베트남, 동의 위반 과징금 최대 7천만 동…개인정보 침해에는 더 큰 제재

침묵을 개인정보 이용 동의로 간주할 수 없다

2026년 8월 19일 발효된 베트남 정부 시행령 제330/2026/ND-CP호는 개인의 침묵을 개인정보 수집 또는 처리에 대한 동의로 간주할 경우 5천만~7천만 동의 과태료를 부과한다. 당사자가 처리 중단 또는 제한을 요청했거나 관할 기관이 서면으로 이를 명령한 뒤에도 고의로 처리를 계속한 경우에도 같은 과태료 구간이 적용된다.

동의 규정은 훨씬 광범위한 제재 체계의 일부다. 개인정보의 국외 이전과 관련된 특정 위반에는 전년도 매출액의 최대 5%에 해당하는 과태료가 부과될 수 있다. 그 밖의 개인정보 위반에는 최대 30억 동의 과태료가 부과될 수 있으며, 불법 데이터 거래에는 거래액의 배수를 기준으로 한 제재가 적용될 수 있다.

8월 26일 자 베트남 정부의 공표된 시행령 전문에 따르면, 이 제재 체계는 4개 장, 82개 조항으로 구성된다. 사이버보안, 소셜미디어, 정보시스템, 개인정보 보호를 다루며, 경고와 과태료를 주요 제재로 규정한다.

앱을 이용하거나 온라인으로 쇼핑하고 광고 메시지를 받는 사람에게 실질적으로 중요한 것은 통제권이다. 기업은 정보를 이용할 법적 근거를 갖추고 관련 목적을 설명하며, 처리 중단 요청을 존중해야 한다. 기업은 과태료뿐 아니라 영업정지, 불법 처리 데이터 삭제, 부당이득 반환 등의 처분을 받을 수도 있다.

유효한 동의란 무엇인가?

제43조 제1항은 다양한 동의 관련 위반에 3천만~5천만 동의 과태료를 부과한다. 법률상 동의가 필요한데도 이를 받지 않고 개인정보를 처리하거나, 동의 항목을 기본 설정으로 지정하거나, 동의와 거부 중 무엇을 선택하는지 혼동하게 하는 불명확한 안내를 제시하는 행위가 이에 포함된다.

기업은 명확하고 구체적이며 확인 가능한 방식으로 동의를 받아야 한다. 누가 언제 무엇에 동의했는지 입증할 수 있어야 한다. 이용자는 처리 목적별로 각각 선택할 수 있어야 한다.

예를 들어 쇼핑 서비스는 주문을 이행하기 위해 정보가 필요할 수 있다. 시행령은 이 서비스 이용을 개인정보의 무관한 용도에 대한 동의와 연계하는 행위를 다룬다. 이용자는 약속된 서비스를 받기 위해 추가 목적까지 수락해야 하는 것이 아니라, 해당 목적에 대해 별도로 선택할 수 있어야 한다.

제43조는 처리하는 데이터 유형, 처리 목적, 당사자의 권리와 의무, 처리 책임 기관에 대한 설명이 불완전한 경우도 규정한다. 동의 기록을 보관하지 않은 경우에도 제재를 받을 수 있다. 따라서 기업은 유효한 동의 절차뿐 아니라 절차가 제대로 진행됐다는 증거도 갖춰야 한다.

민감정보에는 추가 보호가 적용된다. 민감정보를 처리한다는 사실을 당사자에게 알리지 않으면 3천만~5천만 동의 과태료 구간에 해당한다. 기업은 보유 정보의 종류를 파악하고 이에 맞는 보호조치를 적용해야 한다.

7천만 동은 전체 제재의 일부일 뿐

동의 위반에 대한 최고 과태료는 낮은 과태료 구간의 상한보다 2천만 동 높은 7천만 동이다. 이 상위 구간은 두 가지 행위를 겨냥한다. 침묵을 동의로 간주하는 행위와 처리 중단 또는 제한 요청을 고의로 무시하는 행위다.

전체 제재 체계에서 사이버보안 위반의 과태료 상한은 법인의 경우 2억 동, 개인의 경우 1억 동이다. 개인정보 보호에는 정액 과태료 구간, 불법 거래액과 연동된 제재, 매출액과 연동된 제재 등 별도의 구조가 적용된다.

EY의 10월 법률 경보는 불법 개인정보 거래에 대해 거래액의 2~10배에 해당하는 과태료가 부과될 수 있다고 설명한다. 거래액은 비용을 공제하지 않고 계약서, 송장, 결제 기록, 메시지, 은행 거래내역 등의 증거를 바탕으로 산정한다고 밝혔다.

국외 이전과 관련된 일부 중대 위반에는 매출액의 1~5%에 해당하는 과태료가 부과된다. EY는 베트남 국민 1만 명 이상에 관한 데이터의 손실 또는 유출을 초래한 이전이 이 범주에 해당한다고 설명하고, 피해자가 100만 명 이상인 경우 최고 5% 구간이 적용된다고 밝혔다. EY의 표는 과태료 상한을 전년도 베트남 내 매출액의 일정 비율로 제시하며, 해당 연도 매출이 없으면 30억 동을 상한으로 둔다.

외국 기업에도 규정 적용

시행령 제330호는 베트남인과 외국인 개인 및 단체에 적용된다. 적용 대상에는 통신, 인터넷, 온라인 콘텐츠, 정보기술, 사이버보안 또는 국경 간 서비스를 제공하는 요건 충족 외국 기업과, 규정의 적용을 받는 베트남 개인정보 처리에 관여하는 외국 단체가 포함된다.

보호 대상에는 베트남 국민과, 베트남에 거주하며 신분증명서는 있으나 국적이 아직 확인되지 않은 베트남계 주민이 포함된다. 따라서 기업은 제공하는 서비스와 처리하는 정보의 당사자를 고려하는 것과 함께, 데이터가 해외에 있다는 점도 평가해야 한다.

Tilleke & Gibbins는 제재 시행령 분석에서 공안부가 개인정보 보호와 사이버보안을 담당하는 기관이라고 밝혔다. 이 분석은 해당 시행령이 개인정보 보호법과 사이버보안법상의 의무를 세부 행정 제재 체계로 뒷받침한다고 설명한다.

베트남 밖에서 사업을 운영하는 기업은 자사의 서비스와 처리 활동이 적용 범위에 포함되는지 확인해야 한다. 광고 시스템, 고객 데이터베이스, 해외 서비스 제공업체로의 이전은 모두 관련 조항에 따라 검토할 필요가 있다.

광고 명단에는 적법한 근거가 필요하다

제37조는 원치 않는 광고 이메일과 메시지, 그 밖의 온라인 광고 규정 위반을 다룬다. 광고에 사용한 정보가 불법으로 수집된 경우에는 제48조도 적용될 수 있다. 따라서 광고 행위와 그 기반이 되는 데이터 수집은 각각 별도의 준수 문제를 낳는다.

전화번호 명단을 구매하는 기업은 데이터의 출처, 이용의 법적 근거, 수집 목적을 확인해야 한다. 또한 당사자가 광고 수신이나 관련 정보 공유를 거부할 수 있는 방법을 제공해야 한다.

제43조는 이 과정에 동의 규정을 적용한다. 동의 요청에 답하지 않은 수신자는 동의한 것이 아니다. 중단 또는 제한 요청 이후에도 고의로 처리를 계속하는 기업은 5천만~7천만 동의 상위 과태료 구간에 해당한다.

EY는 제휴 광고 네트워크에 개인정보를 공개하는 것을 기본 동의로 설정한 경우에 대한 별도 제재도 언급한다. 이러한 네트워크는 기업과 제품을 홍보하거나 잠재 고객을 연결해 주는 협력사를 이어준다. 이런 방식으로 정보를 공유하려면 미리 선택된 동의가 아니라 당사자의 선택을 고려해야 한다.

소비자에게는 이 규정이 전화번호를 처음 수집하는 단계와 이후 이용을 연결한다. 기업은 마케팅 메시지를 점검하는 것만으로는 충분하지 않다. 연락처 명단의 출처, 명단에 부여된 동의 범위, 거부 의사를 처리하는 방식도 중요하다.

아동 및 감시 데이터는 더 세심한 확인 필요

아동 정보를 처리하는 플랫폼, 교육 서비스, 엔터테인먼트 앱, 온라인 소매업체에는 처리 목적, 유효한 동의, 수집 데이터의 양, 보호조치와 관련된 요건이 적용된다. EY는 개인정보 처리 전에 아동의 연령을 확인하지 않은 경우에 대한 제재도 언급한다.

EY는 개인정보 보호법과 시행령의 문구 차이도 지적한다. 법률은 아동의 사생활이나 개인적 비밀을 공개할 목적으로 개인정보를 처리하는 경우, 7세 이상 아동과 법정대리인 모두의 동의를 요구한다. EY의 분석에 따르면 시행령에서 양측 동의와 관련된 제재 조항은 더 넓은 범위로 규정돼 있다.

따라서 아동 대상 서비스를 제공하는 기업은 연령 확인과 동의 절차가 해당 활동에 어떻게 적용되는지 검토해야 한다. EY는 목적을 벗어나 처리한 아동 데이터를 삭제 또는 파기하지 않은 특정 위반에 대해 법인에 최대 2억 동의 과태료가 부과될 수 있다고 밝혔다.

공공장소 감시 영상도 별도의 위험을 낳는다. EY는 유효한 동의 없이 공공 감시카메라에서 수집한 개인정보, 이미지 또는 음성 녹음을 상업적 목적, 행동 분석 또는 프로파일링을 위한 자동 얼굴 인식에 사용한 경우 제재를 받을 수 있다고 밝혔다.

보안을 위해 설치한 카메라가 기업이 나중에 다른 용도로 사용하려는 정보를 만들어낼 수 있다. EY가 설명한 규정에 따르면 이후의 상업적 또는 분석적 이용은 별도로 법적 검토를 해야 하며, 규정된 경우 유효한 동의를 받아야 한다. 보관 기간도 중요하다. 데이터 이전에 관한 일부 약정에는 이전 목적에 맞는 보관 기간을 명시해야 한다.

AI와 소셜미디어, 이용자와 운영자 모두에게 책임 부과

인공지능을 이용해 다른 사람의 이미지, 목소리 또는 신원을 사칭하면, 사기나 허위 정보 유포, 정당한 권리 침해, 개인정보의 불법 수집 및 이용이 수반되는 경우 제재를 받을 수 있다. 적용되는 처벌은 행위와 그 심각성에 따라 달라진다.

정보를 수집해 AI 시스템에 입력하고 그 결과물을 사용하는 결정에 대한 책임은 기업에 있다. 따라서 자동화된 처리에도 다른 처리 활동과 마찬가지로 법적 근거, 목적, 동의, 보호조치에 관한 점검이 적용돼야 한다.

소셜미디어 관련 의무는 제공자, 관리자, 운영자와 이용자에게 적용된다. 게시하거나 공유한 콘텐츠에 대한 책임은 이용자에게 있으며, 해당 콘텐츠에 사칭, 사기 또는 타인의 정당한 권리와 이익 침해가 포함된 경우도 마찬가지다.

사이버보안 조항은 공격, 무단 접근, 악성코드, 전문 사이버보안 부대에 대한 협조 의무 위반도 다룬다. 사건에 형사범죄 혐의가 드러나면 관련 행정위반 처리법 조항에 따라 사건 기록을 이송한다고 정부의 공표 설명은 밝혔다.

과태료 외에 데이터 삭제나 영업정지도 가능

위반 유형에 따라 추가 제재로는 1~24개월간 특정 면허나 증명서 사용 권리 박탈, 같은 기간의 영업정지, 위반에 사용된 장비나 기타 물품의 몰수, 외국인 추방 등이 있다.

제43조는 특정 동의 위반에 대해 불법 수집 또는 처리된 데이터의 복구 불가능한 삭제를 규정한다. 명시된 경우에는 몰수도 적용되며, 더 높은 과태료 구간에 해당하는 위반에는 부당이득 반환도 명령할 수 있다. 기업은 금전적 제재와 함께 해당 정보에 접근할 권한도 잃을 수 있다.

부당이득 반환은 별도의 산정 방식이 적용되는 시정 조치다. EY에 따르면 불법 데이터 거래 외에 적용되는 경우, 비용을 공제하지 않고 불법 수집·처리·이용·이전한 데이터를 사용한 영업 활동으로 얻은 매출을 반환액에 포함할 수 있다.

Tilleke & Gibbins는 일상적인 준수에 영향을 미치는 다른 제재로 침해 통지 위반에 최대 8천만 동, 데이터 처리 영향평가 관련 위반에 1억 동, 개인정보 보호 책임자 또는 부서 지정 의무 위반에 3천만 동의 과태료를 제시했다.

영향평가는 데이터 처리로 사람들의 정보에 어떤 영향이 생길 수 있는지, 위험을 어떻게 관리할지 문서화해 검토하는 절차다. 시정 조치에는 평가서 제출 명령과 제출 요건을 충족할 때까지의 처리 중단이 포함될 수 있다. 국외 이전에 필요한 영향평가에도 비슷한 조치가 적용될 수 있다. EY는 개인의 데이터 권리 행사 요청과 관련해 법정 기한을 지키지 않은 경우 법인에 최대 4천만 동의 과태료가 부과될 수 있다고도 밝혔다.

규정의 적용 시점과 사건 처리 절차

시행령 제330호는 별도의 유예기간 없이 공포 당일부터 발효됐다. 시행에 앞서 베트남의 개인정보 보호 체계는 수년에 걸쳐 발전해 왔다:

• 2023년 7월 1일: 개인정보 보호에 관한 시행령 제13/2023/ND-CP호 발효.
• 2026년 1월 1일: 개인정보 보호법 발효. 시행 요건은 시행령 제356/2025/ND-CP호에 규정.
• 2026년 8월 19일: 시행령 제330/2026/ND-CP호 공포 및 발효.
• 2026년 8월 26일: 베트남 정부, 시행령과 동의 위반 과태료에 관한 설명 공개.

행정 제재의 공소시효는 1년이다. 위반이 완료된 경우 기산점은 의무 이행 시점 또는 관할 기관이 위반 종료를 확인한 시점과 연계된다. 당국은 행위가 종료됐는지 계속되고 있는지도 판단해야 한다.

Tilleke & Gibbins는 8월 19일 이전에 발생했지만 이후 발견되거나 심사 중인 위반에 적용되는 경과 규정을 설명한다. 일반적으로 위반 당시 시행 중이던 제재 체계가 적용된다. 다만 책임을 면제하거나 더 가벼운 처벌을 규정하는 경우에는 시행령 제330호의 더 유리한 조항을 적용할 수 있다.

이 체계는 전자 증거를 인정하고, 전자 서명이 불가능한 경우 생체 인증을 포함해 전자 방식으로 위반 기록과 제재 결정을 작성할 수 있도록 한다. 이에 따라 동의 기록, 요청 이력, 거래 기록 등 준수 관련 자료가 사건 조사에서 특히 중요해진다.

구체적인 점검이나 집행 사건의 일정은 명시돼 있지 않다. 당장 달라지는 점은 문서화, 인력 배치, 보안, 동의, 개인정보의 실제 이용을 아우르는 전용 제재 체계가 기존 의무에 적용된다는 것이다.

주요 내용

• 시행령 제330호는 2026년 8월 19일 발효됐으며 사이버보안과 개인정보 보호를 다룬다.
• 명시된 동의 관련 위반에는 3천만~5천만 동의 과태료가 부과된다.
• 침묵을 동의로 간주하거나 중단 요청을 고의로 무시하면 5천만~7천만 동의 과태료가 부과될 수 있다.
• 일부 중대한 국외 이전 위반에는 매출액의 최대 5%에 해당하는 과태료가 부과될 수 있다.
• 베트남 기업과 개인뿐 아니라 요건을 충족하는 외국 단체에도 적용된다.
• 추가 제재에는 영업정지, 데이터의 복구 불가능한 삭제, 부당이득 반환이 포함될 수 있다.