개인정보 보호책임자 '지정 예외'는 면제 아니다…지정 안 하면 대표자가 책임자
개정 개인정보 보호법 11일 시행…대통령령 기준 처리자는 이사회 의결·보호위 신고까지
개인정보 보호책임자를 지정하거나 변경·해제할 때 이사회 의결과 개인정보보호위원회 신고를 거치도록 한 개인정보 보호법 조항이 11일부터 시행됐다.
법제처 국가법령정보센터에 따르면 현행 개인정보 보호법 제31조는 법률 제21445호로 2026년 3월 10일 공포돼 같은 해 9월 11일 시행됐다. 조문은 제1항부터 제10항까지 10개 항으로 구성되며 삭제로 남은 항은 없다.
제31조 제1항 본문은 개인정보처리자가 개인정보의 처리 및 보호에 관한 업무를 총괄해서 담당할 개인정보 보호책임자를 “지정하여야 한다”고 정한다. 다만 단서는 “종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다”고 규정한다.
단서에 해당한다고 해서 보호책임자라는 자리가 사라지는 것은 아니다. 제2항은 단서에 따라 보호책임자를 지정하지 않는 경우 “개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다”고 정하고 있다. 면하는 것은 지정이라는 절차이고 지위는 사업주 또는 대표자에게 옮겨간다.
이번 개정으로 신설된 제3항은 방향이 반대다. “매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자”에게 준수 사항 두 가지를 추가로 지운다.
제3항 제1호는 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때 “이사회(법인인 경우로 한정한다. 이하 같다)의 의결을 거칠 것”을, 제2호는 “보호위원회에 대통령령으로 정하는 바에 따라” 지정·변경 또는 해제에 관한 사항을 신고할 것을 각각 정한다. 이사회 의결은 괄호 문언대로 법인인 경우에 한정된다.
제1항 단서와 제3항이 각각 인용하는 대통령령 기준은 문언부터 다르다. 단서는 “종업원 수, 매출액 등”을, 제3항은 “매출액, 개인정보의 보유 규모 등”을 기준으로 삼는다. 하나는 지정 부담을 덜어 주고 다른 하나는 의무를 더하는 구조다.
보호책임자가 수행하는 업무는 제4항에 9개 호로 열거돼 있다. 개인정보 보호 계획의 수립 및 시행, 전문 인력의 관리 및 예산의 확보, 사업주 또는 대표자 및 이사회에 대한 보고, 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축 등이다.
제7항은 개인정보처리자가 보호책임자에게 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며, 보호책임자가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다고 정한다.
제재는 제31조가 아니라 제75조 제2항이 받는다. 같은 항은 3천만원 이하의 과태료를 정하고 있고, 함께 신설돼 시행 중인 제14호의2~제14호의4가 제31조를 직접 인용한다. 세 호는 각각 보호책임자 미지정 또는 자격요건을 갖추지 않은 자의 지정, 이사회 의결 미이행, 지정·변경·해제 사항 미신고를 대상으로 하며 모두 “제26조제8항에 따라 준용되는 경우를 포함한다”는 괄호를 달고 있다. 이들 제재는 행정질서벌인 과태료로 징역이나 벌금 같은 형사처벌이 아니다.
부칙 제1조는 이 법을 공포 후 6개월이 경과한 날부터 시행하되 “제32조의2제1항 단서 및 제75조제2항제15호의 개정규정”만 2027년 7월 1일부터 시행하도록 했다. 2027년으로 미뤄진 것은 제31조가 아니라 개인정보 보호 인증과 그에 연결된 과태료에 관한 두 개정규정이다. 부칙 제2조와 제3조의 적용례도 각각 제34조와 제64조의2를 대상으로 명시하고 있어 제31조 개정에는 별도의 적용례나 경과조치가 없다.
제31조 전체가 한 번의 개정으로 만들어진 문언은 아니다. 제3항 신설과 항 재배열·문언 개정은 법률 제21445호가 만들었지만, 제2항과 조문 제목에는 법률 제19234호(2023년 3월 14일)의 개정 이력이 남아 있다.
제10항은 보호책임자의 자격요건과 제3항 제2호에 따른 신고의 방법 및 절차, 제4항에 따른 업무와 제7항에 따른 독립성 보장에 필요한 사항을 대통령령에 위임했다. 지정을 면하는 종업원 수나 이사회 의결·신고 의무가 붙는 매출액 같은 구체적인 수치는 법률이 정하지 않는다. 이 글의 확인 범위에서는 제31조를 직접 다룬 판례나 결정은 확인되지 않았다.
참고 법령
- 개인정보 보호법 제31조(개인정보 보호책임자의 지정 등) 제1항·제2항·제3항 제1호·제2호·제4항·제7항·제10항
- 개인정보 보호법 제26조 제8항
- 개인정보 보호법 제75조 제2항 제14호의2~제14호의4, 제15호
- 개인정보 보호법 제32조의2 제1항
- 개인정보 보호법 부칙(법률 제21445호, 2026. 3. 10.) 제1조·제2조·제3조
- 개인정보 보호법 일부개정법률(법률 제19234호, 2023. 3. 14.) — 제31조 제2항 신설 및 제목개정
