투자 실사에서 개인정보로 밸류에이션이 깎이는 세 가지 — 파기·국외이전·과징금 기준연도

• 실사에서 개인정보 항목을 볼 때 심사역은 대개 "유출 사고가 있었는가"를 묻습니다. 그런데 금액이 되는 것은 지난 사고 기록이 아니라 지금도 이어지고 있는 위반 상태입니다.
• 개인정보 보호법 제21조(파기)와 제28조의8(국외 이전)은 사고가 아니라 상태를 규율합니다. 공개된 개인정보위 결정문을 세어 보면 제21조가 걸린 의결은 2021년부터 2026년까지 한 해도 빠지지 않았고, 제28조의8이 걸린 의결은 적어도 6건인데 6건 전부에 과징금이 붙었습니다.
• 동의 설계가 잘못돼 있으면 재동의가 끝날 때까지 그 데이터에 기댄 기능이 멈추고, 데이터 모수 자체가 줄어듭니다. 이것은 비용 항목이 아니라 사업계획의 전제가 바뀌는 문제입니다.
• 과징금의 기준 매출액은 「위반행위가 있었던 사업연도」로 잡습니다(시행령 제60조의2 제1항). 상태형 위반은 클로징 뒤에도 이어지므로, 매수인이 인수 후에 키운 매출이 산정 기반이 될 수 있습니다.
• 이 세 가지는 모두 실사 단계에서 자료로 확인할 수 있습니다.

실사에서 개인정보를 볼 때 무엇을 물어야 합니까?

투자 실사에서 개인정보 항목은 대개 한 줄로 끝납니다.

"최근 3년간 개인정보 유출 사고 또는 규제기관 조사가 있었는가."

대상회사가 "없다"고 답하면 심사역은 그 항목을 닫습니다.

저는 이 질문이 틀렸다고 보지는 않습니다. 다만 이 질문은 지나간 일만 묻습니다.

개인정보 보호법이 제재하는 위반의 상당수는 사고가 아닙니다. 어떤 데이터를 지금 어떻게 갖고 있는가, 어디로 보내고 있는가 하는 상태입니다.

상태는 클로징 날짜를 모릅니다. 매도인이 만든 상태가 매수인의 회사 안에서 그대로 이어집니다.

그래서 투자 판단과 금액 협상을 하는 사람이 알아야 할 것은 세 가지입니다.

첫째, 사고가 없는데도 위반이 남아 있는 경우가 있다는 점입니다.

둘째, 동의 설계가 잘못돼 있으면 고치는 비용이 아니라 사업계획의 전제가 바뀐다는 점입니다.

셋째, 과징금의 기준이 되는 매출액이 인수 후 사업연도로 넘어갈 수 있다는 점입니다.

아래에서 하나씩 조문으로 확인하겠습니다.

사고는 없는데 위반이 남아 있을 수 있습니까?

있습니다. 개인정보 보호법에서 이 유형을 가장 분명하게 보여 주는 조문이 제21조와 제28조의8입니다.

파기 의무는 어떤 구조입니까?

개인정보 보호법 제21조 제1항은 개인정보처리자가 보유기간의 경과, 처리 목적 달성, 가명정보의 처리 기간 경과 등으로 그 개인정보가 불필요하게 되었을 때에는 지체 없이 파기하여야 한다고 정합니다.

여기서 봐야 할 표현은 "불필요하게 되었을 때"와 "지체 없이"입니다.

파기 의무는 어떤 사건이 일어났을 때 생기는 의무가 아닙니다. 데이터가 필요 없어진 순간부터 파기할 때까지 계속 살아 있는 의무입니다.

탈퇴한 회원의 정보를 서버에 그대로 두고 있다면, 그 정보를 두고 있는 기간 내내 제1항의 상태가 유지됩니다. 유출은 없어도 됩니다.

제2항은 파기할 때 복구 또는 재생되지 아니하도록 조치할 것을 요구합니다.

제1항 단서는 다른 법령에 따라 보존하여야 하는 경우를 예외로 둡니다. 다만 그 경우에도 제3항이 붙습니다. 보존하는 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여 저장·관리하여야 합니다.

심사역 입장에서 제3항은 쓸모가 있는 조문입니다. "법령상 보존 중"이라는 답이 나오면, 분리 저장이 되어 있는지를 자료로 확인할 수 있기 때문입니다. 운영 DB와 같은 테이블에 섞여 있다면 단서에 기대기 어려워집니다.

국외 이전은 어떤 구조입니까?

개인정보 보호법 제28조의8 제1항 본문은 개인정보처리자가 개인정보를 국외로 제공(조회되는 경우를 포함합니다)·처리위탁·보관하여서는 아니 된다고 정합니다.

원칙이 금지입니다.

그 다음에 단서로 다섯 가지 허용 근거가 옵니다.

1. 정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우
2. 법률, 대한민국을 당사자로 하는 조약 또는 그 밖의 국제협정에 국외 이전에 관한 특별한 규정이 있는 경우
3. 정보주체와의 계약의 체결 및 이행을 위하여 처리위탁·보관이 필요한 경우로서, 제30조에 따른 개인정보 처리방침에 제2항 각 호의 사항을 공개하였거나 전자우편 등 대통령령으로 정하는 방법으로 정보주체에게 알린 경우
4. 이전받는 자가 제32조의2에 따른 개인정보 보호 인증 등 보호위원회가 정하여 고시하는 인증을 받은 경우로서, 안전조치·권리보장 조치와 인증받은 사항을 이전되는 국가에서 이행하기 위한 조치를 모두 한 경우
5. 이전되는 국가 또는 국제기구의 보호체계 등이 이 법에 따른 보호 수준과 실질적으로 동등한 수준을 갖추었다고 보호위원회가 인정하는 경우

이 구조가 뜻하는 바는 단순합니다. 다섯 가지 중 어느 하나에도 해당하지 않는 국외 이전은, 이전하고 있는 동안 계속 제1항 본문 위반입니다.

"조회되는 경우를 포함한다"는 괄호도 놓치면 안 됩니다. 데이터가 물리적으로 해외 서버에 옮겨지지 않아도, 해외에서 국내 서버에 접속해 조회하는 형태가 이전에 포함됩니다. 외국계 모회사가 있는 대상회사라면 이 괄호가 실사 항목 하나를 통째로 만듭니다.

제1호로 가려면 제2항의 다섯 가지 사항을 미리 알리고 동의를 받아야 합니다. 이전되는 항목, 이전되는 국가·시기·방법, 이전받는 자의 성명(법인은 명칭과 연락처), 이전받는 자의 이용목적 및 보유·이용 기간, 그리고 이전을 거부하는 방법·절차 및 거부의 효과입니다.

제3항은 이 사항이 변경되는 경우에도 알리고 동의를 받아야 한다고 정합니다. 동의를 근거로 이전하고 있다면, 클라우드 리전을 옮기거나 이전받는 자를 바꿀 때 다시 동의를 받아야 할 수 있다는 뜻입니다.

제4항은 단서로 이전하는 경우에도 제17조부터 제19조까지와 제5장을 준수하고 대통령령으로 정하는 보호조치를 하여야 한다고 정합니다. 허용 근거 하나를 확보했다고 나머지 의무가 사라지지 않습니다.

제5항은 이 법을 위반하는 사항을 내용으로 하는 국외 이전 계약을 체결하여서는 아니 된다고 정합니다.

제5항은 심사역이 직접 확인할 수 있는 조문입니다. 본사와 대상회사 사이의 데이터 처리 계약, 클라우드 서비스 계약, 해외 수탁 계약은 실사 자료실에 들어옵니다. 계약서의 내용 자체가 법 위반이면 그 계약을 체결한 것부터 위반입니다.

실제로 얼마나 제재됐습니까?

저는 개인정보위가 공개한 제재 결정문을 모아 조문별로 세어 전수 표로 두고 있습니다. 2026년 9월 14일 기준으로 공개 결정문은 889건이고, 그중 위반 조문이 확인되는 의결은 797건입니다.

이 숫자는 결정문이 공개된 것만 센 것입니다. 비공개 처분은 셀 수 없으므로, 아래 수치는 모두 "적어도"로 읽어야 합니다.

연도별로 보면 대비가 더 분명합니다.

제21조가 걸린 의결은 2021년 19건, 2022년 11건, 2023년 20건, 2024년 20건, 2025년 14건, 2026년 7건입니다. 끊긴 해가 없습니다. 파기 의무 위반은 특정 시기의 단속 주제가 아니라 매년 나오는 상시 항목입니다.

제28조의8이 걸린 의결은 2024년 3건, 2025년 3건입니다. 건수는 적습니다. 다만 걸린 6건 전부에 과징금이 붙었습니다. 과태료로 끝난 건이 없습니다.

금액도 작지 않습니다.

제21조가 걸린 의결 중 과징금이 가장 큰 건은 (주)골프존 75억 400만 원(제2024-008-182호, 2024. 5. 8.)입니다. 그 다음이 ㈜엘지유플러스 68억 45만 2,000원(제2023-012-153호, 2023. 7. 12.), 현대해상화재보험㈜ 61억 9,800만 원(제2024-021-251호, 2024. 12. 11.)입니다.

제28조의8이 걸린 의결 중에서는 ㈜카카오페이 59억 6,800만 원(제2025-001-002호, 2025. 1. 22.)과 Apple Distribution International Limited 24억 500만 원(제2025-001-003호, 2025. 1. 22.)이 가장 큽니다.

다만 이 금액을 읽을 때 갈라 봐야 할 것이 있습니다. 골프존·엘지유플러스·현대해상 건은 결정문에 파기 의무 위반 외의 조문이 함께 적혀 있으므로, 과징금 전액이 제21조 하나에서 나온 것은 아닙니다. Apple Distribution International Limited 건도 제26조가 함께 적혀 있습니다.

반면 ㈜카카오페이 건은 결정문에 적힌 위반 조문이 제28조의8뿐입니다. 국외 이전의 근거를 갖추지 못한 것 하나로 59억 6,800만 원이 나온 사례입니다.

실사에서 이것을 어떻게 확인합니까?

파기와 국외 이전은 둘 다 자료로 확인할 수 있는 상태입니다.

탈퇴 회원 데이터의 보관 기간, 보존 근거 법령, 분리 저장 여부는 DB 스키마와 내부 정책 문서에서 나옵니다.

국외 이전은 클라우드 리전, 해외에서의 접속 권한, 처리방침의 공개 항목, 수탁 계약서에서 나옵니다.

무엇을 자료로 요청할지는 실사 자료 목록 글에 정리해 두었습니다.

위반이 클로징 뒤까지 이어질 때 어느 구간까지 매도인에게 물을 수 있는지는 원인 구간 글에서 다룹니다.

동의 설계가 잘못돼 있으면 무엇이 바뀝니까?

사업계획이 바뀝니다.

심사역은 동의 문제를 대개 "고치면 되는 것"으로 분류합니다. 약관을 고치고 동의 화면을 바꾸면 끝난다고 봅니다.

그 판단은 앞으로 새로 들어올 이용자에게만 맞습니다.

이미 확보한 데이터가 잘못된 동의 위에 있다면, 그 데이터를 계속 쓰기 위해서는 기존 이용자에게 동의를 다시 받아야 합니다.

재동의는 회사가 통제할 수 없는 절차입니다.

응답률을 회사가 정할 수 없습니다. 응답하지 않은 이용자의 데이터는 쓰기 어려워집니다. 거부한 이용자의 데이터도 마찬가지입니다.

재동의가 끝날 때까지 그 데이터에 기댄 기능은 멈춥니다. 추천, 타깃 마케팅, 제휴사 제공 같은 것들입니다.

재동의가 끝나고 나면 데이터 모수 자체가 줄어 있습니다.

투자 심사에서 이것이 뜻하는 바는 명확합니다. 대상회사가 제시한 성장 계획이 지금 갖고 있는 이용자 데이터 전부를 전제로 짜여 있다면, 그 전제가 흔들립니다.

이것은 비용 항목이 아닙니다. 비용은 금액을 정해 가격에 반영하면 됩니다. 전제는 그렇게 되지 않습니다. 모수가 얼마나 줄지 클로징 전에 알기 어렵기 때문입니다.

그래서 동의 설계는 "사고 이력" 칸이 아니라 "사업계획 검증" 칸에서 봐야 합니다.

사고 없이 동의 설계만으로 처분이 나온 구체적 사례는 아동 개인정보 처분 글에서 다루었습니다.

과징금의 기준 매출액이 인수 후로 넘어갈 수 있습니까?

넘어갈 수 있습니다. 이 글에서 가장 중요한 부분입니다.

기준 사업연도는 어떻게 정합니까?

개인정보 보호법 시행령 제60조의2 제1항은 전체 매출액을 「위반행위가 있었던 사업연도」를 기준으로 산정한다고 정합니다. 그 사업연도의 첫날 현재 사업을 개시한 지 3년 이상인지, 1년 이상 3년 미만인지, 직전 사업연도에 개시했는지, 해당 사업연도에 개시했는지에 따라 네 가지로 구분합니다.

핵심은 「위반행위가 있었던 사업연도」라는 표현입니다.

앞에서 본 파기 미이행과 근거 없는 국외 이전은 상태형 위반입니다. 클로징 날짜에 끝나지 않습니다. 매수인이 인수한 뒤에도 같은 데이터가 같은 서버에 남아 있고, 같은 경로로 이전이 계속됩니다.

그러면 위반행위가 있었던 사업연도에 인수 후 사업연도가 포함될 수 있습니다.

매수인이 자본을 넣어 매출을 키웠다면, 그 키운 매출이 산정 기반이 됩니다. 매도인이 만든 위반 상태에 매수인이 만든 매출액을 곱하는 구조입니다.

과징금 상한은 어떻게 정해져 있습니까?

법 제64조의2 제1항은 전체 매출액의 100분의 3을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다고 정합니다. 이 항의 아홉 개 호 가운데 제7호가 제28조의8 제1항을 위반하여 개인정보를 국외로 이전한 경우입니다. 매출액이 없거나 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 20억 원을 초과하지 아니하는 범위입니다.

제2항은 2026년 3월 10일에 신설된 가중 조항입니다. 100분의 10을 초과하지 아니하는 범위로 올라갑니다. 세 가지 경우입니다. 과징금 부과처분을 받은 날부터 3년이 지나기 전에 제1항의 같은 호에 해당하는 위반행위를 한 경우(각각 고의 또는 중대한 과실이 있는 경우로 한정합니다), 고의 또는 중대한 과실로 제1항 각 호의 위반행위를 하고 정보주체의 피해 규모가 1천만 명 이상인 경우, 시정조치 명령에 따르지 아니하여 유출등의 위반행위를 한 경우입니다. 이 경우 매출액이 없거나 산정이 곤란하면 50억 원을 초과하지 아니하는 범위입니다.

이 비율에 어떤 매출을 곱하는지가 앞의 사업연도 문제입니다.

방어선은 어디에 있습니까?

법 제64조의2 제3항입니다. 과징금을 부과하려는 경우 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액을 기준으로 산정한다고 정합니다.

시행령 제60조의2 제3항은 관련이 없는 매출액을 두 가지로 구체화합니다. 개인정보의 처리와 관련이 없는 재화 또는 서비스의 매출액, 그리고 제출받은 자료 등에 근거하여 보호위원회가 위반행위로 직접 또는 간접적으로 영향을 받는 재화 또는 서비스의 매출액이 아닌 것으로 인정하는 매출액입니다.

대상회사가 여러 사업을 하고 있고 위반이 그중 한 사업의 데이터에만 걸려 있다면, 이 조항이 매출액을 좁히는 근거가 됩니다.

다만 두 번째 호의 구조를 그대로 읽어야 합니다. 보호위원회가 인정하는 매출액입니다. 회사가 스스로 나누어 주장하면 끝나는 것이 아니라, 제출한 자료를 근거로 보호위원회가 인정해야 빠집니다.

인수 후에 매수인이 사업을 붙이고 데이터를 통합했다면, 어느 매출이 위반과 관련 없는지 가르는 일이 인수 전보다 어려워집니다. 통합이 방어선을 좁힙니다.

법 제64조의2 제6항은 개인정보 보호를 위하여 예산·인력·설비·장치 등을 투자하고 운영하는 등 대통령령으로 정하는 사유가 있으면 과징금을 감경한다고 정합니다. 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우는 제외됩니다. 인수 후 보안 투자가 이 항에 닿을 수 있다는 점은 짚어 둡니다.

심사역이 이 절에서 가져갈 것은 무엇입니까?

세 가지입니다.

첫째, 실사에서 상태형 위반을 발견했다면, 그 위반의 종료 시점을 클로징 전으로 당기는 것이 매출액 기준연도를 자르는 방법입니다.

둘째, 대상회사에 과거 처분이 있다면 그것이 제2항의 3년 가중 방아쇠가 되는지 봐야 합니다. 이 판단은 3년 시계 글에서 따로 다룹니다.

셋째, 인수 후에 과징금이 나오면 매도인에게 책임을 물어야 합니다. 어떤 진술보증 조항이 이를 받치는지는 진술보증 글에서, 손해액을 어떻게 산정하는지는 손해배상액 산정 글에서 다룹니다.

실사에서 나온 지적을 어디에 놓아야 합니까?

세 가지를 다시 정리하면 이렇습니다.

파기 미이행과 근거 없는 국외 이전은 사고가 아니라 상태입니다. 상태는 클로징을 넘어갑니다.

잘못된 동의 설계는 고치는 비용이 아니라 데이터 모수의 문제입니다. 모수는 사업계획의 전제입니다.

과징금 기준 매출액은 위반행위가 있었던 사업연도로 잡힙니다. 상태가 넘어가면 사업연도도 넘어갑니다.

발견한 지적을 선행조건에 넣을지, 확약으로 밀지는 지적의 성격에 따라 다릅니다. 그 판단 기준은 선행조건·확약 글에 정리해 두었습니다.

대상회사의 데이터 자산 자체를 어떤 순서로 볼지는 데이터 자산 글에서 다룹니다.

마지막으로 강조하고 싶은 점은 하나입니다. 이 세 가지는 모두 실사 단계에서 자료로 확인할 수 있습니다. 탈퇴 회원 데이터의 보관 현황, 보존 데이터의 분리 저장 여부, 클라우드 리전과 해외 접속 권한, 처리방침의 국외 이전 항목, 데이터 처리 계약서, 동의 화면의 이력은 전부 자료실에 들어올 수 있는 것들입니다.

"사고 이력 없음"이라는 한 줄로 이 항목을 닫지 않으셨으면 합니다.

자주 묻는 질문

유출 사고 이력이 없으면 개인정보 리스크는 없다고 봐도 됩니까?

그렇게 보기 어렵습니다. 개인정보 보호법 제21조 제1항은 개인정보가 불필요하게 되었을 때 지체 없이 파기할 것을 요구하고, 제28조의8 제1항은 다섯 가지 허용 근거가 없는 국외 이전을 금지합니다. 두 조문 모두 유출이라는 사건을 요건으로 삼지 않습니다. 공개된 개인정보위 결정문 기준으로 제21조가 걸린 의결은 2021년부터 2026년까지 매년 나왔고 적어도 91건입니다. 사고 이력과 별개로 현재 상태를 자료로 확인해야 합니다.

국외 이전 근거는 본사와 데이터 처리 계약을 맺어 두면 충족됩니까?

계약서만으로는 충족되지 않습니다. 제28조의8 제1항 단서의 허용 근거는 별도 동의, 법률·조약·국제협정의 특별 규정, 계약 이행에 필요한 처리위탁·보관으로서 처리방침 공개 또는 통지가 된 경우, 고시된 인증을 받고 필요한 조치를 모두 한 경우, 보호위원회의 동등성 인정 다섯 가지입니다. 본사와의 계약은 이 다섯 가지 중 어느 것도 그 자체로 대신하지 못합니다. 오히려 제5항은 이 법을 위반하는 내용의 국외 이전 계약을 체결하는 것 자체를 금지합니다. 계약서는 허용 근거의 증거가 아니라 위반 여부를 확인하는 자료로 봐야 합니다.

클로징 전에 고치면 과징금 위험이 사라집니까?

과거의 위반 자체가 사라지지는 않습니다. 다만 시행령 제60조의2 제1항이 전체 매출액을 위반행위가 있었던 사업연도 기준으로 잡기 때문에, 위반 상태를 클로징 전에 끝내면 인수 후 사업연도의 매출이 산정 기반에 들어가는 것을 막는 구조가 됩니다. 클로징 후에도 위반이 이어지면 매수인이 키운 매출이 기준이 될 수 있습니다. 위반의 종료 시점을 클로징 전으로 당기는 것이 매수인 입장에서 의미가 있는 이유입니다.

대상회사가 여러 사업을 하는데 위반은 한 사업에만 걸렸다면 매출액 전체가 기준입니까?

법 제64조의2 제3항은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액을 기준으로 산정한다고 정합니다. 시행령 제60조의2 제3항은 개인정보의 처리와 관련이 없는 재화 또는 서비스의 매출액과, 제출받은 자료 등에 근거하여 보호위원회가 위반행위로 직접 또는 간접적으로 영향을 받는 재화 또는 서비스의 매출액이 아닌 것으로 인정하는 매출액을 제외 대상으로 듭니다. 다만 두 번째는 보호위원회가 인정하는 구조이므로 회사가 나누어 주장하는 것만으로 결정되지 않습니다. 인수 후 사업과 데이터를 통합할 계획이라면 통합이 이 구분을 어렵게 만든다는 점도 함께 고려해야 합니다.

참고 자료

• 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행) 제21조, 제28조의8, 제64조의2
• 개인정보 보호법 시행령(대통령령 제36671호, 2026. 9. 11. 시행) 제60조의2
• 개인정보보호위원회 제재 결정문 공개분 889건(2026. 9. 14. 기준) 중 위반 조문이 확인되는 의결 797건 — 제재 전수 표