국경 간 데이터 이전 규정
제1조. 법적 근거 및 정의
1.1. 법적 근거:
- 개인정보보호법 (법률 제91/2025/QH15, 효력 01/01/2026);
- 시행령 356/2025/NĐ-CP — 개인정보의 처리 및 국외 이전, 영향평가 문서에 관한 규정
- 데이터법 2024(법률 제 60/2024/QH15호) — 국경 간 데이터 전송 및 처리에 관한 사항;
- 사이버보안법 2025(법률 116/2025/QH15, 효력 발생일 2026년 7월 1일 — 사이버보안법 2018 및 사이버정보보안법 2015 대체) — 데이터 저장 및 사이버 보안 보장에 관한 사항;
- 2023년 전자거래법;
- 개인정보 보호법 91/2025/QH15 및 356/2025/ND-CP 시행령 (91/2025 법률과 상충하지 않는 범위 내에서 적용);
- GDPR (EU) 2016/679, 제V장 (제44–49조); EU 결정 2021/914에 따른 SCCs; PIPL (중국) 2021 (제38–43조); APEC CBPR 프레임워크 — 해당 규제 범위에 속하는 데이터에 대해 준용됩니다.
1.2. 본 규정은 개인정보 보호정책(PDPD) 제12조(국경 간 데이터 이전) 및 제13조(영향 평가)를 상세히 규정하며, 서비스 이용약관의 일부입니다.
1.3. 정의:
- “개인정보” (DLCN): 2025년 개인정보보호법에 따라 특정 개인과 연계되거나 식별하는 데 도움이 되는 정보;
- “국경 간 데이터 이전”: 해외 조직/개인에 의해, 또는 베트남 영토 외부에 위치한 시스템상에서 베트남 시민의 개인정보(DLCN)를 전송, 제공, 공유, 스토리지 저장 또는 처리하는 행위;
- 개인정보 통제자 / 개인정보 수탁자: PDPD 및 2025년 개인정보보호법의 정의에 따름;
- “개인정보 국외 이전 영향 평가 문서”: 2025년 개인정보보호법 요구 사항에 따른 기록 문서;
- “TIA – Transfer Impact Assessment”: GDPR 요구에 따른 데이터 이전 영향 평가;
- “SCC – Standard Contractual Clauses”: EU 데이터를 제3국으로 이전하기 위해 EC에서 승인한 표준 계약 조항입니다.
조 2. 베트남 법률에 따른 데이터 이전의 조건 및 절차
2.1. 개인정보 해외 이전 조건:
(a) 정보주체의 동의가 있는 경우, 다만 법률이 달리 규정하는 경우는 제외합니다;
(b) 데이터 처리 계약(DPA) 또는 수신 당사자와의 바인딩 데이터 보호 약관이 있는 경우;
(c) 개인정보 보호 수준을 유지하기 위해 적절한 보안조치를 적용합니다;
(d) 데이터 이전 활동이 국가 안보 및 공공 이익을 침해하지 않을 것;
(e) 법정 기한 이전 또는 이내에 개인 정보의 처리 또는 국외 이전에 대한 영향 평가 문서를 준비합니다.
2.2. 지원서 제출 절차:
(a) HiTechCloud 작성 국외 개인정보 데이터 이전 영향평가서 그리고 1부의 정본을 다음에 제출: 사이버 보안 및 첨단 범죄 예방국(공안부 A05) — 개인정보 보호 전담 기관 — 2025년 개인정보보호법 및 시행령 356/2025/NĐ-CP에 규정된 기한 내;
(b) 서류 구성: 데이터 유형 설명, 목적, 수신 국가/수신 당사자, 보호 조치 및 위험 평가;
(c) 기록은 보관되며, 변경 사항이 발생할 때 업데이트되고 권한 있는 기관의 요청 시 제출됩니다.
참고: 개인정보 보호 신고를 접수하는 기관은 A05 – 국무총리 산하 국가정보보호위원회가 아닌 국가정보원(前 정보통신기술부)입니다.
2.3. 국내 데이터 스토리지:
(a) 사이버보안법 2025 및 관련 지침 문서에 따라, 일부 유형의 데이터 및 일부 기업은 베트남에서의 데이터 스토리지 의무 대상입니다.
(b) HiTechCloud는 해당 요건이 적용될 때 이를 충족하기 위해 베트남 내에서 베트남 시민의 중요 데이터를 스토리지/백업하는 방안을 유지합니다;
(c) 해당 분야 법률에서 정한 보관 기간입니다.
조 3. 국제 데이터 이전 메커니즘 (GDPR 범위 내 데이터의 경우)
3.1. 표준 계약 조항(SCC): GDPR 범위에 해당하는 사용자 데이터(EU/EEA)의 경우, HiTechCloud는 EU 결정 2021/914에 따른 SCC를 적용하며, 각 데이터 흐름의 역할에 따라 모듈 1 (관리자 → 관리자), 모듈 2 (관리자 → 처리자), 모듈 3 (처리자 → 처리자), 모듈 4 (처리자 → 관리자)를 포함합니다.
3.2. Transfer Impact Assessment (TIA): EU 역외로 새로운 데이터 이전을 진행하기 전, HiTechCloud는 다음 TIA를 수행합니다: (a) 수신국 법률 및 현지 국가기관의 접근 가능성 확인, (b) EU 기준 대비 실질적 보호 수준 평가(Schrems II test), (c) 필요한 경우 추가 조치 적용(암호화, 익명화), (d) TIA 보고서 작성 및 최소 5년 보관, (e) 법적 변경이 있거나 새로운 공급자로 전환 시 재검토.
3.3. 보충 메커니즘: 다국적 그룹 내 BCR(Binding Corporate Rules); 수령국이 유럽위원회(EC)로부터 동등성을 인정받은 경우 Adequacy Decision 우선 적용; 개별 사례의 경우 구체적 동의; 필수적 이익은 건강 또는 안전 긴급 상황에만 한정.
제4조. 파트너 및 수신 국가 목록
| 파트너 / 서비스 | 국가 | 적용 방식 | 데이터 유형 |
|---|---|---|---|
| Amazon Web Services | 미국 / 글로벌 | SCCs + DPA | Hosting 데이터 |
| Google Cloud Platform | 미국 / 글로벌 | SCCs + DPA | 애플리케이션 데이터 |
| Microsoft Azure | 미국 / EU | SCCs + DPA | 기업 데이터 |
| Cloudflare | 미국 / 글로벌 | SCCs + DPA | Log, CDN |
| Stripe / PayPal | 미국 | SCCs + PCI DSS | 결제 데이터 |
| 기타 공급자 | 계약에 따름 | 사례별 평가 | 목적에 따라 |
이 목록은 정기적으로 검토 및 업데이트됩니다. HiTechCloud는 각 데이터 이전 흐름에 대해 해당하는 영향 평가 기록을 작성하고 유지 관리합니다.
제5조. 정보주체의 권리
정보주체는 다음과 같은 권리를 가집니다: (a) 데이터의 국외 이전에 대해 통지받을 권리; (b) 국경 간 데이터 이전에 대한 동의를 거부하거나 철회할 권리; (c) 적용된 보호 조치/DPA에 관한 정보를 요청할 권리; (d) 위반 행위 발견 시 사이버 보안 및 첨단범죄예방국(공안부 A05)에 이의 제기할 권리; (e) 데이터 삭제 및 국경 간 데이터 이전 중단을 요구할 권리. 권리 행사는 PDPD 제7조 및 제8조에 따릅니다.
제6조. 기술적 보호 조치
전송 중 암호화(TLS 1.3 이상); 저장 시 암호화(AES-256); 가능한 경우 전송 전 익명화/가명화; 수신자의 역할 기반 접근 제어(RBAC); 모든 국외 데이터 이전 활동의 모니터링 및 로깅; 데이터 수신 파트너에 대한 정기적(연 1회) 보안 감사; ISO/IEC 27001 표준 준수.
제7조. 위반 및 제재
7.1. 내부 위반: 계약 해지를 포함하여 내부 규정에 따른 노동 징계 처리.
7.2. 행정 위반: 2025년 개인정보보호법 제8조에 따라 개인정보의 국경 간 데이터 이전 규정 위반 시 최대 벌금이 부과될 수 있습니다. 전년도 매출의 5% 조직의; GDPR 적용 범위에 속하는 데이터의 경우 벌금은 최대 EUR 2,000만 또는 글로벌 수익의 4% 높은 수준을 기준으로 합니다.
7.3. 형사 위반: 2015년 형법(특히 컴퓨터 및 통신망 정보를 불법적으로 게시하거나 사용하는 행위에 관한 조 288)에 따라 처벌받을 수 있습니다.
추론, 배치 처리, 추천 및 production AI 서비스에 최적화됨.
본 규정은 2026년 7월 1일부터 효력을 발생하며 모든 이전 버전을 대체합니다. 베트남어 버전이 최고의 법적 효력을 가집니다.
