개인정보 보호책임자를 지정하지 않아도 되는 경우, 책임까지 없어질까?
개인정보 보호법 제31조는 개인정보처리자에게 개인정보 보호책임자를 지정하도록 정한다. 다만 법문에는 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 지정하지 아니할 수 있다는 단서가 있다. 이 단서만 보면 개인정보 보호책임자와 관련된 책임이 사라지는 것처럼 이해하기 쉽다. 그러나 제31조의 다음 항은 다른 구조를 둔다.
결론부터 말하면, 지정하지 않을 수 있는 경우에도 개인정보 보호책임자라는 지위 자체가 비는 것은 아니다. 개인정보 보호법 제31조제2항은 제1항 단서에 따라 개인정보 보호책임자를 지정하지 아니하는 경우, 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다고 정한다.
지정 예외와 책임자 부재는 다르다
제31조제1항 본문은 개인정보처리자가 개인정보의 처리 및 보호 업무를 총괄할 개인정보 보호책임자를 지정하여야 한다고 규정한다. 단서는 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자라면 지정하지 아니할 수 있다고 정한다.
여기서 면제되는 것은 특정인을 개인정보 보호책임자로 지정하는 행위다. 제2항에 따라 지정하지 않는 경우에는 사업주 또는 대표자가 개인정보 보호책임자가 된다. 따라서 “개인정보 보호책임자를 지정하지 않아도 된다”는 설명은, 그 뒤에 사업주 또는 대표자에게 지위가 귀속된다는 내용을 함께 보아야 정확하다.
| 구분 | 법문이 정한 내용 | 결과 |
|---|---|---|
| 제31조제1항 본문 | 개인정보 보호책임자를 지정하여야 한다 | 지정 의무가 원칙이다 |
| 제31조제1항 단서 | 대통령령 기준에 해당하면 지정하지 아니할 수 있다 | 지정 행위의 예외가 가능하다 |
| 제31조제2항 | 지정하지 아니하는 경우 사업주 또는 대표자가 개인정보 보호책임자가 된다 | 책임자 지위는 공백으로 남지 않는다 |
법률은 이 두 기준의 구체적인 수치나 범위를 직접 적지 않고 대통령령에 맡긴다. 그러므로 종업원 수나 매출액의 특정 숫자를 법률 제31조의 내용으로 단정해서는 안 된다.
이사회 의결과 보호위원회 신고가 붙는 경우
제31조제3항은 제1항 단서와 별도로, 매출액과 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자에게 추가 의무를 둔다. 해당 개인정보처리자는 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때 다음 사항을 준수하여야 한다.
- 이사회의 의결을 거칠 것
- 보호위원회에 대통령령으로 정하는 바에 따라 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 사항을 신고할 것
이사회 의결은 법인인 경우로 한정된다. 제31조제3항제1호의 괄호 문언은 이사회(법인인 경우로 한정한다. 이하 같다)이다. 따라서 이 조항을 개인사업자에게도 이사회 의결 의무가 있는 것처럼 일반화할 수는 없다.
또한 제1항 단서의 기준은 종업원 수, 매출액 등을 고려한 대통령령상 기준이고, 제3항의 기준은 매출액, 개인정보 보유 규모 등을 고려한 대통령령상 기준이다. 두 조항 모두 대통령령 기준을 말하지만, 하나는 지정하지 않을 수 있는 예외와 연결되고 다른 하나는 이사회 의결 및 신고라는 추가 절차와 연결된다. 같은 조문 안의 기준이라고 해서 효과까지 같지는 않다.
개인정보 보호책임자의 업무와 독립성
개인정보 보호책임자는 단지 명칭만 부여받는 자리가 아니다. 제31조제4항은 개인정보 보호 계획의 수립ㆍ시행, 전문 인력 관리와 예산 확보, 사업주 또는 대표자 및 이사회에 대한 보고, 정기적 조사ㆍ개선, 불만 처리와 피해 구제, 내부통제시스템 구축, 교육 계획, 개인정보파일의 보호ㆍ관리ㆍ감독 등을 업무로 열거한다.
제5항은 필요한 경우 처리 현황과 처리 체계를 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있도록 한다. 제6항은 법과 관계 법령의 위반 사실을 알게 된 경우 즉시 개선조치를 하도록 하며, 필요하면 소속 기관 또는 단체의 장에게 보고하도록 한다.
개인정보처리자는 개인정보 보호책임자의 업무 수행에 정당한 이유 없이 불이익을 주거나 받게 하여서는 안 되며, 독립적으로 업무를 수행할 수 있도록 보장하여야 한다. 이 독립성 보장은 제31조제7항에 따른 의무다.
2026년 개정의 시행일: 제31조는 이미 시행 중
개인정보 보호법 제31조의 현행 개정규정에는 법률 제21445호가 반영되어 있다. 이 법률은 2026년 3월 10일 공포되었고, 제31조에 관한 개정은 2026년 9월 11일부터 시행되었다. 2026년 9월 16일 기준으로 제31조제3항의 이사회 의결ㆍ보호위원회 신고 제도와 연결 과태료 규정은 시행 중이다.
부칙에서 2027년 7월 1일 시행으로 정한 대상은 제32조의2제1항 단서 및 제75조제2항제15호의 개정규정이다. 이는 제31조제3항의 의무와 다르다. 또한 법률 제21445호의 부칙 제2조는 제34조, 제3조는 제64조의2에 관한 적용례를 두고 있으며, 제31조에는 별도 적용례나 경과조치가 명시되어 있지 않다.
제31조 전체가 한 차례 개정으로 생긴 문언도 아니다. 조문 제목과 제2항에는 2023년 3월 14일 법률 제19234호의 개정 이력이 남아 있고, 제3항의 신설 및 관련 항 정비에는 2026년 3월 10일 법률 제21445호가 반영되어 있다.
지정ㆍ변경ㆍ해제 절차를 지키지 않은 경우의 제재
제31조의 의무 위반과 관련한 제재는 형사상 징역이나 벌금이 아니라, 개인정보 보호법 제75조제2항의 과태료 규정에서 확인해야 한다. 제75조제2항은 해당 각 호에 해당하는 자에게 3천만원 이하의 과태료를 부과한다고 정한다.
제75조제2항제14호의2는 제31조제1항을 위반하여 개인정보 보호책임자를 지정하지 않은 경우와 제31조제10항에 따른 자격요건을 갖추지 않은 자를 보호책임자로 지정한 경우를 규정한다. 제14호의3은 제31조제3항제1호를 위반하여 지정ㆍ변경ㆍ해제 때 이사회 의결을 거치지 않은 경우를, 제14호의4는 제31조제3항제2호를 위반하여 지정ㆍ변경ㆍ해제 사항을 신고하지 않은 경우를 각각 규정한다. 세 규정은 제26조제8항에 따라 준용되는 경우도 포함한다.
따라서 개인정보 보호책임자 지정 신고를 하지 않은 경우를 곧바로 형사처벌이라고 표현하는 것은 정확하지 않다. 제31조제3항제2호의 신고 의무에 연결된 법정 제재는 제75조제2항제14호의4에 따른 3천만원 이하의 과태료다. 이사회 의결을 거치지 않은 경우도 제14호의3에 따라 같은 상한의 과태료 규정이 적용된다.
핵심 정리
개인정보 보호책임자를 지정하지 아니할 수 있다는 제31조제1항 단서는 책임자 지위가 없어지는 면제 조항이 아니다. 지정하지 않는 경우에는 제2항에 따라 사업주 또는 대표자가 개인정보 보호책임자가 된다. 반대로 매출액과 개인정보 보유 규모 등을 고려한 대통령령상 기준에 해당하는 개인정보처리자에게는, 이사회 의결(법인인 경우로 한정)과 보호위원회 신고라는 절차가 추가된다.
이 제도를 읽을 때는 지정 예외, 사업주 또는 대표자에게 귀속되는 지위, 대통령령 기준 처리자에 대한 이사회 의결ㆍ신고 의무, 그리고 과태료 규정을 서로 분리해 확인하는 것이 필요하다. 특히 제31조제3항의 신고 의무 위반은 형벌이 아니라 제75조제2항제14호의4가 정한 과태료와 연결된다.
참고 법령
- 「개인정보 보호법」 제31조제1항, 제2항, 제3항, 제4항, 제5항, 제6항, 제7항, 제10항
- 「개인정보 보호법」 제75조제2항제14호의2, 제14호의3, 제14호의4
- 「개인정보 보호법」 부칙 <법률 제21445호, 2026. 3. 10.> 제1조, 제2조, 제3조
