핵심 요약
베트남 개인정보보호법(PDPL, 법률 제91/2025/QH15호)이 2025년 1월 1일부로 시행되면서, 기업의 데이터 컴플라이언스 기준이 단순한 정책 문서 작성에서 ‘운영상 증명 가능한 책임’으로 전환되고 있습니다. 특히 개인정보 침해 발생 시 일정 요건 하에 72시간 이내 신고 의무가 적용될 수 있어, 기업들은 데이터 가시성과 내부 거버넌스 체계를 실질적으로 강화해야 합니다. 탈레스(Thales)의 ASEAN 담당 부사장 가렌 링(Garen Ling)은 이번 법이 기업에게 법적 체크리스트를 넘어선 진정한 디지털 신뢰 구축을 요구한다고 강조했습니다.
상세 내용
컴플라이언스의 패러다임 전환: 의도에서 증거로
베트남 PDPL은 기존 정령 13호(Decree 13) 체계를 기반으로, 개인정보 보호에 관한 보다 명확한 법적 근거를 마련했습니다. 이전까지 기업들은 개인정보처리방침 수립, 동의서 확보, 내부 지침 마련 등 ‘의도’를 선언하는 방식으로 대응해 왔습니다. 그러나 이번 법은 한 단계 더 나아가, 실제 운영 현장에서 개인정보가 어떻게 처리되는지를 입증할 수 있어야 한다고 요구합니다.
72시간 신고 의무와 ‘탐지 역량’의 중요성
법의 핵심 조항 중 하나는 피해를 초래할 가능성이 있는 개인정보 침해에 대해 탐지 후 일정 요건 충족 시 72시간 이내에 관계 당국에 신고해야 한다는 점입니다. 여기서 핵심 단어는 ‘탐지(detection)’입니다. 기업이 침해 사실을 인지하지 못했다면 제때 신고할 수 없으며, 어떤 데이터가 영향을 받았는지조차 파악할 수 없습니다. 많은 기업들이 이 요건을 충족하지 못하는 이유는 의지 부족이 아니라 데이터 가시성(data visibility)의 부재에 있습니다.
기업이 답해야 할 핵심 질문들
PDPL 준수를 위해 이사회, 경영진, 최고정보보호책임자(CISO)는 다음 질문에 명확히 답할 수 있어야 합니다: ▲개인정보는 어디에 저장되어 있는가? ▲누가 접근 권한을 보유하는가? ▲어떻게 보호되고 있는가? ▲언제, 누구와 공유되는가? ▲침해 발생 시 얼마나 신속하게 대응할 수 있는가? 이러한 질문들은 단순한 IT 보안 문제가 아니라 기업 거버넌스와 경영 신뢰도의 문제입니다.
데이터 보호는 디지털 비즈니스의 운영 허가증
베트남의 디지털 경제는 이제 ‘얼마나 빠르게 디지털화할 수 있는가’를 넘어 ‘신뢰를 갖춘 디지털화가 가능한가’를 묻고 있습니다. 개인정보 침해는 규제 대응을 촉발하는 데 그치지 않고, 고객 신뢰 하락, 파트너사와의 관계 악화, 이해관계자의 감시 강화 등 광범위한 비즈니스 리스크로 이어질 수 있습니다.
시사점
- 실질적인 데이터 거버넌스 체계 구축 시급: 베트남에 법인을 운영 중인 한국 기업은 개인정보처리방침 문서 보유에 그치지 않고, 실제 데이터 흐름 파악·접근 권한 관리·침해 탐지 시스템 등 운영 수준의 컴플라이언스 체계를 갖춰야 합니다.
- 72시간 신고 의무 대응 프로세스 사전 마련: 침해 발생 시 신속한 대응을 위한 내부 보고 체계, 담당자 지정, 당국 신고 절차를 미리 수립해 두어야 하며, 정기적인 모의 훈련도 권장됩니다.
- 데이터 보호를 경영 리스크 관점에서 접근: PDPL 위반은 규제 제재를 넘어 고객 신뢰 손상, 파트너십 위기 등 경영 전반에 영향을 미칠 수 있으므로, 이사회·최고경영진 차원에서 데이터 보호 거버넌스를 의제화하는 것이 필요합니다.
