M&A에서 고객 개인정보는 두 번 넘어갑니다 — 실사 때는 제17조, 클로징 때는 제27조

인수 거래에서 고객 개인정보는 실사 단계와 클로징 단계에서 한 번씩 건너갑니다. 두 시점의 법적 근거가 다릅니다. 거래가 성사되기 전 데이터룸에 올리는 자료는 영업양도 조항(제27조)의 적용 국면이 아니라 제17조 제1항의 제3자 제공이고, 동의나 계약 이행으로 모은 회원 정보에는 수집 목적 범위 제공을 쓸 수 없어 실무상 남는 경로가 좁습니다. 클로징으로 개인정보가 실제로 이전되면 제27조가 붙는데, 통지 의무는 파는 쪽과 사는 쪽에 각각 따로 걸리고 사는 쪽 의무는 파는 쪽이 먼저 알려야 사라집니다. 개인정보보호위원회는 같은 병원 거래의 양도인과 양수인에게 같은 날 각각 과태료 100만 원을 부과했습니다(2022. 11. 16. 제18회 전체회의 의결).

본사 서버에 있는 데이터를 지워 달라는 요구가 들어왔습니다 — 기한은 10일이고, 의무자는 한국법인입니다

개인정보를 본사로 국외 이전한 뒤에도 정보주체의 권리 보장 의무는 이전한 한국법인에 남습니다. 개인정보 보호법 제5장이 그대로 적용되는데 제28조의11의 준용 목록에 제5장이 없기 때문입니다. 열람·정정·삭제·처리정지의 통지 기한은 시행령이 정한 10일이며, GDPR의 1개월이 아닙니다. 외국계 한국법인 법무·CPO와 본사 DPO를 위한 정리입니다.

본사가 보내온 글로벌 DPA에 서명했습니다 — 한국법이 계약에 넣으라고 정한 것은 따로 있습니다

글로벌 DPA 서명만으로 국외이전 준비는 끝나지 않습니다. DPA 역할표가 한국 법인을 processor로 적어 왔더라도 개인정보 보호법 공식 영문본에 그 지위는 없고, 수탁자는 제26조 제8항에 따라 개인정보처리자의 의무 대부분을 그대로 부담합니다. 이전 근거(제28조의8 제1항)와 별개로, 같은 조 제4항과 시행령 제29조의10 제2항은 보호조치를 이전받는 자와 미리 협의해 계약에 반영하라고 요구합니다. 외국계 한국법인 법무·CPO와 본사 DPO를 위한 정리입니다.

본사는 인증을 받았으니 국외이전 근거가 있다고 합니다 — 한국 고시 목록에 올라 있는 인증은 하나뿐입니다

개인정보 보호법 제28조의8 제1항 제4호는 인증을 국외이전 근거로 인정하지만 조건이 둘입니다. 보호위원회가 고시한 목록에 올라 있는 인증이어야 하고, 그 인증을 받아야 하는 쪽은 이전받는 자입니다. 고시 별표 2에 등재된 인증은 ISMS-P 하나이고 ISO 27701·BCR·CBPR은 없습니다.

실사에서 개인정보를 볼 때 무엇을 요청해야 하나 — 파기 미이행과 국외이전 근거 미비를 찾는 자료

유출 같은 사고형 위반과 달리 파기 미이행과 국외이전 근거 미비는 사건이 없어 밖에서 보이지 않습니다. 무엇을 받아 볼지는 법이 이미 정해 두었습니다. 개인정보 보호법 제30조 제1항 제3호의2의 처리방침 기재와 제28조의8 제1항의 이전 근거별 문서가 그것이고, 두 위반은 과태료와 전체 매출액 3% 과징금으로 무게가 갈립니다.

과태료가 더 많은 쪽은 공표되지 않았습니다 — 개인정보위 결과 공표는 무엇으로 결정되는가

2026년 7월 8일 개인정보보호위원회 제2소위원회는 같은 날 세 건을 의결했습니다. 과태료 900만 원이 부과된 회사는 공표되지 않았고, 420만 원이 부과된 회사는 위원회 홈페이지에 1년간 공표됐습니다. 결과 공표는 과태료의 부속 처분이 아니라 법 제66조 제1항에 따른 별개의 재량 판단이고, 어느 공표 요건이 적용되는지는 위반행위가 2023년 9월 15일 전에 끝났는지로 갈립니다. 공표를 다투는 길도 따로 있습니다. 위원회 단계의 제66조 제2항 공표명령 면제와 법원 단계의 공표명령만 떼어낸 집행정지(서울행정법원 2024아12120)가 그것인데, 집행정지는 유예일 뿐 본안에서 지면 공표는 이루어집니다.

본사가 채용 AI의 편향을 민감정보로 점검하고 있습니다 — 한국 법인도 같은 점검을 할 수 있나

EU AI Act 제10조 제5항은 고위험 AI의 편향 탐지·시정을 위한 특별범주 개인정보 처리를 조건부로 허용합니다. 한국 개인정보 보호법 제23조 제1항에는 그런 예외가 없습니다. AI기본법은 채용·대출 심사 AI에 위험관리를 요구하면서도 그 점검에 필요한 민감정보 처리를 허용하는 문언을 두지 않았습니다.

처리방침에 SDK를 모두 '위탁'으로 적어 두었습니다 — 광고 픽셀도 같은 칸인가

국외이전의 근거를 처리방침에 적을 때 도구마다 적을 수 있는 근거가 다릅니다. 법 제28조의8 제1항 제3호는 '처리위탁·보관’만 대상으로 하고 '제공’은 빠져 있기 때문입니다. 광고 플랫폼 픽셀을 위탁 표에 올려 두었다면 근거가 비어 있을 수 있습니다. 위탁으로 정리된 구글 애널리틱스류 분석 도구도 제3호의 '계약 이행에 필요한’이 벤더가 아니라 정보주체와의 계약을 가리키므로, 서비스 개선 목적의 행동 분석은 제1호의 별도 동의가 필요할 수 있습니다.

개인정보보호법 영문본은 어디서 받나 — 현행(법률 제21445호)과 영문본이 반영한 판 구별법

개인정보보호법 영문본은 국가법령정보센터(law.go.kr) 영문법령과 한국법제연구원(elaw.klri.re.kr)에서 무료로 받을 수 있고, 현행은 2026년 9월 11일 시행된 법률 제21445호이고, 영문본은 2026-09-11 확인 기준 아직 제20897호 판을 반영합니다. 한국법제연구원에는 2020년판·2023년판·2025년판이 어느 것이 현행인지 표시 없이 공존하고, 본사가 2020년판을 읽으면 국외이전 동의의 과잉 준수와 신설 의무의 미준수가 동시에 생깁니다. 버전 판별법과 조문 대비를 정리했습니다.

본사는 legitimate interest로 처리하고 있습니다 — 한국에서 같은 근거가 어디까지 통하나

한국 개인정보 보호법에도 정당한 이익 근거가 있습니다(제15조 제1항 제6호). 다만 GDPR과 구조가 다릅니다. 한국법은 근거 목록을 수집·이용(제15조)과 제3자 제공(제17조)으로 나눠 두었고, 제공 쪽 목록은 수집 쪽 목록을 그대로 옮기지 않습니다. 계약 이행을 근거로 수집한 정보를 같은 근거로 제3자에게 제공하는 경로는 제17조 제1항에 없습니다. 본사 LIA 문서를 옮겨 오기 전에 확인해야 할 지점을 조문 단위로 정리했습니다.