베트남, 의무 디지털 신원 확인 확대 법안에 개인정보 보호 장치 마련 약속

의무 신원 확인으로 동의권이 논쟁의 중심에 서다

베트남이 제안한 전자 신원 확인 및 인증법은 금융, 의료부터 가상자산과 온라인 게임까지 11개 분야의 온라인 거래에 국가 디지털 신원 확인을 의무화한다. 2026년 11월 4일 의원들의 질의에 답한 르엉 땀 꽝 공안부 장관은 시스템이 필요한 정보만 수집하고 동의를 받으며, 거래 내용은 동기화된 신원 기록에 포함하지 않을 것이라고 밝혔다.

국가 또는 전문 데이터베이스에 완전하고 정확한 정보가 이미 있는 경우 정부 기관이 디지털 신원을 자동으로 생성할 수도 있다. 이 조항의 적용을 받는 개인과 단체는 같은 정보를 다시 제출하거나 별도로 등록할 필요가 없다.

이 두 가지 특징은 의회 논의의 핵심에 실질적인 의문을 제기한다. 서비스 이용에 인증이 필수이고 국가가 이미 보유한 정보로 신원을 생성할 수 있다면, 사람들은 어떻게 동의권을 행사할 수 있을까? 꽝 장관은 개인정보 보호 장치를 제시했고, 의원들은 수집 범위를 더 명확히 제한하고 기술 제공업체의 책임을 강화하며 일반적인 활동과 위험도가 높은 거래를 구분하는 규칙을 마련해야 한다고 촉구했다.

이 법안은 제16기 국회 2차 회기에서 데이터 보안법 초안과 함께 심의되고 있다. 두 법안은 디지털 신원을 만들고, 신원 사용자를 확인하며, 관련 데이터를 보호하는 규칙을 마련하게 된다.

장관이 약속한 개인정보 보호 방안

신원 확인 법안을 발의한 부처의 수장인 꽝 장관은 수집 정보뿐 아니라 신원 확인 시스템 간 정보 교환에도 개인정보 보호 조치가 적용될 것이라고 의원들에게 밝혔다. 그는 제안된 보호 장치를 다음과 같이 설명했다.

최소한의 데이터 수집에는 정보 주체의 동의가 있어야 하고, 거래 내용은 동기화해서는 안 되며, 인증 결과는 허용된 범위를 넘어 공유해서는 안 됩니다.

정보 주체란 처리 대상 정보의 당사자를 말한다. 쉽게 말해 꽝 장관의 설명은 시스템이 신원 확인에 필요한 정보만 수집하고, 거래 세부 내용은 동기화되는 신원 정보에서 제외해야 한다는 뜻이다.

꽝 장관은 개인정보 처리의 원칙과 조건, 범위 및 목적은 기존 개인정보 보호 법률의 적용을 계속 받는다고도 밝혔다. 전자 신원 확인과 인증은 헌법을 준수하고 개인과 단체, 국가 기관의 권리와 이익을 보호해야 한다.

동의 절차는 여전히 이용자에게 중요한 쟁점이다. 개인정보 수집을 거부하면 인증이 필요한 거래를 완료할 수 없게 되는 상황에서 당사자가 어떤 선택을 할 수 있는지는 의회 설명에서 구체적으로 다뤄지지 않았다.

인증이 의무화되는 서비스

제23조 5항은 다음 분야의 거래에 대해 국가 전자 신원을 통한 인증과 신원 연계를 의무화한다.

• 증권.
• 통신.
• 은행.
• 우편 서비스.
• 전자상거래.
• 의료.
• 지급결제 중개.
• 디지털 지갑.
• 가상자산.
• 온라인 비디오 게임.
• 도메인 이름 등록, 임대 및 사용.

인증은 서비스를 이용하는 사람이 자신이 주장하는 당사자가 맞는지 확인하는 절차다. 신원 연계는 서비스 계정이나 거래를 해당 당사자의 국가 전자 신원과 연결하는 것을 뜻한다. 고객 입장에서는 금융, 상거래 및 디지털 활동 전반에서 이 신원이 서비스 이용의 일부가 된다.

장관과 장관급 기관장은 다른 분야의 거래도 위험도가 높거나 상당한 법적 의무를 발생시키는 경우 지정할 수 있다. 따라서 제도의 적용 범위는 법안에 명시된 11개 분야를 넘어설 수 있다.

빈롱성 출신 부의원 타익 프억 빈은 거래를 위험도에 따라 분류하자고 제안했다. 그가 든 사례는 세부 기준이 중요한 이유를 보여준다. 진료 예약과 의료 기록 열람은 민감도가 다르고, 은행 계좌 조회와 거액 송금도 위험도가 다르다.

자동 신원 생성과 국가 신원 확인 범위

제7조와 제8조는 누가 또는 무엇이 전자 신원을 받을 수 있는지, 국가 기관이 어떤 범주의 대상을 신원 확인할지를 다룬다. 대상은 개인과 단체뿐 아니라 장소, 공간, 핵심 데이터 또는 중요 데이터와 관련된 기관, 고위험 물품의 소유 또는 사용 인증을 받은 기관, 국가 기밀과 관련된 기관까지 포함한다.

정부는 국가 신원 확인 대상 기관 목록을 발표하고 시행 일정을 정하게 된다. 제8조에 명시된 일부 대상의 경우 국가 또는 전문 데이터베이스에 완전하고 정확한 정보가 있으면 기관이 신원을 자동으로 생성하고 국가 식별 코드를 발급한다.

행정상 이점은 명확하다. 조직이나 개인은 국가가 이미 보유한 정보를 다시 제출할 필요가 없다. 개인정보 보호 논쟁은 대상 범주의 폭, 관련 정보의 범위, 정보 이용을 규율하는 규칙에 초점을 맞춘다.

10월 25일 공개된 요약본에는 사건, 거래 및 행동에 대한 신원 확인도 포함됐다. 재정부와 법무부, 산업무역부, 최고인민법원은 이 범위 확대에 대한 명확한 설명을 요구했다. 국회에 제출된 법안 전문이 공개되지 않아 수정안에서 해당 내용이 유지됐는지는 불확실하다.

베트남 상공회의소(VCCI)는 의견 수렴 과정에서 문구가 거의 모든 일반적인 상업·민사 거래를 신원 확인 의무에 포함할 수 있다고 경고했다. 10월 26일 국회 국방·안보·대외관계위원회도 부처별 기관이나 서비스 제공업체가 수집할 데이터 항목을 선택하도록 허용하면 남용과 개인정보 침해로 이어질 수 있다고 경고했다.

별도 시행령에 이미 계정 연계 시한 규정

제안된 법은 2026년 9월 28일 발효된 현행 시행령 320/2026호와 함께 적용된다. 이 시행령은 일부 전자거래 계정을 베트남의 국가 전자 신원 확인 플랫폼인 VNeID에 연계하고 인증하도록 요구한다.

두 법령은 각각 11개 분야를 명시하지만 목록은 서로 다르다. 시행령은 교육, 증권, 통신, 은행, 전자상거래, 전자세금계산서, 운송, 관광, 의약품, 의료 및 베트남 소셜 네트워크를 대상으로 한다. 페이스북, 틱톡, 잘로 등 플랫폼 계정도 연계 요건의 적용을 받는다고 명시돼 있다.

대상 서비스 계정의 연계 마감일은 2026년 12월 31일이다. 은행 계정에는 2027년 6월 30일이라는 더 늦은 시한이 적용된다. 소셜 네트워크는 법안의 11개 분야 목록에 없지만, 법안에는 가상자산, 디지털 지갑, 온라인 게임 및 도메인 이름 서비스가 명시적으로 포함돼 있다.

일정에는 현행 의무와 제안된 변경 사항이 함께 담겨 있다.

• 2026년 7월: 베트남이 5개년 국가 디지털 전환 전략을 채택했다.
• 2026년 9월 28일: 시행령 320/2026호가 발효됐다.
• 2026년 10월 25일과 26일: 법안 요약본과 국회 상임위원회의 우려가 신원 확인 범위에 관심을 집중시켰다.
• 2026년 11월 4일: 국회가 신원 확인 및 데이터 보안 법안을 논의했다.
• 2026년 11월 21일: 국회 회기가 종료될 예정이며, 신원 확인 법안은 통과가 예상되는 법안 가운데 하나로 올라 있다.
• 2026년 12월 31일: 대상 서비스 계정의 연계 마감일이다.
• 2027년 6월 30일: 은행 계정의 연계 마감일이다.

의원들이 생체 인증만으로는 부족하다고 보는 이유

호찌민시 출신 부의원 팜 쫑 년은 인공지능의 발전으로 얼굴, 음성, 지문이 신뢰할 수 있다는 전제가 약해지고 있다고 경고했다. 그는 생체 정보가 여전히 필요하지만 사기 방지의 유일한 수단이 되어서는 안 된다고 말했다.

생체 인증은 개인과 관련된 신체적 또는 행동적 특징을 확인하는 방식이다. 인공지능 도구는 이러한 특징 일부를 모방할 수 있어 시스템이 실제 이용자와 조작된 자료를 제시하는 사람을 구분하기 어려워질 수 있다.

껀터 출신 부의원 또 아이 방은 인공지능 인증 시스템이 잘못된 결과를 내놓을 때 책임 소재를 더 명확히 해야 한다고 촉구했다. 그는 법안이 인증 결과를 이용해 의사결정을 내리는 조직이나 개인에게 최종 책임을 지우지만, 기술 개발자 또는 제공업체와의 책임 관계도 다뤄야 한다고 말했다.

또 다른 껀터 출신 부의원 찌에우 티 응옥 지엠은 신원 정보와 인증 요소를 무단으로 수집, 이용, 공개 또는 공유하는 행위를 명시적으로 금지하자고 제안했다. 그는 범죄자들이 얼굴 정보, 음성 정보, 일회용 비밀번호를 거래할 위험을 언급했다. 이 제안은 타인의 계정에 접근하는 수단으로 악용될 수 있는 정보를 다룬다.

연계 법안, 위험도에 맞춰 보호 수준 조정

데이터 보안법 초안은 데이터 보안 위험을 5단계로 나눈다. 데이터 처리 방식의 결정을 책임지는 조직이나 기관인 데이터 관리자는 위험 수준을 분류하고 이에 맞는 보호 조치를 적용하게 된다. 감독은 주로 해당 결정이 내려진 뒤의 점검을 통해 이뤄진다.

보호 조치는 시스템 설계부터 정보 폐기까지 데이터의 전체 생애주기에 적용된다. 꽝 장관은 위험 분류의 목적이 유출로 발생할 수 있는 피해에 맞춰 의무를 조정하는 것이라고 밝혔다. 민감도가 낮은 활동에는 완화된 요건을 적용하고 더 큰 피해를 초래할 수 있는 노출에는 강력한 보호를 제공한다는 취지다.

5개 위험 단계는 사이버보안 법률에 따른 정보 시스템 5개 등급과 대응한다. 제8조 4항은 조직이 기존 사이버보안 위험 분류 결과를 재사용하도록 허용해 동일 시스템에 대한 평가를 두 차례 하는 일을 피할 수 있게 한다.

제안된 위험 단계는 데이터법상 핵심 데이터와 중요 데이터 분류와 함께 적용된다. 위험 단계는 보안 조치의 선택 기준이 되며, 기존 분류도 계속 유효하다. 논의에서는 공안부와 국방부 간의 책임 분담, 보안 암호 기술, 미래 양자 컴퓨터를 이용한 공격에 대비하도록 설계된 양자내성 암호 기술도 다뤄졌다.

인공지능 데이터와 해외 이전에 별도 의무 적용

데이터 보안 법안은 인공지능을 개발하거나 사용하는 조직에 학습 데이터와 그 데이터에서 생성된 정보의 출처와 무결성을 보호하도록 요구한다. 데이터 오염과 무단 추출을 금지하고, 자동화된 의사결정에 사람의 개입과 감독을 규정한다.

데이터 오염은 인공지능 시스템 학습에 쓰이는 정보를 고의로 훼손하는 행위로, 신뢰할 수 없거나 조작된 결과를 초래할 수 있다. 신원 확인 서비스에서는 자동화된 오류가 개인의 승인 또는 거부에 영향을 줄 수 있기 때문에 해당 정보의 품질과 보안이 중요하다.

국경을 넘는 데이터 이전과 처리는 위험도에 따라 서로 다른 절차를 거치게 된다. 1·2등급 데이터는 이 법에 따른 절차를 면제받는다. 3등급 데이터를 취급하는 관리자는 자체 평가를 하고 기록을 보관해야 한다.

4·5등급 데이터를 이전하려면 관할 당국의 심사와 승인을 먼저 받아야 한다. 법안은 외국의 데이터 요청, 국경을 넘어 사업을 하는 서비스 제공업체의 의무, 기존 투자 및 기술 이전 절차에서 데이터 보안 평가를 활용하는 방안도 다룬다.

VNeID의 규모로 볼 때 세부 규정이 중요

10월 기준 VNeID는 베트남 시민에게 전자 신원 계정 8,640만 개를 발급했다. 플랫폼에는 70개가 넘는 기능이 있고, 누적 방문 횟수는 5억 회를 넘어섰으며, 하루 이용자 수는 300만~600만 명에 달했다.

일일 이용자 수는 발급 계정 수의 약 3.5~6.9%에 해당한다. 이는 등록 기반은 매우 크지만 어느 하루든 실제로 이용하는 사람은 그보다 적은 플랫폼임을 보여준다. 새 법안으로 필수 거래에서 플랫폼의 역할이 확대되기 전부터 그렇다.

정부는 국가 디지털 전환 전략에 따라 온라인 사기 방지, 디지털 기반 시설 보안 강화, 행정 업무 경감을 위해 신원 확인 조치를 추진한다고 밝혔다. 이용자 입장에서 실제로 달라지는 점은 서비스 접근, 기존 기록 처리, 신원 확인에 문제가 생겼을 때의 책임 소재다.

꽝 장관은 법안 작성 기관이 국방·안보·대외관계 담당 국회 위원회와 협력해 의원들의 의견을 반영하고, 법안 확정 전에 상임위원회에 보고하겠다고 밝혔다. 다음 입법 일정은 11월 21일로 예정된 회기 종료다. 새 법안에 대한 논의와 관계없이 기존 계정 연계 시한은 그대로 적용된다.

핵심 내용

• 신원 확인 법안은 11개 분야의 거래에 국가 디지털 신원 인증을 의무화하고, 위험도가 높은 다른 거래도 추가 지정할 수 있도록 한다.
• 꽝 장관은 최소한의 데이터 수집, 동의, 인증 결과 공유 제한, 거래 내용 비동기화를 약속했다.
• 국가 기관은 공공 데이터베이스에 이미 있는 완전하고 정확한 정보를 활용해 지정된 신원을 자동 생성할 수 있다.
• 별도 시행령은 서비스 계정의 2026년 12월 31일, 은행 계정의 2027년 6월 30일 연계 마감일을 정하고 있다.
• 의원들은 인공지능 제공업체의 책임, 생체 정보 사기, 신원 정보의 무단 사용에 대한 규칙을 강화하자고 촉구했다.
• 연계 데이터 보안 법안은 위험도 5단계, 자동화된 의사결정에 대한 사람의 감독, 최고 위험 등급 데이터 이전에 대한 엄격한 절차를 제안한다.