먼저 답부터
베트남 개인정보보호법(법률 제91/2025/QH15호)은 2026년 1월 1일부터 시행되었습니다. 웹사이트가 양식을 통해 이름, 전화번호, 이메일을 수집한다면 목적별로 명확한 동의를 받고, 개인정보 처리방침을 공개하며, 필요한 정보만 수집하고, 유출 시 대응 방법을 갖추는 것이 좋습니다. 이 글은 일반 정보이며 법률 자문이 아닙니다.
핵심 정리
- 법률 제91/2025/QH15호는 2025년 6월 26일 국회를 통과했고 2026년 1월 1일부터 시행되었습니다.
- 동의는 자발적이고 정보주체가 데이터 유형, 목적, 처리자, 자신의 권리를 알고 있을 때만 유효하며, 침묵은 동의가 아닙니다.
- 목적마다 별도의 동의가 필요하며 다른 목적에 대한 동의를 강제할 수 없습니다.
- 피해 가능성이 있는 위반을 발견하면 개인정보 관리자는 72시간 이내에 전담 기관에 통지해야 합니다.
- 개인사업자(business household)와 초소규모 기업은 영향평가 서류 등 일부 의무가 면제되지만, 민감정보나 다수의 개인정보를 처리하는 경우는 예외입니다.
문의 양식이 있는 작은 웹사이트도 개인정보보호법의 적용을 받나요?
받을 수 있습니다. 이 법은 베트남에서 개인정보를 처리하는 기관, 조직, 개인에게 적용되기 때문입니다. 웹사이트가 이름, 전화번호, 이메일 또는 양식에 입력된 내용을 수집한다면 개인정보를 수집하고 처리하는 것입니다.
법률 제91/2025/QH15호는 2025년 6월 26일 통과되어 2026년 1월 1일부터 시행되었으며, 시행령 제356/2025/ND-CP호가 세부 사항을 안내합니다. 의무의 정도는 규모와 처리하는 데이터 유형에 따라 다르지만 기본 원칙은 작은 웹사이트에도 적용됩니다.
- 일반 개인정보: 이름, 전화번호, 이메일, 주소.
- 더 신중해야 하는 민감정보: 건강, 금융, 위치, 아동 정보.
- 모든 문의 양식, 예약 양식, 뉴스레터 가입 양식이 개인정보를 수집합니다.
고객의 동의가 유효하려면 어떻게 해야 하나요?
제9조에 따르면 동의는 자발적이어야 하며, 정보주체가 어떤 데이터가 왜 처리되는지, 관리자가 누구인지, 자신의 권리와 의무가 무엇인지 명확히 알아야 유효합니다. 동의는 명시적이고 구체적이어야 하며 전자 형태를 포함해 인쇄하거나 텍스트로 복사할 수 있어야 합니다.
또한 목적별 동의, 다른 목적에 대한 동의 강제 금지, 침묵이나 무응답은 동의가 아니라는 원칙이 있습니다. 따라서 미리 체크된 박스나 "제출하면 모든 약관에 동의한 것으로 간주합니다" 같은 문구는 피하는 것이 좋습니다.
- 양식 아래에 체크되지 않은 동의 체크박스를 두고 개인정보 처리방침 링크를 함께 제공하세요.
- 문의 응대에 대한 동의와 마케팅 이메일 수신 동의를 분리하세요.
- 데이터의 사용 목적, 처리자, 동의 철회 방법을 명시하세요.
- 요청 시 증명할 수 있도록 동의 시점과 내용을 기록하세요.
기본 수준의 준수를 위해 웹사이트에 무엇이 필요한가요?
서비스 소개용 웹사이트라면 최소한 개인정보 처리방침, 양식의 동의 박스, 필요한 데이터만 수집하는 원칙, 고객 요청 처리 방법이 필요합니다. 아래 항목은 법의 원칙에 근거한 실무 제안이며 모든 경우에 대한 완전한 필수 목록은 아닙니다.
| 항목 | 해야 할 일 | 주요 근거 |
|---|---|---|
| 개인정보 처리방침 | 수집 데이터, 목적, 보관 기간, 고객 권리, 연락 채널을 담은 별도 페이지 | 제3, 4, 9조 |
| 양식 동의 | 체크되지 않은 박스, 목적별로 분리 | 제9조 |
| 수집 최소화 | 꼭 필요한 항목만 요청(보통 이름과 전화번호) | 제3조 |
| 고객 권리 | 데이터 열람, 정정, 삭제 또는 동의 철회를 위한 이메일이나 양식 | 제4조 |
| 기술적 보안 | HTTPS, 고객 데이터 접근 제한, 공개 채널로 고객 데이터 전송 금지 | 제3, 12조 |
| 사고 대응 절차 | 담당자를 정해 두고 유출 시 신속히 통지 | 제23조 |
개인정보가 유출되거나 분실되면 어떻게 하나요?
제23조에 따라 국가 안보나 질서, 또는 정보주체의 생명, 건강, 명예, 재산에 피해를 줄 가능성이 있는 위반을 발견하면, 개인정보 관리자는 72시간 이내에 개인정보보호 전담 기관에 통지해야 합니다. 처리자가 위반을 발견하면 관리자에게 즉시 알려야 합니다.
사건을 기록하고 결과를 수습하며 당국과 협조하는 것도 필요합니다. 작은 웹사이트에서는 누가 알림을 받고, 누가 비밀번호를 바꾸고, 누가 고객에게 연락하고, 누가 경과를 기록할지 미리 정해 두는 것이 현실적인 준비입니다.
- 고객 데이터를 볼 수 있는 계정 목록을 관리하고 2단계 인증을 사용하세요.
- 고객 데이터를 공개 공유된 스프레드시트에 저장하지 마세요.
- 백업과 접근 권한 관리가 명확한 웹사이트 제작사를 이용하세요.
개인사업자와 소규모 기업은 면제되는 의무가 있나요?
일부만 있습니다. 제38조에 따라 개인사업자(business household)와 초소규모 기업은 제21조와 제22조(개인정보 처리 영향평가 서류), 제33조 제2항(개인정보보호 담당 부서 또는 인력 지정)을 이행할 의무가 없습니다. 소규모 기업과 스타트업은 법 시행일부터 5년 동안 이 내용을 이행할지 선택할 수 있습니다.
예외로, 개인정보 처리 서비스를 제공하거나 민감정보를 직접 처리하거나 다수의 개인정보를 처리하는 경우에는 이 면제가 적용되지 않습니다. 동의, 보안, 유출 통지 같은 일반 의무는 여전히 적용됩니다. 자사의 경우는 변호사나 담당 기관에 확인하세요.
쿠키, Google Analytics, 광고 픽셀도 동의가 필요한가요?
행동 기반 또는 맞춤형 광고를 운영한다면 별도 규정이 있습니다. 제28조 제8항에 따르면 행동 기반, 타기팅, 맞춤형 광고에 개인정보를 사용하는 자는 웹사이트, 포털, 애플리케이션을 모니터링하여 데이터를 수집할 때 정보주체의 동의를 받아야 하며, 데이터 공유를 거부할 수 있는 방법도 마련해야 합니다.
따라서 웹사이트에서 광고 픽셀이나 측정 도구를 쓴다면, 쿠키 안내를 표시하고 거부를 허용하며 동의 후에만 추적 도구를 불러오는 것이 신중한 방법입니다. 제29조의 쿠키 거부 옵션 의무는 소셜 미디어 플랫폼과 온라인 커뮤니케이션 서비스에 대해 정해져 있습니다. 세부 규정이 추가로 나올 수 있으니 주기적으로 확인하세요.
