핵심 요약
베트남 정부는 2026년 8월 19일 제330/2026/ND-CP호 시행령(Decree 330)을 즉시 효력으로 발효하였습니다. 이 시행령은 사이버보안 및 개인정보보호 위반에 대한 행정처벌 체계를 구체화한 것으로, 기존 개인정보보호법(제91/2025/QH15호) 및 시행령 제356/2025/ND-CP호의 의무 조항을 실질적으로 집행할 수 있는 법적 수단을 당국에 부여합니다. 외국인투자기업(FIE) 및 다국적기업을 포함한 베트남 내 운영 기업 모두가 적용 대상이며, 위반 시 매출액의 최대 5%, 또는 불법 데이터 거래 수익의 최대 10배에 달하는 제재가 부과될 수 있습니다.
상세 내용
제재 구조와 처벌 수위
Decree 330은 고정 벌금, 불법 데이터 거래 수익 연동 벌금, 해외 데이터 이전 위반 관련 매출 연동 벌금 등 복합적인 처벌 구조를 도입하였습니다. 불법 데이터 거래의 경우 수익의 최대 10배까지 제재가 가능하며, 기타 개인정보보호 위반의 법정 상한은 30억 베트남 동(VND 3 billion)입니다. 특히 제56조는 베트남 현지 매출의 최대 5%를 벌금으로 부과할 수 있는 조항으로, 100만 명 이상의 베트남 시민 정보가 관련된 중대한 해외 이전 위반에 적용됩니다.
개인·법인 간 벌금 기준 구분
시행령은 개인정보보호 섹션에서는 법인 기준 금액을 직접 명시하는 반면, 사이버보안 섹션에서는 개인 기준 금액을 제시하고 법인에는 이를 2배로 적용하는 구조를 취하고 있습니다. 따라서 기업 내부 위험 산정이나 본사 보고 시 해당 조항을 정확히 확인한 후 벌금 수치를 적용해야 합니다.
적용 범위: 해외 법인도 예외 없음
제2조는 베트남 내 법인뿐 아니라 베트남 시민의 개인정보를 처리하는 해외 기업 및 서비스 제공자에게도 적용됩니다. 베트남 내 사무소가 없거나 해외에 법인이 설립되어 있다고 해서 자동으로 적용 제외되지 않습니다. 채용·급여·고객관리·디지털 마케팅·IT 아웃소싱 등 다양한 비즈니스 활동이 규제 대상에 포함되어, 제조업체와 소매업체도 IT 기업 못지않은 규제 노출 위험을 안게 됩니다.
소급 적용 및 계속적 위반 처리
제81조에 따라 원칙적으로 위반 행위 당시 시행 중이던 규정을 적용하되, Decree 330이 더 가벼운 처벌을 규정한 경우에는 Decree 330을 적용합니다. 중요한 점은 과거 시작된 위반이라도 Decree 330 발효 이후까지 계속되고 있다면 새 시행령의 적용을 받을 수 있다는 것입니다. 위반의 ‘시작 시점’만으로 종료 여부를 판단할 수 없으므로, 현재 진행 중인 데이터 처리 관행을 즉시 점검해야 합니다.
시사점
- 즉각적인 컴플라이언스 점검 필요: 베트남에 진출한 한국 기업은 고객 데이터 처리, 한국 본사로의 데이터 이전, HR 플랫폼 및 클라우드 서비스 운영 방식이 Decree 330 요건을 충족하는지 지금 바로 검토해야 합니다. 특히 100만 명 이상의 베트남 고객 데이터를 취급하는 기업은 매출 연동 고액 제재 위험에 직접 노출될 수 있습니다.
- 그룹사 간 데이터 공유 구조 재검토: 지역 HR 플랫폼, 해외 클라우드 스토리지, 본사와의 정보 공유는 여러 그룹 법인이 관여하는 복잡한 구조로, 각 주체별 책임 범위가 별도로 적용됩니다. 한국 본사와의 개인정보 공유 절차에 대한 법적 근거(동의·계약·영향평가 등)를 명확히 마련해야 합니다.
- 사전 예방적 접근이 비용 절감: 행정처벌 외에도 당국은 불법 처리 데이터의 삭제 명령 및 처리·이전 중단 명령을 내릴 수 있어 사업 운영에 직접적 타격이 생길 수 있습니다. 위반 적발 후 대응보다 사전 컴플라이언스 체계 구축이 장기적으로 비용과 리스크를 모두 줄이는 가장 효과적인 방법입니다.
출처: Vietnam Briefing
