핵심 요약: 인수 거래에서 고객 개인정보는 두 번 건너갑니다. 거래가 성사되기 전 데이터룸에 올리는 실사 자료는 영업양도 조항인 제27조의 적용 국면이 아니고, 매도인이 제17조 제1항의 제3자 제공으로 설명해야 합니다. 그런데 같은 항 제2호의 수집 근거 목록에 제15조 제1항 제1호(동의)와 제4호(계약 이행)가 빠져 있어 회원 정보 대부분에는 수집 목적 범위 제공을 쓸 수 없습니다. 클로징으로 개인정보가 실제로 이전되면 그때 제27조가 붙는데, 통지 의무는 파는 쪽(제1항)과 사는 쪽(제2항)에 각각 따로 걸리고 사는 쪽 의무는 파는 쪽이 먼저 알린 경우에만 사라집니다. 개인정보보호위원회는 같은 병원 거래의 양도인과 양수인에게 같은 날 각각 과태료 100만 원을 부과했습니다(2022. 11. 16. 제18회 전체회의 의결). 두 조항 위반은 모두 1천만 원 이하의 과태료 대상이고(법 제75조 제4항 제6호), 2026년 9월 11일 시행 개정법은 위 조문들을 바꾸지 않습니다.
목차
데이터룸에 회원 데이터베이스 샘플이나 전송 내역이 올라옵니다. 매도인은 거래에 필요한 자료라고 보고 매수인은 받아서 검증하는데, 정작 그 제공의 근거를 묻는 사람은 없는 채로 진행되는 경우가 많습니다. 물어보면 양쪽이 대개 같은 답을 내놓습니다. 영업양도 조항이 있지 않느냐는 것입니다.
그 답은 절반만 맞습니다. 제27조는 개인정보가 실제로 이전되는 클로징 시점을 규율하고, 그보다 앞선 실사 단계는 다른 조문으로 설명해야 합니다. 주식을 사는 거래에서는 법인격이 그대로 남으므로 클로징 단계의 문제는 잘 생기지 않지만, 영업을 넘기거나 고객 명부를 넘기는 거래에서는 클로징 시점에 새로운 의무가 생깁니다. 진술보증으로 과거의 위반을 나누는 문제와는 별개로, 계약 유형에 따라 딜 자체에 붙는 의무가 따로 있다는 뜻입니다.
제27조는 어느 시점을 규율하나
제27조 제1항은 "영업의 전부 또는 일부의 양도·합병 등으로 개인정보를 다른 사람에게 이전하는 경우"를 전제하고, 양도하는 회사에 이전하는 사실과 이전받는 자를 정보주체에게 미리 알리라고 요구합니다. 제2항은 이전받은 회사에 같은 통지 의무를 지웁니다. 제3항은 그다음을 정하는데, 이전받은 회사는 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제공할 수 있고 이 경우 개인정보처리자로 봅니다.
세 항은 모두 이전이 일어난 뒤 또는 일어나는 순간을 규율합니다. 그런데 실사는 그보다 앞선 단계입니다. 거래가 깨지면 이전은 일어나지 않지만 매수인이 받아 본 자료는 이미 건너간 뒤이고, 제27조는 그 상태에 관해 정하지 않습니다.
실사 단계의 제공은 무엇으로 설명되나
그러면 매도인은 제17조 제1항으로 돌아가야 합니다. 회사가 개인정보를 제3자에게 줄 수 있는 경우는 두 가지뿐인데, 정보주체의 동의를 받았거나(제1호) 수집 목적 범위에서 제공하는 경우(제2호)입니다. 이 중 제1호는 현실적이지 않습니다. 인수를 검토 중이라는 사실을 알리고 회원 전원에게 동의를 받아야 하는데, 그것이 거래의 비밀유지와 정면으로 부딪히기 때문입니다.
문제는 제2호입니다. 조문을 그대로 읽으면 제15조 제1항 제2호, 제3호 및 제5호부터 제7호까지에 따라 수집한 경우만 열거되어 있고, 동의로 수집한 경우인 제1호와 계약 이행을 위해 수집한 경우인 제4호는 그 목록에 없습니다. 회사가 회원 가입으로 받은 정보와 서비스 계약을 이행하며 쌓은 정보가 정확히 그 둘이고, 실사에서 가장 자주 요청되는 자료도 바로 여기에 속합니다.
그래서 남는 것이 제17조 제4항입니다. 회사는 당초 수집 목적과 합리적으로 관련된 범위에서 대통령령으로 정하는 바에 따라 동의 없이 제공할 수 있고, 그 판단 기준을 시행령 제14조의2 제1항이 네 가지로 정합니다. 당초 수집 목적과의 관련성, 수집 정황이나 처리 관행에 비춘 예측 가능성, 정보주체의 이익을 부당하게 침해하는지 여부, 그리고 가명처리나 암호화 등 안전성 확보 조치를 했는지 여부입니다. 이 중 먼저 충족되어야 하는 것은 앞의 두 가지입니다. 서비스를 이용하려고 정보를 준 이용자가 회사의 매각 검토 과정에서 자기 정보가 인수 후보에게 건너가는 것까지 예측했다고 보기는 쉽지 않습니다. 네 번째인 안전성 조치를 아무리 잘해도 앞의 셋을 대신하지는 못합니다. 그리고 같은 조 제2항에 따라, 회사가 이런 제공을 지속적으로 하게 되면 판단 기준을 처리방침에 공개하고 개인정보 보호책임자가 점검해야 합니다.
가명처리하면 실사 자료로 넘길 수 있나
실무에서 가장 자주 나오는 답인데 근거로는 약합니다. 제28조의2 제1항이 동의 없는 가명정보 처리를 통계작성, 과학적 연구, 공익적 기록보존 등의 목적으로 한정해 두었고, 인수 실사는 그 목적에 들어가지 않기 때문입니다. 회사가 가명처리를 했다는 사실만으로 제공 근거가 생기지는 않습니다.
답은 제58조의2에 있습니다. 시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보라면 이 법이 적용되지 않으므로, 매수인이 그 수준까지 처리된 자료를 받으면 제공 근거를 따질 일 자체가 없어집니다.
그래서 실사의 첫 질문은 근거가 아니라 무엇이 필요한가가 되어야 합니다. 회원 수와 동의 유형별 분포, 보유기간이 지난 건수, 국외 이전 대상 항목의 목록처럼 실사 판단에 필요한 상당수는 개별 레코드가 아니라 집계입니다. 다만 동의 이력이 화면과 실제로 일치하는지처럼 개별 레코드를 봐야만 확인되는 항목도 남는데, 이때 실무에서는 자료를 반출하는 대신 대상회사 통제 아래에서 열람하는 방식을 검토합니다. 어떤 자료를 어느 층위로 요청할지는 실사 자료요청 목록에서 정리했고, 그 자료가 무엇을 드러내는지는 8월 20일 뒤에 남는 근거와 사라지는 근거에서 다뤘습니다.
매수인이 실사에서 받아 간 자료는 거래가 깨져도 매수인 쪽에 그대로 남습니다. 제공에 근거가 없었다면 매도인은 인수 성사 여부와 무관하게 제17조 위반을 따로 답해야 하고, 받은 쪽도 그 자료를 왜 보유하고 있는지 설명해야 합니다. 거래가 성사되면 국면이 바뀝니다.
클로징에서 통지 의무는 하나가 아니라 둘이다
개인정보가 실제로 이전되는 순간부터 제27조가 적용되고, 이 조문은 의무를 두 개로 나눠 둡니다.
제1항은 파는 쪽의 의무입니다. 개인정보처리자는 영업의 전부 또는 일부의 양도·합병 등으로 개인정보를 이전하는 경우 미리 세 가지를 알려야 합니다. 이전하려는 사실, 이전받는 자의 성명(법인이면 명칭)·주소·전화번호와 그 밖의 연락처, 그리고 이전을 원하지 않는 정보주체가 조치할 수 있는 방법과 절차입니다.
제2항은 사는 쪽의 의무입니다. 영업양수자등은 개인정보를 이전받았을 때 지체 없이 그 사실을 알려야 합니다. 여기에 단서가 붙습니다. "개인정보처리자가 제1항에 따라 그 이전 사실을 이미 알린 경우에는 그러하지 아니하다."
이 단서가 실무에서 가장 자주 오해되는 지점입니다. 사는 쪽의 의무는 면제된 것이 아니라 파는 쪽의 이행을 조건으로 소멸하는 구조입니다. 파는 쪽이 알리지 않으면 조건이 성취되지 않고, 사는 쪽 의무는 그대로 남습니다.
통지 방법은 서면등의 방법입니다(시행령 제29조 제1항). 과실 없이 그 방법으로 알릴 수 없으면 인터넷 홈페이지에 30일 이상 게재해야 하고, 홈페이지에 게재할 수 없는 정당한 사유가 있으면 사업장 등 보기 쉬운 장소에 30일 이상 게시하거나 일반일간신문·일반주간신문·인터넷신문에 싣는 방법으로 갈음할 수 있습니다(같은 조 제2항). 제1항과 제2항 위반은 모두 1천만 원 이하의 과태료 대상입니다(법 제75조 제4항 제6호).
파는 쪽과 사는 쪽이 각각 과태료를 문 사례가 있나
조문 구조만 놓고 보면 추상적이지만, 실제로 한 거래에서 양쪽이 각각 제재된 사례가 있습니다.
개인정보보호위원회는 2022년 11월 16일 제18회 전체회의에서 같은 날 두 건을 의결했습니다. 한방병원의 영업 양도·양수 계약으로 고객 개인정보가 넘어간 사안입니다. 이 두 건(제2022-018-146호·제2022-018-147호)의 결정문은 위원회 결정문 게시판에는 공개되어 있지 않습니다 — 같은 날 의결 중 게시판에 올라온 것은 안전조치의무 위반 4건뿐입니다. 두 결정문은 국가법령정보센터의 위원회 결정문으로 확인되고(피심인 비실명), 아래 처분 내용은 위원회 보도자료와도 일치합니다.
- 양도인 — 한방병원을 양도하면서 제1항의 사전 통지를 하지 않았습니다. 구 보호법 제27조 제1항 위반, 과태료 100만 원.
- 양수인 — 같은 거래에서 이전받으면서 제2항의 통지를 하지 않았습니다. 보호법 제27조 제2항 위반, 과태료 100만 원.
두 결정문은 서로를 "본 안건 외 양수인", "본 안건 외 양도인"으로 지칭합니다. 양수인 건의 결정문은 위반 사실을 적으면서 양도인도 보호법 제27조제1항에 따라 개인정보 이전과 관련된 사항을 정보주체에게 알린 사실이 없다고 명시했습니다. 단서의 조건이 성취되지 않았다는 판단이 결정문에 그대로 드러난 셈입니다. 양수인은 이후 정보주체에게 이전 통지 안내문자를 발송해 위반 상태를 시정했습니다.
행위 시점이 달라 양도인 건에는 구 보호법(법률 제14839호)이, 양수인 건에는 당시 보호법(법률 제16930호)이 적용됐지만, 제1항·제2항의 구조는 그대로여서 현행법으로 읽어도 결론은 같습니다.
양수인이 제2항으로 걸린 사례는 이 한 건이 아닙니다. 캠핑카 렌트 서비스 사업자가 영업을 양수하면서 이전받은 사실을 지체 없이 알리지 않은 것도 제2항 위반으로 인정됐습니다(제2024-007-181호, 2024. 4. 24. 의결). 다만 그 건은 주민등록번호 처리, 안전성 확보조치, 유출 신고·통지 지연이 함께 걸린 사안이라 과태료 총액을 제27조 하나에 귀속시킬 수 없습니다.
사는 쪽이 알렸는데도 파는 쪽이 제재된 사례도 있습니다. 공무원 임용 등 강의 서비스를 제공하던 사업자가 2020년 3월 10일 양수자와 양도 계약을 체결하면서 개인정보를 이전하려는 사실을 이용자에게 미리 알리지 않았고, 침해신고가 접수되어 조사가 시작됐습니다. 결정문은 양수자가 이메일로 회원들에게 이전 사실을 통지했다고 적으면서도, 양도인이 미리 알리지 않은 행위를 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 "정보통신망법") 제26조 제1항 위반으로 판단했습니다. 과태료는 1회 위반 기준금액 600만 원에서 감경된 300만 원이었습니다(제2022-007-045호, 2022. 4. 27. 의결). 당시 정보통신서비스 제공자에게 적용되던 구법 사건이지만, 양도인에게는 사전 통지를, 양수인에게는 이전받은 뒤의 통지를 따로 요구한 점은 현행 제27조와 같습니다. 양수인이 나중에 알렸다는 사정으로 양도인의 사전 통지 의무가 채워지지는 않는다는 뜻입니다.
회원 명부만 넘기는 거래도 여기에 걸리나
요즘 실제로 늘고 있는 형태는 사업 조직은 그대로 두고 고객 데이터베이스만 자산으로 사는 거래입니다. 제27조가 "영업의 전부 또는 일부의 양도·합병 등"을 전제로 쓰여 있어서, 이런 거래가 여기에 해당하는지가 문제됩니다.
결혼중개업체가 정회원 정보(D/B)와 계약서를 통째로 넘긴 사안에서 판단이 심급별로 나뉘었습니다. 1심은 양도 목적물과 기록에 비추어 물적·인적 조직이 동일성을 유지한 채 포괄적으로 이전되었다고 평가할 객관적 자료가 부족하다며, 상법이나 개인정보 보호법 제27조가 정한 영업양도라고 단정하기 어렵다고 봤습니다(서울중앙지방법원 2025. 4. 30. 선고 2025가단74405 판결). 항소심은 달랐습니다. 이 사건 양수도계약이 개인정보 보호법 제27조가 적용되는 "영업의 전부 또는 일부의 양도·합병 등"에 해당한다고 판단했습니다(서울중앙지방법원 2025. 12. 5. 선고 2025나7191 판결). 명부만 사는 형태라고 해서 제27조 밖에 있다고 보기는 어렵다는 뜻입니다. 다만 이 판결의 확정 여부는 확인되지 않았습니다.
실무적으로는 명부만 넘기는 거래에서도 제27조를 먼저 검토하는 쪽이 안전합니다. 회사가 해당하지 않는다는 판단에 기대어 통지를 생략했다가 상급심에서 판단이 바뀌면 되돌릴 수 없습니다.
통지를 안 했는데 법원이 배상을 명하지 않은 이유는
같은 항소심은 통지 의무 위반을 이유로 한 위자료 청구는 받아들이지 않았습니다. 법원은 먼저 제27조 제1항 통지 의무의 주체가 개인정보처리자, 즉 영업양도자라고 정리했습니다. 양도자가 이행했다고 볼 사정은 명확하지 않지만, 양수인이 양도자와 공모하거나 결탁하여 통지 의무를 의도적으로 누락했다고 인정할 증거가 없으므로 양수인이 공동으로 제1항을 위반했다고 보기는 어렵다고 했습니다.
그다음이 핵심입니다. 법원은 「설령 피고가 개인정보 보호법 제27조 영업양수인으로서의 통지 의무를 위반하였다 하더라도」라고 전제한 뒤, ① 이전받은 연락처로 재가입 의사를 확인하려 연락한 것 외에 다른 목적으로 개인정보를 사용했다고 보이지 않는 점, ② 정보주체도 연락을 받고 되물었을 뿐 파기를 요청하지 않은 점, ③ 이후 제안에 응해 정보를 제공했다가 계약 조건에 이견이 생겨 소송에 이른 경위 등을 고려하면 위자료를 배상할 만큼의 정신적 손해가 발생했다고 인정하기 어렵다고 판단했습니다.
의무 위반의 인정과 손해의 인정은 별개의 문제입니다. 민사에서 배상이 인정되지 않았다는 사실이 행정 제재를 면하게 해 주지 않고, 반대로 과태료를 물었다고 해서 정보주체에 대한 배상 책임이 자동으로 따라오지도 않습니다. 위 병원 사안에서 양수인이 과태료를 문 것과, 이 사건에서 양수인이 배상을 면한 것은 서로 모순되지 않습니다.
한국 법인의 서비스를 해외 본사로 넘길 때도 제27조 통지로 끝나나
외국계 회사가 한국 법인이 운영하던 서비스를 해외 본사로 넘기는 거래가 영업양도·합병에 해당하고 개인정보의 국외 이전을 수반한다면, 회사는 제27조의 통지와 제28조의8의 국외 이전 요건을 함께 갖춰야 한다는 것이 개인정보위의 입장입니다. 개인정보위는 「개인정보 처리 통합 안내서」(2025. 7.)의 질의응답에서 「법 제27조가 법 제28조의8의 특례라고 볼 사정이 없어, 국외 이전이 수반되는 양도･합병의 경우 제28조의8이 배제되지 않아 법 제27조, 법 제28조의8 모두 적용됨」이라고 답했습니다. 따라서 회사가 이전 통지를 마쳤다는 사실만으로 국외 이전의 근거까지 갖춘 것으로 보기는 어렵습니다.
영업양도 계약을 맺지 않고 약관상 계약 주체와 개인정보처리자만 본사로 바꾸는 경우에도 제27조가 적용된다고 판단됩니다. 안내서는 제27조의 적용 대상에 「사실상 영업양도와 유사한 효과가 있는 경우」까지 포함된다고 설명하면서, 분할이나 자산양수도로 사업부문이 이전되는 경우를 예로 듭니다. 계약 주체와 개인정보처리자가 본사로 바뀌면 이용자의 개인정보에 관한 권리·의무가 본사로 넘어가고 서비스는 그대로 이어지므로, 안내서가 기준으로 삼는 「개인정보에 관한 권리･의무가 포괄적으로 이전되는 상황」과 다르지 않다고 봅니다. 구법 사건이지만 가까운 처분례가 하나 있습니다. Facebook은 2018년 7월 14일부터 대한민국 이용자에 대한 서비스 제공 주체(법인)를 Facebook Ireland에서 Facebook Inc.로 변경하면서 법정 고지사항을 알리지 않았습니다. 개인정보위는 이를 당시 정보통신서비스 제공자에게 적용되던 구 정보통신망법 제26조 제1항·제2항 위반으로 보고 두 법인에 각 600만 원의 과태료를 부과했습니다(제2021-013-101호, 2021. 8. 25. 의결). 회원 데이터베이스만 넘긴 계약에 제27조를 적용한 항소심 판결은 앞에서 보았습니다. 다만 계약 주체만 바꾸는 경우가 제27조에 해당하는지를 직접 판단한 해석례·결정·판결은 찾지 못했습니다. Facebook 건은 해외 법인 사이의 변경이었고 두 법인이 영업양도 계약을 맺었는지도 결정문에서 확인되지 않으므로, 위 판단은 필자의 견해이며 사안에 따라 결론이 달라질 수 있습니다.
국외 이전에 관하여 안내서는 두 경우를 나눕니다. 양도 뒤에도 국내에서 처리하다가 나중에 양수자가 국외로 옮기는 경우는 제28조의8 제1항 제3호에 해당하면 관련 사항을 처리방침에 공개하고 이전할 수 있다고 합니다. 반면 양도 시점에 양도자가 국외 양수자에게 개인정보를 직접 이전하는 경우는 「양도자가 국외의 제3자에게 제공하는 형태로 국외 이전에 해당할 수 있음」이라고만 하고, 같은 항의 어느 호에 근거하는지는 밝히지 않았습니다.
필자는 직접 이전의 경우 회사가 제1호, 곧 국외 이전에 관한 별도의 동의를 받아야 한다고 봅니다. 제3호의 문언은 「정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁ㆍ보관이 필요한 경우」여서 제공에는 맞지 않는데, 안내서는 직접 이전이 제공의 형태에 해당할 수 있다고 하기 때문입니다. 따라서 그 이전이 제공에 해당하고, 법률·조약의 특별한 규정(제2호)이나 인증·보호 수준 인정(제4호·제5호)에 해당하는 사정이 없다면 남는 근거는 제1호로 판단됩니다. 이 경우 회사는 동의를 받기 전에 이전되는 개인정보 항목, 이전되는 국가·시기·방법, 이전받는 자의 성명, 이전받는 자의 이용목적과 보유·이용 기간, 이전을 거부하는 방법·절차와 거부의 효과를 미리 알려야 합니다(제28조의8 제2항). PlayStation Network가 2019년 약관과 처리방침의 회사 주체를 소니인터랙티브엔터테인먼트코리아에서 Sony Interactive Entertainment Inc.로 바꿀 때 택한 방식도 개인정보 해외이전 동의였습니다(2019. 3. 29. 공지, 현재 게시본 기준). 이 사례는 한 회사의 실무일 뿐 위 견해의 법적 근거는 아닙니다.
통지 단계에서 회사가 확인할 사항은 세 가지입니다. 우선 안내서는 통지 시기를 실제 개인정보 DB가 이전되는 시점이 아니라 계약 체결 등 의사결정이 이루어지는 시점으로 봅니다. 그리고 Facebook 건에서 개인정보위는 뉴스룸과 이용약관, 처리방침 어디에도 법정 고지사항이 게시되어 있지 않다고 보았고, 「언론보도로 이용자가 알 수 있을 것이라는 기대는 피심인의 의무이행과는 관련 없는 사항」이라고 판단했습니다. 나아가 본사는 처리방침에 국외 이전의 근거를 기재했는지(시행령 제31조 제1항 제2호)와 국내대리인 지정 대상인지(제31조의2)를 확인해 둘 필요가 있습니다.
사는 쪽은 클로징 전에 무엇을 확인해 둬야 하나
제2항 단서의 구조를 그대로 읽으면 매수인의 실무는 하나로 정리됩니다. 자기가 통지하는 것보다, 파는 쪽이 통지했는지를 문서로 확보하는 것이 먼저입니다.
- 양도인의 제1항 통지 이행 증빙 — 발송 일자, 수단(서면등의 방법인지), 수신 대상 범위, 홈페이지 게재로 갈음했다면 게재 화면과 30일 이상 유지 여부
- 통지 문안에 세 가지가 다 들어갔는지 — 이전 사실, 이전받는 자의 명칭·주소·연락처, 이전을 원하지 않는 정보주체의 조치 방법과 절차. 하나라도 빠지면 제1항 이행으로 보기 어렵고, 그러면 제2항 단서의 조건도 성취되지 않습니다
- 이행되지 않았을 때의 대응 순서 — 클로징 전이면 양도인의 통지를 선행조건으로 넣고, 이미 넘겨받았다면 매수인이 지체 없이 제2항 통지를 해 상태를 시정하는 쪽이 낫습니다. 제2022-018-147호의 양수인도 안내문자 발송으로 위반 상태를 시정했습니다
- 이전받은 뒤의 이용 범위 — 제27조 제3항은 이전 당시의 본래 목적으로만 이용·제공할 수 있게 하고, 이 경우 영업양수자등을 개인정보처리자로 봅니다. 위 항소심에서 양수인에게 유리하게 작용한 사정도 연락 목적이 본래 목적 범위를 벗어나지 않았다는 점이었습니다
이 항목들은 앞에서 본 실사 자료요청과 성격이 다릅니다. 실사는 대상회사에 이미 있는 위반 상태를 찾는 일이고, 위 확인 항목은 거래 실행으로 새로 생기는 의무를 관리하는 일입니다. 인수 후에 사고가 나면 통지와 신고를 하는 것은 인수한 회사이고, 인지 이후의 절차는 유출을 인지한 뒤 72시간에서 다뤘습니다.
9월 11일 개정법은 이 부분을 바꾸나
2026년 9월 11일 시행된 개정 개인정보 보호법(법률 제21445호)은 과징금 조항을 비롯해 여러 곳을 손봤지만, 이 글에서 본 제15조 제1항, 제17조, 제27조, 제28조의2, 제58조의2와 제75조 제4항 제6호의 문언은 그대로입니다. 해외 본사로 넘기는 경우에 본 제28조의8도 문언이 같습니다. 제31조의2는 국내대리인의 업무를 정한 제1항 각 호가 인용하는 조문만 바뀌었습니다. 불만 처리 업무의 근거가 제31조 제3항 제3호에서 제31조 제4항 제5호로 옮겨졌고, 유출 통지·신고 업무의 근거는 제34조 제1항·제2항의 통지와 같은 조 제4항의 신고로 바뀌었습니다. 개정 전(법률 제20897호)과 개정 후 조문을 나란히 놓고 확인했습니다. 위 결론은 시행 이후에도 같게 적용됩니다.
유출 통지의 기한은 유출등을 알게 된 때부터 계산되지만, 회사는 이전 통지를 거래 일정에 맞춰 미리 준비해야 합니다.
자주 묻는 질문
실사 단계의 자료 제공에도 제27조를 근거로 들 수 있나요?
적용 국면이 다릅니다. 제27조 제1항은 회사가 영업의 전부 또는 일부의 양도·합병 등으로 개인정보를 다른 사람에게 이전하는 경우를 전제하고, 제3항은 이전받은 회사가 그 뒤에 쓸 수 있는 범위를 정합니다. 거래가 성사되기 전 실사 자료로 넘기는 것은 이전 자체가 아니므로, 매도인은 이를 제17조 제1항의 제3자 제공으로 설명해야 합니다. 그런데 제17조 제1항 제2호의 열거에 동의로 수집한 경우(제15조 제1항 제1호)와 계약 이행을 위해 수집한 경우(같은 항 제4호)가 없어, 회원 정보 대부분에는 수집 목적 범위 제공을 쓸 수 없습니다.
가명처리해서 넘기면 동의 없이 실사 자료로 제공할 수 있나요?
제28조의2 제1항은 동의 없는 가명정보 처리를 통계작성, 과학적 연구, 공익적 기록보존 등의 목적으로 한정하는데, 인수 실사는 그 목적에 들어가지 않으므로 회사가 이 특례를 근거로 삼기는 어렵습니다. 제공 근거 문제가 실제로 사라지는 지점은 제58조의2입니다. 시간·비용·기술을 합리적으로 고려할 때 더 이상 개인을 알아볼 수 없는 정보라면 이 법이 적용되지 않기 때문입니다.
영업양수도에서 개인정보 이전 통지는 파는 쪽만 하면 되나요?
파는 쪽이 먼저 제대로 알리면 사는 쪽은 따로 알리지 않아도 됩니다. 개인정보 보호법 제27조 제2항 본문은 영업양수자등이 개인정보를 이전받았을 때 지체 없이 그 사실을 정보주체에게 알리도록 하면서, 단서에서 "개인정보처리자가 제1항에 따라 그 이전 사실을 이미 알린 경우에는 그러하지 아니하다"고 정합니다. 즉 사는 쪽의 의무는 파는 쪽의 이행을 조건으로 사라지는 구조이고, 파는 쪽이 알리지 않으면 그대로 되살아납니다. 두 조항 모두 위반하면 1천만 원 이하의 과태료 대상입니다(법 제75조 제4항 제6호).
고객 데이터베이스만 넘기는 계약도 영업양도인가요?
그렇게 본 판단이 있습니다. 결혼중개업체가 정회원 정보(D/B)를 넘긴 사안에서 1심은 물적·인적 조직이 동일성을 유지한 채 포괄 이전되었다고 볼 자료가 부족하다며 영업양도로 단정하기 어렵다고 했으나(서울중앙지방법원 2025. 4. 30. 선고 2025가단74405 판결), 항소심은 그 양수도계약이 개인정보 보호법 제27조가 적용되는 '영업의 전부 또는 일부의 양도·합병 등'에 해당한다고 판단했습니다(서울중앙지방법원 2025. 12. 5. 선고 2025나7191 판결). 사업 조직을 넘기지 않고 명부만 사는 형태여도 제27조를 우선 검토하는 것이 안전합니다. 다만 이 판결의 확정 여부는 확인되지 않았습니다.
한국 법인이 운영하던 서비스를 해외 본사로 넘길 때 제27조 통지만 하면 되나요?
개인정보보호위원회는 제27조와 제28조의8이 모두 적용된다고 봅니다. 「개인정보 처리 통합 안내서」(2025. 7.) 질의응답은 제27조가 제28조의8의 특례라고 볼 사정이 없어 국외 이전이 수반되는 양도·합병에는 두 조문이 모두 적용된다고 답했습니다. 안내서는 양도 시점에 국외 양수자에게 직접 이전하는 경우를 제공 형태의 국외 이전에 해당할 수 있다고만 하고 제28조의8 제1항의 어느 호인지는 밝히지 않았는데, 제3호가 처리위탁·보관에 한정된 문언이므로 그 이전이 제공에 해당하고 제2호·제4호·제5호에 해당하는 사정이 없다면 회사가 제1호의 별도 동의를 받아야 한다는 것이 이 글의 견해입니다. 영업양도 계약 없이 약관상 계약 주체만 본사로 바꾸는 경우를 직접 판단한 해석례나 판결은 찾지 못했습니다. 이 글은 그 경우에도 제27조가 적용된다고 보지만, 사안에 따라 결론이 달라질 수 있습니다.
이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.
참고 자료
- 개인정보 보호법(법률 제20897호, 시행 2025. 10. 2.) 제15조 제1항, 제17조 제1항·제2항·제4항, 제27조, 제28조의2 제1항·제2항, 제58조의2, 제75조 제4항 제6호
- 개인정보 보호법 시행령(대통령령 제36671호, 2026. 9. 11. 시행) 제14조의2, 제29조
- 개인정보 보호법(법률 제21445호, 시행 2026. 9. 11.) — 위 조문 문언 변경 없음(조문 단위 확인)
- 개인정보보호위원회 보도자료 「개인정보위, 개인정보보호 법규 위반 10개 사업자 제재」(2022. 11. 16.) — 제18회 전체회의. 「참고 2 행정처분 내용」 표에 양도인(구 보호법 제27조 제1항)·양수인(제27조 제2항) 각 과태료 100만 원이 있습니다. 이 두 건은 위원회 결정문 게시판에는 공개되지 않았고, 결정문은 국가법령정보센터의 위원회 결정문(제2022-018-146호 양도인·제2022-018-147호 양수인, 피심인 비실명)으로 확인됩니다 — 위원회 결정문 게시판에 공개된 같은 날 의결은 안전조치의무 위반 4건뿐입니다
- 개인정보보호위원회 제2024-007-181호(2024. 4. 24. 의결) — 결정문 전문 기준
- 개인정보보호위원회 제2022-007-045호(2022. 4. 27. 의결) — 구 정보통신망법 제26조 제1항(결정문 전문 기준)
- 서울중앙지방법원 2025. 4. 30. 선고 2025가단74405 판결(제1심), 서울중앙지방법원 2025. 12. 5. 선고 2025나7191 판결(항소심)
- 개인정보보호위원회, 「개인정보 처리 통합 안내서」(2025. 7.) 제Ⅶ장 「영업양도 등에 따른 개인정보의 이전 제한(법 제27조)」 — 적용 범위·판단 기준, 통지 시기, 질의응답(국외 이전이 수반되는 양도·합병)
- 개인정보보호위원회 제2021-013-101호(2021. 8. 25. 의결) — Facebook Inc.·Facebook Ireland Limited, 구 정보통신망법 제26조 제1항·제2항(결정문 전문 기준)
- 개인정보 보호법(법률 제21445호, 시행 2026. 9. 11.) 제28조의8 제1항·제2항, 제31조의2 / 같은 법 시행령(대통령령 제36671호) 제31조 제1항 제2호
- 「PlayStation™Network 서비스 이전에 관한 중요 공지」(2019. 3. 29.) — 2026. 10. 4. 열람한 게시본 기준