호치민에서 21년차로 살면서 가장 자주 받는 질문 중 하나가 이거다. “사이버보안법, 저희 회사도 해당되나요?” 대부분은 “플랫폼 회사 얘기 아닌가요”라며 넘어간다. 그런데 현지에서 사업 운영하면서 보면, 온라인 예약 폼 하나 돌리거나 고객 이메일 주소 수집하는 호치민 소규모 법인도 이 법 적용 대상이 될 수 있다.
이 글은 베트남에서 법인을 운영 중이거나 진출을 검토하는 한국 사업자를 위해 썼다. 법학 논문이 아니라 실무 체크 기준이다.
베트남 사이버보안법 한국 기업 — 베트남 사이버보안법(Luật An ninh mạng)이란 — 기본 구조부터
베트남 사이버보안법(법률 번호 86/2015/QH13이 아니라 법률 24/2018/QH14, 2019년 1월 1일 시행)은 쉽게 말해 “베트남 인터넷 공간에서 사업하는 모든 주체”를 대상으로 한다. 외국 기업이라고 예외가 없다.
핵심 시행령이 두 개다:
- 시행령 13/2023/NĐ-CP (2023년 5월 1일 시행) — 데이터 현지화 세부 요건, 의무 대상 범위, 위반 제재 기준 구체화
- 시행령 53/2022/NĐ-CP (2022년 10월 1일 시행) — 사이버보안법 시행 세부 규정, 콘텐츠 삭제 요청 처리 절차
두 시행령이 나오기 전까지 기업들이 “어떻게 이행하라는 거야”라며 혼선이 많았다. 지금은 그보다는 구체적이지만 여전히 해석의 여지가 있는 부분이 있어서, 현지 법무법인과 사전 검토를 거쳐야 하는 상황은 변하지 않았다.
데이터 현지화 의무 — 어느 기업이 해당되나
시행령 13/2023/NĐ-CP 제26조에 따르면, 베트남 사용자 데이터를 수집·분석·처리하는 국내외 플랫폼 서비스 제공자는 일정 요건 충족 시 데이터를 베트남 내 서버에 저장해야 한다.
“플랫폼 서비스”의 정의가 넓다. 전자상거래, 온라인 결제, SNS, 공유 경제 서비스가 포함된다. 그런데 현실적으로 어느 규모부터 강제 적용되느냐 — 이 부분이 아직 완전히 명확하지 않다.
현재 베트남 공안부(Bộ Công an)가 공개한 기준은 다음과 같다.
| 구분 | 의무 대상 기준 | 서버 현지화 의무 |
|---|---|---|
| 대형 플랫폼 | 베트남 사용자 10만 명 이상 또는 매출 기준 [사실 확인 필요: 공안부 최신 고시 기준] | 즉시 적용 |
| 중소 플랫폼 | 위 기준 미만 | 적용 제외 가능 — 단 요청 시 데이터 제공 의무는 유지 |
| 외국 기업 국내 지사 | 베트남 내 법인 보유 시 | 국내 기업과 동일 기준 적용 |
호치민 1군이나 푸미흥에 사무실 두고 베트남 소비자 대상으로 온라인 서비스 운영하는 한국 법인이라면 규모와 관계없이 “요청 시 데이터 제공 의무”는 해당된다고 봐야 한다. 서버를 AWS 도쿄나 서울 리전에 두고 있다면 이 부분을 한 번은 법무 검토해두는 게 좋다.
베트남 공안부(Bộ Công an) 공식 가이드라인에 따르면 데이터 현지화 위반 시 최대 1억 VND(약 530만 원, 2026년 8월 환율 기준) 벌금이 부과될 수 있다. 반복 위반이면 서비스 차단 요청이 가능하다.
콘텐츠 삭제 요청 대응 — 대부분의 한국 기업이 모르는 의무
사이버보안법 제16조, 제26조, 시행령 13/2023/NĐ-CP 제25조에 따르면 당국이 “위법 콘텐츠”라고 판단하면 해당 플랫폼 또는 서비스 제공자에게 삭제를 요청할 수 있다.
문제는 여기서 “위법 콘텐츠”의 범위가 우리 기준으로는 꽤 넓다.
- 정부 비판으로 해석될 수 있는 콘텐츠
- 베트남 역사·영토 관련 민감 표현
- 허위정보(Thông tin sai sự thật) — 판단 주체가 당국
B2C 서비스를 운영하거나 베트남 고객이 콘텐츠를 게시할 수 있는 플랫폼(댓글, 리뷰, 포럼 등)을 운영한다면 반드시 이 부분 정책을 만들어둬야 한다. 삭제 요청이 왔을 때 처리 절차가 없으면 대응이 늦어지고, 그 자체가 추가 제재 사유가 된다.
시행령 13/2023에서 정한 삭제 응답 기한은 요청 접수 후 24시간 이내(긴급) 또는 72시간 이내(일반)다. 담당자가 없으면 이 기한을 지키는 게 불가능하다.
직접 경험으로는 — B2B 소프트웨어나 내부 업무용 플랫폼이라도 베트남 사용자가 접근하는 구조라면 형식상 의무 주체가 된다. 처음엔 당국이 대형 플랫폼 위주로 단속하지만, 진출 기업 수가 늘수록 중소 법인으로 관심이 옮겨가는 건 시간문제다.
사용자 정보 제공 의무 — 당국 요청 시 거부 못 한다
시행령 13/2023/NĐ-CP 제25조 2항에 명시된 부분이다. 공안부 또는 지정 기관이 국가 안보, 수사 목적으로 사용자 정보를 요청하면 플랫폼은 이를 제공해야 한다. 거부하거나 지연하면 벌금 또는 서비스 차단 요청 사유가 된다.
여기서 “사용자 정보”는 이름, 이메일, 전화번호, 주소, IP 로그가 포함된다. 한국 GDPR·개인정보보호법 기준으로는 당연히 동의 없이 제3자 제공이 불가능한 항목들이다.
이 충돌 문제를 어떻게 다루느냐 — 아직 정답은 없다. 현지에서 사업하는 기업들은 대부분 “법인이 소재한 국가의 법을 우선 따른다”는 현실적인 방향으로 정리하고, 한국 본사 개인정보처리방침과 베트남 현지 정책을 분리해서 운영한다.
실제 영향 — 업종별로 다르다
모든 한국 기업에 똑같이 적용되는 건 아니다. 실무상 영향 정도를 업종별로 구분하면 이렇다.
| 업종 | 실질 영향도 | 주요 위험 포인트 |
|---|---|---|
| 전자상거래·온라인 쇼핑몰 | ★★★★★ | 사용자 데이터 현지화, 리뷰/댓글 콘텐츠 관리 |
| 앱·SaaS 서비스 | ★★★★☆ | 데이터 저장 위치, 사용자 정보 제공 의무 |
| 제조·무역 법인 (내부 ERP) | ★★☆☆☆ | 베트남 직원 데이터 처리 관련 일부 적용 |
| 식음료·오프라인 소매 | ★★☆☆☆ | 멤버십·CRM 운영 시 데이터 수집 주의 |
| B2B 컨설팅·서비스 | ★★★☆☆ | 베트남 고객사 데이터 취급 시 의무 발생 가능 |
온라인으로 베트남 소비자와 직접 접점이 있는 사업이라면 영향도가 높다. 반대로 내부 운영만 하는 법인은 상대적으로 낮지만 “영향 없음”은 아니다.
베트남 공안부 사이버보안국(A05) 공식 채널에서 관련 고시를 직접 확인할 수 있다. 한국어 번역은 없으니 현지 법무법인 도움을 받는 게 현실적이다.
2026년 현재 추가 변화 — 개인정보보호법(PDPD)과 중첩
2023년 7월 시행령 13/2023/NĐ-CP과 함께 베트남은 사실상 첫 개인정보보호 전문 규정을 시행했다. PDPD(Personal Data Protection Decree)라고 부르는 이 시행령은 사이버보안법과 상당 부분 중첩된다.
2026년 현재 베트남 정부가 이를 독립된 법률(Luật Bảo vệ Dữ liệu Cá nhân)로 격상하는 입법을 추진 중이다. [사실 확인 필요: 2026년 국회 상정 여부 및 시행 일정] 통과되면 GDPR 수준으로 강화될 가능성이 높다는 게 현지 법무 업계의 공통적인 전망이다.
지금 베트남 진출을 준비하는 기업이라면 사이버보안법만 체크하고 끝낼 게 아니라, 이 개인정보 관련 법제 변화를 함께 모니터링해야 한다.
2005년 호치민에 자리 잡은 이후로 느낀 건, 베트남 법이 “처음엔 느슨하다가 어느 시점에 갑자기 강화”되는 패턴을 반복한다는 것이다. 세금, 노동법, 외환 관리 — 다 그랬다. 사이버보안도 예외가 아닐 것이다.
실무 체크리스트 — 지금 당장 확인할 것
- ☐ 베트남 사용자 데이터(이름, 이메일, 전화, IP 로그)를 어느 서버에 저장하고 있는지 확인
- ☐ 베트남 현지 법인 명의로 플랫폼 또는 웹서비스를 운영 중인 경우 공안부 사이버보안국에 사업자 등록 의무 여부 법무 검토
- ☐ 콘텐츠 삭제 요청 수신 시 24~72시간 내 대응 가능한 담당자(현지 직원 또는 법무법인) 지정 여부
- ☐ 베트남 고객 대상 개인정보처리방침(Chính sách Bảo mật)을 베트남어로 웹사이트에 게시 여부
- ☐ 시행령 13/2023/NĐ-CP 및 53/2022/NĐ-CP 내용을 현지 법무법인과 최소 1회 검토한 기록 보유 여부
- ☐ PDPD 후속 입법 모니터링을 법무법인 또는 담당자에게 위임했는지 여부
- ☐ 본사 개인정보처리방침과 베트남 현지 정책이 충돌하는 조항 없는지 점검
자주 묻는 질문
Q1. 베트남에 법인만 있고 서비스는 한국 서버에서 운영하면 사이버보안법 적용을 피할 수 있나?
피할 수 없다. 베트남 내 법인이 있거나 베트남 사용자에게 서비스를 제공하면 의무가 발생한다. 서버 위치는 데이터 현지화 의무와 관련이 있을 뿐, 적용 여부 자체와는 별개다.
Q2. 소규모 법인(직원 10명 미만)도 해당되나?
법적으로는 규모 기준이 아닌 “서비스 성격”으로 판단한다. 단, 현실적으로 당국 단속은 대형 플랫폼 위주로 진행되고 있다. 그렇다고 의무가 없는 건 아니므로 최소한 법무 검토 한 번은 필요하다.
Q3. 위반하면 실제로 어떤 제재가 들어오나?
시행령 13/2023/NĐ-CP 기준 벌금은 최대 1억 VND(약 530만 원 수준). 반복 위반이나 중대 위반이면 베트남 내 서비스 접근 차단 요청이 가능하다. 법인 대표자 개인에 대한 제재 조항도 있다.
Q4. 베트남어 개인정보처리방침은 꼭 필요한가?
베트남 소비자를 대상으로 하는 서비스라면 베트남어 고지 의무가 실질적으로 요구된다. 영어나 한국어만 있으면 분쟁 발생 시 불리하다.
Q5. 현지 법무법인 어떻게 찾나?
호치민에는 베트남-한국 기업 전문 법무법인이 여럿 있다. [사실 확인 필요: 특정 법무법인 추천] 한국 상공회의소(KoCham, 주호치민 한국상공인연합회)를 통해 추천받는 방법이 실제로 빠르고 신뢰도가 있다.
오현 | 호치민 21년차 | WPdesign 대표
2005년부터 호치민에 거주하며 현지 법인 운영과 웹 플랫폼 제작을 병행하고 있다. 베트남 진출 기업의 디지털 인프라 구축 관련 문의는 wpdesign.vn을 통해 가능하다.
