외국계 자본이 국내 데이터 기업을 인수하는 과정에서 개인정보가 국외로 무단 이전되는 것을 사전에 차단하기 위한 입법이 추진되고 있다. 대규모 개인정보를 보유한 기업의 M&A가 진행될 경우 공정거래법상 기업결합심사처럼 반드시 개인정보보호위원회의 사전심사를 거치도록 하는 법안이 준비 중이다. 개인정보위는 관련 후속 대책을 2026년도 부처 업무보고에 반영하였으며, 9월 정기국회 전까지 방안을 마련하겠다는 입장이다. Herald CorpHerald Corp
왜 지금 이 이슈가 나왔는가
직접적인 계기는 두 사건이다.
개인정보위는 올해 1월부터 외국계 사모펀드 EQT가 인수한 리멤버앤컴퍼니를 대상으로 대주주 변경에 따른 영향 및 개인정보 국외 이전 사항 등에 대한 사전 실태점검에 착수했으나 6개월째 결론을 내리지 않았다. 그리고 EQT파트너스가 인수한 대표 보안기업 SK쉴더스에서는 지난해 10월 해킹으로 인한 개인정보 등 내부 자료 유출 사고가 발생했다. Herald CorpHerald Corp
공통점이 있다. 외국계 사모펀드가 국내 기업을 인수한 이후 보안 투자가 충분하지 않았다는 점, 그리고 인수 과정에서 개인정보 이전의 적법성이 사전에 검토되지 않았다는 점이다.
현행 심사 체계의 공백
기존 M&A 심사는 공정거래위원회의 독과점 판단과 금융당국의 자본 적격성 심사에 집중됐다. 인수 대상 기업이 개인정보를 얼마나, 어떤 종류로, 어떤 구조로 보유하고 있는지는 현행 심사 체계에서 별도로 검토되지 않는다. Herald Corp
대규모 개인정보를 보유한 기업이 인수될 때, 그 데이터가 어디로 가는지를 아무도 묻지 않는 구조가 문제라는 것이다.
사전심사제가 도입되면 달라지는 것
국외이전 사전심사제는 기업 인수합병 M&A 과정에서 개인정보 이전의 안전성을 검토하는 데 활용되는 제도로 추진되고 있다. 대규모 개인정보를 보유한 기업의 M&A 시 개인정보위가 심사에 참여하고, 이전 안전성이 확인되지 않으면 조건부 승인이나 제동이 걸릴 수 있는 구조가 된다. Epnc
함께 추진되는 국외이전 영향평가제는 민감도 높은 대규모 개인정보 국외이전 시 기업 등이 위험성을 자체적으로 평가하도록 하는 제도다. 자체 평가가 선행되고, 위험도가 높은 경우 사전심사로 연결되는 이중 구조가 될 것으로 보인다. Epnc
실무 담당자가 지금 확인할 것
M&A를 진행하거나 계획 중인 조직이라면 두 가지를 미리 파악해두는 것이 맞다. 인수 대상 기업이 보유한 개인정보의 규모와 민감도, 그리고 인수 이후 데이터가 어떤 경로로 처리될 것인지다. 이 두 가지가 사전심사제의 심사 기준이 될 가능성이 높다.
인수하는 쪽뿐 아니라 인수되는 쪽도 마찬가지다. 대주주가 바뀌는 시점에 개인정보 처리 구조가 어떻게 달라지는지를 담당자가 파악하고 있어야 한다.