2023년 5월 31일, 개인정보보호 시행령(PDPD) 및 사이버보안법 안내 시행령 제53/2022/ND-CP호 위반에 대한 사이버보안 행정제재 시행령 개정 초안이 공청회를 위해 공개되었습니다. 이는 개인정보 보호에 관한 시행령 제13/2023/ND-CP호 (PDPD(개인정보보호국)) 며칠 후(즉, 2023년 7월 1일) 발효될 예정입니다. 개인정보 보호 시행령(PDPD)의 발효일까지 남은 시간이 거의 없고 향후 엄격한 제재의 위험이 있는 만큼, 기업 및 기관은 PDPD 준수를 위한 모든 필요한 조치가 취해졌는지 확인해야 합니다. 본 기사에서는 PDPD 준수를 위한 행동 계획에 대해 더 자세히 알아보기 위해 PDPD를 심층적으로 살펴봅니다.

‍

1. 현재 데이터 처리 활동에 대한 자체 평가

개인정보 처리에 관여하는 기관은 PDPD 준수와 관련하여 종합적인 자체 감사를 수행하는 것이 무엇보다 중요합니다. 특히 이는 귀사의 현재 데이터 처리 활동을 평가하고 잠재적 위험을 식별하며 그에 따른 필요한 조치 계획을 수립 및 이행하는 것을 수반합니다.

1.1. 개인정보 분류

다음과 같은 질문들을 검토해 보아야 합니다:

귀사에서는 현재 어떠한 종류의 개인정보를 처리하고 있습니까?

PDPD는 개인정보를 (i) 기본 개인정보(예: 성명, 생년월일, 성별, 주소, 전화번호, 신분증 번호, 사이버공간에서의 개인 활동 및 활동 내역을 반영하는 데이터 등)와 (ii) 보다 엄격한 보호 조치가 적용되는 민감 개인정보(예: 정치적·종교적 견해, 신체적·정신적 건강 상태, 유전/생체 정보, 범죄 기록, 금융 정보, 실제 위치 정보 등)로 분류합니다.

해당 개인정보는 어떤 출처로부터 수집됩니까?

일반적으로 기업은 통상적인 업무 과정에서 수집되는 데이터의 성격과 상황에 따라 다양한 출처로부터 개인정보를 취득할 수 있으며, 여기에는 다음이 포함될 수 있습니다:

• 개인: 직접 소통, 명함 교환 등

• 온라인 활동: 웹사이트 방문, 소셜 미디어, 전자상거래 등

• 제3자: 비즈니스 파트너, 데이터 브로커, 공개된 출처 등.

• IoT 기기: 스마트 기기, 위치 데이터(예: GPS 지원 기기) 등

• 인사/채용: 입사지원서, 임직원 정보 등

1.2. 개인정보 처리 활동 식별

개인정보 처리 시의 역할: 역할과 그에 따른 법적 책임은 조직이 수행하는 구체적인 사업 활동과 데이터 처리 유형에 따라 달라질 수 있습니다. PDPD에 따라 기업은 개인정보 통제자, 개인정보 처리자, 통제자 겸 처리자, 또는 제3자로 분류될 수 있으며, 각각 고유한 권리, 기능 및 의무를 부담합니다.

실무적으로 데이터 관리자는 데이터 처리자 선정 절차 및 관련 데이터 처리 계약을 면밀히 검토해야 하며, 데이터 처리자 및 제3자(즉, 재처리자)는 자신들의 처리가 해당 데이터 처리 계약 및 PDPD 요건에 부합하도록 해야 합니다.

처리 목적: 개인정보 처리는 조직의 특정 상황과 필요에 따라 인력 관리, 통계 분석, 시장 조사, 계약상 의무 이행, 정당한 이익 또는 공공 이익 등 다양한 목적을 위해 수행됩니다. 다만, 데이터 최소화 원칙에 따라 개인정보의 수집 및 처리는 해당 목적에 부합하는 최소한의 범위 내로 엄격히 제한되어야 합니다.

국경 간 데이터 이전: 개인정보보호법(PDPD)을 준수하기 위해서는 베트남 국민의 개인정보가 베트남 영토 외(예: 해외 계열사 또는 모회사)로 이전되는지 여부를 점검하는 것이 필수적입니다.

기술적/법적 조치: 갭 분석(Gap assessment) 및 리스크 식별을 위해 현재 일상 업무에 적용 중인 다음과 같은 기술적·법적 조치를 검토하는 것이 필수적입니다:

• 기술적 조치: 데이터 암호화, 접근 통제, 데이터 저장 및 전송, 데이터 복구/백업 등

• 법적 조치: 개인정보 보호 정책, 데이터 처리 계약, 동의/동의 철회 메커니즘 등

‍

2. 데이터 처리에 관여하는 기관 및 정보주체의 권리 인정

PDPD 요건을 모두 충족한 경우 귀사는 개인정보를 수집, 저장, 편집, 삭제/파기하고 타인에게 제공/이전할 수 있습니다. 또한, 특정한 예외적인 경우에는 정보주체의 동의 없이도 데이터 처리를 진행할 수 있습니다.

귀사의 권리를 행사할 때 PDPD에 따라 정보주체에게 개인정보에 관한 광범위한 권리가 부여되어 있음을 유의해야 합니다. 여기에는 동의/동의 철회권, 개인정보처리자에게 자신의 개인정보 열람/수정/삭제/사본 제공을 요구할 권리, 개인정보처리자에게 처리 활동 중단을 요구할 권리, 손해배상 청구권 등이 포함됩니다. 따라서 이러한 정보주체의 권리를 명확히 인지하고 임직원 및 내부 규정이나 정책을 통해 이를 보장하도록 해야 합니다.

‍

3. 규제 준수를 위한 조치 사항

3.1. 동의: 동의는 개인정보 처리의 주된 법적 근거이므로(동의가 필요하지 않은 PDPD 상의 일부 예외적인 경우 제외), 기업은 동의 방식, 정보주체가 기술적으로 동의를 제공하는 방법(예: 체크박스 표시, 문자 메시지, 기술적 설정 선택 또는 기타 이에 상응하는 행위), 동의 관리 등 정보주체로부터 동의를 얻기 위한 기존 절차를 재검토하는 것이 바람직합니다. 그러나 최근 PDPD 설명회에서 공안부(MPS) 사이버보안 및 첨단범죄예방국은 해당 데이터 관리자/처리자가 2023년 7월 1일 이전에 이미 제공된 개인정보에 대해 정보주체로부터 동의를 다시 받아야 할 의무는 없다고 확인했습니다.

개인정보보호법령(PDPD)에 따라, 정보주체가 자발적으로 동의하고 다음 사항을 인지한 경우에만 동의가 유효합니다: (i) 처리될 개인정보의 유형, (ii) 개인정보 처리의 목적, (iii) 개인정보 처리가 허용된 조직 또는 개인, (iv) 정보주체의 권리 및 의무.

정보주체는 언제든지 동의를 철회할 수 있는 권리를 가지므로, 이러한 철회에 효과적으로 대처하고 대응할 수 있는 프로세스를 마련하는 것이 바람직합니다.

3.2. 내부 절차 및 규정: 언급한 바와 같이, 개인정보 보호를 위한 법적 조치 중 하나는 개인정보 보호에 관한 내부 정책을 제정하는 것이며, 이는 PDPD(개인정보보호령)에 따라 의무화되어 있습니다. 현행 PDPD는 상기 내부 정책의 작성 방식에 대해 구체적으로 규정하고 있지 않으므로, MPS(공안부)의 추가 지침을 기다려야 합니다. 그러나 PDPD의 기본 원칙에 비추어 볼 때, 개인정보 보호 원칙, 역할과 책임, 정보주체의 권리와 의무, 개인정보 유출 사고 관리, 교육 및 인식 제고, 검토 및 개정 등과 같은 기본적인 규정들을 정책에 포함시키는 것이 바람직합니다.

3.3. 데이터 처리에 관한 의무

데이터 처리 통지: PDPD에 따라 기업은 정보주체의 개인정보를 처리하기 전에 정보주체에게 고지서를 발송해야 합니다.

데이터 유출 통지: PDPD에 따르면 개인정보 관리자/개인정보 관리 겸 처리자는 데이터 유출이나 기타 PDPD 위반 사항을 인지한 후 72시간 이내에 공안부(MPS)에 통지해야 합니다.

관련 당사자에 대한 데이터 제공: 정보주체는 법률에 달리 규정되지 않는 한, 요청을 접수한 후 72시간 이내에 개인정보처리자/개인정보처리 겸 취급자에게 본인 또는 제3자에게 본인의 개인정보를 제공하도록 요구할 권리가 있습니다.

영향 평가: PDPD는 개인정보 관리자/개인정보 관리 겸 처리자/개인정보 처리자/제3자(해당하는 경우)로 하여금 (i) 개인정보 처리 및 (ii) 베트남 시민 개인정보의 국경 간 이전에 대한 영향평가를 실시하고(해당하는 경우), 공안부(MPS)의 감사 및 평가를 위해 영향평가 서류를 보관하도록 요구합니다. 이에 더하여, 개인정보 처리를 시작한 시점부터 60일 이내에 해당 평가 서류를 승인을 위해 MPS에 제출해야 합니다.

인력 구성: 민감 개인정보를 처리하는 경우, 해당 개인정보 통제자/통제자 겸 처리자/처리자/제3자는 데이터 처리 업무를 감독할 부서와 개인정보 보호책임자(DPO)를 지정해야 하며, 이들의 정보는 개인정보 보호기관에 전달되어야 합니다.

‍

결론, 기업들은 PDPD를 단순한 법적 난제가 아니라, 개인정보 수집 및 처리 관행을 변화시킬 수 있는 전환점적 기회로 보아야 합니다. 이는 궁극적으로 고객/비즈니스 파트너/임직원 간의 신뢰를 구축하고, 시장에서 명성을 쌓으며, 특히 글로벌 비즈니스와 융화되는 계기가 될 것입니다.

‍

*면책 조항: 본 법률 브리핑은 일반적인 정보 제공만을 목적으로 작성되었습니다. 수록된 내용은 법률 자문을 구성하지 않으며, 개별 구체적 사안에 대한 상세한 조언으로 간주되어서는 안 됩니다. 구체적인 법률 자문이 필요하신 경우 당사의 파트너 변호사에게 문의해 주시기 바랍니다.