기업인수

인수 거래에서 고객 개인정보는 실사 단계와 클로징 단계에서 한 번씩 건너갑니다. 두 시점의 법적 근거가 다릅니다. 거래가 성사되기 전 데이터룸에 올리는 자료는 영업양도 조항(제27조)의 적용 국면이 아니라 제17조 제1항의 제3자 제공이고, 동의나 계약 이행으로 모은 회원 정보에는 수집 목적 범위 제공을 쓸 수 없어 실무상 남는 경로가 좁습니다. 클로징으로 개인정보가 실제로 이전되면 제27조가 붙는데, 통지 의무는 파는 쪽과 사는 쪽에 각각 따로 걸리고 사는 쪽 의무는 파는 쪽이 먼저 알려야 사라집니다. 개인정보보호위원회는 같은 병원 거래의 양도인과 양수인에게 같은 날 각각 과태료 100만 원을 부과했습니다(2022. 11. 16. 제18회 전체회의 의결).

유출 같은 사고형 위반과 달리 파기 미이행과 국외이전 근거 미비는 사건이 없어 밖에서 보이지 않습니다. 무엇을 받아 볼지는 법이 이미 정해 두었습니다. 개인정보 보호법 제30조 제1항 제3호의2의 처리방침 기재와 제28조의8 제1항의 이전 근거별 문서가 그것이고, 두 위반은 과태료와 전체 매출액 3% 과징금으로 무게가 갈립니다.

국외이전의 근거를 처리방침에 적을 때 도구마다 적을 수 있는 근거가 다릅니다. 법 제28조의8 제1항 제3호는 '처리위탁·보관'만 대상으로 하고 '제공'은 빠져 있기 때문입니다. 광고 플랫폼 픽셀을 위탁 표에 올려 두었다면 근거가 비어 있을 수 있습니다. 위탁으로 정리된 구글 애널리틱스류 분석 도구도 제3호의 '계약 이행에 필요한'이 벤더가 아니라 정보주체와의 계약을 가리키므로, 서비스 개선 목적의 행동 분석은 제1호의 별도 동의가 필요할 수 있습니다.

대법원은 기업지배권이 이전되는 시점 이전의 사유로 발생한 우발채무를 진술보증 위반의 손해로 보았습니다. 2017다6108 판결입니다. 담합처럼 이미 끝난 행위는 이 선으로 갈리지만, 파기하지 않은 데이터나 근거가 정리되지 않은 국외이전 같은 개인정보 위반은 클로징 이후에도 계속됩니다. 구간이 어디서 끊기느냐가 과징금의 기준 매출액과 가중 폭까지 함께 바꾼다는 점을 조문 단위로 정리했습니다.

매도인에게 물을 수 있다는 것과 얼마를 받느냐는 다른 문제입니다. 대법원 2018. 10. 12. 선고 2017다6108 판결이 정리한 산정의 두 층(산정 조항이 있으면 그에 따르고, 없으면 주식가치 감소분 또는 매매대금 차액)과, 그 사건에서 손해가 확정되기까지 걸린 시간을 따라가며 개인정보 항목의 산정이 왜 더 어려운지 정리했습니다.

실사에서 개인정보는 체크리스트 한 줄로 지나가고, 진술보증에는 '관련 법령을 준수하고 있다'는 한 문장이 들어갑니다. 클로징 뒤에 개인정보보호위원회 처분이 나오면 그 문장이 무슨 일을 하는지, 대법원 2012다64253·2017다6108 판결과 개인정보 보호법 제27조·제64조의2·제66조로 정리했습니다.