개인정보 보호책임자를 지정하지 않아도 되는 회사는 책임까지 면제될까

입력 2026.09.16. 오전 10:08

요약 및 결론: 개인정보 보호법 제31조 제1항 단서는 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자에게 보호책임자를 "지정하지 아니할 수 있다"고 정할 뿐, 보호책임자라는 자리를 없애지 않는다. 같은 조 제2항은 그렇게 지정하지 않는 경우 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다고 정하므로, 지정이라는 절차만 면할 뿐 지위와 제4항의 업무는 그대로 남는다. 나아가 매출액, 개인정보의 보유 규모 등이 대통령령 기준에 해당하는 처리자는 제31조 제3항에 따라 이사회(법인인 경우로 한정한다) 의결과 개인정보보호위원회 신고까지 추가로 지며, 이를 어기면 제75조 제2항에 따라 3천만원 이하의 과태료가 부과된다.

개인정보 보호법 제31조는 법률 제21445호(2026. 3. 10. 공포)로 개정되어 2026년 9월 11일부터 시행 중이다. 이 개정으로 제3항이 신설되어 대통령령 기준에 해당하는 처리자에게 이사회(법인인 경우로 한정한다) 의결과 신고 의무가 붙었고, 제75조 제2항에는 제31조를 직접 인용하는 과태료 규정 제14호의2\~제14호의4가 함께 신설됐다. "작은 회사는 개인정보 보호책임자를 안 둬도 된다"는 요약은 개정 전에도 정확하지 않았지만, 제3항이 시행된 지금은 지정 면제와 의무 가중이라는 반대 방향의 두 기준을 한 문장으로 뭉개는 오해가 된다.

지정하지 않아도 된다는 단서는 면제 조항인가

면제 조항이 아니다. 개인정보 보호법 제31조 제1항 본문은 “개인정보처리자는 개인정보의 처리 및 보호에 관한 업무를 총괄해서 담당할 개인정보 보호책임자를 지정하여야 한다”고 정하고, 단서는 “종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다”고 이어진다. 여기서 사라지는 것은 지정이라는 행위이지 보호책임자라는 자리가 아니다.

바로 다음 항이 그 자리를 채운다. 제31조 제2항은 “제1항 단서에 따라 개인정보 보호책임자를 지정하지 아니하는 경우에는 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다”고 정한다. 별도의 선임 절차나 내부 결정 없이 법률이 직접 지위를 옮긴다는 뜻이므로, 지정을 하지 않은 사업장에서도 보호책임자는 언제나 존재한다.

지위가 남으면 업무도 남는다. 제31조 제4항은 보호책임자가 수행하는 업무를 아홉 가지로 열거하는데, 개인정보 보호 계획의 수립 및 시행, 전문 인력의 관리 및 예산의 확보, 사업주 또는 대표자 및 이사회에 대한 보고, 처리 및 보호 실태와 관행에 대한 정기적인 조사 및 개선, 불만의 처리 및 피해 구제, 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축, 보호 교육 계획의 수립 및 시행, 개인정보파일의 보호 및 관리ㆍ감독, 그 밖에 대통령령으로 정한 업무가 그것이다.

같은 조문 안의 대통령령 기준이 왜 두 개인가

제1항 단서와 제3항이 각각 다른 기준을 위임하고 있고, 두 기준은 방향이 반대다. 제1항 단서의 위임 문언은 “종업원 수, 매출액 등이 대통령령으로 정하는 기준”이고, 제3항의 위임 문언은 “매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준”이다. 하나는 지정 부담을 덜어 주는 쪽이고, 다른 하나는 의무를 더 얹는 쪽이다.

제3항이 얹는 의무는 두 가지다. 제1호는 “개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회(법인인 경우로 한정한다. 이하 같다)의 의결을 거칠 것”, 제2호는 “보호위원회에 대통령령으로 정하는 바에 따라 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 사항을 신고할 것”이다. 괄호 문언대로 이사회 의결은 법인인 경우로 한정되므로, 이사회가 없는 개인사업자에게 제1호의 의결 의무가 그대로 붙는 구조는 아니다.

두 기준의 구체적 수치는 법률이 정하지 않는다. 제1항 단서의 기준, 제3항의 기준, 그리고 제10항이 위임한 보호책임자의 자격요건ㆍ신고의 방법 및 절차ㆍ업무ㆍ독립성 보장에 필요한 사항은 모두 대통령령의 몫이다. 종업원 몇 명 이상, 연매출 얼마 이상, 며칠 이내 신고 같은 숫자를 법률의 문언인 것처럼 옮기면 조문에 없는 말을 옮기는 셈이 된다.

어떤 행위가 어떤 조문으로 얼마의 제재를 받나

제31조 위반에 연결되는 제재는 형벌이 아니라 과태료다. 개인정보 보호법 제75조 제2항은 “다음 각 호의 어느 하나에 해당하는 자에게는 3천만원 이하의 과태료를 부과한다”고 정하고, 법률 제21445호로 신설되어 2026년 9월 11일부터 시행 중인 제14호의2ㆍ제14호의3ㆍ제14호의4가 제31조를 직접 인용한다. 세 호는 모두 “제26조제8항에 따라 준용되는 경우를 포함한다”는 괄호를 달고 있어, 위탁에 따라 준용되는 국면도 함께 포섭한다.

표의 셋째 열에 징역이나 벌금이 없는 것은 생략이 아니다. 과태료는 행정질서벌이어서 형사재판을 거쳐 선고되는 벌금과 성질이 다르고, 부과받아도 전과로 기록되지 않는다. “보호책임자 지정 신고를 빠뜨리면 전과가 남는다”는 식의 설명은 제75조 제2항의 문언과 맞지 않는다.

실제 제재 수위는 어느 정도인가

이 글의 확인 범위에서는 제31조 관련 과태료의 실제 부과 건수나 평균 부과액을 담은 공표 자료를 찾지 못했다. 따라서 법정 상한인 3천만원 이하라는 숫자 외에 실제 부과 수준을 제시할 근거는 공표 자료 없음으로 적는다.

제31조 또는 개인정보 보호책임자를 쟁점으로 삼아 사건번호ㆍ선고일ㆍ사건명ㆍ판시사항을 갖춘 판례나 결정 원문도 이 글의 확인 범위에서는 확인되지 않았다. 제3항과 제14호의3ㆍ제14호의4가 2026년 9월 11일에 시행된 신설 규정이라는 점을 감안하면, 이 조항들에 관한 축적된 재판례를 지금 시점에 제시하는 설명은 근거를 확인할 수 없는 서술이다.

개정 조문의 시행 시점은 언제인가

제31조 개정규정은 2026년 9월 11일부터 시행 중이다. 현행 조문 상단의 표기는 “[시행 2026. 9. 11.] [법률 제21445호, 2026. 3. 10., 일부개정]“으로, 2026년 3월 10일은 공포일이고 2026년 9월 11일은 시행일이다. 법률 제21445호 부칙 제1조 본문이 “이 법은 공포 후 6개월이 경과한 날부터 시행한다”고 정한 결과다.

2027년 7월 1일로 미뤄진 것은 제31조가 아니다. 같은 부칙 제1조 단서는 “제32조의2제1항 단서 및 제75조제2항제15호의 개정규정은 2027년 7월 1일부터 시행한다”고 대상을 명시하며, 제31조와 제75조 제2항 제14호의2~제14호의4는 여기에 포함되지 않는다. 제32조의2 제1항 단서는 개인정보 보호 인증에 관한 규정이고 제75조 제2항 제15호는 그 인증과 연결된 과태료 규정으로, 이사회 의결ㆍ신고 의무와는 별개의 제도다.

부칙에 제31조를 위한 적용례나 경과조치도 없다. 법률 제21445호 부칙 제2조는 제34조의 개정규정을, 제3조는 제64조의2의 개정규정을 각각 적용 대상으로 명시할 뿐이다. 제31조 개정은 별도의 유예나 소급 규정 없이 2026년 9월 11일부터 그대로 적용된다.

제31조의 문언은 언제 만들어졌나

제31조의 현행 문언은 단일한 개정의 산물이 아니다. 제3항 신설에는 “<신설 2026. 3. 10.>”, 제1항과 제4항부터 제10항까지에는 “<개정 2026. 3. 10.>“이 표시되어 있고, 이 이력에 대응하는 개정법률은 현행본 상단과 같은 법률 제21445호다. 이사회 의결ㆍ신고 제도와 그에 따른 항 재배열은 이 개정이 만들었다.

반면 제2항에는 “<신설 2023. 3. 14.>“이, 조문 제목에는 “[제목개정 2023. 3. 14.]”이 남아 있다. 이 이력에 대응하는 개정법률은 법률 제19234호(2023. 3. 14.)다. 지정하지 않는 경우 사업주 또는 대표자가 보호책임자가 된다는 제2항의 구조는 2026년 개정이 아니라 2023년 개정이 도입한 것이므로, 두 이력을 하나의 공포번호로 묶어 설명하면 연혁이 틀어진다.

조문의 의무와 재량은 어떻게 갈리나

제31조는 모두 열 개 항으로 이루어져 있고, 삭제로 남은 항은 없다. 호는 제3항에 2개, 제4항에 9개로 모두 11개이며 목은 없다. 어미를 보면 의무와 재량이 항마다 갈린다.

의무 어미를 쓴 것은 제1항 본문(“지정하여야 한다”), 제3항(“준수하여야 한다”와 각 호의 “거칠 것”ㆍ”신고할 것”), 제6항(“하여야 하며”, “보고하여야 한다”), 제7항 후단(“보장하여야 한다”)이다. 특히 제7항 전단은 “정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며”라는 금지 형식으로, 보호책임자의 독립적 업무 수행을 처리자가 방해하지 못하도록 정한다.

재량 어미를 쓴 것은 제1항 단서(“지정하지 아니할 수 있다”), 제5항의 수시 조사ㆍ보고 요구, 제8항의 개인정보 보호책임자 협의회 구성ㆍ운영, 제9항의 보호위원회 지원이다. 제10항은 자격요건, 제3항 제2호에 따른 신고의 방법 및 절차, 제4항의 업무, 제7항의 독립성 보장 등에 필요한 사항을 대통령령에 위임한다. 이 조문을 “모두 의무”나 “모두 권장”으로 정리하면 항별 어미의 차이가 사라진다.

일반 정보이며 법률 자문이 아닙니다 — 콘텐츠 원칙 보기

본 콘텐츠는 법률브리프 에디터가 작성 및 검수하였으며, 일부는 AI로 작성되었습니다.