핵심 요약: 투자 실사에서 임직원 개인정보를 볼 때 지적이 잘 나오는 곳은 세 곳입니다. 민감정보·고유식별정보를 구분 없이 한 번에 묶어 받은 입사 동의서(개인정보 보호법 제22조 제1항·제23조·제24조), 법정 보존기간이 지난 퇴직자 기록(제21조, 근로기준법 제42조), 임직원 처리 내용이 빠진 처리방침(제30조)입니다. 처리방침 정비와 보존기간이 지난 기록의 파기는 클로징 전에 완료할 수 있어 선행조건에 맞습니다. 반면 별도 동의 없이 이미 처리한 이력은 고쳐도 지워지지 않으므로 진술보증·면책의 대상입니다.
목차
시리즈 라운드를 준비하는 회사가 투자사의 법률실사 자료요청 목록을 받았다고 가정해 보겠습니다. 고객 데이터 항목 아래에 입사 시 받는 개인정보 동의서 양식, 퇴직자 인사 기록의 보관 현황, 임직원 대상 처리방침이 추가로 적혀 있습니다. 고객 데이터 쪽은 실사에서 요청할 자료 목록에서 다루었고, 이 글은 임직원 데이터의 지적이 계약의 어디로 가는지를 봅니다.
입사 때 한 장으로 받은 동의서는 무엇이 문제되나?
제22조 제1항은 동의를 받을 때 사항을 구분하라고 하면서, 수집·이용 동의(제1호)와 민감정보 동의(제5호), 고유식별정보 동의(제6호)를 각각 따로 받도록 정합니다. 개인정보위 「개인정보 처리 통합 안내서」(2025. 7.)는 이 내용을 "명시적인 동의 : 포괄 동의의 금지"라는 제목 아래 설명합니다(119쪽). 건강 정보처럼 제23조가 정한 민감정보를 다른 항목과 한 문장으로 묶어 두었다면, 같은 조 제1항 제1호의 별도 동의가 있었는지부터 문제됩니다. 이 요건을 갖추지 못한 채 법령 근거도 없이 민감정보를 처리하면 형사처벌 조항(제71조 제4호)의 적용 대상이 될 수 있습니다.
주민등록번호에 대해서는 입사자의 동의를 받았다는 사정이 처리 근거가 되지 못합니다. 제24조의2 제1항이 법령의 구체적 근거 등이 있는 경우에만 처리를 허용하기 때문이며, 이 구조는 주민등록번호를 로그에 남긴 사안에서도 확인됩니다. 개인정보위와 고용노동부가 펴낸 「분야별 개인정보 보호 안내서(인사·노무 편)」(2024. 12., 이하 "인사·노무 안내서")도 주민등록번호에 대해 "동의를 받아 처리 불가"라고 적었습니다. 같은 안내서는 채용 단계의 민감정보·고유식별정보 수집을 원칙적으로 금지하고, 수집이 불가피하다고 입증할 수 있는 범위에서만 지원자의 별도 동의로 받을 수 있다고 봅니다. 한편 전보·인사평가처럼 근로계약 이행에 필요한 정보는 근로자 동의 없이 수집·이용할 수 있다고 안내하므로, 회사는 동의서에 남길 항목과 법령·계약 근거로 옮길 항목을 나누어 정리할 필요가 있어 보입니다.
퇴직자 기록을 오래 두고 있으면 무엇이 남나?
제21조 제1항은 불필요해진 개인정보를 지체 없이 파기하게 하고, 다른 법령이 보존을 요구하는 경우만 예외로 둡니다. 대표적인 예외는 근로기준법 제42조의 3년 보존이고, 근로기준법 시행령 제22조 제1항은 보존 대상인 중요 서류를 근로계약서, 임금대장, 임금의 결정·지급방법과 계산 기초에 관한 서류, 고용·해고·퇴직 서류, 승급·감급 서류, 휴가 서류, 서면 합의 서류, 연소자 증명 서류로 열거합니다. 다만 3년을 세기 시작하는 날은 서류마다 다릅니다(같은 조 제2항). 근로자 명부는 해고·퇴직·사망한 날, 근로계약서는 근로관계가 끝난 날, 임금대장은 마지막으로 써 넣은 날, 서면 합의 서류는 합의한 날이 기산일입니다. 따라서 회사가 퇴직일 하나로 파기 일정을 일괄해 잡으면 일부 서류의 기간을 잘못 계산할 수 있습니다(항목별 기간은 파기 의무와 법정 보존기간 참조).
보존하는 동안은 분리해 관리해야 합니다(개인정보 보호법 제21조 제3항). 실사에서는 그 기간이 지났는데도 퇴직자 전원의 기록이 인사 시스템에 그대로 남아 있는지가 확인 대상이 됩니다. 파기 미이행은 3천만원 이하, 분리 관리 위반은 1천만원 이하의 과태료 대상입니다(제75조 제2항 제4호·제4항 제2호).
임직원용 처리방침이 없으면 무엇이 지적되나?
제30조 제1항은 개인정보처리자에게 처리방침을 정하게 할 뿐 대상을 고객으로 한정하지 않습니다. 인사·노무 안내서도 회사가 근로자 개인정보의 처리 내용을 처리방침에 담아 내부 게시판 등으로 근로자에게 공개해야 한다고 보고, 근로자에게만 공개할지 외부에도 공개할지는 회사의 선택으로 둡니다. 다만 고객용 처리방침과 합칠지 따로 둘지는 이 안내서가 정하지 않습니다. 따라서 어느 방식이든 임직원 정보의 처리 목적·항목·보유기간이 어디에도 없다면 수립·공개 의무가 지적될 여지가 있습니다. 제75조 제4항 제8호는 처리방침을 마련하지 않았거나 공개하지 않은 회사에 1천만원 이하의 과태료를 정하고, 동의 없이 처리하는 항목과 그 근거를 구분해 공개하라는 제22조 제3항도 이 자리에서 함께 정비합니다.
무엇이 선행조건이고 무엇이 확약으로 가나?
갈림의 기준은 실사 지적을 선행조건과 확약으로 나누는 글과 같습니다. 클로징 전에 완료 상태를 확인할 수 있는지가 기준입니다. 임직원 처리방침의 수립·공개와 보존기간이 지난 퇴직자 기록의 파기는 클로징 전에 끝낼 수 있으므로 선행조건에 맞습니다. 앞으로 입사하는 사람에게 쓸 동의서 양식 교체와 재직자 정보의 처리 근거 재정리는 기한을 붙인 확약이 어울립니다.
반면 별도 동의 없이 민감정보를 처리해 온 이력이나 보존기간을 넘겨 보유한 기간은 지금 고쳐도 사라지지 않습니다. 이런 지적은 이행 조항이 아니라 진술보증과 면책의 대상으로 다루는 편이 실무적입니다. 임직원 자료를 데이터룸에 올리는 행위 자체의 근거는 M&A에서 고객 개인정보가 넘어가는 두 시점에서 본 실사 단계의 쟁점과 구조가 같습니다.
사고가 나면 이 지적들은 어떻게 쓰이나?
인사 데이터가 유출되면 파기했어야 할 퇴직자 기록이 사고 규모에 더해집니다. 민감정보·고유식별정보에는 안전성 확보 조치 의무가 따로 있고(제23조 제2항·제24조 제3항), 주민등록번호는 암호화해 보관해야 합니다(제24조의2 제2항). 확약 기한 안에 이행하지 않은 채 사고가 나면 회사가 지적을 알고도 방치한 기간이 실사보고서로 남습니다. 사고를 인지한 뒤 회사가 밟아야 할 통지·신고의 순서는 유출 대응 가이드에 모아 두었습니다.
자주 묻는 질문
Q. 입사할 때 개인정보 동의서를 한 장으로 받았는데, 실사에서 무엇이 지적되나요?
Q. 퇴직자 인사 기록은 몇 년까지 두어도 되나요?
Q. 투자자 입장에서 이 지적들을 투자계약의 어디에 넣어야 하나요?
참고 자료
- 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행) 제15조·제21조·제22조·제23조·제24조·제24조의2·제30조·제71조·제75조
- 근로기준법(법률 제21533호, 2026. 10. 8. 시행) 제42조
- 근로기준법 시행령(대통령령 제35436호, 2025. 10. 23. 시행) 제22조
- 개인정보보호위원회·고용노동부, 「분야별 개인정보 보호 안내서(인사·노무 편)」(2024. 12.)
- 개인정보보호위원회, 「개인정보 처리 통합 안내서」(2025. 7., 2025. 7. 22. 수정 게시)
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.