베트남 소프트웨어 팀이 싱가포르나 자카르타의 고객에게 서비스를 제공할 때, 계약은 거래의 일부에 불과하다. 누군가는 어떤 종류의 데이터가 이동하는지, 누가 그 데이터에 책임을 지는지, 국경 양쪽에서 어떤 규칙이 적용되는지를 파악해야 한다. 아세안은 2000년 e-ASEAN 기본협정부터 2018년 아세안 전자상거래협정에 이르기까지 사반세기 동안 이러한 무역을 위한 규칙을 만들어 왔다(ASEAN 2000; MTI Singapore 2018). 신뢰, 보호, 협력은 처음부터 의제에 올라 있었다.
Toh는 2023년 글에서 아세안의 디지털 미래가 유망하지만 미얀마 위기, 디지털 보호주의 압력, 회원국 간 장벽에 노출되어 있다고 주장했다(Toh 2023). 베트남에서 이 경고는 현실이 되었다. 아세안이 디지털경제기본협정(DEFA) 협상을 마무리하는 시점에 맞춰 「데이터법」과 「개인정보보호법」이 시행되고 있다.
필자의 주장은 아세안 디지털 통합에서 베트남이 얻는 이익이, 기업이 시장 간 데이터 의무를 얼마나 예측 가능하게 파악하고 이행할 수 있는지에 일정 부분 달려 있다는 것이다. 이행은 세 가지 기준, 즉 서비스 공급 비용, 기업의 참여 능력, 그리고 정보주체가 실제로 받는 보호 수준으로 평가해야 한다.
무역은 실재하지만 고르지 않다
디지털 무역은 서로 다른 지표가 뒤섞이기 때문에 과대평가되기 쉽다. 국제 디지털 무역 측정 핸드북(Handbook on Measuring Digital Trade)은 온라인으로 주문된 상품·서비스와 네트워크를 통해 전달된 서비스를 구분한다(IMF et al. 2023). 데이터 규칙의 영향이 가장 큰 것은 후자이므로, 이 글은 여기에 초점을 맞춘다.
WTO 추정에 따르면 베트남의 디지털 전달 서비스 수출은 2023년 약 39억 8천만 달러에서 2024년 50억 7천만 달러, 2025년 51억 8천만 달러로 늘었다. 증가율은 27.4%였다가 2.3%에 그쳤다(WTO 2026). 2025년 수출에서 기타 사업 서비스가 약 37.5%를 차지했고, 컴퓨터·정보 서비스를 더하면 약 82.2%에 이른다. 기회는 소수의 기술 선도 기업을 훨씬 넘어서지만, 성장 경로는 순탄하지 않으며 한 해의 강한 성장이 전망을 뜻하지는 않는다.
기업 수치도 같은 주의가 필요하다. FPT는 2025년 해외 IT 서비스 매출이 35조 3,820억 동으로 14.3% 늘었다고 발표했지만(FPT 2026), 이 매출에는 고객에게 서비스를 제공하는 여러 방식이 섞여 있다. Viettel Global은 주로 캄보디아 등 현지에 보유한 법인을 통해 시장에 서비스를 제공한다(Viettel Global 2025). 이는 베트남에서 국경을 넘어 제공되는 서비스와는 다른 경로이며, 의무도 다르다.
역내 규칙은 이러한 무역의 여건을 조성하는 데 기여한다. 디지털 무역 조항은 협정이 공통 규칙을 어떻게 구축하는지 보여 주지만, 기업이 이를 얼마나 잘 활용하는지는 보여 주지 않는다(Burri & Polanco 2020). OECD(2026)는 아세안 국가들의 규제 환경이 여전히 다르다고 지적한다. 아세안은 2026년 6월 DEFA 협상 타결을 발표했으며, 서명은 11월로 예정되어 있다(ASEAN 2026a; 2026b). 협상 타결은 서명, 발효, 이행과 같지 않다. 또한 무역 증가만으로는 변화가 규칙, 수요, 역량 가운데 무엇에서 비롯되었는지 알 수 없다.
베트남의 규칙은 실재하는 이익을 보호한다. 문제는 어떻게 적용하느냐다
데이터 정책에 동기가 하나뿐인 경우는 드물다. Han(2024)이 베트남, 싱가포르, 인도네시아의 데이터 현지화를 비교하며 보여 주듯, 프라이버시, 안보, 집행 역량, 경제 발전이 모두 작용할 수 있다. 동기만으로는 어떤 규칙이 효과적인지 보호주의적인지 증명할 수 없으며, 평가해야 할 것은 수단 그 자체다.
첫 단계는 분류다. 「데이터법」(제60/
두 번째 단계는 법에 이미 마련된 부담 완화 장치를 점검하는 것이다. 제91호 법은 일부 중복 평가를 피하고(제5조 제4항), 제6항에 열거된 경우 제20조 제3항의 요건에 예외를 두며, 제38조에 따라 소기업과 스타트업이 일정 조건 아래 특정 의무를 나중에 이행하도록 선택할 수 있게 한다. 2026년 1월 1일부터 시행된 시행령 제356/
법에 예외가 적혀 있다고 해서 기업이 그것을 쉽게 활용할 수 있다는 뜻은 아니다.
Zhang과 Mitchell(2022)이 주장하듯, 현지화 요건은 미리 위반으로 규정하기보다 법적·실무적 맥락 속에서 판단해야 한다. 중요한 증거는 실무적인 것이다. 기업이 어떤 규칙이 적용되는지 어떻게 판단하는지, 어떤 서류를 준비해야 하는지, 누가 책임을 지는지, 어디서 여전히 업무가 중복되는지가 그것이다.
규정 준수가 경영 판단으로 바뀌는 지점
의무는 업무를 통해 경영상의 결과로 이어진다. 기업은 관련 데이터의 유형, 각 당사자의 역할, 적용 조건을 파악해야 한다. 법률 자문, 계약 변경, 공급업체 관리, 보호 조치 입증에는 모두 시간과 비용이 든다. 이 업무로 출시가 늦어지거나 비용이 오르면, 기업은 서비스를 재설계하거나 진출 시장을 줄이거나, 베트남에서 공급하는 대신 현지에 법인을 세울 수 있다.
데이터를 하나의 투입 요소로 보는 시각은 연구로 뒷받침된다. Van der Marel과 Ferracane(2021)은 데이터 제한을 데이터 집약적 서비스 수입 감소와 연결하고, Ferracane, Kren, van der Marel(2020)은 이를 데이터에 의존하는 기업의 생산성과 연결한다. 두 연구 모두 베트남의 새 법 이전 데이터를 사용했으므로, 작동 메커니즘을 설명할 뿐 2026년 법률의 비용을 수치로 제시하지는 않는다.
그 영향도 고르게 나타나기 어렵다. 규정 준수 비용의 일부가 고정비라면 대기업은 이를 여러 계약에 분산할 수 있다. 소기업은 자신들을 위해 마련된 완화 장치를 활용하기 전에 명확한 지침과 내부 역량이 필요할 수 있다. 반면 보호에도 대가가 있다. 명확한 책임 체계는 사고 위험을 낮추고, 이를 요구하는 고객을 확보하는 데 도움이 된다. 최대 과징금은 기업이 법을 어겼을 때의 위험이지, 평균적인 사업 비용이 아니다.
여기에는 중요한 한계가 하나 있다. WTO 통계는 2025년에서 끝나지만 제91호 법과 제356호 시행령은 2026년에 발효되었으므로, 무역 수치로는 아직 그 영향을 확인할 수 없다. 올해의 이행을 평가하려면 절차와 기업의 실제 경험에 관한 증거가 필요하다.
규칙을 실제로 쓸 수 있게 만드는 두 가지 우선순위
첫째, 기존 수단이 작동하는지 시험해야 한다. 공안부 산하 데이터 보호 당국은 산업통상부 및 업종별 규제 기관과 각자의 권한 범위 안에서 협력해, 흔한 서비스 공급 시나리오를 하나씩 점검해야 한다. 그 결과물은 기존 법령과 서식을 연결하고 데이터 유형, 각 당사자의 역할, 의무, 예외, 연락 창구를 분명히 하는 시나리오별 지침이 되어야 한다. 이 지침은 공백을 메우고 엇갈리는 해석을 정리해야 하며, 새로운 신고 절차를 만들어서는 안 된다.
둘째, 보호 장치를 갖춘 호환성을 구축해야 한다. 베트남은 아세안 표준계약조항을 자국의 의무 및 주요 파트너국의 의무와 대조한 뒤, 법이 허용하는 범위에서 시범 적용할 수 있다. 계약은 위반 시의 책임과 구제 수단을 배분해야 한다. 싱가포르는 이 조항을 자국법상 자발적 수단으로 취급한다(PDPC 2021). 이는 아세안 전역에서의 자동 인정이 아니며, DEFA가 그런 인정을 만들어 낼 것이라고 가정해서도 안 된다.
| 성과 | 제안 지표 |
|---|---|
| 의무를 쉽게 파악할 수 있다 | 표준 시나리오 해결에 걸리는 시간, 공식 답변의 일관성 |
| 반복 업무가 줄어든다 | 같은 정보를 다시 준비하거나 제출하는 횟수, 기업 규모별 인력 투입 시간 |
| 수단을 실제로 쓸 수 있다 | 기존 완화 장치가 올바르게 적용된 시나리오의 비율 |
| 보호가 실효적이다 | 책임 추적 가능성, 정보주체 요청 및 사고 처리 현황 |
이는 제안된 지표이며 관측된 결과가 아니다. 어떤 변화든 그에 앞서 기준선을 설정해야 한다.
정말 중요한 시험
아세안의 디지털 전망이 만만치 않은 내부 장벽에 직면해 있다는 Toh의 지적은 옳았다. 베트남에서 가장 살펴볼 가치가 있는 장벽은 데이터 규칙의 존재 여부가 아니라 기업이 그 규칙을 활용할 수 있느냐다. 의무가 명확하고 법에 이미 마련된 완화 장치가 작동한다면, 역내 통합과 데이터 보호는 서로를 뒷받침할 수 있다. 그렇지 않다면 비용은 고르지 않게 돌아가고, 이를 감당할 여력이 가장 적은 기업들이 가장 먼저 역내 시장에서 물러설 것이다.