2025년 개인정보보호법(“PDP 법”) 및 시행령 제356/2025/ND-CP호에 따라 개인정보 보호는 베트남 내 사업을 영위하는 기업들에게 점점 더 중요한 컴플라이언스 영역이 되었습니다. 이러한 규제 프레임워크의 집행력을 강화하기 위해 공안부는 사이버보안 및 개인정보 보호 위반 처벌에 관한 시행령 초안(“행정처분 시행령 초안”) 미준수 시 최대 30억 동 또는 특정 경우 전년도 매출액의 최대 5%에 이르는 과태료를 포함하여 상당한 처벌을 제안합니다. 이러한 배경에서 개인정보 보호는 더 이상 단순한 운영상의 준법 문제로만 간주되지 않습니다. M&A 거래의 경우, 잠재적인 준법 위험을 조기에 파악하고 거래 완료 전에 해결할 수 있도록 개인정보 보호가 독립적인 법률 실사 업무 영역으로 부상했습니다.

1. M&A 실사 시 주요 검토 분야 및 식별된 일반적 리스크

타깃 기업의 데이터 에코시스템 이해

개인정보 보호 컴플라이언스 평가는 대상 회사의 데이터 에코시스템을 이해하는 것에서 출발해야 합니다. 여기에는 처리 활동에 관여하는 주체, 수집되는 개인정보의 카테고리, 처리 목적, 해당 데이터에 접근할 수 있는 제3자의 식별이 포함됩니다. 개인정보 관련 이슈는 흔히 IT 또는 B2C 기업에 국한된 것으로 생각하기 쉽지만, 개인정보 보호 컴플라이언스는 모든 산업 분야에 직결됩니다. 무역, 제조, 서비스 기업이라 하더라도 임직원, 고객, 공급사 및 비즈니스 연락처에 관한 개인정보를 일상적으로 처리합니다. 특히 고객 데이터베이스, 인사 기록, 웹사이트 및 모바일 앱을 통해 수집된 이용자 정보, 마케팅 데이터베이스는 대상 회사의 가장 핵심적인 사업 자산인 경우가 많으므로 각별한 주의를 기울여야 합니다. 대상 회사의 데이터 에코시스템을 명확히 파악하면 더욱 집중적인 실사를 진행할 수 있으며 개인정보의 수집, 이용, 공유 및 이전과 관련된 잠재적 컴플라이언스 리스크를 선제적으로 식별하는 데 도움이 됩니다.

동의 및 투명성 요건

실사에서 또 다른 중요한 영역은 대상 기업의 PDP Law상 동의 수집 및 고지 체계 준수 수준입니다. 투자자는 대상 기업이 웹사이트, 모바일 애플리케이션, 채용 절차, 인사관리 시스템 등 관련 채널 전반에 걸쳐 적절한 개인정보 처리방침과 동의 메커니즘을 구축했는지, 그리고 규정 준수를 입증할 수 있는 충분한 기록을 유지하고 있는지 평가해야 합니다. 동의 수집이나 투명성 의무 이행의 미비는 여전히 가장 흔한 규제 준수 문제 중 하나이며, 거래 완료 후 대상 기업이 개인정보를 적법하게 사용하는 데 영향을 미칠 수 있습니다. 매수인이 취득한 데이터를 정보주체에게 당초 고지된 범위를 넘어선 목적으로 사용하고자 하는 경우에는 추가적인 규정 준수 요건을 고려해야 할 수 있습니다.

이러한 법적 의무의 중요성은 개인정보보호 행정처벌령(초안)을 통해 한층 더 강조되고 있습니다. 동 초안은 동의 요건 미준수에 대한 과태료(5,000만 동에서 최대 1억 동)뿐만 아니라, 개인정보 처리 활동의 일시 중지나 불법 처리된 개인정보의 강제 파기와 같은 행정처분 및 시정조치까지 명시하고 있습니다. 이러한 조치들은 기업의 고객 및 임직원 데이터베이스 활용 역량에 직결되므로, 투자자는 실사 단계에서 개인정보 처리의 적법한 근거를 철저히 검증해야 합니다.

계약 서류 작성 및 규제 기관 신고

투자자는 대상 회사가 개인정보 처리 영향평가 보고서(‘DPIA (개인정보보호 영향평가)”) 및 해당되는 경우 국경 간 개인정보 전송 영향평가 보고서(“DTIA (개인정보 국외이전 영향평가)”). 이러한 문서는 대상 회사의 데이터 처리 및 이전 활동에 대한 유용한 통찰력을 제공하고 잠재적인 규정 준수 격차를 식별하는 데 도움이 될 수 있습니다.

이러한 문서의 부재, 미비 또는 부정확성은 더 광범위한 컴플라이언스 결함을 시사할 수 있으며, 대상회사를 규제 리스크에 노출시키고 거래 완료 후 추가적인 시정 비용을 발생시킬 수 있습니다.

행정처벌 시행령 초안은 또한 의무적인 DPIA 및 DTIA 서류를 작성하거나 유지하지 않은 경우 행정 처벌(5천만 동에서 1억 동 범위)을 부과하며, 조직에 관련 문서를 보완하거나 시정하도록 요구하는 구제 조치를 수반합니다. 미준수 사항이 확인될 경우, 보다 중대한 위반에 대해서는 추가 제재가 부과될 수도 있습니다. 결함이 있을 경우 거래 종결(클로징) 후 상당한 시정 노력이 필요할 수 있으므로, 이러한 요건들은 대상 회사의 컴플라이언스 문서의 완전성과 정확성을 검증하는 것이 얼마나 중요한지를 보여줍니다.

제3자 데이터 처리 계약

많은 기업이 자신들을 대신하여 개인정보를 처리하기 위해 제3자 서비스 제공업체를 활용합니다. 특정 처리 활동은 아웃소싱될 수 있지만, 대상 회사는 일반적으로 관련 개인정보 보호 요건을 준수할 책임을 여전히 부담합니다. 따라서 투자자는 데이터 관련 사고 발생 시의 책임 배분, 비밀유지 의무 및 위험 분담 메커니즘을 평가하기 위해 실사 작업의 일환으로 개인정보 처리와 관련된 계약을 검토해야 합니다. 제3자에 대한 감독이나 계약상 약정의 미비는 특히 개인정보가 외부 서비스 제공업체와 공유되거나 서로 다른 관할 구역 간에 처리되는 경우 대상 회사를 규제 리스크 및 잠재적 법적 책임에 노출시킬 수 있습니다.

행정처벌 시행령 초안에서 제안된 한층 강화된 집행 체계를 고려할 때, 제3자 처리자에게 의존하는 기업은 잠재적인 컴플라이언스 리스크를 완화하기 위해 적절한 계약상 조치 및 거버넌스 체계를 마련해야 합니다.

데이터 보안 및 거버넌스 조치

데이터 보안 및 거버넌스 문제의 중요성은 대상 회사가 처리하는 개인정보의 성격, 양, 민감도에 따라 달라집니다. 개인정보가 대상 회사의 운영에서 중요한 역할을 하는 경우, 투자자는 광범위한 실사 프로세스의 일환으로 대상 회사의 데이터 보안 프레임워크에 대한 별도의 기술적 검토를 수행하는 방안을 고려할 수 있습니다.

법률실사(Legal Due Diligence) 관점에서는 대상 기업과 관련된 데이터 유출 이력, 정보주체의 민원, 규제 당국의 조사, 제재 처분 또는 기타 개인정보 보호 관련 사고에 각별히 주의를 기울여야 합니다. 이러한 사건들은 거래 완료 후에도 존속할 수 있는 잠재적인 규제 리스크, 소송 리스크 또는 법적 책임을 나타낼 수 있습니다. 기술 검토 결과 또한 투자자가 거래 종결 후 시정 조치 및 통합(PMI) 우선순위를 식별하는 데 도움이 될 수 있습니다.

행정처벌 시행령 초안(Draft Decree on Administrative Penalties)은 데이터 보안 및 거버넌스 의무의 집행을 한층 강화합니다. 제57조에 따라 조직이 개인정보를 보호하기 위한 적절한 제도적, 기술적, 조직적 조치를 취하지 않거나 내부 정책을 수립하지 않은 경우 최대 7,000만 동(VND)의 과태료가 부과될 수 있습니다. 한편, 제69조는 개인정보 처리 활동의 일시 중지, 적절한 데이터 보호 조치의 의무적 이행, 불법 처리된 개인정보의 삭제 등 중대한 개인정보 보호 위반 행위에 대한 추가 제재 및 시정조치를 제안하고 있습니다. 이러한 제재 조치 제안들은 실사 과정에서 대상 회사의 데이터 거버넌스 프레임워크, 보안 통제 현황 및 과거 보안 사고 이력을 평가하는 것이 얼마나 중요한지를 분명히 보여줍니다.

2. 위험 분담 및 인수 후 컴플라이언스 조치

실사(Due Diligence) 과정에서 개인정보 보호 리스크가 확인되면, 투자자는 일반적으로 거래 문서화 및 거래 종결 후 시정 조치 합의 등을 통해 이러한 리스크를 분담하고 관리하고자 합니다.

진술 및 보증

매수인은 대상회사가 관련 개인정보 보호 규정을 모든 중요한 측면에서 준수하였고, 필수적인 주요 문서화 및 신고를 완료하였으며, 개인정보 처리와 관련하여 현재 진행 중이거나 위협이 되는 조사 또는 집행 조치의 대상이 아니라는 점을 확인하는 진술 및 보증을 요구할 수 있습니다.

면책 조항

실사 과정에서 구체적인 컴플라이언스 이슈가 발견되는 경우, 매수인은 공개된 위반 사항, 해결되지 않은 규제 준수 미비점 또는 거래 종결 전 데이터 처리 활동에서 발생하는 법적 책임에 대해 특정 면책 보호(targeted indemnity)를 요구할 수 있습니다.

선행조건

규정 준수와 관련된 중대한 결함이 있는 경우, 매수인은 미완료된 개인정보 영향평가(DPIA) 또는 국외이전 영향평가(DTIA) 서류의 작성, 주요 지배구조 조치의 실행, 미결 규제 사안의 시정 등 거래 종결(closing) 전에 시정 조치가 완료되도록 요구할 수 있습니다.

에스크로 또는 매매대금 지급유보 메커니즘

매수인은 과거의 법령 불이행으로 인해 발생할 수 있는 잠재적 책임을 담보하기 위해 에스크로(조건부 날인 증서) 또는 매매대금 지급 유보 약정을 요구할 수도 있습니다.

거래 종결 후 확약 사항

당사자들은 종결 후 컴플라이언스를 지원하기 위한 전환기 및 지속적인 의무에 합의할 수 있습니다. 여기에는 미완료된 문서 및 신고(DPIA 및 DTIA 서류 포함) 작성을 위한 협력, 정보주체의 권리 행사 요청 대응 지원, 거래 종결 전의 개인정보 처리 활동과 관련하여 관할 당국의 검사, 조사 또는 정보 요청 처리에 대한 지원 등이 포함됩니다.

이러한 메커니즘들은 규제 및 운영 리스크의 체계적인 배분을 가능하게 하는 동시에, 거래 종결(클로징) 후 대상 회사의 사업 운영 내 개인정보 보호 컴플라이언스 개선 및 통합을 촉진합니다.

결론

베트남의 개인정보 보호 체계가 지속적으로 발전하고 곧 행정처분 제도가 도입될 것으로 예상됨에 따라, 개인정보 보호 요건의 준수가 M&A 실사(due diligence)에서 점점 더 중요한 요소가 되고 있습니다.

데이터 처리 활동에 대한 체계적인 평가, 규정 준수 위험의 조기 식별, 거래 문서 내 적절한 위험 배분 메커니즘의 구현은 투자자의 이익을 보호할 뿐만 아니라 성공적인 인수 후 통합(PMI) 및 대상 회사의 지속적인 규정 준수를 지원하는 데 필수적입니다.