핵심 요약: 인수 거래에서 고객 개인정보는 두 번 건너갑니다. 거래가 성사되기 전 데이터룸에 올리는 실사 자료는 영업양도 조항인 제27조의 적용 국면이 아니고, 매도인이 제17조 제1항의 제3자 제공으로 설명해야 합니다. 그런데 같은 항 제2호의 수집 근거 목록에 제15조 제1항 제1호(동의)와 제4호(계약 이행)가 빠져 있어 회원 정보 대부분에는 수집 목적 범위 제공을 쓸 수 없습니다. 클로징으로 개인정보가 실제로 이전되면 그때 제27조가 붙는데, 통지 의무는 파는 쪽(제1항)과 사는 쪽(제2항)에 각각 따로 걸리고 사는 쪽 의무는 파는 쪽이 먼저 알린 경우에만 사라집니다. 개인정보보호위원회는 같은 병원 거래의 양도인과 양수인에게 같은 날 각각 과태료 100만 원을 부과했습니다(2022. 11. 16. 제18회 전체회의 의결). 두 조항 위반은 모두 1천만 원 이하의 과태료 대상이고(법 제75조 제4항 제6호), 2026년 9월 11일 시행 개정법은 위 조문들을 바꾸지 않습니다.
데이터룸에 회원 데이터베이스 샘플이나 전송 내역이 올라옵니다. 매도인은 거래에 필요한 자료라고 보고 매수인은 받아서 검증하는데, 정작 그 제공의 근거를 묻는 사람은 없는 채로 진행되는 경우가 많습니다. 물어보면 양쪽이 대개 같은 답을 내놓습니다. 영업양도 조항이 있지 않느냐는 것입니다.
그 답은 절반만 맞습니다. 제27조는 개인정보가 실제로 이전되는 클로징 시점을 규율하고, 그보다 앞선 실사 단계는 다른 조문으로 설명해야 합니다. 주식을 사는 거래에서는 법인격이 그대로 남으므로 클로징 단계의 문제는 잘 생기지 않지만, 영업을 넘기거나 고객 명부를 넘기는 거래에서는 클로징 그 자체가 새로운 의무를 만듭니다. 진술보증으로 과거의 위반을 나누는 문제와는 별개로, 계약 유형에 따라 딜 자체에 붙는 의무가 따로 있다는 뜻입니다.
제27조는 어느 시점을 규율하나
제27조 제1항은 "영업의 전부 또는 일부의 양도·합병 등으로 개인정보를 다른 사람에게 이전하는 경우"를 전제하고, 양도하는 회사에 이전하는 사실과 이전받는 자를 정보주체에게 미리 알리라고 요구합니다. 제2항은 이전받은 회사에 같은 통지 의무를 지웁니다. 제3항은 그다음을 정하는데, 이전받은 회사는 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제공할 수 있고 이 경우 개인정보처리자로 봅니다.
세 항이 모두 이전이 일어난 뒤 또는 일어나는 순간을 향합니다. 그런데 실사는 그 앞에 있습니다. 거래가 깨지면 이전은 일어나지 않지만 매수인이 받아 본 자료는 이미 건너간 뒤이고, 제27조는 그 상태에 관해 아무 말도 하지 않습니다.
실사 단계의 제공은 무엇으로 설명되나
그러면 매도인은 제17조 제1항으로 돌아가야 합니다. 회사가 개인정보를 제3자에게 줄 수 있는 경우는 두 가지뿐인데, 정보주체의 동의를 받았거나(제1호) 수집 목적 범위에서 제공하는 경우(제2호)입니다. 이 중 제1호는 현실적이지 않습니다. 인수를 검토 중이라는 사실을 알리고 회원 전원에게 동의를 받아야 하는데, 그것이 거래의 비밀유지와 정면으로 부딪히기 때문입니다.
문제는 제2호입니다. 조문을 그대로 읽으면 제15조 제1항 제2호, 제3호 및 제5호부터 제7호까지에 따라 수집한 경우만 열거되어 있고, 동의로 수집한 경우인 제1호와 계약 이행을 위해 수집한 경우인 제4호는 그 목록에 없습니다. 회사가 회원 가입으로 받은 정보와 서비스 계약을 이행하며 쌓은 정보가 정확히 그 둘이고, 실사에서 가장 자주 요청되는 자료도 바로 여기에 속합니다.
그래서 남는 것이 제17조 제4항입니다. 회사는 당초 수집 목적과 합리적으로 관련된 범위에서 대통령령으로 정하는 바에 따라 동의 없이 제공할 수 있고, 그 판단 기준을 시행령 제14조의2 제1항이 네 가지로 정합니다. 당초 수집 목적과의 관련성, 수집 정황이나 처리 관행에 비춘 예측 가능성, 정보주체의 이익을 부당하게 침해하는지 여부, 그리고 가명처리나 암호화 등 안전성 확보 조치를 했는지 여부입니다. 이 중 앞의 두 개가 관문입니다. 서비스를 이용하려고 정보를 준 이용자가 회사의 매각 검토 과정에서 자기 정보가 인수 후보에게 건너가는 것까지 예측했다고 보기는 쉽지 않습니다. 네 번째인 안전성 조치를 아무리 잘 해도 앞의 셋을 대신하지는 못합니다. 그리고 같은 조 제2항에 따라, 회사가 이런 제공을 지속적으로 하게 되면 판단 기준을 처리방침에 공개하고 개인정보 보호책임자가 점검해야 합니다.
가명처리하면 실사 자료로 넘길 수 있나
실무에서 가장 자주 나오는 답인데 근거로는 약합니다. 제28조의2 제1항이 동의 없는 가명정보 처리를 통계작성, 과학적 연구, 공익적 기록보존 등의 목적으로 한정해 두었고, 인수 실사는 그 목적에 들어가지 않기 때문입니다. 회사가 가명처리를 했다는 사실만으로 제공 근거가 생기지는 않습니다.
답은 제58조의2에 있습니다. 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보라면 이 법이 적용되지 않으므로, 매수인이 그 층위까지 내려온 자료를 받으면 제공 근거를 따질 일 자체가 없어집니다.
그래서 실사의 첫 질문은 근거가 아니라 무엇이 필요한가가 되어야 합니다. 회원 수와 동의 유형별 분포, 보유기간이 지난 건수, 국외 이전 대상 항목의 목록처럼 실사 판단에 필요한 상당수는 개별 레코드가 아니라 집계입니다. 다만 동의 이력이 화면과 실제로 일치하는지처럼 개별 레코드를 봐야만 확인되는 항목도 남는데, 이때 실무에서는 자료를 반출하는 대신 대상회사 통제 아래에서 열람하는 방식을 검토합니다. 어떤 자료를 어느 층위로 요청할지는 실사 자료요청 목록에서 정리했고, 그 자료가 무엇을 드러내는지는 8월 20일 뒤에 남는 근거와 사라지는 근거에서 다뤘습니다.
매수인이 실사에서 받아 간 자료는 거래가 깨져도 그쪽에 남습니다. 제공에 근거가 없었다면 매도인은 인수 성사 여부와 무관하게 제17조 위반을 따로 답해야 하고, 받은 쪽도 그 자료를 왜 보유하고 있는지 설명해야 합니다. 거래가 성사되면 국면이 바뀝니다.
클로징에서 통지 의무는 하나가 아니라 둘이다
개인정보가 실제로 이전되는 순간부터 제27조가 적용되고, 이 조문은 의무를 두 개로 나눠 둡니다.
제1항은 파는 쪽의 의무입니다. 개인정보처리자는 영업의 전부 또는 일부의 양도·합병 등으로 개인정보를 이전하는 경우 미리 세 가지를 알려야 합니다. 이전하려는 사실, 이전받는 자의 성명(법인이면 명칭)·주소·전화번호와 그 밖의 연락처, 그리고 이전을 원하지 않는 정보주체가 조치할 수 있는 방법과 절차입니다.
제2항은 사는 쪽의 의무입니다. 영업양수자등은 개인정보를 이전받았을 때 지체 없이 그 사실을 알려야 합니다. 여기에 단서가 붙습니다. "개인정보처리자가 제1항에 따라 그 이전 사실을 이미 알린 경우에는 그러하지 아니하다."
이 단서가 실무에서 가장 자주 오해되는 지점입니다. 사는 쪽의 의무는 면제된 것이 아니라 파는 쪽의 이행을 조건으로 소멸하는 구조입니다. 파는 쪽이 알리지 않으면 조건이 성취되지 않고, 사는 쪽 의무는 그대로 남습니다.
통지 방법은 서면등의 방법입니다(시행령 제29조 제1항). 과실 없이 그 방법으로 알릴 수 없으면 인터넷 홈페이지에 30일 이상 게재해야 하고, 홈페이지에 게재할 수 없는 정당한 사유가 있으면 사업장 등 보기 쉬운 장소에 30일 이상 게시하거나 일반일간신문·일반주간신문·인터넷신문에 싣는 방법으로 갈음할 수 있습니다(같은 조 제2항). 제1항과 제2항 위반은 모두 1천만 원 이하의 과태료 대상입니다(법 제75조 제4항 제6호).
파는 쪽과 사는 쪽이 각각 과태료를 문 사례가 있나
조문 구조만 놓고 보면 추상적이지만, 실제로 한 거래에서 양쪽이 갈라져 제재된 사례가 있습니다.
개인정보보호위원회는 2022년 11월 16일 제18회 전체회의에서 같은 날 두 건을 의결했습니다. 한방병원의 영업 양도·양수 계약으로 고객 개인정보가 넘어간 사안입니다. 이 두 건은 결정문이 위원회 게시판에 공개되어 있지 않습니다 — 같은 날 의결 중 게시된 것은 안전조치의무 위반 4건뿐이고, 아래 처분 내용은 위원회 보도자료로 확인됩니다.
- 양도인 — 한방병원을 양도하면서 제1항의 사전 통지를 하지 않았습니다. 구 보호법 제27조 제1항 위반, 과태료 100만 원.
- 양수인 — 같은 거래에서 이전받으면서 제2항의 통지를 하지 않았습니다. 보호법 제27조 제2항 위반, 과태료 100만 원.
두 결정문은 서로를 "본 안건 외 양수인", "본 안건 외 양도인"으로 지칭합니다. 양수인 건의 결정문은 위반 사실을 적으면서 양도인도 보호법 제27조제1항에 따라 개인정보 이전과 관련된 사항을 정보주체에게 알린 사실이 없다고 명시했습니다. 단서의 조건이 성취되지 않았다는 판단이 결정문에 그대로 드러난 셈입니다. 양수인은 이후 정보주체에게 이전 통지 안내문자를 발송해 위반 상태를 시정했습니다.
두 건은 행위 시점 때문에 양도인 건은 구 보호법(법률 제14839호)을, 양수인 건은 당시 보호법(법률 제16930호)을 적용했지만, 제1항·제2항의 구조는 그대로여서 현행법으로 읽어도 결론은 같습니다.
양수인이 제2항으로 걸린 사례는 이 한 건이 아닙니다. 캠핑카 렌트 서비스 사업자가 영업을 양수하면서 이전받은 사실을 지체 없이 알리지 않은 것도 제2항 위반으로 인정됐습니다(제2024-007-181호, 2024. 4. 24. 의결). 다만 그 건은 주민등록번호 처리, 안전성 확보조치, 유출 신고·통지 지연이 함께 걸린 사안이라 과태료 총액을 제27조 하나에 귀속시킬 수 없습니다.
회원 명부만 넘기는 거래도 여기에 걸리나
요즘 실제로 늘고 있는 형태는 사업 조직은 그대로 두고 고객 데이터베이스만 자산으로 사는 거래입니다. 제27조가 "영업의 전부 또는 일부의 양도·합병 등"을 전제로 쓰여 있어서, 이런 거래가 여기에 들어오는지가 갈립니다.
결혼중개업체가 정회원 정보(D/B)와 계약서를 통째로 넘긴 사안에서 판단이 심급별로 나뉘었습니다. 1심은 양도 목적물과 기록에 비추어 물적·인적 조직이 동일성을 유지한 채 포괄적으로 이전되었다고 평가할 객관적 자료가 부족하다며, 상법이나 개인정보 보호법 제27조가 정한 영업양도라고 단정하기 어렵다고 봤습니다(서울중앙지방법원 2025. 4. 30. 선고 2025가단74405 판결). 항소심은 달랐습니다. 이 사건 양수도계약이 개인정보 보호법 제27조가 적용되는 "영업의 전부 또는 일부의 양도·합병 등"에 해당한다고 판단했습니다(서울중앙지방법원 2025. 12. 5. 선고 2025나7191 판결). 명부만 사는 형태라고 해서 제27조 밖에 있다고 보기는 어렵다는 뜻입니다. 다만 이 판결의 확정 여부는 확인되지 않았습니다.
실무적으로는 명부만 넘기는 거래에서도 제27조를 먼저 검토하는 쪽이 안전합니다. 해당하지 않는다는 판단에 기대어 통지를 생략했다가 심급이 바뀌면 되돌릴 수 없습니다.
통지를 안 했는데 법원이 배상을 명하지 않은 이유는
같은 항소심은 통지 의무 위반을 이유로 한 위자료 청구는 받아들이지 않았습니다. 법원은 먼저 제27조 제1항 통지 의무의 주체가 개인정보처리자, 즉 영업양도자라고 정리했습니다. 양도자가 이행했다고 볼 사정은 명확하지 않지만, 양수인이 양도자와 공모하거나 결탁하여 통지 의무를 의도적으로 누락했다고 인정할 증거가 없으므로 양수인이 공동으로 제1항을 위반했다고 보기는 어렵다고 했습니다.
그다음이 핵심입니다. 법원은 설령 피고가 개인정보 보호법 제27조 영업양수인으로서의 통지 의무를 위반하였다 하더라도라고 전제한 뒤, ① 이전받은 연락처로 재가입 의사를 확인하려 연락한 것 외에 다른 목적으로 개인정보를 사용했다고 보이지 않는 점, ② 정보주체도 연락을 받고 되물었을 뿐 파기를 요청하지 않은 점, ③ 이후 제안에 응해 정보를 제공했다가 계약 조건에 이견이 생겨 소송에 이른 경위 등을 고려하면 위자료를 배상할 만큼의 정신적 손해가 발생했다고 인정하기 어렵다고 판단했습니다.
의무 위반의 인정과 손해의 인정은 다른 층입니다. 민사에서 배상이 인정되지 않았다는 사실이 행정 제재를 면하게 해 주지 않고, 반대로 과태료를 물었다고 해서 정보주체에 대한 배상 책임이 자동으로 따라오지도 않습니다. 위 병원 사안에서 양수인이 과태료를 문 것과, 이 사건에서 양수인이 배상을 면한 것은 서로 모순되지 않습니다.
사는 쪽은 클로징 전에 무엇을 확인해 둬야 하나
제2항 단서의 구조를 그대로 읽으면 매수인의 실무는 하나로 정리됩니다. 자기가 통지하는 것보다, 파는 쪽이 통지했는지를 문서로 확보하는 것이 먼저입니다.
- 양도인의 제1항 통지 이행 증빙 — 발송 일자, 수단(서면등의 방법인지), 수신 대상 범위, 홈페이지 게재로 갈음했다면 게재 화면과 30일 이상 유지 여부
- 통지 문안에 세 가지가 다 들어갔는지 — 이전 사실, 이전받는 자의 명칭·주소·연락처, 이전을 원하지 않는 정보주체의 조치 방법과 절차. 하나라도 빠지면 제1항 이행으로 보기 어렵고, 그러면 제2항 단서의 조건도 성취되지 않습니다
- 이행되지 않았을 때의 대응 순서 — 클로징 전이면 양도인의 통지를 선행조건으로 넣고, 이미 넘겨받았다면 매수인이 지체 없이 제2항 통지를 해 상태를 시정하는 쪽이 낫습니다. 147호의 양수인도 안내문자 발송으로 위반 상태를 시정했습니다
- 이전받은 뒤의 이용 범위 — 제27조 제3항은 이전 당시의 본래 목적으로만 이용·제공할 수 있게 하고, 이 경우 영업양수자등을 개인정보처리자로 봅니다. 위 항소심에서 양수인에게 유리하게 작용한 사정도 연락 목적이 본래 목적 범위를 벗어나지 않았다는 점이었습니다
이 항목들은 앞에서 본 실사 자료요청과 성격이 다릅니다. 실사는 대상회사에 이미 있는 위반 상태를 찾는 일이고, 이쪽은 거래 실행 자체가 만들어내는 새 의무를 관리하는 일입니다. 인수 후에 사고가 나면 통지와 신고를 하는 것은 인수한 회사이고, 인지 이후의 절차는 유출을 인지한 뒤 72시간에서 다뤘습니다.
9월 11일 개정법은 이 부분을 바꾸나
2026년 9월 11일 시행된 개정 개인정보 보호법(법률 제21445호)은 과징금 조항을 비롯해 여러 곳을 손봤지만, 이 글에서 본 제15조 제1항, 제17조, 제27조, 제28조의2, 제58조의2와 제75조 제4항 제6호의 문언은 그대로입니다. 개정법을 조문 단위로 대조해 확인했습니다. 위 결론은 시행 이후에도 같게 적용됩니다.
유출 통지가 유출등을 알게 된 때를 기산점으로 움직이는 것과 달리, 이전 통지는 거래 일정에 맞춰 미리 움직여야 합니다.
자주 묻는 질문
실사 단계의 자료 제공에도 제27조를 근거로 들 수 있나요?
적용 국면이 다릅니다. 제27조 제1항은 회사가 영업의 전부 또는 일부의 양도·합병 등으로 개인정보를 다른 사람에게 이전하는 경우를 전제하고, 제3항은 이전받은 회사가 그 뒤에 쓸 수 있는 범위를 정합니다. 거래가 성사되기 전 실사 자료로 넘기는 것은 이전 자체가 아니므로, 매도인은 이를 제17조 제1항의 제3자 제공으로 설명해야 합니다. 그런데 제17조 제1항 제2호의 열거에 동의로 수집한 경우(제15조 제1항 제1호)와 계약 이행을 위해 수집한 경우(같은 항 제4호)가 없어, 회원 정보 대부분에는 수집 목적 범위 제공을 쓸 수 없습니다.
가명처리해서 넘기면 동의 없이 실사 자료로 제공할 수 있나요?
제28조의2 제1항은 동의 없는 가명정보 처리를 통계작성, 과학적 연구, 공익적 기록보존 등의 목적으로 한정하는데, 인수 실사는 그 목적에 들어가지 않으므로 회사가 이 특례를 근거로 삼기는 어렵습니다. 제공 근거 문제가 실제로 사라지는 지점은 제58조의2입니다. 시간·비용·기술을 합리적으로 고려할 때 더 이상 개인을 알아볼 수 없는 정보라면 이 법이 적용되지 않기 때문입니다.
영업양수도에서 개인정보 이전 통지는 파는 쪽만 하면 되나요?
파는 쪽이 먼저 제대로 알리면 사는 쪽은 따로 알리지 않아도 됩니다. 개인정보 보호법 제27조 제2항 본문은 영업양수자등이 개인정보를 이전받았을 때 지체 없이 그 사실을 정보주체에게 알리도록 하면서, 단서에서 "개인정보처리자가 제1항에 따라 그 이전 사실을 이미 알린 경우에는 그러하지 아니하다"고 정합니다. 즉 사는 쪽의 의무는 파는 쪽의 이행을 조건으로 사라지는 구조이고, 파는 쪽이 알리지 않으면 그대로 되살아납니다. 두 조항 모두 위반하면 1천만 원 이하의 과태료 대상입니다(법 제75조 제4항 제6호).
고객 데이터베이스만 넘기는 계약도 영업양도인가요?
그렇게 본 판단이 있습니다. 결혼중개업체가 정회원 정보(D/B)를 넘긴 사안에서 1심은 물적·인적 조직이 동일성을 유지한 채 포괄 이전되었다고 볼 자료가 부족하다며 영업양도로 단정하기 어렵다고 했으나(서울중앙지방법원 2025. 4. 30. 선고 2025가단74405 판결), 항소심은 그 양수도계약이 개인정보 보호법 제27조가 적용되는 '영업의 전부 또는 일부의 양도·합병 등’에 해당한다고 판단했습니다(서울중앙지방법원 2025. 12. 5. 선고 2025나7191 판결). 사업 조직을 넘기지 않고 명부만 사는 형태여도 제27조를 우선 검토하는 것이 안전합니다. 다만 이 판결의 확정 여부는 확인되지 않았습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
참고 자료
- 개인정보 보호법(법률 제20897호, 시행 2025. 10. 2.) 제15조 제1항, 제17조 제1항·제2항·제4항, 제27조, 제28조의2 제1항·제2항, 제58조의2, 제75조 제4항 제6호
- 개인정보 보호법 시행령(대통령령 제36340호, 2026. 5. 19.) 제14조의2, 제29조
- 개인정보 보호법(법률 제21445호, 시행 2026. 9. 11.) — 위 조문 문언 변경 없음(조문 단위 확인)
- 개인정보보호위원회 보도자료 「개인정보위, 개인정보보호 법규 위반 10개 사업자 제재」(2022. 11. 16.) — 제18회 전체회의. 「참고 2 행정처분 내용」 표에 양도인(구 보호법 제27조 제1항)·양수인(제27조 제2항) 각 과태료 100만 원이 있습니다. 이 두 건은 결정문이 공개되지 않아 처분 내용은 이 보도자료가 확인되는 범위입니다 — 위원회 결정문 게시판에 공개된 같은 날 의결은 안전조치의무 위반 4건뿐입니다
- 개인정보보호위원회 제2024-007-181호(2024. 4. 24. 의결) — 결정문 전문 기준
- 서울중앙지방법원 2025. 4. 30. 선고 2025가단74405 판결(제1심), 서울중앙지방법원 2025. 12. 5. 선고 2025나7191 판결(항소심)
