개인정보 보호책임자를 지정하지 않으면 대표자가 자동으로 맡게 되나요?
요약 및 결론: 개인정보 보호법 제31조는 개인정보처리자에게 개인정보 보호책임자 지정을 원칙으로 요구합니다. 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당해 지정하지 않을 수 있는 경우에도 사업주 또는 대표자가 개인정보 보호책임자가 되며, 제31조제3항의 대통령령상 기준 대상자는 이사회(법인인 경우로 한정한다) 의결과 보호위원회 신고 의무도 준수해야 합니다. 제31조제1항ㆍ제3항 위반에 연결된 제재는 징역이나 형사 벌금이 아니라 개인정보 보호법 제75조제2항의 3천만원 이하 과태료입니다. 제31조의 현행 개정규정과 연결 과태료 규정은 2026년 9월 11일부터 시행 중입니다.
개인정보 보호책임자 제도는 ‘지정하지 아니할 수 있다’는 단서만 읽으면 책임자 자리가 없어지는 제도처럼 보일 수 있습니다. 그러나 제31조제2항은 지정하지 않는 경우 사업주 또는 대표자가 개인정보 보호책임자가 된다고 정해, 지정 예외와 보호책임자 지위의 존속을 구분합니다. 2026년 3월 10일 공포된 법률 제21445호는 제31조제3항을 신설하고, 대통령령으로 정하는 기준에 해당하는 개인정보처리자에게 이사회(법인인 경우로 한정한다) 의결 및 보호위원회 신고 의무를 두었습니다. 이 규정은 2026년 9월 11일부터 시행 중이며, 제31조에 별도 적용례나 경과조치를 둔 것은 아닙니다.
개인정보 보호책임자를 지정하지 않아도 책임자 지위가 없어지나요?
개인정보 보호법 제31조제1항 단서는 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자에게 보호책임자를 ‘지정하지 아니할 수’ 있도록 합니다. 다만 제31조제2항은 그 경우 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다고 정하므로, 지정이라는 절차를 하지 않았다고 보호책임자 지위까지 사라지는 것은 아닙니다.
제31조제1항의 대통령령상 기준과 제31조제3항의 대통령령상 기준은 법문에서 고려 요소가 다르게 적혀 있습니다. 제1항 단서는 ‘종업원 수, 매출액 등’을, 제3항은 ‘매출액, 개인정보의 보유 규모 등’을 기준 요소로 두므로, 법률 조문만으로 직원 수나 매출액의 구체적 기준값을 단정할 수 없습니다.
대통령령 기준에 해당하면 이사회 의결과 신고가 모두 필요한가요?
개인정보 보호법 제31조제3항의 대통령령상 기준에 해당하는 개인정보처리자는 보호책임자를 지정ㆍ변경ㆍ해제할 때 이사회 의결을 거치고, 그 사항을 보호위원회에 신고해야 합니다. 이사회 의결은 법문상 ‘법인인 경우로 한정한다’고 되어 있으므로, 법인이 아닌 개인정보처리자에게 이사회 의결 의무가 생기는 것으로 읽을 수는 없습니다.
제31조제3항은 제1호에서 이사회 의결을, 제2호에서 대통령령이 정하는 방식과 절차에 따른 보호위원회 신고를 각각 요구합니다. 지정 당시뿐 아니라 지정의 변경 또는 해제에도 같은 두 항목을 구분해 확인해야 합니다.
| 어떤 행위 | 적용 조문 | 과태료 상한 |
|---|---|---|
| 제31조제1항을 위반해 개인정보 보호책임자를 지정하지 않음 | 개인정보 보호법 제31조제1항, 제75조제2항제14호의2 | 3천만원 이하 |
| 자격요건을 갖추지 않은 사람을 개인정보 보호책임자로 지정함 | 개인정보 보호법 제31조제10항, 제75조제2항제14호의2 | 3천만원 이하 |
| 법인인 개인정보처리자가 지정ㆍ변경ㆍ해제 때 이사회 의결을 거치지 않음 | 개인정보 보호법 제31조제3항제1호, 제75조제2항제14호의3 | 3천만원 이하 |
| 보호책임자의 지정ㆍ변경ㆍ해제 사항을 신고하지 않음 | 개인정보 보호법 제31조제3항제2호, 제75조제2항제14호의4 | 3천만원 이하 |
표의 과태료 연결 규정은 제26조제8항에 따라 준용되는 경우도 포함한다고 정합니다. 반면 제31조제1항 단서에 따라 지정하지 않는 경우에는 제31조제2항에 따라 사업주 또는 대표자가 보호책임자가 되는 구조이므로, 단서의 적용 여부와 제75조제2항제14호의2 위반 여부를 같은 뜻으로 볼 수 없습니다.
보호책임자는 어떤 업무를 하고 독립성은 보장받나요?
개인정보 보호법 제31조제4항은 보호 계획 수립ㆍ시행, 전문 인력 관리와 예산 확보, 사업주 또는 대표자 및 이사회에 대한 보고, 처리 실태 조사와 개선 등 9개 업무를 열거합니다. 제31조제5항은 이 업무 수행에 필요한 경우 처리 현황과 처리 체계를 수시 조사하거나 관계 당사자에게 보고를 받을 수 있도록 합니다.
개인정보 보호법 제31조제6항은 법령 위반 사실을 알게 된 보호책임자에게 즉시 개선조치를 하고, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고하도록 합니다. 제31조제7항은 개인정보처리자가 보호책임자에게 정당한 이유 없이 불이익을 주거나 받게 해서는 안 되며, 업무를 독립적으로 수행할 수 있도록 보장해야 한다고 정합니다.
이사회 의결이나 신고를 하지 않으면 형사처벌을 받나요?
개인정보 보호법 제31조제3항제1호의 이사회 의결 미이행과 제2호의 신고 미이행에는 각각 3천만원 이하의 과태료가 연결됩니다. 제75조제2항제14호의3과 제14호의4가 각 위반행위를 따로 열거하므로, 두 의무는 하나의 항목으로 합쳐서 볼 수 없습니다.
과태료는 형사 벌금과 구별되는 행정질서벌입니다. 제75조제2항은 징역 또는 벌금의 선택형 법정형을 정한 조문이 아니라 3천만원 이하 과태료를 정한 조문입니다.
실제 부과 수위는 공개되어 있나요?
개인정보 보호법 제75조제2항이 정한 법정 상한은 3천만원입니다. 이 글의 확인 범위에서는 제31조제3항제1호ㆍ제2호 위반에 관한 개별 과태료 부과액, 공식 통계 또는 사건번호ㆍ결정일을 갖춘 판례ㆍ결정의 공표 자료는 없습니다.
따라서 3천만원은 실제로 항상 부과되는 금액이 아니라 법률이 정한 상한입니다. 실제 부과액이나 사건별 판단 결과를 법정 상한만으로 추정할 수는 없습니다.
2027년 7월 1일까지 이사회 의결과 신고 의무가 유예됐나요?
개인정보 보호법 제31조제3항의 이사회 의결ㆍ신고 의무와 제75조제2항제14호의3ㆍ제14호의4는 2026년 9월 11일부터 시행 중입니다. 법률 제21445호는 2026년 3월 10일 공포되었고, 제31조는 부칙의 2027년 7월 1일 시행 단서 대상이 아닙니다.
법률 제21445호 부칙 제1조 단서가 2027년 7월 1일 시행으로 정한 것은 제32조의2제1항 단서 및 제75조제2항제15호의 개정규정입니다. 부칙 제2조는 제34조의 적용례를, 제3조는 제64조의2의 과징금 부과 적용례를 정할 뿐 제31조에는 별도 적용례나 경과조치를 두지 않았습니다.
관련 법령
제1항 본문은 개인정보처리자가 개인정보의 처리 및 보호 업무를 총괄할 개인정보 보호책임자를 지정하여야 한다고 정한다. 다만 종업원 수, 매출액 등이 대통령령 기준에 해당하는 경우에는 지정하지 아니할 수 있다. 제2항은 이 단서에 따라 지정하지 않는 경우 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다고 정한다.
매출액, 개인정보의 보유 규모 등을 고려한 대통령령 기준에 해당하는 개인정보처리자는 개인정보 보호책임자의 지정ㆍ변경ㆍ해제 때 제3항 각 호를 준수하여야 한다. 제1호는 법인인 경우로 한정한 이사회 의결을, 제2호는 대통령령이 정하는 바에 따른 보호위원회 신고를 각각 정한다.
제4항은 개인정보 보호 계획의 수립ㆍ시행, 전문 인력 관리와 예산 확보, 보호 현황 보고, 처리 실태 조사ㆍ개선, 불만 처리와 피해 구제 등을 개인정보 보호책임자의 업무로 열거한다. 제5항은 필요한 경우 처리 현황과 처리 체계를 조사하거나 관계 당사자에게 보고를 받을 수 있도록 한다. 제6항은 법령 위반 사실을 알게 된 경우의 즉시 개선조치와 필요한 보고를, 제7항은 정당한 이유 없는 불이익 금지와 독립적 업무 수행 보장을 정한다.
제75조제2항은 각 호의 어느 하나에 해당하는 자에게 3천만원 이하의 과태료를 부과한다고 정한다. 제14호의2는 제31조제1항 위반에 따른 미지정과 제10항에 따른 자격요건 미달자 지정을, 제14호의3은 제31조제3항제1호의 이사회 의결 미이행을, 제14호의4는 제31조제3항제2호의 신고 미이행을 각각 열거한다.
법률 제21445호 부칙 제1조는 이 법을 공포 후 6개월이 경과한 날부터 시행한다고 정한다. 다만 제32조의2제1항 단서 및 제75조제2항제15호의 개정규정은 2027년 7월 1일부터 시행한다고 정한다. 제31조제3항과 제75조제2항제14호의3ㆍ제14호의4는 이 단서 대상이 아니다.
자주 묻는 질문
작은 회사도 개인정보 보호책임자를 지정해야 하나요?
개인정보 보호법 제31조제1항은 개인정보처리자에게 보호책임자 지정을 요구합니다. 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당해 지정하지 않을 수 있어도, 제31조제2항에 따라 사업주 또는 대표자가 개인정보 보호책임자가 됩니다.
개인정보 보호책임자를 바꾸면 이사회 의결과 신고가 필요한가요?
매출액, 개인정보의 보유 규모 등을 고려한 대통령령상 기준에 해당하는 개인정보처리자는 보호책임자 변경 때 이사회 의결과 보호위원회 신고 의무를 준수해야 합니다. 이사회 의결은 법인인 경우로 한정되고, 신고의 방법과 절차는 대통령령으로 정합니다.
개인정보 보호책임자 지정 신고를 안 하면 형사처벌을 받나요?
개인정보 보호법 제31조제3항제2호의 신고를 하지 않은 행위에는 제75조제2항제14호의4에 따라 3천만원 이하의 과태료가 부과될 수 있습니다. 이 제재는 징역이나 형사 벌금이 아니라 과태료입니다.
