보 매매는 위반으로 얻은 수익의 10배가 상한입니다. (제8조 3항)
다시 동의를 받을 필요는 없습니다. 제39조 1항이 시행 전 구 시행령에 따라 받은 동의를 그대로 인정합니다. 소기업과 스타트업에는 영향평가 조항에 5년의 선택권이 있고(제38조 2항), 그 선택권은 누적 처리 규모가 정보주체 10만 명에 이르는 시점에 끊깁니다. 숫자는 시행령 356/2025 제41조에 있습니다.

문제 정의: 요약본마다 다른 말을 합니다

베트남 개인정보보호법은 2026년 1월 1일부터 시행 중입니다. 그런데 한국어로 도는 요약을 몇 개 읽어 보면 서로 어긋납니다. 어떤 글은 전면 재동의가 필요하다고 하고, 어떤 글은 소기업은 면제라고 합니다.

원인은 확인 경로에 있습니다. 정부 포털에 올라온 원본 파일이 스캔 이미지라 조문 검색이 되지 않습니다. 공안부가 올린 법률 원본은 23쪽, 정부 문서포털의 시행령 356/2025 원본은 71쪽인데, 둘 다 글자가 아니라 사진으로 들어 있습니다. 파일 안에서 글자로 잡히는 것은 전자서명 정보뿐입니다.

그래서 이 글은 조문 본문을 싣는 법령 데이터베이스에서 법률 원문을 읽고, 그 내용이 맞는지 베트남 공안부와 정부 정책포털의 해설과 대조했습니다. 두 정부 출처가 인용한 조문 번호와 문구는 저희가 읽은 본문과 어긋나지 않았습니다. 시행령 356/2025 는 정부 문서포털의 원본 스캔본을 한 쪽씩 판독해 조문 번호를 맞췄습니다.

이 글은 법률 자문이 아닙니다. 조문에 실제로 적혀 있는 것과 저희가 확인하지 못한 것을 갈라 놓은 목록입니다.

베트남 개인정보보호법 적용 대상: 법인이 없어도 걸립니다

제1조 2항은 적용 대상을 셋으로 적습니다.

구분	조문
가목	베트남의 기관, 조직, 개인
나목	베트남에 있는 외국 기관, 조직, 개인
다목	베트남 시민, 그리고 국적이 확정되지 않은 채 베트남에 거주하며 신분증명서를 발급받은 베트남계 사람의 개인정보 처리 활동에 직접 참여하거나 관련된 외국 기관, 조직, 개인

출처: 법률 91/2025/QH15 제1조 2항입니다. 확인일 2026년 8월 24일.

다목이 한국 회사에 해당합니다. 베트남에 법인이나 지점이 없어도, 앱스토어에서 베트남 이용자가 받아 쓰는 서비스를 운영하면 그 처리 활동에 직접 참여하는 쪽입니다.

60일 시계가 두 개 있습니다

이 법에서 실무자가 가장 먼저 확인해야 할 것은 기한입니다. 조문이 정한 기한은 둘이고 둘 다 60일입니다.

서류	기산점	기한	조문
처리 영향평가서	개인정보를 처음 처리한 날	60일	제21조 1항
국외이전 영향평가서	개인정보를 처음 국외로 이전한 날	60일	제20조 2항

출처: 법률 91/2025/QH15 제20조와 제21조입니다. 확인일 2026년 8월 24일. 두 서류 모두 개인정보보호 전담기관에 원본 1부를 보내야 합니다.

이미 베트남에서 영업하던 회사는 시계가 다시 돌지 않습니다. 구 시행령 13/2023 에 따라 작성해 전담기관이 시행 전에 접수한 영향평가서는 그대로 쓰고, 새 법에 맞춰 다시 만들지 않아도 된다고 제39조 2항이 적었습니다. 다만 시행일 이후의 갱신은 새 법을 따릅니다. 60일 시계는 지금부터 베트남 이용자를 처음 받거나 처음 국외로 넘기는 쪽에 걸립니다.

두 서류는 활동 기간 전체에 대해 한 번 작성합니다. (제20조 3항, 제21조 2항) 매년 새로 내는 것이 아니라 제22조에 따라 갱신하는 구조인데, 갱신 주기는 두 갈래입니다. 처리나 이전의 목적이 새로 생기거나 통제자, 처리자, 제3자가 바뀌면 최초 제출일부터 6개월 주기로 갱신하고(제22조 1항), 조직이 개편·해산·파산하거나 개인정보보호 서비스 제공자가 바뀌거나 등록해 둔 처리 관련 업종이 달라지면 즉시 갱신해야 합니다(제22조 2항). 즉시 갱신의 기한을 10일로 못박은 것은 시행령 356/2025 제20조 2항입니다.

제출한 다음도 기한이 있습니다. 전담기관은 15일 안에 적합 여부를 회신하고, 서류가 미비하면 30일 안에 보완하라고 요구합니다. 보완하지 않으면 행정처분 대상이 됩니다. 시행령 356/2025 제18조 5항과 6항(국외이전), 제19조 5항과 6항(처리)입니다. 국외 이전에 대해서는 전담기관이 연 1회를 넘지 않는 정기 점검을 하거나, 위반이 발견되거나 유출 사고가 나면 수시 점검을 할 수 있다고 법률 제20조 4항이 적고 있습니다.

모래시계 두 개가 나란히 놓인 일러스트. 둘 다 위쪽 유리구에서 모래가 같은 속도로 떨어지고 있고 아래는 아직 절반이 비어 있습니다. 처리와 국외 이전에 각각 별도의 기한 시계가 돈다는 것을 나타냅니다.

서버를 옮기지 않아도 국외 이전입니다

제20조 1항은 국외 이전을 셋으로 정의합니다.

베트남에 저장 중인 개인정보를 베트남 영토 밖의 저장 시스템으로 이전하는 것
베트남에 있는 기관, 조직, 개인이 국외의 조직이나 개인에게 개인정보를 이전하는 것
베트남에 있거나 국외에 있는 기관, 조직, 개인이 베트남 영토 밖의 플랫폼을 사용해 베트남에서 수집된 개인정보를 처리하는 것

출처: 법률 91/2025/QH15 제20조 1항입니다. 확인일 2026년 8월 24일.

세 번째가 넓습니다. 한국 회사가 서울 리전에 서버를 두고 베트남 이용자를 받으면, 데이터를 어디로 옮기는 행위가 없어도 여기에 듭니다. 베트남에서 수집된 정보를 베트남 밖 플랫폼에서 처리하고 있기 때문입니다.

면제도 조문에 있습니다. 제20조 6항은 넷을 듭니다.

권한 있는 국가기관의 이전
기관이나 조직이 자기 소속 근로자의 개인정보를 클라우드 서비스에 저장하는 경우
정보주체가 자기 데이터를 스스로 이전하는 경우
정부가 정하는 그 밖의 경우

두 번째 면제는 오프쇼어 개발팀을 둔 회사에 직접 해당합니다. 베트남 현지 직원의 인사 데이터를 회사 클라우드에 두는 것은 국외이전 영향평가 대상에서 빠집니다. 다만 고객 데이터는 다릅니다.

마지막 "그 밖의 경우" 는 정부에 위임된 빈칸이고, 시행령 356/2025 제17조 3항이 이 칸을 다섯 가지로 채웠습니다. 언론과 미디어 활동, 법에 따라 이미 공개된 개인정보의 이전, 생명·건강·재산을 지키기 위한 긴급 상황과 법정 의무 이행, 노동 규칙과 단체협약에 따른 국경 간 인사 관리, 국제 운송·물류·송금·결제·호텔·비자·장학금 신청에 필요한 계약과 절차입니다.

이 가운데 국경 간 인사 관리가 한국 본사와 베트남 법인을 함께 운영하는 구조를 덮습니다. 사내 노동 규정과 단체협약에 근거가 있어야 한다는 조건이 붙습니다. 앞의 법률 면제가 자사 근로자 데이터의 클라우드 저장만 가리켰다면, 시행령은 인사 관리 목적의 국외 이전 자체를 국외이전 영향평가 대상에서 뺐습니다.

동의는 목적마다 따로 받아야 합니다

제9조가 동의의 유효 요건을 적어 두었습니다. 한국의 실무와 다른 지점이 셋입니다.

목적마다 각각 동의를 표시해야 합니다. (제9조 4항 가목) 한 번의 체크로 여러 목적을 묶는 형태가 조문과 어긋납니다.
합의 내용과 다른 목적에 대한 동의를 강제 조건으로 붙이지 못합니다. (제9조 4항 나목) 마케팅 수신에 동의해야 가입이 되는 화면이 여기에 걸립니다.
침묵이나 무응답은 동의로 보지 않습니다. (제9조 4항 라목) 기본 선택 상태로 두고 넘어가는 방식이 인정되지 않습니다.

동의의 형식도 조문에 있습니다. 명확하고 구체적인 방식으로 표시되어야 하고, 인쇄하거나 문서로 복사할 수 있어야 하며, 전자적 형태나 검증 가능한 형식을 포함한다고 제9조 3항이 적었습니다. 동의 로그를 남기는 방식이 사실상 요구되는 문장입니다.

동의가 유효하려면 자발적이어야 하고, 정보주체가 처리되는 개인정보의 종류와 목적, 개인정보 통제자 또는 통제·처리자가 누구인지, 자신의 권리와 의무가 무엇인지를 알고 있어야 한다고 같은 조 2항이 적고 있습니다. (출처: 법률 91/2025/QH15 제9조, 확인일 2026년 8월 24일)

유출 통지는 72시간입니다

제23조 1항은 국방, 안보, 사회질서에 손해를 주거나 정보주체의 생명, 건강, 명예, 존엄, 재산을 침해할 수 있는 위반을 발견하면 발견 시점부터 늦어도 72시간 안에 전담기관에 통지하라고 적습니다.

72시간 통지 의무를 지는 쪽은 개인정보 통제자, 통제·처리자, 그리고 제3자입니다. 처리자가 위반을 발견한 경우에는 통제자나 통제·처리자에게 지체 없이 알리도록 하고 있습니다. 개발을 베트남 업체에 맡긴 구조라면 이 통지 경로를 계약서에 넣어 두셔야 합니다. 전담기관에 직접 통지할 의무는 발주사 쪽에 남고, 개발사는 발주사에 알릴 의무를 집니다.

위치정보와 생체정보는 한 겹 더 있습니다. 시행령 356/2025 제29조 1항은 이 두 종류가 걸린 사고에서 영향을 받은 정보주체 본인에게도 발견 시점부터 72시간 안에 알리라고 적었습니다. 기술적 사정으로 전원에게 알릴 수 없으면 자사 웹사이트나 앱에 공개 통지를 올리고 가능해지는 즉시 개별 통지를 보내야 하며, 사고 기록은 복구 완료일부터 최소 5년 보관합니다.

소셜과 온라인 커뮤니케이션 서비스는 조항이 하나 더 있습니다

제29조는 소셜네트워크 서비스와 온라인 커뮤니케이션 서비스 제공자에게 여섯 가지 책임을 지웁니다. 그중 두 가지가 한국 서비스의 기존 설계와 부딪칩니다.

신분증명서의 전부 또는 일부가 담긴 사진이나 영상을 계정 인증 수단으로 요구하지 못합니다. (제29조 2항) 신분증 촬영으로 본인 확인을 하는 화면이 여기에 걸립니다.
쿠키 수집과 공유를 거부할 선택지를 제공해야 합니다. (제29조 3항) 사용 활동 추적은 "추적 안 함" 선택지를 주거나, 이용자 동의를 받은 경우에만 할 수 있습니다. (제29조 4항)

나머지는 수집 항목 고지와 합의 범위 밖 수집 금지(1항), 동의 없는 통화 도청·녹음과 문자 열람 금지(5항), 처리방침 공개와 접근·수정·삭제 수단 제공(6항)입니다. (출처: 법률 91/2025/QH15 제29조, 확인일 2026년 8월 24일)

이 조항의 적용 범위가 어디까지인지는 조문만으로 딱 떨어지지 않습니다. 조문은 소셜네트워크 서비스와 온라인 커뮤니케이션 서비스를 대상으로 적었는데, 시행령 356/2025 는 제29조를 상세 규정 대상 목록(시행령 제1조)에 넣지 않았습니다. 커뮤니티 기능이 붙은 커머스 앱이 여기에 드는지는 법률과 시행령 어느 쪽에서도 확인하지 못했습니다.

채용과 인사 데이터도 조문에 있습니다

제25조는 채용, 재직 관리, 기술적 수단으로 모은 근로자 정보 셋으로 나눠 적습니다.

단계	의무
채용 (1항)	채용 목적에 맞는 정보만 요구할 수 있고, 제공된 정보는 채용 목적과 합의된 목적에만 사용합니다. 정보 처리에는 지원자 동의가 필요합니다. 불채용 시 제공받은 정보를 삭제·파기해야 합니다(지원자와 다른 합의가 있는 경우 제외)
재직 관리 (2항)	근로자 개인정보를 법정 기간 또는 합의된 기간 동안 보관하고, 계약 종료 시 삭제·파기해야 합니다(합의나 법률에 다른 정함이 있는 경우 제외)
기술적 수단 (3항)	근로자 관리를 위해 기술적 수단으로 개인정보를 모을 때는 근로자가 그 수단을 분명히 아는 상태여야 하고, 그렇게 모은 정보를 법에 어긋나게 처리하거나 사용할 수 없습니다

출처: 법률 91/2025/QH15 제25조입니다. 확인일 2026년 8월 24일.

베트남에 개발팀을 두거나 현지 채용을 진행하는 회사라면 지원자 이력서 보관 기간부터 정리해야 합니다. 한국에서 흔한 인재풀 보관은 지원자와의 별도 합의가 있어야 조문에 맞습니다. 3항은 근태 시스템, 사내 메신저 로그, 업무용 단말 모니터링처럼 기술로 모으는 정보에 붙습니다. 근로자가 그 수단의 존재를 알고 있어야 한다는 조건이 핵심입니다.

제재금 상한은 매출 비례입니다

위반 유형	상한	조문
개인정보 매매	위반으로 얻은 수익의 10배	제8조 3항
국외 이전 규정 위반	조직의 직전 연도 매출의 5%	제8조 4항

출처: 법률 91/2025/QH15 제8조입니다. 확인일 2026년 8월 24일. 두 조항 모두 수익이 없거나 산출액이 5항의 정액 상한보다 낮으면 5항의 정액 상한을 적용한다고 적혀 있습니다. 그 밖의 위반에 대한 정액 상한은 30억 동입니다(5항). 이 상한들은 조직 기준이고, 같은 위반을 개인이 하면 상한이 절반입니다(6항). 제8조는 이 금액을 행정처분상의 벌금 상한으로 적고, 형사책임과 손해배상은 별도로 둡니다(1항).

매출의 5% 는 이익이 아니라 매출 기준입니다. 직전 연도 매출이 100억 원인 회사라면 상한이 5억 원입니다. 상한이므로 실제 부과액은 사안에 따라 다르지만, 기준선이 어디에 그어져 있는지는 알고 계셔야 합니다.

실무 관점: 화면에서 먼저 고칠 것

조문을 읽고 나면 개발 일감으로 바뀌는 항목이 넷입니다. 저희가 조문을 근거로 정리한 것이고, 실제 적용 판단은 현지 자문이 필요합니다.

가입 화면의 동의 묶음을 목적별로 쪼갭니다. 필수와 선택을 나누는 것으로는 부족하고, 목적마다 별도의 표시가 있어야 합니다. (제9조 4항 가목)
동의 이력을 내보낼 수 있게 만듭니다. 조문이 인쇄하거나 문서로 복사할 수 있는 형태를 요구합니다. 동의 시각, 동의 항목, 표시 문구를 함께 남겨 두면 그 요구를 충족하기 쉬워집니다. (제9조 3항)
본인 확인 흐름에서 신분증 촬영을 뺄 수 있는지 검토합니다. 소셜네트워크와 온라인 커뮤니케이션 서비스에는 신분증 사진을 계정 인증 수단으로 요구하지 못한다는 조문이 붙습니다. (제29조 2항)
개인정보보호 담당자를 지정할지 외부에 맡길지 정합니다. 시행령 356/2025 제13조 2항은 내부 담당자에게 전문대 이상 학력, 졸업 시점부터 2년 이상의 관련 경력, 개인정보보호 법률지식과 실무기술 교육 이수를 요구합니다. 인정되는 경력 분야는 법무, 정보기술, 정보보안, 데이터보안, 리스크 관리, 컴플라이언스, 인사, 조직 인사입니다. 지정은 구두로 되지 않고 기관·조직의 공식 문서로 해야 합니다(같은 조 1항).

저희가 확인하지 못한 것

정직하게 적어 둡니다. 끝까지 가리지 못한 것은 하나입니다.

제29조가 어디까지 적용되는지 모릅니다. 조문은 소셜네트워크 서비스와 온라인 커뮤니케이션 서비스를 대상으로 적었을 뿐 그 범위를 정의하지 않았고, 시행령 356/2025 도 제29조를 상세 규정 대상에 넣지 않았습니다. 커뮤니티나 채팅 기능이 붙은 커머스 앱이 이 조항의 대상인지는 지금 나와 있는 조문으로는 가릴 수 없습니다.

요약본마다 말이 갈리던 두 가지는 시행령 원본에서 풀렸습니다. 소기업 예외가 끊기는 기준은 누적 정보주체 10만 명이고(시행령 제41조), 개인정보보호 담당자의 자격 요건은 전문대 이상 학력과 졸업 후 2년 경력입니다(시행령 제13조 2항). 둘 다 법률 본문이 아니라 시행령에 있어서, 법률만 읽으면 나오지 않습니다.

자주 묻는 질문

기존 이용자 동의를 다시 받아야 하나요

제39조 1항 기준으로는 아닙니다. 시행 전 구 시행령 13/2023 에 따라 받은 동의나 합의로 진행 중인 처리는 그대로 계속할 수 있고 다시 동의를 받지 않아도 된다고 적혀 있습니다.

베트남에 서버를 두면 국외 이전 문제가 없어지나요

서버 위치만 바꿔서는 끝나지 않습니다. 제20조 1항 다목의 국외 플랫폼 처리에서는 빠지지만, 나목은 베트남에 있는 기관·조직·개인이 국외의 조직이나 개인에게 개인정보를 이전하는 것도 국외 이전으로 봅니다. 한국 본사나 본사 시스템으로 데이터를 넘기면 여기에 걸립니다. 시행령 356/2025 제17조 1항 가목은 베트남에서 수집·저장한 개인정보를 국외 서버로 옮기는 것뿐 아니라 외국 사업자의 클라우드 서비스에 두는 것까지 국외 이전에 넣었습니다. 처리 영향평가서 의무(제21조)는 어느 경우에나 남습니다.

스타트업은 안 해도 되나요

제38조 2항이 5년의 선택권을 주는 대상은 소기업과 스타트업이고, 개인정보 처리 서비스업이거나 민감정보를 직접 처리하거나 다수 정보주체를 처리하면 제외됩니다. 시행령 356/2025 제41조 1항이 그 "다수" 를 누적 처리 총량 기준 정보주체 10만 명으로 못박았습니다. 개인사업자와 초소기업은 5년이 아니라 기간 제한 없이 면제이고, 예외 사유는 소기업과 같습니다(같은 조 2항). 선택권의 대상 조항도 제21조, 제22조, 제33조 2항으로 한정돼 있습니다. 동의 요건이나 유출 통지는 유예 대상이 아닙니다.

결론

베트남 개인정보보호법을 서비스 관점에서 다시 쓰면 확인 순서는 이렇습니다.

적용 대상인지 먼저 확인합니다. 베트남 이용자의 개인정보를 처리하면 법인 유무와 무관하게 대상입니다. (제1조 2항)
국외 이전에 해당하는지 봅니다. 베트남 밖 플랫폼에서 처리하면 해당합니다. 자사 근로자 데이터의 클라우드 저장은 면제입니다. (제20조)
60일 시계 두 개를 달력에 적습니다. 처리 시작일과 최초 이전일이 기산점입니다. (제20조 2항, 제21조 1항)
가입 화면을 목적별 동의로 바꿉니다. 묶음 동의, 강제 동의, 기본 선택 상태 셋 다 조문과 부딪칩니다. (제9조 4항)
유출 통지 72시간 경로를 계약서에 넣습니다. 수탁 개발사가 발견했을 때의 통지 의무를 명시하십시오. (제23조 1항)
인사 데이터 보관 기간을 정리합니다. 불채용 지원자 정보와 퇴사자 정보에 삭제 의무가 붙습니다. (제25조)

모든 조문은 2026년 8월 24일에 법률 91/2025/QH15 의 본문을 직접 열어 확인하고, 베트남 공안부와 정부 정책포털의 해설, 그리고 정부 문서포털에 올라온 시행령 356/2025 원본과 대조한 값입니다. 이 글은 법률 자문이 아니므로 실제 서류 제출 전에 현지 법률 자문을 받으시기를 권장합니다.

같은 베트남 진출 계산의 다른 항목입니다.