라이선스 협상 종료 후 데이터룸 오프보딩: 접근 차단, 사본 반환·폐기 청구, 감사로그 보존의 3단계 실무

먼저 답한다: 접근 해제, 사본 회수, 로그 보존은 한 클릭이 아니다

해외 다국적 제약사(빅파마)나 글로벌 바이오텍과의 라이선스 아웃(L/O) 또는 공동개발 협상이 결렬·중단되거나 독점 협상 기간이 만료되었을 때, 한국 라이선서 사업개발(BD) 및 법무팀이 빠지기 쉬운 착각은 “VDR(가상데이터룸) 관리자 화면에서 상대방 계정을 끄거나 룸을 닫으면 자료가 모두 안전하게 회수된다”고 믿는 것이다. 데이터룸 플랫폼에서 클릭 몇 번으로 사용자를 비활성화(Deactivate)하는 것은 클라우드 포털 접속을 차단하는 기술적 조치일 뿐이다. 이미 상대방 담당자, 외부 자문 변호사, 회계 실사팀, 임상수탁기관(CRO)의 로컬 드라이브에 반출된 미공개 CMC 밸리데이션 데이터, 비임상 원자료, 특허 전략 문건, 내부 평가 모델은 그 클릭 한 번으로 저절로 사라지지 않는다.

따라서 협상 종료 시점의 데이터룸 오프보딩(Offboarding)은 반드시 서로 다른 법적·기술적 효력을 지닌 3개의 층위(Layer)를 같은 날 동시에 가동해야 완성된다. 첫째는 VDR 포털 사용자 및 외부 자문단의 역할 비활성화, 공유 링크 만료, 그리고 IRM(정보 권한 관리) 취소와 감사로그 추출을 망라하는 ‘기술적 접근 차단 층위’다. 둘째는 비밀유지계약(CDA/NDA)의 반환·폐기 조항을 서면으로 정식 발동하여 사본 및 파생물의 폐기를 요구하고 서면 확인서 징구 기한을 확정하는 ‘계약 및 영업비밀 권리 행사 층위’다. 셋째는 데이터룸 내 연구자·임상 담당자 이력서 등 개인정보가 포함되었을 경우 수탁자인 VDR 공급업체에 데이터 파기 또는 반환을 공식 지시하는 ‘개인정보 처리위탁 종결 층위’다.

flowchart TD
    subgraph S1["1단계: 협상 종료 통보 당일"]
        A["라이선스 협상 결렬 / 중단 확정"] --> B["VDR 기술 접근 차단<br/>(계정·역할 비활성화 & 공유링크 만료)"]
        A --> C["IRM 권한 취소 발동<br/>(IRM 보호 내려받기만 해당)"]
        A --> D["감사로그 전체 내보내기<br/>(열람·다운로드·인쇄·Q&A 일체)"]
    end
    subgraph S2["2단계: 당일 서면 통지 발송"]
        B & C & D --> E["CDA 서면 반환·폐기 청구서 발송<br/>(해외 파트너 & Representatives 전원 대상)"]
        E --> F["부정경쟁방지법 제18조 다목<br/>요건 사실('삭제·반환 요구') 확보"]
        E --> G["폐기 확인서 징구 기한 설정<br/>(TIPA 예시는 폐기 후 10일)"]
    end
    subgraph S3["3단계: 규제 및 처리위탁 종결"]
        G --> H["개인정보 수탁자(VDR 벤더) 파기 지시<br/>(개인정보 보호법 §21·§26, GDPR §28)"]
        G --> I["국가핵심기술 판정 여부 확인<br/>(산업기술보호법 승인·신고 점검)"]
        H & I --> J["데이터룸 최종 아카이브 & 프로젝트 오프보딩 완료"]
    end
    style A fill:#0d233a,stroke:#2a4d69,stroke-width:2px,color:#fff
    style B fill:#1d3557,stroke:#457b9d,stroke-width:1px,color:#fff
    style C fill:#1d3557,stroke:#457b9d,stroke-width:1px,color:#fff
    style D fill:#1d3557,stroke:#457b9d,stroke-width:1px,color:#fff
    style E fill:#ec2d5e,stroke:#b5179e,stroke-width:2px,color:#fff
    style F fill:#2b2d42,stroke:#8d99ae,stroke-width:1px,color:#fff
    style G fill:#2b2d42,stroke:#8d99ae,stroke-width:1px,color:#fff
    style H fill:#1d3557,stroke:#457b9d,stroke-width:1px,color:#fff
    style I fill:#1d3557,stroke:#457b9d,stroke-width:1px,color:#fff
    style J fill:#0d233a,stroke:#2a4d69,stroke-width:2px,color:#fff

이 가이드가 명확히 규정하는 전제는 ‘협상이 공식 결렬되었거나 실사 단계에서 중단된 건’에 대한 오프보딩이다. 이미 라이선스 계약이 체결되어 본계약 이행을 위해 운영 중인 사후 관리용 협업 룸을 이러한 방식으로 일방 차단하면 오히려 계약 위반(Breach of Contract)을 초래한다. 또한 본 문건은 직원 퇴사 시 개인 USB 회수나 해킹 침해 사고 대응, 제약·바이오 파이프라인의 일반적 데이터룸 구축 절차와는 구별된다. 사전 실사 데이터룸 구성 전략에 대해서는 이전 글인 기술수출(L/O) 데이터룸, 계약 전 90일에 무엇을 다시 정리해야 하나 및 글로벌 제약사가 응답하게 만드는 teaser와 CIM: 한국 바이오텍이 내부에서 먼저 정리할 것를 참조하기 바란다.

당일에 끊는 것: 사용자, 역할, 링크, IRM, 그리고 퍼지 전 로그

협상 결렬 의사가 통보된 당일, 라이선서의 시스템 관리자가 가장 먼저 즉각 실행해야 할 조치는 VDR 상의 접근 제어 통제다. 주요 VDR 플랫폼(Datasite, SS&C Intralinks 등)은 다단계 권한 모델을 제공하므로, 개별 사용자를 일일이 지우는 대신 파트너사 도메인에 배정된 ‘역할(Role)’ 또는 ‘사용자 그룹(Group)’ 전체를 일괄 비활성화해야 한다. 특히 해외 파트너 본사 인력 외에도 파트너가 초빙한 외부 로펌 변호사, 과학 자문관, 라이선싱 컨설턴트, 회계 실사팀의 이메일 계정 도메인이 별도로 등록되어 있는 경우가 빈번하므로 실사 권한 매핑 테이블을 확인하여 누락 없이 동시 차단해야 한다.

두 번째는 다운로드 파일에 대한 IRM(Information Rights Management) 취소(Revoke) 조치다. Intralinks VDRPro 도움말은, IRM으로 보호된 내려받기 파일이 VDR에서 열람 권한이 취소되면 영구히 접근할 수 없게 된다고 한다. 같은 도움말은 보호된 사본이 사용자 데스크톱에 남아 있어도 열리지 않는다고 설명한다. 따라서 관리자가 해당 사용자의 열람 권한을 취소하면, 로컬에 저장된 보호 파일은 영구적으로 열리지 않는 잠금 상태(Permanently Inaccessible)가 된다. Datasite FAQ는 역할 단위로 내려받은 Microsoft Office 및 PDF의 접근을 취소할 수 있다고 한다. 이 취소는 사전에 IRM이 켜진 파일에 한정된다.

세 번째이자 가장 시간에 민감한 조치는 플랫폼 퍼지(Purge) 이전의 종합 감사로그(Full Audit Log) 추출 및 로컬 보존이다. Datasite 공식 FAQ에 따르면, 프로젝트가 '완료(Complete)' 상태로 전환되면 30일이 경과한 시점부터 시스템 내부 파일 퍼지(File Purge)가 시작되며, 룸에 업로드되었던 파일의 영구 보존은 Datasite Archive로 프로젝트 스냅샷을 남겼을 때만 가능하다. Archive는 공급자의 별도 보존 제품이지, 모든 테넌트의 기본 설정은 아니다. 협상이 중단되었다고 해서 룸을 성급하게 완전 삭제(Delete)해 버리면, 나중에 상대방이 기술을 무단 유용했을 때 입증할 핵심 증거인 감사로그까지 함께 영구 소멸된다.

따라서 룸 접근을 차단하는 당일, 관리자는 VDR 콘솔에서 다음 데이터를 즉시 CSV 또는 엑셀 형태로 내려받아 법무용 아카이브 서버에 암호화 보관해야 한다:

• 사용자별·역할별 활동 내역: 상대방 및 자문단 전원의 로그인 일시, 접속 IP 주소, 열람(View)한 문서 목록 및 체류 시간.

• 문서별 이벤트 로그: 핵심 특허, 비임상 원자료, CMC 배치 레코드 등 영업비밀 문건별 다운로드(Download), 인쇄(Print), 워터마크 노출 이력.

• 실사 Q&A 히스토리: 실사 과정에서 상대방이 제기한 기술적 질문, 라이선서 연구진이 작성한 답변, Q&A에 첨부된 비공개 기술 설명서 파일 목록.

같은 날 보내는 서면: CDA 반환·폐기 요구와 확인서 칸

VDR 접근 권한을 껐다면, 같은 날 상대방 대표자 및 라이선싱 총괄 책임자에게 비밀유지계약(CDA/NDA)에 근거한 공식 서면 통지서(Formal Notice of Termination and Demand for Return/Destruction)를 전자우편(수신확인 포함) 및 국제 공인 특송(FedEx, DHL 등)으로 발송해야 한다. 계약상 반환·폐기 조항을 서면으로 행사하지 않은 채 방치하면, 상대방은 협상이 계속 진행 중인 것으로 오인했거나 보관이 묵시적으로 용인되었다고 주장할 소지를 남기게 된다.

국내외 표준 계약 실무를 비교하면, 중소벤처기업부 산하 중소기업기술정보진흥원(TIPA)의 《비밀유지계약 체결 가이드》 예시 제8조는 계약 종료, 업무 중단 또는 정보제공자의 요청이 있는 경우 “비밀정보가 포함된 일체의 자료·복사본·모방물을 즉시 반환하거나 정보제공자의 선택에 따라 폐기하고, 폐기일로부터 10일 이내에 폐기를 증명하는 서류를 제공해야 한다”고 예시한다. 10일 증명 기한은 가이드 예시이지 법정 기한이나 상대 빅파마 표준 CDA의 기본값이 아니다.

같은 종료 순서는 국제 실무 가이드와도 맞닿아 있다. WIPO 《Trade Secrets and Innovation》 Part IV는 협업 종료 시 비밀유지·소유권을 상기시키고, 수령자에게 비밀문서의 반환 또는 폐기와 그 인증을 요청하며, 이메일 대신 접근이 추적되는 저장소를 쓰라고 한다. Part VII는 실사·감사에서 디지털 영업비밀 노출을 줄이려면 반환·폐기 조항이 있는 비밀유지계약, 암호화, 접근통제, 데이터 추적이 필요하다고 한다. 라이선스 협상 종료의 실무 순서는 이 권고를 한국 라이선서와 해외 파트너 한 쌍에 적용한 것이다.

반면 미국 국립보건원(NIH) BRAIN Initiative 공개 CDA 템플릿의 경우, 수령자(Recipient)와 그 자문단(Representatives)이 보유한 사본의 반환·폐기 및 서면 확인 의무를 규정하면서도 다음과 같은 3대 합리적 보관 예외(Standard Exceptions)를 둔다. 한국 준거법 CDA의 기본값은 아니다:

1. 권리·의무 확인용 단수 보관본: 사후 분쟁 발생 시 계약상 준수 의무와 권리 범위를 확인하기 위해 외부 독립 법률자문 또는 사내 법무팀이 보관하는 단 1부의 아카이브 사본(Single Archival Copy for Legal Defense).

2. 자동 정보시스템 백업본: 상대방 전산망의 재해 복구 시스템 및 정기 백업 테이프·클라우드 스냅샷에 저장된 데이터로서 통상적인 기술적 방법으로 즉시 삭제가 불가능한 시스템 백업(Automated Archival/Backup Systems).

3. 법령상 준법 보존본: 수령자 법무 부서가 법적 목적으로 보관하는 파일, 그리고 정부 기관이나 적용 법령이 공개·보존을 요구하는 경우. NIH 템플릿은 이 예외 사본에도 비밀유지 의무가 계속된다고 한다.

한국 라이선서가 협상 상대방에게 보내는 종료 서면 통지서와 이에 첨부되는 파기·반환 확인서에는 다음의 핵심 항목들이 누락 없이 포함되어야 한다:

왜 서면 ‘요구’가 필요한가: 제18조 다목과 제2조 라목, 제10조

협상 종료 통지서에 명시적인 삭제·반환 청구를 담아야 하는 법적 이유는 단순한 계약 관행을 넘어선다. 대한민국 「부정경쟁방지 및 영업비밀보호에 관한 법률」(이하 ‘부정경쟁방지법’) 제18조 제1항 제1호 다목은 다음과 같은 행위를 엄중한 형사 범죄로 규정하고 있다:

“영업비밀을 외국에서 사용하거나 외국에서 사용될 것임을 알면서, 부정한 이익을 얻거나 영업비밀 보유자에게 손해를 입힐 목적으로, 영업비밀 보유자로부터 삭제 또는 반환을 요구받고도 이를 계속 보유하는 행위” — 15년 이하의 징역 또는 15억 원 이하의 벌금(재산상 이득액의 10배가 15억 원을 넘으면 그 이득액의 2배 이상 10배 이하)

국내에서 사용될 사안의 경우에도 동조 제2항에 따라 10년 이하의 징역 또는 5억 원 이하의 벌금에 처해진다. 여기서 핵심은 구성요건 구조다. 이 범죄는 단순히 자료를 가지고 있는 것만으로 성립하지 않으며, 영업비밀 보유자의 ‘삭제 또는 반환 요구’가 존재하고, 그 요구를 받고도 ‘계속 보유’해야 비로소 성립한다.

물론 협상 종료 통지에 삭제·반환 요구를 적는다고 해서 상대방이 자동으로 범죄자가 되거나 고소를 예고하는 것은 아니다. 제18조 제1항은 ‘부정한 이익을 얻거나 보유자에게 손해를 입힐 목적’이라는 초과주관적 위법요소를 요구한다. CDA 계약에 따라 승인된 법무 보관본을 규정에 맞게 보관하거나 단순한 전산 백업 주기 때문에 삭제가 지연된 행위를 범죄로 단정할 수는 없다. 서면 요구의 진정한 실무적 목적은 “라이선서가 적법한 삭제·반환을 요구했음에도 상대방이 부당하게 자료를 은닉·유용할 경우 즉시 법적 조치를 취할 수 있는 증거 요건을 확보하는 것”이다.

제18조의 대상은 파일 전부가 아니라 제2조 제2호의 영업비밀이다. 영업비밀은 공공연히 알려져 있지 않고 독립된 경제적 가치를 가지며 비밀로 관리된 기술상·경영상의 정보이다. 데이터룸의 모든 파일이 자동으로 영업비밀은 아니다. 공개 특허 명세서, 이미 게재된 논문, 공지 임상등록 요약은 비공지성에서 빠질 수 있다. 반면 미공개 CMC 배치기록, 미공개 PK/PD, 내부 원가·로열티 모델, 미공개 제조처 리스트는 비밀관리의 대상이 되기 쉽다. 협상 종료 후에도 룸을 열어 두면 접근통제·워터마크·감사로그라는 ‘비밀로 관리’ 증거가 약해진다.

민사적 측면에서도 서면 통지는 결정적이다. 부정경쟁방지법 제2조 제3호 라목은 계약관계 등에 따라 영업비밀을 비밀로 유지할 의무가 있는 자가 부정한 목적으로 이를 사용하거나 공개하는 행위를 전형적인 침해행위로 본다. 또한 동법 제10조는 영업비밀 보유자가 침해행위를 하거나 할 우려가 있는 자를 상대로 침해 금지·예방을 법원에 청구할 수 있고, 침해행위를 조성한 물건의 폐기나 설비의 제거를 청구할 수 있도록 규정한다.

유럽연합(EU) 파트너를 상대로 할 때는 회원국 이행법을 통해 적용되는 별도 시정 수단이 있다. 지침 자체는 한국 사건에 직접 적용되지 않는다. EU 영업비밀 지침(Directive (EU) 2016/943) 제12조 제1항 (d)는 회원국 법원이 영업비밀을 포함하거나 구현한 문서, 전자 파일의 전부 또는 일부 파괴, 또는 신청인에게의 인도를 명령할 수 있는 사법적 구제 수단을 명시하고 있다. 제12조는 위법한 취득·사용·공개가 인정된 뒤의 사법 시정이지, VDR 관리자 화면의 자체 구제가 아니다. 종료 통지와 감사로그는 이 구제의 사실관계를 준비하는 자료이지 판결을 대신하지 않는다.

개인정보가 룸에 있었을 때만: 제21조 파기, 제28조의8 조회, 공급자 제28조 지시

기술수출 실사 과정에서 임상시험 연구자 이력서(CV), 라이선서 핵심 연구원 명부, 또는 비식별화가 미흡한 초기 환자 데이터 등이 데이터룸에 업로드된 경우가 있다. 만약 데이터룸에 개인정보가 단 한 건이라도 포함되어 있었다면, 이는 영업비밀 보호 법리와 완전히 별개로 「개인정보 보호법」 및 유럽연합 일반개인정보보호규정(GDPR)의 엄격한 규율을 받는다.

「개인정보 보호법」 제21조 제1항은 개인정보의 보유기간 경과 또는 ‘처리 목적 달성’ 등 개인정보가 불필요하게 되었을 때 지체 없이 파기하도록 규정하며, 복구 또는 재생되지 않도록 조치해야 한다(동조 제2항). 다른 법령에 따라 보존해야 하면 분리 저장한다(동조 제3항). 평가 목적이 끝나면 그 개인정보는 불필요하게 된 때에 해당할 수 있으므로, 제21조의 파기 사유가 생기는지를 파일 단위로 본다.

여기서 가장 중요한 법적 역할 분리는 해외 파트너와 VDR 솔루션 공급업체(Cloud Provider)의 지위를 혼동하지 않는 것이다:

• 해외 파트너사: 개인정보의 ‘제3자 제공’ 또는 ‘국외 이전’을 받은 독립된 정보 수령자다. 이들에게는 앞서 설명한 CDA 반환·폐기 통지서를 통해 수령한 개인정보의 즉시 파기를 청구한다.

• VDR 공급업체(Datasite, Intralinks 등): 라이선서로부터 데이터 보관 및 시스템 관리를 위탁받은 경우 통상 ‘수탁자(Processor)’다. 목적과 수단을 공급자가 독자 결정하면 역할이 달라질 수 있다. 개인정보 보호법 제26조 제8항은 수탁자에게 제21조(파기)를 준용하므로, 수탁자로 보는 계약이라면 위탁 업무 종료 및 데이터 파기·반납 확인을 따로 요구해야 한다.

• GDPR 적용 시 (EU 개인정보 관련): GDPR 제28조 제3항 (g)는 처리자(Processor)가 처리 관련 서비스가 끝난 뒤 컨트롤러의 선택에 따라 개인정보를 전부 삭제 또는 반환하고, 연방법 또는 회원국법이 보관을 요구하지 않는 한 기존 사본도 삭제하라고 한다. 이 조항의 상대방은 해외 파트너가 아니라 VDR 공급자다. EU 개인정보가 룸에 있었다면, 공급자에게 보내는 제28조 종료 지시는 파트너에게 보내는 CDA 반환 청구와 한 통의 이메일로 섞지 않는다.

개인정보보호위원회 표준 개인정보처리위탁 계약서(안) 제7조 제2항은 계약 해지 또는 기간 만료 시 수탁자가 보유 개인정보를 시행령 제16조와 「개인정보의 안전성 확보조치 기준」에 따라 즉시 파기하거나 위탁자에게 반납하고, 파기한 경우 지체 없이 결과를 통보하라고 한다. 제8조는 처리 현황과 접근·접속 현황을 위탁자가 감독할 수 있게 한다. VDR 종료 시 감사로그 내보내기와 공급자 파기·반납 확인서는 이 문서 의무의 실행물에 가깝다. 다만 이 서식은 표준안이지 모든 공급자 계약의 자동 조항은 아니다.

닫지 않는 칸, 그리고 이 글이 하지 않는 일

데이터룸 오프보딩 실무의 완결성은 ‘무엇을 닫아야 하는가’뿐 아니라 ‘무엇을 닫지 말아야 하는가’를 정확히 아는 데서 온다. 무분별한 과잉 조치는 오히려 법적 분쟁을 촉발하거나 라이선서의 정당한 지위를 위태롭게 만들 수 있다:

1. 이미 체결된 라이선스·공동개발 계약의 협업 룸: 협상 실패에 따른 룸 폐쇄와 본계약 체결에 따른 기술이전 룸은 정반대 방향으로 움직인다. 본계약이 유효한 상태에서 상대방의 접근을 일방적으로 차단하면 계약상 기술 정보 제공 의무(Information Disclosure Obligation) 위반이 된다.

2. CDA가 명시적으로 허용한 보관 예외의 강제 파기 요구: 상대방 법무팀의 방어용 단수 사본이나 시스템 자동 백업까지 '즉각 비트 단위로 완전 소멸시키지 않으면 범죄'라고 압박하는 것은 글로벌 계약 관행과 맞지 않으며 상대방의 법적 반발만을 초래한다. 정당한 예외를 인정하되 비밀유지 의무를 재확인하는 것이 올바른 접근이다.

3. 인간의 기억에 남은 '잔존 지식(Residual Knowledge)': 실사를 진행한 상대방 과학자들의 뇌리에 남은 개념적 인상(Mental Impressions)이나 일반적 전문지식은 물리적 반환의 대상이 될 수 없다. CDA의 반환 대상은 유형의 문서와 전자 파일 및 그 파생물에 한정된다.

4. 국가핵심기술 수출 승인·신고의 사후 치유 착각: 만약 데이터룸에 업로드된 기술이 「산업기술의 유출방지 및 보호에 관한 법률」상 국가핵심기술에 해당함에도 정부(산업통상자원부) 사전 승인이나 신고 없이 해외 기업에 열람시켰다면, 사후에 룸 접근을 차단한다고 해서 이미 발생한 미승인 불법 수출 책임이 면책되지 않는다. 오프보딩과 국가핵심기술 규제 컴플라이언스는 완전히 독립된 층위다.

마지막으로 본 가이드는 해외 파트너와의 라이선스 협상 결렬 시 한국 라이선서가 취해야 할 표준 오프보딩 거버넌스를 제공하는 것이며, 특정 분쟁 사건에 대한 맞춤형 법률 자문이나 소송 대리를 대신하지 않는다. 구체적인 계약 분쟁이나 기술 유출 정황이 포착된 경우에는 즉시 라이선스 계약서 전문과 추출된 감사로그를 지참하여 크로스보더 라이프사이언스 전문 변호사의 조력을 받아야 한다.

라이선싱 협상의 전체 라이프사이클에 걸친 계약 조건 설계와 권리 배분에 대해서는 다음 관련 글들을 함께 검토할 것을 권장한다:

• 라이선싱 Term Sheet 핵심 조항: 한국 바이오텍이 선급금·마일스톤·로열티를 협상하는 법 — 실사 단계에서 체결된 텀시트의 종료 효력 분석.

• CGT 실사 체크리스트: 한국 바이오텍이 기술수출 전 준비할 것 — 첨단바이오의약품 실사 데이터의 민감도와 관리 방안.

• Bio-Europe 파트너링 준비: 한국 바이오텍이 30분 미팅에서 계약으로 가는 90일 실행 가이드 — 첫 미팅부터 데이터룸 오픈 전까지의 사전 통제 절차.

• GDPR controller·processor 매핑: 한국 AI 의료기기가 EU 병원 환자 데이터를 처리할 때 누가 무엇을 책임지는가 — 해외 파트너(제3자·국외이전 수령자)와 VDR 공급자(처리자)를 한 통의 이메일로 섞지 않는 이유.