법무법인 광장 백웅렬 변호사 

2019년 1월 1일 베트남 사이버 보안법 (24/2018/QH-14)이 시행된 이후, 거의 3년 만에 동법 시행령 초안이 확정되어 2022년 10월 1일부터 발효되었습니다. 위 사이버 보안법 정부 시행령(53/2022/ND-CP, 이하 “본건 시행령”)은 사이버 보안법에서 위임한 각 사항에 대한 세부 규율을 제공하고 있는데, 그 중 아래에서는 한국 기업들에게 직접적인 영향을 미칠 수 있는 부분을 중심으로 말씀드리겠습니다.

3년 전 베트남 사이버 보안법이 최초 시행되었을 때 가장 논란이 되었던 부분은, 베트남 내에서 부가서비스를 제공하는 외국 기업들에게까지 i) 데이터 현지 저장 의무 및 ii) 지점 또는 대표사무소 설립 의무를 부과한 조항(동법 제26조)이었습니다. 당시 해당 의무 부과의 실효성이나 집행 가능성 측면에서 베트남 내에서도 첨예한 의견 대립이 있었고, 그 여파로 시행령 초안의 확정이 지연되면서, 실제 위 조항의 집행 자체도 사실상 유예되고 있었으나, 결국 올해 10월 1일부터 본건 시행령 실시가 확정되면서, 사이버 보안법 상 외국 기업에 대한 의무 부과 조항은 위 시행령 규정에 따라 향후 우리 관련 기업들을 포함한 외국 기업들에게 영향을 줄 것으로 보입니다.

다만, 본건 시행령의 공포 및 시행에도 불구하고, 즉각적으로 베트남에서 서비스를 영위하는 IT기업들에게 데이터 현지 저장의무와 지점/대표사무소 설립 의무가 발생하지는 않을 것으로 예상됩니다.

본건 시행령 제26조는, 베트남에서 서비스를 제공하는 외국 기업들이 베트남 현지에 저장할 데이터의 유형과 이러한 의무를 부담하는 외국 기업의 베트남 내 사업 형태에 대하여 추가적인 세부 규율을 제공하고 있는데, 이와 같은 의무는 외국 기업이 베트남 공안부 사이버 보안국으로부터 동법 위반 여부 조사를 위해서 서면으로 협조, 예방, 조사 요청 통지를 받은 후, 공안부의 요청사항을 이행하지 못하는 경우에 발생합니다.

이와 같은 의무가 발생한 경우, 해당 외국 기업은 i) 개인정보 등의 경우 이를 수령한 때로부터 24개월 동안, ii) 사이버보안법 위반 조사 및 내역 처리를 위한 시스템 로그 기록은 12개월 동안 해당 데이터를 현지에 저장해야 하고, iii) 베트남에서 서비스를 종료할 때까지 지점 또는 대표사무소를 운영 및 유지하여야 합니다.

즉, 사이버 보안법에서 비교적 명확하게 규정한 외국기업의 위 각 의무에도 불구하고 (동법 제3조에서는 데이터 저장 기간 등 관련 세부사항을 시행령에 위임하였음) 본건 시행령은 해당 의무의 발생 자체에 대한 조건(공안부의 협조 요청에 대한 외국기업의 불이행 등)을 설정함으로써, 당초 입법 취지에서는 한 걸음 물러선 모습을 보이고 있는데, 이는 그동안 외국 기업에 대한 집행 가능성이나 글로벌 IT 기업들의 베트남 투자 위축 우려 등을 강조한 의무 도입 신중론 쪽의 의견을 어느 정도 반영한 중도적인 스탠스라고 평가할 수 있을 것 같습니다.

다만, 최근 베트남 공안부에서 그동안 각 개별 법령에 산재되어 있던 개인정보보호 관련 내용을 취합한 개인정보보호 관련 시행령을 곧 확정 공포, 시행하겠다고 언급하였고, 당초 글로벌 IT기업에 대한 조사, 과세 등을 염두하고 사이버 보안법 제정이 추진되었던 배경을 고려하면, 앞으로 공안부 사이버 보안국에서 본건 시행령에 따라 접근이 가능한 외국 기업들에게 협조 통지 및 의무 부과를 본격적으로 개시하며 사이버 보안법 집행 범위를 확장할 가능성도 있다고 보입니다.

동법 시행령은 구체적인 대표사무소, 지점 설치 기타 의무에 대한 추가적인 관련 기관 가이드라인 및 법 위반에 대한 페널티 등 추가 관련 규정 도입을 예정하고 있는 바, 향후 사이버 보안법의 실무상 집행 범위 및 그 가능성과 관련하여 공안부의 개인정보보호 시행령과 함께, 향후 1~2년 내의 관련 정부기관의 법령 제·개정 동향 및 추이를 유심히 모니터 할 필요가 있어 보입니다.

※ 해당 원고는 외부 전문가가 작성한 정보로 KOTRA의 공식 의견이 아님을 알려드립니다.