베트남, 데이터 위험 5단계·해외 이전 규제 강화·AI 보호장치 제안

베트남, 데이터 보호 기준으로 위험 5단계 도입 제안

베트남 정부는 2026년 10월 26일 국회에 데이터보안법안을 제출했다. 법안은 위험 수준을 5단계로 구분하고, 민감 데이터의 해외 이전 심사를 강화하며 인공지능에 사용되는 정보를 보호하는 방안을 제안했다. 초안은 6장 29개 조항으로 구성됐으며, 행정 승인 절차는 2개뿐이다. 두 절차 모두 위험 수준이 가장 높은 데이터에 초점을 맞췄다.

르엉 땀 꽝 공안부 장관은 총리의 위임을 받아 제16대 국회 제2차 회의에서 법안을 제안했다. 기업과 기타 데이터 관리자는 우선 자체적으로 데이터를 평가하고, 위험 수준에 맞는 보호 조치를 적용하며, 평가 결과에 대한 책임을 져야 한다. 당국은 주로 사후에 준수 여부를 점검하게 된다.

정부는 2027년 7월 1일을 법 시행일로 제안했다. 의원들은 10월 26일 오후 조별 토론을 할 예정이었다. 법안은 아직 제안 단계로, 국회 심사위원들은 가장 민감한 정보에 대한 통제를 강화하고, 평가 절차를 명확히 하며, 생체정보와 유전정보를 더 강력하게 보호할 것을 요구하고 있다.

법안의 적용 범위는 베트남에 기반을 둔 조직에 한정되지 않는다. 베트남의 기관·조직·개인, 베트남 내 외국 조직·개인, 그리고 해외에서 베트남 관할권에 속하는 데이터를 처리하거나 베트남의 데이터 보안을 침해하는 주체도 대상에 포함된다.

기업에 가장 큰 변화는 단계별 규제 체계다. 일상적인 데이터 처리에는 기본적인 보호 조치와 적은 서류 작업만 요구되는 반면, 심각한 피해를 일으킬 수 있는 활동은 시작 전에 평가나 감사 또는 승인을 받아야 한다. 개인에게는 정보가 시스템과 공급업체를 거쳐 국경을 넘나드는 과정에서 지켜야 할 보안 의무가 추가된다.

정부가 별도 법률을 추진하는 이유

르엉 땀 꽝 장관은 베트남 정보 시스템에서 2025년 약 55만2,000건의 사이버 공격이 기록됐고, 5,230개 기관과 기업이 피해를 입었다고 의원들에게 밝혔다. 또한 데이터가 판매용으로 게시된 사례 약 300건이 적발됐으며, 관련 기록은 170만 건이 넘었다고 전했다. 한 신용기관에서는 고객 기록 1억6,000만 건 이상이 도난당한 사례도 언급했다.

장관은 데이터 유출의 60~70%가 조직 내부 인력에서 비롯됐다고 밝혔다. 이에 따라 외부 공격자에 대한 방어뿐 아니라 직원과 계약업체의 접근 권한도 핵심 과제로 떠오른다. 정보 열람 권한을 제한하고, 접근을 모니터링하며, 필요할 때 권한을 회수하는 것은 제안된 체계의 실질적인 요소다.

정부는 기존 규정이 문제의 서로 다른 부분을 다루고 있다고 설명한다. 데이터법은 데이터의 생성·관리·공유·분류 등의 활동을 규율한다. 개인정보 보호 법률은 처리 조건과 개인의 권리를 다룬다. 사이버보안 법률은 위협으로부터 정보 시스템을 보호한다.

제안된 데이터보안법은 수집·저장·처리·전송·파기에 이르기까지 전 과정에서 정보 자체를 보호하는 데 초점을 맞춘다. 정책적 근거에는 과학·기술·혁신·국가 디지털 전환에 관한 2024년 12월 22일자 정치국 결의 제57-NQ/TW호가 포함된다.

위험 5단계의 의미

제8조는 사고 발생 가능성과 사고가 국방·국가안보·공공안전, 그리고 조직과 개인의 정당한 권리에 초래할 수 있는 피해에 따라 데이터를 분류하도록 했다. 1단계가 가장 낮고 5단계가 가장 높다.

제안된 분류는 기업이 의무를 파악하는 출발점이 된다.

• 1단계에는 사고 가능성과 결과가 낮은 공개·개방 데이터가 포함된다.
• 2단계에는 중간 수준의 위험이 있는 내부 정보, 기업 데이터, 상위 범주에 해당하지 않는 개인정보가 포함된다.
• 3단계에는 중요 데이터와 대규모로 처리되는 민감 개인정보가 포함되며, 구체적인 기준은 정부가 정한다.
• 4단계에는 일반적으로 위험이 매우 높고 심각한 피해를 초래할 수 있는 핵심 데이터가 포함된다.
• 5단계에는 핵심 국방·안보 데이터와 국가안보 관련 특히 중요한 시설의 운영 또는 통제에 사용되는 정보가 포함된다.

위험 등급은 데이터법에 따른 분류와 함께 적용된다. 조직과 개인은 정보에 대한 적법한 소유·관리·사용 권리를 계속 보유한다. 보안 등급에 따라 필요한 보호 조치가 결정된다.

서류 작업과 사전 심사가 시작되는 지점

정부가 제출한 설명에 따르면 행정 절차는 두 가지다. 제11조에 따른 4·5단계 시스템 설계 문서 심사와 제19조에 따른 해당 단계 데이터의 해외 이전 심사 및 승인이다.

1단계에는 행정 절차가 없다. 2단계 데이터 관리자는 양식에 따라 간소화된 보호 계획을 작성해 자체 보관한다. 3단계 데이터 관리자는 심사나 통지를 위해 제출하지 않고 자체적으로 활동을 평가한다. 3단계부터는 영향 평가와 정기 보안 감사가 요구된다.

4·5단계 데이터를 처리하는 시스템은 정식 운영에 들어가기 전에 데이터 보안 평가를 받아야 하며, 사이버보안 심사와 연계해 진행된다. 영향 평가는 무엇이 잘못될 수 있고 누가 피해를 입을 수 있는지 살펴보며, 감사는 약속한 보호 조치가 실제로 작동하는지 확인한다.

일상적인 데이터를 처리하는 가내 사업체, 소기업·영세기업, 혁신 스타트업은 대체로 기본 보호 지침을 따르면 된다. 다만 의무는 처리 과정의 위험 수준에 따라 달라지므로, 어떤 종류의 정보를 얼마나 많이 처리하는지가 실질적인 준수 과제가 된다.

초안은 중복 절차도 줄이려 한다. 여러 법률이 같은 대상과 위험에 대한 심사를 요구하는 경우, 조직은 하나의 문서 묶음과 단일 창구를 이용하게 된다. 다른 법률에 따라 적법하게 취득한 유효한 심사 결과도 인정된다. AI 데이터 보안 평가는 AI 법률에 따른 위험 평가 절차에 포함된다.

해외 이전에는 세 가지 경로 적용

해외로 전송되는 데이터는 등급에 따라 다르게 취급된다. 1·2단계 데이터는 이 법에 따른 이전 절차가 필요 없다. 3단계 데이터 관리자는 자체적으로 이전을 평가하고 기록을 보관한다. 4·5단계 데이터는 이전 전에 관할 당국의 심사와 승인을 받아야 한다.

따라서 클라우드 서비스, 국제 플랫폼, 여러 국가에서 사업을 운영하는 기업은 어떤 정보가 해외로 이동하는지, 그리고 해당 정보에 어떤 위험 등급이 부여됐는지 파악해야 한다. 관련 법률에 따른 기존 의무도 계속 적용된다.

국회 국방·안보·대외위원회는 모든 데이터를 베트남 안에 보관하도록 일괄 요구하지 않고 위험에 따라 통제하는 방안을 대체로 지지했다. 다만 5단계에는 더 엄격한 규정을 제안했다. 총리가 달리 결정하지 않는 한 해외 이전을 금지하는 내용이다.

위원회는 4·5단계 시스템의 복호화 키와 암호 매개변수를 해외로 이전하는 것도 제한하자고 제안했다. 복호화 키는 암호화된 정보를 해독하는 수단이므로, 키를 통제하는 문제는 저장된 데이터의 위치와는 별개의 보안 문제다.

그 밖에 국경 간 서비스를 운영하는 주체의 서비스를 누가 제한하거나 일시 중단할 수 있는지 명확히 하고, 4단계 이상 데이터를 관리하는 기업의 지배권이 바뀌면 통지하도록 하는 방안도 제안됐다. 초안은 외국의 직접 정보 요청도 다루며, 사법 공조 체계 등 적법한 경로를 거치도록 하는 절차를 두려 한다.

AI 보호 조치는 학습 데이터에서 시작

고위험 데이터를 처리하는 AI를 연구·개발·배포하는 조직은 설계 단계부터 보안을 반영해야 한다. 학습 데이터와 그로부터 파생된 정보의 적법한 출처와 무결성을 확인해야 한다.

제안은 데이터 오염, 무단 추출, 자동화된 의사결정에 대한 인간의 통제를 다룬다. 데이터 오염은 AI 시스템의 학습이나 작동에 쓰이는 정보를 의도적으로 훼손해 신뢰할 수 없거나 조작된 결과를 유발할 수 있는 행위를 뜻한다. 무단 추출은 허가 없이 보호 대상 정보를 취득하는 것을 말한다.

관련 법률에 따라 자동화된 의사결정에는 사람의 개입과 감독이 계속 가능해야 한다. 이 요건은 정보 자체의 보호와 시스템이 해당 정보를 사용해 내리는 결정을 연결한다.

당국은 형사 수사를 제외하고 AI 소스 코드나 모델 가중치의 제출을 요구할 수 없다. 소스 코드는 프로그램의 명령을 담고 있으며, 모델 가중치는 AI 시스템이 학습 과정에서 습득하는 수치 설정값이다. 둘 다 귀중한 상업적 지식이 될 수 있다.

AI 기업은 별도의 데이터 보안 서류를 작성하거나 별도 심사를 받는 대신 AI 법률에 따른 평가 절차를 이용하게 된다. 이에 따라 데이터 자체에 대한 구체적 의무는 유지하면서 제안된 보안 심사를 기존 규제 절차와 통합한다.

공급업체도 보안 계획에 포함

데이터 관리자의 책임은 공급업체, 중개업체와 정보 처리에 관여하는 기타 당사자에게까지 확대된다. 제품이나 서비스를 연결하기 전에 제공업체의 위험을 평가하고 필요한 범위로 접근 권한을 제한해야 한다.

계약에는 비밀유지 의무와 데이터 유출 시의 책임을 명시해야 한다. 관리자는 계약 관계가 이어지는 동안 접근 권한을 모니터링하고 위험이나 사고가 감지되면 권한을 회수해야 한다. 고위험 데이터를 처리하는 시스템에 공급업체가 원격으로 접근하는 경우에는 더 엄격한 통제를 받게 된다.

적용 범위에는 핵심 디지털 인프라, 국가 데이터 인프라, 대규모 데이터 처리, 디지털 제어 시스템과 물리적 장비를 연결하는 시스템이 포함된다. 이런 환경에서는 데이터가 훼손되거나 조작될 경우 정보가 노출될 뿐 아니라 기계와 시설의 작동에도 영향을 줄 수 있다.

위원회는 각 당사자의 실제 의사결정 권한과 데이터 통제 범위에 따라 책임을 정할 것을 요청했다. 이를 통해 정보의 사용 방식을 정하는 관리자와 제한된 서비스를 수행하는 제공업체의 의무를 구분할 수 있다.

비상 권한에도 법적 한계 설정

초안은 모니터링, 조기 경보, 사고 보고, 공동 대응 체계를 마련한다. 정부 설명에 따르면 개정안에는 사고 발생 시 피해 당사자에게 알리고 데이터 이전의 임시 중단 범위를 제한하는 내용도 포함됐다.

긴급 기술 조치에는 법적 근거, 권한을 부여받은 결정권자, 명확한 범위와 정해진 기간이 필요하다. 당국은 권리를 가장 적게 제한하는 조치를 우선하고, 조치의 근거가 사라지면 이를 종료해야 한다.

영향을 받은 조직과 개인은 법에 따라 이의를 제기하고 소송을 제기하며 배상을 청구할 권리를 계속 보유한다. 국회 심사위원들은 당국이 민간이 보유한 인력·장비 또는 기타 자원을 동원할 때 적용할 조건과 보상 방안도 더 명확히 할 것을 요구했다.

초안은 데이터 보안 담당자와 독립 전문가가 선의로 취약점을 탐지·시험·신고하도록 장려하며, 이들의 신원과 정당한 이익을 보호하고 이에 상응하는 책임 면제도 제공한다. 위원회는 4·5단계 시스템의 사고 대응 훈련도 제안했다.

심사위원들, 최고 위험 단계 규제 강화 요구

국회 국방·안보·대외위원회 위원장인 레 떤 또이 상장은 심사 보고서를 발표했다. 위원회는 법률의 필요성을 지지했으며, 법안이 국회 심의에 적합한 상태라고 판단했다.

그럼에도 심사위원들은 각 위험 단계의 기준을 더 명확히 할 것을 요구했다. 일부는 전문 당국이 분류를 정기적으로 검토·갱신하고, 5단계 결정은 데이터 관리자에게 맡기지 않고 더 엄격한 절차를 거치도록 제안했다.

위원회는 데이터의 위험 수준에 따라 처리 시스템에 요구되는 보호 수준이 결정된다는 점도 더 명확히 규정할 것을 요청했다. 신체적 특징이나 유전 형질에 관한 정보 등 생체정보와 유전정보에 대한 보호를 강화할 것도 요구했다.

사이버보안 심사 대상이 아닌 4·5단계 시스템의 심사 기한 등 절차상 쟁점은 여전히 논의 중이다. 위원회는 보안용 암호기술, 정부 암호 시스템, 민간 암호기술의 경계를 더 명확히 하고, 군과 정부 암호 시스템의 사고 대응 조정 규칙도 마련할 것을 요청했다.

공안부가 데이터 보안에 대한 국가 관리를 총괄하고, 국방부가 군사 데이터와 정보 시스템을 감독하며, 정부 암호위원회가 암호 정보 시스템을 관리하게 된다. 새 기관은 설립하지 않는다.

변경 사항과 향후 일정

의원들에게 제출된 법안은 조항 수가 25개에서 29개로 늘었고, 계획됐던 국가데이터보안관리센터가 삭제됐으며, 매출액 비율에 따라 산정하는 과징금도 빠졌다. 앞서 9월 7일 공개된 설명에서는 데이터 위험 4단계, 전 회계연도 매출액의 최대 5%에 해당하는 과징금, 중요 데이터와 핵심 데이터의 국내 저장 요건이 제시됐다. 국회 제출안은 대신 위험 5단계와 차등화된 이전 통제를 도입했다.

정부는 양자컴퓨터 공격에 견디는 암호기술로 전환할 고정 기한도 삭제하고, 일정은 추후 정부 규정에 맡겼다. 보안 연구, 주권형 클라우드 서비스, 보안 데이터센터, 암호기술을 지원하는 투자·세제 혜택을 제안했으며, 소규모 기업과 스타트업을 지원하는 방안도 포함했다. 특정 제품이나 공급업체에 독점적 지위를 부여하는 정책은 피하도록 초안에 명시했다.

양자내성 암호기술은 미래의 양자컴퓨터를 활용한 공격에도 견디도록 설계된 기술이다. 정부는 현재 암호화된 형태로 수집된 정보를 컴퓨팅 역량이 발전한 뒤 해독하는 상황을 우려하고 있다.

법안 마련 과정에서 입법 일정은 다음과 같이 변경됐다.

• 2026년 8월: 앞서 제시된 입법 일정에 따르면 대국민 의견 수렴이 종료됐다.
• 2026년 9월 7일: 앞서 공개된 설명에서는 법무부가 초안을 검토 중이라고 밝혔다.
• 2026년 10월 26일: 정부가 법안을 제출했으며, 이날 오후 조별 토론이 예정됐다.
• 2027년 7월 1일: 국회 제출안이 제안한 시행일로, 앞서 제시된 2027년 12월 1일에서 변경됐다.

법안은 사이버보안법과 데이터법을 개정하고, 경과 규정을 통해 기존의 유효한 기록과 평가 결과를 인정하게 된다. 기존 시스템이 새 요건을 충족할 수 있는 경로도 마련된다. 최종 의무는 국회가 승인하는 법문과 시행 규정에 따라 달라진다.

핵심 내용

• 베트남은 데이터 보안 위험을 5단계로 구분하고, 잠재적 피해가 커질수록 보호 조치를 강화하는 방안을 제안했다.
• 4·5단계에 해당하는 시스템 설계와 해외 이전에는 두 가지 행정 승인 절차가 적용된다.
• AI 보호 조치는 학습 데이터, 무단 추출, 인간의 감독을 다루며, 평가 절차는 AI 관련 절차에 통합된다.
• 국회 심사위원들은 5단계 통제를 강화하고 생체정보와 유전정보를 더 강력하게 보호할 것을 요구했다.
• 개정안은 매출액 연동 과징금과 신설 예정이던 국가센터를 제외했다.
• 정부는 국회 승인 절차를 전제로 2027년 7월 1일 시행을 제안했다.