구글, 파산 항공사 데이터 141억원 매입…기업 파산 시 개인정보 처리 쟁점 부각

핵심 요약

- 구글이 파산 항공사 데이터(이메일 1억 건, MS Teams 5억 건 등)를 약 141억원에 인수하며 AI 학습 데이터 확보에 나섬 - 파산 과정에서 기업 데이터가 제3자에게 매각될 때 기존 임직원·고객의 개인정보 보호 권리와 데이터 소유권 문제가 핵심 쟁점으로 부각 - 기업 내부 데이터의 AI 활용 확대에 따라 데이터 이용 범위, 처리 목적, 정보주체 권리 보장 기준 마련이 시급한 상황

주요 내용

2026년 구글이 파산한 항공사의 대규모 기업 데이터를 약 141억원(1,000만 달러 추정)에 인수하면서, 기업 파산 시 개인정보 처리 문제가 개인정보보호 업계의 주요 화두로 떠올랐다. 이번 거래에는 이메일 약 1억 건, Microsoft Teams 메시지 5억 건 등 방대한 기업 내부 커뮤니케이션 데이터가 포함된 것으로 알려졌다.

구글은 이들 데이터를 자사 AI 모델 학습과 기업용 AI 서비스 개선에 활용할 계획으로 보인다. 빅테크 기업들이 AI 경쟁에서 우위를 확보하기 위해 고품질 학습 데이터 확보에 총력을 기울이는 상황에서, 파산 기업의 실제 업무 데이터는 매력적인 자산으로 평가받고 있다. 특히 기업 내부 커뮤니케이션 데이터는 업무 맥락과 전문 용어가 풍부해 B2B AI 서비스 개발에 높은 가치를 지닌다.

하지만 이번 거래는 심각한 개인정보 보호 우려를 낳고 있다. 해당 데이터에는 항공사 임직원들의 업무 이메일, 내부 대화, 고객 정보 등이 포함되어 있으며, 이들 정보주체는 자신의 데이터가 제3자에게 매각되어 AI 학습에 사용될 것이라는 고지를 받지 못했을 가능성이 크다. 파산 절차에서는 채권자 보호가 우선되면서 개인정보보호 원칙이 후순위로 밀리는 경우가 많아, 정보주체의 열람·정정·삭제 요구권 등 기본 권리 행사가 사실상 불가능해질 수 있다.

국내 개인정보보호법은 기업 합병·분할 시 개인정보 이전에 대해 정보주체 고지 의무를 규정하고 있으나, 파산 절차에서의 데이터 매각에 대한 명확한 기준은 부족한 상황이다. 유럽 GDPR은 데이터 처리 목적 제한 원칙을 엄격히 적용하고 있어, 원래 수집 목적과 전혀 다른 AI 학습용 데이터 활용은 법 위반 소지가 크다. 미국에서도 연방거래위원회(FTC)가 파산 기업의 고객 데이터 매각을 제한하는 사례가 증가하고 있다.

전문가 시각

ISMS-P 심사 현장에서 기업들의 데이터 생애주기 관리를 점검하다 보면, 사업 종료나 인수합병 시 개인정보 처리 계획이 미흡한 경우가 많다. 이번 구글 사례는 기업이 평상시부터 '최악의 시나리오'까지 대비한 개인정보 처리 방침을 수립해야 함을 보여준다. 특히 클라우드에 저장된 대규모 커뮤니케이션 데이터는 파산관재인의 자산 목록에 포함될 수 있으며, 이는 임직원과 고객 모두의 개인정보 침해로 이어질 수 있다.

기업은 개인정보 처리방침에 '사업 양도·합병·파산 시 개인정보 처리 방안'을 명시하고, 중요 계약 시 데이터 소유권과 이전 제한 조항을 포함해야 한다. 또한 파산 가능성이 있는 기업과의 데이터 공유 시 암호화, 익명화 등 기술적 보호조치를 강화하고, 데이터 최소화 원칙을 철저히 준수해야 한다. 경영진은 데이터를 단순한 기술 자산이 아닌 '정보주체의 권리가 내재된 신탁 자산'으로 인식하는 거버넌스 전환이 필요하다. AI 시대에 기업 데이터의 가치가 높아질수록, 파산·청산 과정에서도 개인정보 보호 원칙이 관철되도록 하는 법적·제도적 장치 마련이 시급하다.

CPPG·ISMS-P 연계 포인트

개인정보 제3자 제공 및 목적 외 이용 제한: 개인정보보호법 제17조와 제18조는 개인정보의 제3자 제공 및 목적 외 이용 시 정보주체 동의를 원칙으로 한다. 파산 절차에서의 데이터 매각도 이 원칙의 예외가 될 수 없으며, 원 수집 목적(업무 커뮤니케이션)과 전혀 다른 용도(AI 학습)로의 이용은 명백한 목적 외 이용에 해당한다. ISMS-P 인증 심사 시 사업 양도·종료 시나리오에서의 개인정보 처리 계획 수립 여부를 점검한다.

데이터 생애주기 관리 및 파기: ISMS-P 인증기준 2.8.4(개인정보 파기)는 보유기간 경과 또는 처리목적 달성 시 개인정보를 지체 없이 파기하도록 규정한다. 기업 파산 시에도 이 원칙은 유효하며, 파산관재인은 법적 보존 의무가 있는 정보를 제외하고는 개인정보를 파기해야 한다. 실무적으로는 사업 연속성 계획(BCP)에 '비상 상황 시 개인정보 처리 절차'를 포함하고, 데이터 보관 클라우드 서비스 계약 시 파산·폐업 시 데이터 처리 방안을 명시해야 한다.