핵심 요약: M&A 계약의 진술보증 위반은 일종의 채무불이행 책임이고, 대상회사가 부담한 과징금·벌금·소송비용이 매수인의 손해에 포함될 수 있다(대법원 2018. 10. 12. 선고 2017다6108 판결). 매수인이 계약 체결 당시 위반사실을 알았더라도 계약서에 악의를 배제하는 문언이 없는 한 배상 청구가 곧바로 막히지는 않는다(대법원 2015. 10. 15. 선고 2012다64253 판결). 개인정보 항목은 위반이 상태로 이어지고, 통지 의무가 유출등을 알게 된 때를 기산점으로 하며(개인정보 보호법 제34조 제1항), 과징금이 전체 매출액에 연동된다는 점(제64조의2)에서 다른 진술보증 항목과 다르다.
클로징 몇 달 뒤 대상회사에 개인정보보호위원회의 처분이 나온다. 매수인 법무팀이 계약서를 다시 꺼내는 순간이다.
실사에서 개인정보는 대개 체크리스트의 한 줄로 지나가고, 진술보증 문단에도 “대상회사는 개인정보 관련 법령을 준수하고 있다” 한 문장이 들어가고 끝난다. 그 한 문장이 사고 뒤에 무슨 일을 하는지가 이 글의 주제다.
대상회사에 나온 과징금을 매도인에게 물을 수 있나
대법원은 매도인이 대상회사의 상태에 관하여 사실과 달리 진술보증을 해 매수인에게 손해를 입혔다면 일종의 채무불이행 책임이 성립한다고 본다(대법원 2018. 10. 12. 선고 2017다6108 판결). 진술보증 조항과 손해배상 조항이 함께 있으면 그 조항대로 가고, 손해배상 조항이 없으면 민법 제390조를 비롯한 관련 규정으로 판단한다.
손해의 범위도 실질적이다. 기업지배권이 이전되는 시점 이전의 사유로 대상회사에 우발채무가 발생하면 특별한 사정이 없는 한 그 금액이 매수인의 손해이고, 대법원은 대상회사가 부담한 과징금·벌금·소송비용을 손해로 평가할 수 없다고 한 원심을 파기했다. 그 사건에서 대상회사가 실제로 부담한 것은 공정거래위원회 과징금 475억 2,200만 원(취소소송 등을 거쳐 145억 1,100만 원으로 재산정), 벌금 2억 원, 소송비용 약 7억 2,684만 원이다.
실사에서 이미 알고 있었다면 못 무는 것 아닌가
같은 사건의 앞선 상고심에서 원심은 매수인이 담합에 직접 참여해 위반사실을 알고 있었으므로 신의칙상 청구가 허용되지 않는다고 봤다. 대법원의 결론은 달랐다(대법원 2015. 10. 15. 선고 2012다64253 판결).
근거는 두 가지다. 계약서에 악의의 매수인을 배제하는 문언이 없었고, 진술보증 조항의 목적인 불확실한 상황에 관한 경제적 위험의 배분과 대금의 사후 조정은 매수인이 사실과 다른 부분을 알았던 경우에도 여전히 필요하다는 것이다. 대법원은 유효하게 성립한 계약상 책임을 공평의 이념이나 신의칙 같은 일반원칙으로 제한하는 것은 극히 예외적으로만 인정해야 한다고도 판시했다.
갈림길은 위반을 발견했느냐가 아니라 계약 문언을 어떻게 두었느냐다. 다만 대법원은 특별한 사정의 여지를 남겼고, 조사 개시가 양수도 실행일 이후여서 계약 체결 당시 거액의 과징금 부과 가능성을 예상했다고 보기 어렵다는 사실관계도 판단에 들어갔다.
개인정보 항목은 다른 진술보증 항목과 무엇이 다른가
첫째, 위반이 상태로 이어진다. 담합은 행위 시점이 비교적 뚜렷하지만, 동의 근거가 부실한 DB나 근거가 정리되지 않은 국외이전은 클로징 뒤에도 계속 처리되기 때문에 지배권 이전 시점 이전의 사유인지가 곧바로 갈리지 않는다.
둘째, 유출은 인지 시점이 따로 있다. 법 제34조 제1항의 통지 의무는 유출등을 알게 된 때를 기산점으로 삼는다. 사고는 딜 이전에 있었는데 인지가 딜 이후라면, 유출을 인지한 시점부터 움직이는 통지·신고 절차를 밟는 것은 인수한 회사다.
셋째, 금액이 회사 규모에 연동된다. 과징금 상한은 전체 매출액의 100분의 3이고(법 제64조의2 제1항), 산정 기준은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액이다(같은 조 제2항). 2026년 9월 11일 시행 개정법은 제64조의2 제2항을 신설해 세 경우에 상한을 100분의 10으로 올린다. 과징금 부과처분을 받은 날부터 3년이 지나기 전에 같은 호의 위반행위를 다시 한 경우(각각 고의 또는 중대한 과실이 있는 경우로 한정), 고의 또는 중대한 과실로 위반행위를 하고 정보주체의 피해 규모가 1천만 명 이상인 경우, 시정조치 명령에 따르지 않아 유출등에 이른 경우다.
딜 이후 커진 회사에 처분이 나오면 매도인이 상정한 위험의 크기와 실제 금액이 달라진다. 배상 한도(cap)를 어디에 두느냐의 문제가 된다.
주식양수도인지 영업양수도인지에 따라 무엇이 달라지나
영업의 전부 또는 일부의 양도나 합병 등으로 개인정보가 이전되면 법 제27조가 딜 자체에 붙는다. 양도인은 이전하려는 사실, 이전받는 자의 명칭과 주소·연락처, 이전을 원하지 않는 정보주체가 조치할 수 있는 방법과 절차를 미리 알려야 하고(제1항), 양수인도 이전받은 사실을 지체 없이 알려야 한다(제2항). 양수인은 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제3자에게 제공할 수 있고, 이 경우 개인정보처리자로 본다(제3항).
과거 위반의 승계와 별개로 클로징 행위 자체가 새로운 의무를 만든다는 뜻이다. 주식양수도는 법인격이 유지되므로 이 이전 통지 트랙이 문제되지 않는 것이 보통이다.
실사에서 이 진술을 어떻게 검증하나
법 제66조 제1항은 개선권고, 시정조치 명령, 과징금의 부과, 고발 또는 징계권고, 과태료 부과의 내용과 결과를 개인정보보호위원회가 공표할 수 있게 하고, 제2항은 처분을 받은 자에게 그 사실을 공표하도록 명할 수 있게 한다. 처분 이력은 이 창구로 어느 정도 확인되지만, 조사가 진행 중이거나 아직 공표되지 않은 단계는 잡히지 않는다. 그 공백을 메우는 것이 위 판결 사안에 등장하는 문언, 즉 행정법규를 위반한 사실이 없고 행정기관으로부터 조사를 받고 있거나 협의를 진행하는 것이 없다는 유형의 진술이다.
그래서 사고가 나면 이 문장들이 어떻게 쓰이는가
딜 이후에 유출을 인지하면 통지 의무를 지는 것은 인수한 회사다. 그때 남긴 인지 시점 기록, 원인 규명 자료, 통지·신고 이력이 나중에 지배권 이전 시점 이전의 사유인지를 가르는 증거가 된다.
사고 대응 문서는 규제 대응 문서이면서 동시에 딜 클레임의 증거다. 수탁 구조에서 사고가 났을 때의 책임 배분이 그렇듯, 사고 이후의 셈은 사고 당시 만들어 둔 기록 위에서 이루어진다.
본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.
자주 묻는 질문
실사에서 개인정보 위반을 발견했는데도 진술보증 위반을 이유로 배상을 청구할 수 있나요?
대법원 2015. 10. 15. 선고 2012다64253 판결은 계약서에 악의의 매수인을 배제하는 문언이 없고 진술보증 조항의 위험 배분과 대금 사후 조정 기능은 매수인이 위반사실을 알았던 경우에도 인정된다고 보아, 신의칙을 이유로 청구를 배척한 원심을 파기했습니다. 다만 대법원은 특별한 사정의 여지를 남겼고 조사 개시 시점 같은 사실관계도 판단에 넣었으므로, 계약 문언과 사안에 따라 결론이 달라질 수 있습니다.
대상회사에 부과된 과징금이 매수인의 손해가 되나요?
대법원 2018. 10. 12. 선고 2017다6108 판결은 기업지배권이 이전되는 시점 이전의 사유로 대상회사에 우발채무가 발생하면 특별한 사정이 없는 한 그 금액이 진술보증 위반으로 매수인이 입는 손해라고 보고, 대상회사가 부담한 과징금·벌금·소송비용을 손해로 평가할 수 없다고 한 원심을 파기했습니다. 구체적인 범위는 계약의 손해배상 조항과 그 해석에 따라 정해집니다.
영업양수도로 인수하면 개인정보 측면에서 추가로 해야 할 일이 있나요?
개인정보 보호법 제27조 제1항에 따라 양도인은 개인정보를 이전하려는 사실, 이전받는 자의 명칭·주소·연락처, 이전을 원하지 않는 정보주체가 조치할 수 있는 방법과 절차를 미리 알려야 합니다. 같은 조 제2항에 따라 양수인도 이전받은 사실을 지체 없이 알려야 하고, 제3항에 따라 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제공할 수 있으며 이 경우 개인정보처리자로 봅니다.