데이터 위반 알림 절차
PART I – 목적, 법적 근거 및 정의
조 1. 목적
1.1. 본 절차는 개인정보 유출 사건 발생 시 통보의 순서, 기한, 내용 및 책임을 규정하여, HiTechCloud가 베트남 법률 및 적용 가능한 국제법에 따른 통보 의무를 규정 준수하도록 하고 정보주체의 정당한 권리 및 이익을 보호합니다.
1.2. 본 절차는 개인정보 보호정책(PDPD) 제14조의 특화된 규정이며 정보 보안 장애 대응 절차(IR)와 긴밀히 조율되고, HiTechCloud가 개인정보처리자, 개인정보처리자 겸 개인정보 수탁자, 또는 개인정보 수탁자인 모든 경우에 적용됩니다.
제2조. 법적 근거
- 개인정보보호법 2025(법률 제91/2025/QH15호), 특히 개인정보 보호 규정 위반 알림에 관한 제23조;
- Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân, đặc biệt Điều 28 về thông báo vi phạm (Mẫu số 08) — thay thế Nghị định 356/2025/NĐ-CP kể từ 01/01/2026;
- 사이버보안법 2025 (법률 제116/2025/QH15); 데이터법 2024;
- 형법 2015년(2017년 개정); 민법 2015년 손해배상 관련;
- GDPR (제33조, 제34조) — 적용 대상 정보주체의 데이터에 적용됩니다.
제3조. “개인정보 위반”의 정의
3.1. '개인정보 보호 위반'은 개인정보 보호 규정을 위반하는 사건으로, 개인정보의 손실, 무단 접근, 수집, 공개, 변경, 복제 또는 사용, 또는 파괴로 인해 정보주체의 합법적 권익, 국가 보안, 사회 질서 또는 안전에 손해를 끼치거나 끼칠 수 있는 경우를 포함하되 이에 한정되지 않습니다.
제II부 – 탐지, 평가 및 분류
제4조. 탐지 및 접수
4.1. 데이터 위반은 모니터링 시스템(SIEM, DLP, IDS/IPS, EDR), 직원의 내부 보고, 고객/정보주체의 보고, 처리자/파트너의 통지, 관계 당국 또는 제3자의 통지를 통해 발견될 수 있습니다.
4.2. 모든 데이터 위반 의심 건은 다음을 통해 DPO 및 침해사고 대응팀(CSIRT)에 즉시 보고해야 합니다 dpo@photuesoftware.com / report@photuesoftware.com. 72시간 카운트다운은 위반이 발견된 시점부터 시작됩니다.
제5조. 평가 및 심각도 분류
5.1. DPO는 CSIRT과 협력하여 최대한 신속히 다음을 평가합니다: (a) 영향을 받은 데이터의 유형(기본/민감); (b) 영향을 받은 데이터 주체의 수; (c) 원인 및 범위; (d) 데이터 주체에 미칠 수 있는 피해; (e) 이미 적용된 완화 조치.
5.2. 심각도 분류:
| 수준 | 특징 | 알림 의무 |
|---|---|---|
| 심각 | 민감 정보(위치, 생체 인식, 금융, 법률 위반 행위); 대규모 정보 주체; 고위험 | 72시간 이내 A05 및 정보주체에게 알림 |
| 평균 | 기본 데이터; 중간 수준의 위험 | 72시간 내에 A05 알림 발송; 위험이 있는 경우 데이터 주체에 알림 |
| 낮음 | 통제됨, 실제 손해 발생 가능성 없음 | 내부 파일에 기록하고 법률 규정에 따라 알림을 제공합니다 |
제III부 – 알림 의무
조 6. 전문 기관에 대한 알림 (A05)
6.1. 개인정보 보호 규정 위반이 발견되는 경우, 개인정보처리자 또는 개인정보처리자-처리자 늦어도 72시간 이내에 공안부(사이버 보안 및 첨단범죄예방국 – A05)에 알림 위반 탐지 시점부터 2025년 개인정보보호법 제23조 및 시행령 356/2025/NĐ-CP 제28조에 따라 사용 서식 제08호 시행령과 함께 공포되었습니다.
6.2. 72시간 기한 이후에 알림을 제출하는 경우, 지연 또는 불완전한 이유를 명시해야 합니다.
제7조. 알림 내용
7.1. 위반 통지에는 최소한 다음이 포함되어야 합니다: (a) 발생 시간 및 장소를 포함한 사건의 성격 설명; (b) 영향을 받은 개인정보의 유형 및 규모; (c) 영향을 받은 정보주체의 (추정) 수; (d) DPO/담당 연락처 정보; (e) 발생 가능한 결과 및 손해, 그리고 완화 조치; (f) 이미 취해진 및 계획된 조치.
7.2. 72시간 이내에 전체 정보를 제공할 수 없는 경우, HiTechCloud는 단계별로 정보 알림(추가 알림)을 제공하고 진행 상황을 명확히 설명합니다.
제8조. 정보주체 대상 알림
8.1. 민감 정보(특히 위치, 생체 인식, 금융 데이터)와 관련된 위반 또는 정보주체의 권리 및 이익에 고위험을 초래할 가능성이 있는 위반의 경우, HiTechCloud는 발견 시점부터 72시간 이내에 영향을 받는 정보주체에게 통지하거나, 공개적으로 통지하고 정보주체에게 가능한 한 즉시 발송합니다.
8.2. 데이터 주체에 대한 공지는 명확하고 이해하기 쉬운 언어로 작성되며 다음을 포함합니다: 침해 설명, 영향을 받은 데이터 카테고리, 발생 가능한 결과, HiTechCloud가 취한 조치, 데이터 주체를 위한 권장 자가보호 조치(비밀번호 변경, 계정 모니터링, 사기 주의).
조 9. 컨트롤러와 프로세서 간의 협력
9.1. HiTechCloud가 개인정보 수탁자 역할을 하는 경우(예: 고객의 데이터베이스 저장), HiTechCloud는 침해 발견 직후 지체 없이 고객(개인정보 관리자)에게 통지하여 관리자가 법적 통지 의무를 이행하도록 하며, 동시에 필요한 정보 및 증거 제공에 협력합니다.
9.2. HiTechCloud가 정보 처리자인 경우, HiTechCloud는 A05 및 정보주체에 대한 알림을 주요 책임으로 이행합니다.
제IV부 – 기록, 조치 및 책임
조 10. 위반 기록 작성 및 보관
10.1. 광범위한 알림이 필요하지 않은 경미한 위반을 포함한 모든 데이터 침해는 기록 및 문서화되어야 하며, 다음을 포함합니다: 사건의 진행 경위, 평가, 알림 결정(또는 알림하지 않은 사유), 제공된 알림 내용 및 시정 조치.
10.2. 위반 기록은 스토리지에 보관됩니다 최소 05년 조치 완료 시점부터 관할 기관의 책임 소명 및 점검을 지원합니다(시행령 356/2025/NĐ-CP 제31조).
제11조. 시정 및 재발 방지
11.1. 알림과 병행하여 HiTechCloud는 침해사고 대응(IR) 프로세스에 따라 차단 및 복구 조치를 실행하고 정보 보안 시스템 보안 정책에 따라 예방 조치를 업데이트합니다.
제12조. 책임 및 제재
12.1. 통지하지 않거나 지연 통지 또는 고의로 통지를 지연하는 행위는 행정 위반 행위로 간주되어 규정에 따른 손해배상 책임 및 형사 책임 외에도 2025년 개인정보보호법 제8조에 따라 처리될 수 있습니다(조직 대상 과태료: 기타 개인정보 보호 위반 행위 시 최대 30억 VND, 국경 간 데이터 이전 위반 시 직전 연도 매출의 최대 5%, 데이터 매매 시 수익금의 최대 10배).
12.2. 본 절차의 이행 책임은 DPO(주관), CSIRT(기술), 법무부(법률 검토)에 속하며 이사회의 감시를 받습니다.
제5부 – 국제 관할권 및 효력
조 13. GDPR 및 기타 관할권에 따른 알림
13.1. EU/EEA의 정보주체 데이터의 경우: GDPR 제33조에 따라 72시간 내에 감시 기관에 통지; GDPR 제34조에 따라 높은 위험이 있을 때 정보주체에 통지.
13.2. 별도의 알림 요구 사항을 규정하는 다른 리전의 대상: 해당 리전의 규정을 준수하십시오.
제14조. 효력
14.1. 본 규정은 2026년 07월 01일부터 효력을 발생하며, 최소 12개월마다 또는 법률 변경 시 검토됩니다. 베트남어 버전이 최고의 법적 효력을 가집니다.
