기업인수

2026년 10월 1일 시행되는 정보통신망법 제48조의8은 5년 이내 2회 이상의 침해사고에 매출액 3% 과징금을 부과합니다. 부칙 제7조 제1항은 시행 이후 최초로 2회 이상 발생한 경우부터 적용한다고 정했는데, 이 문언이 시행 전 사고를 횟수에 넣는지 넣지 않는지를 갈라 주지 않습니다. 같은 문제를 다룬 개인정보 보호법 부칙은 앞의 처분을 명시적으로 한정했으나 정보통신망법 부칙에는 그 한정이 없습니다. 두 부칙을 나란히 놓고 읽는 두 가지 방법과, 실사·사고대응에서 지금 확인해 둘 것을 정리했습니다.

주식 인수 실사에서는 사고 이력과 함께 파기·국외이전의 현재 상태, 기능별 동의 근거, 과징금 산정에 들어갈 매출연도를 확인해야 합니다. 업력 3년 이상 기업은 위반사업연도 직전 1년 매출과 직전 3년 평균 중 큰 금액을 기준으로 하므로 인수 후 매출이 곧바로 반영되는 것은 아닙니다. 재동의가 필요한 범위와 활용 가능한 데이터 모수를 사업계획에 반영하는 방법을 설명합니다.

실사에서 대상회사가 개인정보 제재를 받은 적이 없다고 답하면, 인수인은 공개 자료로 그 답을 검증하려 합니다. 검증이 되는 처분과 되지 않는 처분이 갈리는 기준은 시기가 아니라 금액입니다. 억대 과징금은 결정문에 회사 이름이 없어도 개인정보보호위원회 보도자료가 회사를 지목합니다. 반대로 과태료와 시정명령은 2024년 11월 이전 구간에서 열 건 중 일곱 건이 결정문에도 공표에도 이름이 남지 않았습니다.

대상회사가 데이터 자산이라고 내미는 것은 세 층으로 갈라서 보아야 합니다. 첫째는 수집 경로입니다. 2026년 8월 20일 시행된 개인정보 보호법 시행령 제42조의6은 앞으로의 유입에는 사전협의(제3항 제1호 나목)를, 이미 쌓인 축적분에는 저장 금지(제5항)를 걸어 두었으므로 한 줄짜리 답으로 둘을 설명할 수 없습니다. 둘째는 학습데이터의 저작권입니다. 서울중앙지방법원 2026년 7월 24일 선고 2025나6032 판결은 권리처리 없는 전자책 말뭉치의 손해액을 '정가의 70% × 5부 × 지분율’로 산정했고, 8월 11일 시행된 저작권법 제125조 제4항은 고의 침해에 그 5배까지 허용합니다. 셋째는 개인정보의 적법근거입니다. AI 개발 특례(제28조의12)는 2026년 9월 8일 공포됐지만 시행일이 2027년 3월 9일이라 오늘의 근거가 되지 못하고, 시행 뒤에도 승인은 다섯 사유로 처리 전부가 제한될 수 있는 상태입니다. 세 질문은 경로, 권리, 근거의 순서로 묻고, 답은 각각 따로 받습니다.

생성 도구나 템플릿으로 만든 개인정보 처리방침의 위험은 문서의 품질이 아니라 회사의 실제 처리와의 불일치에 있습니다. 처리방침은 개인정보 보호법 제30조 제1항이 정한 실제 처리 내역의 공개 의무이므로, 실제와 다른 문서는 실사에서 데이터 흐름과 한 번 대조하는 것만으로 드러나고, 조사에서는 회사가 스스로 적어낸 진술로 읽힙니다. 실제보다 후하게 적힌 약속은 제30조 제3항에 따라 회사를 구속하는 방향으로 작동합니다.

위치기반서비스사업 신고 누락은 실사에서 자주 나오는 지적이지만, 과태료 문제로 읽으면 위험의 크기를 놓칩니다. 신고하지 않고 개인위치정보 기반 서비스를 운영한 행위는 위치정보법 제40조 제2호의 형사처벌 대상이고, 양벌규정에 따라 법인과 행위자가 함께 기소될 수 있습니다. 신고 자체는 클로징 전에 마칠 수 있어 선행조건으로 잡을 수 있지만, 이미 지나간 무신고 영업 기간의 형사 위험은 신고로 지워지지 않으므로 면책과 가격의 문제로 다루어야 합니다.

대상회사의 과거 개인정보 과징금 이력은 2026년 9월 11일 이후에도 대부분 10% 가중의 방아쇠가 되지 않습니다. 개정법 부칙 제3조 제1항이 시행 이후 발생한 위반행위로 받은 과징금 부과처분부터 재위반 가중을 적용하기 때문입니다. 반면 피해 규모 1천만 명 조항은 시행 당시 종료되지 않은 위반행위에도 적용됩니다. 그래서 실사에서는 처분의 유무가 아니라 처분의 종류와 근거 호, 날짜, 그리고 지금도 이어지는 위반 상태를 확인해야 합니다.

실사에서 개인정보 지적이 나오면 그다음은 계약 조항 배치의 문제가 됩니다. 갈림은 지적의 중요도가 아니라 클로징 전에 완료 상태를 만들 수 있는지입니다. 위탁 문서 체결이나 손해배상책임 보험 가입은 선행조건으로 잡히지만, 동의 없이 이미 제공되거나 국외로 나간 데이터는 소급해 적법하게 만들 수 없어 확약으로 밀립니다. 확약은 장래의 이행을 약속하는 것이지 과거를 지우지 않습니다.

인수 거래에서 고객 개인정보는 실사 단계와 클로징 단계에서 한 번씩 건너갑니다. 두 시점의 법적 근거가 다릅니다. 거래가 성사되기 전 데이터룸에 올리는 자료는 영업양도 조항(제27조)의 적용 국면이 아니라 제17조 제1항의 제3자 제공이고, 동의나 계약 이행으로 모은 회원 정보에는 수집 목적 범위 제공을 쓸 수 없어 실무상 남는 경로가 좁습니다. 클로징으로 개인정보가 실제로 이전되면 제27조가 붙는데, 통지 의무는 파는 쪽과 사는 쪽에 각각 따로 걸리고 사는 쪽 의무는 파는 쪽이 먼저 알려야 사라집니다. 개인정보보호위원회는 같은 병원 거래의 양도인과 양수인에게 같은 날 각각 과태료 100만 원을 부과했습니다(2022. 11. 16. 제18회 전체회의 의결).

유출 같은 사고형 위반과 달리 파기 미이행과 국외이전 근거 미비는 사건이 없어 밖에서 보이지 않습니다. 무엇을 받아 볼지는 법이 이미 정해 두었습니다. 개인정보 보호법 제30조 제1항 제3호의2의 처리방침 기재와 제28조의8 제1항의 이전 근거별 문서가 그것이고, 두 위반은 과태료와 전체 매출액 3% 과징금으로 무게가 갈립니다.