"지정하지 않아도 대표자가 책임자"…개인정보 보호법 제31조, 이사회 의결·신고 의무도 시행
대통령령 기준 해당 처리자는 지정 예외 가능…기준 대상자는 지정·변경·해제 때 이사회 의결(법인 한정), 보호위원회 신고 부과
개인정보 보호법 제31조상 개인정보 보호책임자를 별도로 지정하지 않을 수 있는 개인정보처리자도 사업주 또는 대표자가 개인정보 보호책임자가 된다는 규정은 2023년 개정으로 신설되어 시행 중이다.
제31조제1항은 개인정보처리자가 개인정보의 처리 및 보호 업무를 총괄할 개인정보 보호책임자를 지정해야 한다고 정한다. 다만 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 지정하지 아니할 수 있다.
하지만 지정하지 않는다고 보호책임자의 지위까지 사라지는 것은 아니다. 제31조제2항은 이 경우 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다고 규정한다.
같은 조에는 별도의 대통령령 기준에 해당하는 개인정보처리자에게 추가되는 의무도 담겼다. 매출액, 개인정보의 보유 규모 등을 고려해 대통령령으로 정하는 기준에 해당하면 개인정보 보호책임자를 지정·변경·해제할 때 이사회의 의결을 거쳐야 한다.
이사회는 법인인 경우로 한정한다. 이들 개인정보처리자는 대통령령으로 정하는 바에 따라 개인정보 보호책임자의 지정·변경 또는 해제에 관한 사항을 보호위원회에 신고해야 한다.
개인정보 보호책임자의 업무는 개인정보 보호 계획의 수립·시행, 전문 인력 관리와 예산 확보, 사업주 또는 대표자 및 이사회에 대한 보호 현황 보고, 처리 실태 조사와 개선, 불만 처리 및 피해 구제 등이다. 개인정보처리자는 보호책임자가 제4항 각 호의 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 해서는 안 되며, 독립적인 업무 수행도 보장해야 한다.
개인정보 보호법 제75조제2항은 제31조 위반 일부에 대해 3천만원 이하의 과태료를 정한다. 보호책임자를 지정하지 않거나 자격요건을 갖추지 않은 사람을 지정한 경우, 이사회 의결을 거치지 않은 경우, 지정·변경·해제 사항을 신고하지 않은 경우가 각각 대상이다.
이사회 의결을 거치지 않은 경우는 제75조제2항제14호의3, 신고하지 않은 경우는 같은 항 제14호의4가 적용된다. 이는 징역이나 벌금이 아닌 과태료 규정이다.
법률 제21445호는 2026년 3월 10일 공포돼 같은 해 9월 11일부터 시행됐다. 부칙에서 2027년 7월 1일 시행으로 정한 것은 제32조의2제1항 단서와 제75조제2항제15호의 개정규정으로, 제31조제3항의 이사회 의결·신고 의무와는 구별된다.
부칙의 적용례는 제34조와 제64조의2를 대상으로 두고 있으며, 제31조 개정에는 별도 적용례나 경과조치를 두지 않았다. 제31조제3항과 이에 연결된 과태료 규정은 원칙적 시행일인 2026년 9월 11일부터 적용된다.
참고 법령·조문
- 개인정보 보호법 제31조
- 개인정보 보호법 제75조제2항제14호의2~제14호의4
- 개인정보 보호법 부칙 제1조, 제2조, 제3조
