핵심 요약: 인수한 회사의 개인정보 위반이 언제의 사유인지는 위반 행위가 있었던 한 시점이 아니라, 위반 상태가 걸쳐 있는 구간으로 가르게 됩니다. 대법원은 계약 문언에 따라 “기업지배권이 이전되는 시점 이전의 사유"로 발생한 우발채무 등을 진술보증 위반의 손해로 보았습니다(대법원 2018. 10. 12. 선고 2017다6108 판결). 담합처럼 이미 끝난 행위는 이 선으로 갈리지만, 개인정보 위반은 클로징 이후에도 이어지는 경우가 많습니다. 구간이 어디서 끊기는지가 과징금의 기준 매출액과 가중 폭까지 바꿉니다.

인수 대상 회사의 개인정보 위반을 매도인에게 물을 수 있는지는 진술보증 위반 책임이 성립하는 요건에서 다뤘습니다. 물을 수 있다면 얼마인지는 손해배상액 산정의 두 층에서 다뤘습니다.

이 글은 남은 질문 하나를 다룹니다. 발견된 위반이 지배권 이전 전의 사유인지 이후의 사유인지를 무엇으로 가르는가입니다. 이 구분은 매도인과 매수인 사이의 책임 분배와 과징금의 크기를 함께 좌우합니다.

대법원이 그은 선은 어디인가

기준이 되는 판결은 정유회사 인수 사안에 관한 대법원 2018. 10. 12. 선고 2017다6108 판결입니다. 대법원은 매도인이 진술보증한 것과 달리 기업지배권이 이전되는 시점 이전의 사유로 대상회사에 우발채무가 발생하거나 부실자산 등이 추가로 발견되면, 특별한 사정이 없는 한 그 금액이 매수인의 손해라고 판단했습니다.

이 사안의 위반행위는 1998년부터 2000년까지의 군용유류 구매입찰 담합이었습니다. 과징금 납부명령은 2000. 10. 17.에, 재산정된 과징금은 2009. 1. 14.에야 나왔지만, 사유인 담합 행위는 지배권 이전 무렵의 기간에 있었습니다. 처분이 늦게 나와도 사유가 그 전에 있으면 선 안쪽이라는 뜻입니다.

계약도 그 선을 분명히 해 두었습니다. 매도인들은 계약 체결일(1999. 4. 2.)과 매수인이 주식을 취득한 날(1999. 8. 31.) 두 시점을 기준으로 대상회사가 행정법규를 위반하지 않았음을 보증했습니다. 대상회사가 스스로 행한 담합의 결과를 매도인의 행위로 대상회사가 입은 손해라고 볼 수 없다고 한 원심에 대해, 대법원은 손해의 의미를 이해하지 못한 잘못이 있다고 지적했습니다.

개인정보 위반은 왜 이 선에 깔끔하게 걸리지 않나

담합은 그때 끝난 행위였습니다. 반면 개인정보 위반은 행위가 아니라 상태인 경우가 많습니다. 동의 근거가 부실한 채로 쌓인 데이터베이스는 클로징 다음 날에도 그대로 남아 있습니다.

보유기간이 지났는데도 파기되지 않은 개인정보(법 제21조 제1항)나 근거가 정리되지 않은 국외이전도 마찬가지입니다. 매수인은 그 상태를 이어받아 계속 유지하게 되므로, 사유가 한 시점에 고정되지 않습니다.

그래서 구간은 셋으로 갈립니다. 클로징 전에 끝난 위반, 클로징 전에 시작해 이후에도 계속되는 위반, 클로징 이후에 생기거나 악화된 위반입니다. 다툼은 대부분 가운데 구간에서 생깁니다.

구간이 갈리면 금액이 왜 달라지나

과징금은 전체 매출액의 100분의 3을 초과하지 않는 범위에서 부과됩니다(법 제64조의2 제1항). 그런데 시행령 제60조의2 제1항은 이 전체 매출액을 위반행위가 있었던 사업연도를 기준으로 정하고, 그 사업연도 첫날 현재 사업을 개시한 지 3년 이상인 경우에는 직전 사업연도의 매출액과 직전 3개 사업연도의 연평균 매출액 중 큰 금액으로 잡습니다.

위반 상태가 클로징 뒤로 이어지면 조문 구조상 해당사업연도가 인수 이후의 연도가 될 수 있습니다. 그 경우 매도인이 운영하던 시절의 규모가 아니라 매수인이 사업을 키운 뒤의 규모에 부과기준율이 곱해질 수 있습니다. 부과기준율은 위반행위의 중대성에 따라 0.03% 이상 2.7% 이하의 구간에서 정해집니다(시행령 별표 1의5 제2호 가목).

여기에 위반행위와 관련이 없는 매출액의 제외가 겹칩니다(법 제64조의2 제2항, 시행령 제60조의2 제3항). 인수 후 늘어난 사업 가운데 어디까지가 위반행위와 관련 있는 매출인지가 다시 쟁점이 됩니다. 어느 해를 해당사업연도로 볼지와 함께, 실제 사안에서 먼저 다투어질 자리입니다.

위반이 이어진 기간은 그 자체로 무엇을 만드나

법 제64조의2 제4항 제2호는 위반행위의 기간 및 횟수를 과징금 부과 시 고려사항으로 듭니다. 시행령 별표 1의5 제2호 나목은 그 기간을 1차 조정 단계에서 기준금액의 100분의 90 범위 안에서 가중하거나 감경하는 근거로 씁니다. 매수인이 실사에서 위반을 발견하고도 시정하지 않은 기간은 그대로 이 계산에 들어갑니다.

반대 방향의 장치도 같은 조항에 있습니다. 피해의 회복 및 피해 확산 방지 조치의 이행 여부(제4항 제6호), 보호위원회와의 협조 등 위반행위를 시정하기 위한 조치 여부(제4항 제11호)가 고려사항입니다. 클로징 직후의 시정은 규제 대응이면서 동시에 매수인이 자기 구간을 끊는 행위입니다.

계약에서 무엇을 정해 두면 구간이 나뉘나

정유회사 인수 사안의 계약은 기준시점을 계약 체결일과 주식취득일 두 개로 두었습니다. 행위형 위반이라면 이 두 시점의 진술만으로도 선이 그어집니다. 그러나 상태형 위반에서는 그 시점에 위반이 없었다는 진술만으로 구간이 나뉘지 않습니다.

그래서 실무에서는 기준시점 진술에 더해, 클로징 후 위반 상태의 시정 책임을 어느 쪽에 두는지를 계약 문언으로 정해 두는 방법이 다뤄집니다. 대법원은 손해배상의 범위와 금액을 산정하는 방법을 정한 조항이 있으면 이를 배제하거나 제한할 만한 사정이 없는 한 그에 따라야 한다고 했습니다. 결국 구간과 산정 방법을 함께 적어 두는 계약이 다툼을 줄입니다.

그래서 사고가 나면 이 구분이 어떻게 쓰이는가

딜이 끝난 뒤 유출을 인지하면 통지와 신고 의무는 인수한 회사에 옵니다. 그때 남기는 인지 시점 기록, 원인 규명 자료, 접속기록은 규제 대응 자료이면서 동시에 언제부터의 상태였는지를 가르는 증거가 됩니다. 같은 자료가 과징금 절차와 매도인에 대한 클레임 양쪽에서 쓰입니다.

법 제64조의2 제1항 제9호 단서는 안전성 확보에 필요한 조치를 다한 경우를 유출 과징금 대상에서 제외합니다. 그 입증 자료도 두 절차에서 같은 역할을 합니다. 사고 직후에 무엇을 어떤 순서로 해야 하는지는 유출 인지 후 72시간의 대응 절차에서 확인하실 수 있습니다.

자주 묻는 질문

인수 전부터 있던 위반인데 과징금은 인수 후에 나왔습니다. 매도인에게 물을 수 있나요?

처분이 나온 시점이 아니라 사유가 있었던 시점이 기준입니다. 대법원 2018. 10. 12. 선고 2017다6108 판결이 다룬 사안에서도 과징금 납부명령은 지배권 이전보다 뒤에 나왔지만, 사유인 위반행위가 그 전에 있었기에 손해로 인정될 수 있었습니다. 다만 위반 상태가 인수 후에도 계속되었다면 어디까지가 이전 시점의 사유인지는 계약 문언 해석의 문제로 남습니다.

매수인이 인수 후에도 그 상태를 그대로 두었다면 매도인의 책임은 어떻게 되나요?

매도인으로서는 클로징 이후에 이어진 기간을 자신의 구간에서 떼어 낼 논거를 갖게 됩니다. 위반행위의 기간은 개인정보 보호법 제64조의2 제4항 제2호와 시행령 별표 1의5 제2호 나목의 1차 조정에서 과징금을 키우는 요소이므로, 매수인이 발견하고도 시정하지 않아 늘어난 부분의 귀속이 다투어질 수 있습니다. 책임이 실제로 어떻게 나뉘는지는 계약이 시정 책임과 산정 방법을 어떻게 정했는지에 따라 사안마다 달라질 수 있습니다.

과징금 산정의 기준이 되는 매출액은 어느 해의 것인가요?

시행령 제60조의2 제1항은 위반행위가 있었던 사업연도를 기준으로, 그 사업연도 첫날 현재 사업을 개시한 지 3년 이상이면 직전 사업연도의 매출액과 직전 3개 사업연도의 연평균 매출액 중 큰 금액을 전체 매출액으로 정합니다. 위반 상태가 여러 해에 걸치면 어느 해를 해당사업연도로 볼지가 먼저 다투어질 수 있습니다. 여기서 위반행위와 관련이 없는 매출액은 제외되므로(법 제64조의2 제2항), 기준 매출액의 범위도 사안에 따라 달라질 수 있습니다.

참고 자료

이 글은 일반적인 정보 제공을 목적으로 하며 특정 사안에 대한 법률 자문이 아닙니다. 구체적인 사안은 개별 검토가 필요합니다.