핵심 요약: 실사에서 나온 개인정보 지적을 계약 어디에 넣을지는 중요도가 아니라, 클로징 전에 완료 상태를 만들 수 있는지로 갈립니다. 없던 위탁 문서 체결이나 보험 가입은 선행조건으로 잡을 수 있습니다. 소급해서 적법하게 만들 수 없는 지적은 확약으로 밀어도 과거가 지워지지 않습니다. 그런 것은 확약이 아니라 특별면책이나 매매대금 조정 같은 값의 문제로 처리해야 합니다.

선행조건으로 넣을 수 있는 지적은 어떤 것인가

실사 지적을 나누는 기준은 심각성이 아니라, 클로징 전에 "완료됐다"고 확인할 수 있는 상태가 만들어지는지입니다. 실사에서 요청할 자료 목록을 잡을 때부터 이 구분을 함께 보면 협상이 빨라집니다. 그 자료를 매도인이 무슨 근거로 넘기는지는 또 다른 문제인데, 실사 단계의 제공은 영업양도 조항으로 설명되지 않는다에서 따로 봤습니다.

개인정보 보호법 제26조 제1항의 위탁 문서는 없던 문서를 체결하면 끝납니다. 같은 조 제2항의 수탁자 공개, 제39조의7의 보험·공제 가입 또는 준비금 적립도 같은 구조입니다.

보험은 딜 자체가 방아쇠가 되기도 합니다. 시행령 제48조의7 제1항 제2호 단서는 영업 양수나 분할·합병으로 개인정보를 이전받은 경우, 평시 기준(전년도 말 기준 직전 3개월 일일평균 1만명) 대신 "이전받은 시점"을 기준으로 삼습니다. 매출액등 10억원 이상인 회사라면 가입 의무가 클로징과 함께 걸릴 수 있으니, 별표 1의4의 최저가입금액을 확인해 선행조건으로 잡아 두기 좋습니다. 다만 이 의무보험의 공개된 약관은 과징금을 보상 대상에서 제외하므로, 가입 확인만으로 과징금 위험이 덮이지는 않습니다.

왜 어떤 지적은 종결 후 확약으로 밀리나

확약으로 밀리는 지적들의 공통점은 소급해서 상태를 만들 수 없다는 점입니다. 제17조 제1항 제1호의 제3자 제공 동의는 제공에 앞서 받는 구조이고, 제28조의8 제2항은 국외 이전 동의를 "미리" 알리고 받도록 합니다. 이미 나간 데이터를 사후 동의로 없던 일로 만드는 제도는 법에 없습니다.

국외 이전 근거의 흠은 실사의 자료 대조만으로도 드러나는 경우가 많습니다. 남는 선택지는 제21조 제1항의 파기인데, 파기는 인수인이 사려던 자산 자체를 줄입니다. 그래서 협상에서는 "앞으로 이렇게 하겠다"는 확약으로 밀립니다.

확약은 장래의 이행을 약속하는 것이지 과거를 지우지 않습니다.

고쳐 놓으면 제재 위험도 같이 사라지나

그렇지 않습니다. 시정은 부과 여부를 가르는 요건이 아니라 고려사항일 뿐입니다. 현행 제64조의2 제4항의 고려사항 11개 중 제11호가 시정을 위한 조치 여부, 제10호가 보호를 위한 노력입니다.

부과하지 아니할 수 있는 사유는 제5항에 따로 있고, 그중 제4호는 시행령 제60조의2 제5항상 시정에 더해 보호위원회 고시 기준 충족까지 요구합니다.

항 번호는 곧 밀립니다. 아래에서 볼 개정법이 제6항에 감경 조항을 새로 넣기 때문에, 2026년 9월 11일부터 고려사항은 제5항 제11호, 부과하지 아니할 수 있는 사유는 제7항 제4호가 됩니다. 내용은 그대로입니다.

과태료는 더 단순합니다. 제75조는 안전조치 미이행에 3천만원 이하, 위탁 문서·수탁자 공개·처리방침 미비에 각 1천만원 이하를 정하는데, 조치를 하지 않은 것 자체를 문제 삼습니다.

9월 11일 이후에는 이 계산이 어떻게 달라지나

2026년 9월 11일 시행된 개정법은 제64조의2에 제6항을 신설해, 예산·인력·설비 등을 투자·운영하는 대통령령상 사유가 있으면 과징금을 "감경한다"고 정했습니다. 문언이 "감경할 수 있다"가 아니므로 클로징 전 시정 투자의 값이 올라갑니다. 다만 고의 또는 중대한 과실이면 이 감경에서 제외됩니다.

첫째, 대상회사의 처분 이력이 시계를 만듭니다. 신설 제2항 제1호가 부과처분일부터 3년 내의 같은 호 재위반(고의 또는 중대한 과실에 한정)에 전체 매출액의 100분의 10까지 상한을 올리고, 제3호가 시정조치 명령 불이행에 따른 유출을 같은 자리에 두기 때문입니다. 실사에서 처분 이력과 그 날짜를 확인해야 할 이유입니다.

둘째, 실사보고서가 지적을 문서로 남기는 순간 회사가 알고 있었다는 기록이 생깁니다. 확약 기한을 길게 잡는 것의 대가가 여기서 나옵니다. 고의·중과실 판단은 개별 사안의 몫이라 단정할 수 없지만, 늦은 이행이 그런 평가를 받을 여지는 생깁니다.

제6항의 감경 사유를 정할 시행령은 2026년 9월 10일 대통령령 제36671호로 공포됐습니다. 투자 규모·비율·지속성, 대표자의 책임 이행, 보호책임자 조직 등을 고려해 고시가 정하는 기준을 충족하면 기준금액의 40% 이내에서 감경합니다. 세부 기준은 시행일인 9월 11일 개정된 과징금 부과기준 고시(개인정보보호위원회고시 제2026-12호) 제8조의3이 정했습니다. 위반행위가 있었던 사업연도의 직전 3개 사업연도에 한 조치를 보므로, 실사에서는 대상회사의 최근 3년 보호 투자와 보호 체계 기록이 감경 가능성을 가늠하는 자료가 됩니다. 다만 감경 폭은 여러 사정을 종합해 정해지므로 지금 계산해 둘 수는 없습니다.

그러면 계약의 어디에 넣어야 하나

갈래는 셋입니다. 클로징 전에 완료 상태를 만들 수 있는 것은 선행조건으로, 관리체계·절차·교육처럼 장래 이행이 실질을 갖는 것은 기한을 붙인 확약으로 넣습니다. 과거의 처리 이력이라 되돌릴 수 없는 것은 이행 조항이 아니라 값으로, 곧 특별면책·매매대금 조정·에스크로로 처리합니다.

세 번째 갈래를 확약에 넣으면 "고치겠다"는 약속만 남고, 이미 발생한 익스포저는 어느 쪽에도 배분되지 않은 채 클로징됩니다.

시간 축도 갈립니다. 과태료는 질서위반행위규제법 제19조 제1항이 위반행위가 종료된 날부터 5년을 정하는데, 미시정 상태가 이어지면 위반행위가 종료되지 않아 그 5년이 시작되지 않습니다. 과징금은 개인정보 보호법에 부과 기간 제한이 없고, 행정기본법 제23조 제1항의 제척기간은 대상 처분이 괄호로 한정되어 있어 개인정보 과징금이 거기에 드는지 다투어질 수 있습니다.

그래서 사고가 나면 이 구분이 어떻게 쓰이는가

제64조의2 제1항 제9호 단서는 제29조에 따른 안전성 확보 조치를 다한 경우를 유출 과징금에서 제외합니다. 그 판단은 사고가 난 시점을 기준으로 이루어지므로, 확약 이행이 늦어 조치가 없던 기간에 유출이 나면 단서를 끌어 쓰기 어려워집니다.

결국 확약의 이행 기한은 계약서 안의 일정이 아니라, 제재 국면에서 회사가 설 수 있는 자리의 길이입니다. 유출을 인지한 뒤의 통지·신고 절차는 별도 글에서 다루었습니다.

선례 확인 — 개인정보위가 실제로 부과한 과징금·과태료·시정명령은 개인정보위 제재 결정문 전수 DB에서 의결일·피심인·위반 조문·금액으로 걸러 볼 수 있습니다. 결정문 게시판은 제목만 검색되므로 조문이나 회사명으로 선례를 찾을 때는 그쪽이 빠릅니다.

자주 묻는 질문

Q. 개인정보 지적을 전부 선행조건으로 넣으면 안 되나요?

선행조건은 클로징 전에 충족 여부를 확인할 수 있어야 기능합니다. 사후 동의로 치유되지 않는 과거의 제공 이력을 선행조건으로 걸면 충족이 불가능한 조건이 되어, 딜이 멈추거나 결국 포기됩니다. 포기되는 순간 그 위험은 어느 조항에도 담기지 않은 채 넘어갑니다. 만들 수 있는 상태만 선행조건에 넣고, 나머지는 성격에 맞는 자리를 찾아 주는 편이 실무적입니다.

Q. 클로징 전에 다 고쳐 놓으면 과징금 위험은 없어지나요?

시정은 현행법상 부과 여부의 요건이 아니라 고려사항 중 하나입니다(제64조의2 제5항 제11호). 부과하지 아니할 수 있는 사유에 해당하려면 시행령 제60조의2 제5항에 따라 시정에 더해 보호위원회가 고시하는 기준까지 충족해야 합니다(근거 조항은 제64조의2 제7항 제4호입니다). 같은 날 예방투자 감경 조항도 시행되지만 고의 또는 중대한 과실이면 제외됩니다. 세부 사유를 정할 시행령은 2026년 9월 10일 대통령령 제36671호로 공포됐고, 감경 폭은 기준금액의 40% 이내입니다. 그 안의 세부 기준은 시행일인 9월 11일 개정된 과징금 부과기준 고시(개인정보보호위원회고시 제2026-12호)가 정했습니다. 시정의 값은 분명히 있지만 위험을 없애는 장치는 아닙니다.

Q. 확약으로 넘긴 항목이 클로징 뒤에 문제되면 매도인에게 물을 수 있나요?

확약 위반과 진술보증 위반은 청구 구조가 다르고, 어느 쪽으로 구성할 수 있는지는 조항의 문언과 사안에 따라 달라집니다. 대상회사에 부과된 과징금을 매도인에게 물을 수 있는지는 진술보증과 면책 조항의 설계에 좌우되고, 위반 상태가 클로징 전후로 이어질 때 책임 구간이 어디서 갈리는지도 함께 봐야 합니다. 배상이 성립하는지는 개별 사안에서 판단될 문제이므로, 계약 단계에서 배분을 명확히 해 두는 것이 우선입니다.

참고 자료

본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.