개인정보 보호책임자를 "지정하지 않아도 된다"는 단서는 면제 조항이 아니다 — 개인정보 보호법 제31조

입력 2026.09.16. 오전 10:08

한 문단 요약

개인정보 보호법 제31조 제1항 본문은 개인정보처리자에게 개인정보 보호책임자를 지정하여야 한다고 정하고, 단서는 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자에게 지정하지 아니할 수 있다고 정한다. 그러나 바로 다음 제2항이 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다고 이어받는다. 사라지는 것은 지정이라는 행위이고 보호책임자라는 자리는 남는다. 반대 방향으로, 매출액, 개인정보의 보유 규모 등이 대통령령 기준에 해당하는 처리자에게는 제3항이 이사회 의결(법인인 경우로 한정)과 보호위원회 신고를 더 얹는다. 이 제3항과 그에 연결된 과태료 규정은 2026년 9월 11일부터 이미 시행 중이며, 위반 시 제재는 형벌이 아니라 3천만원 이하의 과태료다.

1. 지금 시행되고 있는 조문인가

그렇다. 2026년 9월 11일부터 시행 중이다.

현행 개인정보 보호법 제31조 상단 표기는 다음과 같다.

[시행 2026. 9. 11.] [법률 제21445호, 2026. 3. 10., 일부개정]

두 날짜를 섞어 읽으면 틀린다.

부칙 제1조는 이렇게 정한다.

제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제32조의2제1항 단서 및 제75조제2항제15호의 개정규정은 2027년 7월 1일부터 시행한다.

단서로 2027년 7월 1일까지 미뤄진 대상은 제31조가 아니다. 미뤄진 것은 제32조의2제1항 단서(일정 기준 개인정보처리자의 개인정보 보호 인증 의무)와 제75조제2항제15호의 개정규정(그 인증 관련 과태료) 두 개정규정뿐이다. 제31조 제3항의 이사회 의결ㆍ신고 의무와, 이를 제재하는 제75조 제2항 제14호의3ㆍ제14호의4는 미뤄진 대상에 들어 있지 않다.

또한 제31조 개정에는 별도의 적용례도 경과조치도 없다. 같은 법률의 부칙 제2조는 제34조(개인정보 유출등의 통지)에 관한 적용례, 제3조는 제64조의2(과징금 부과)에 관한 적용례만 대상으로 명시한다. 제31조는 어느 쪽에도 포함되지 않으므로, 원칙적 시행일인 2026년 9월 11일부터 그대로 적용된다.

2. 제31조의 뼈대 — 네 자리로 나눠 읽기

제31조는 항이 10개(①~⑩)이고, 삭제로 남은 항은 없다. 호는 제3항에 2개, 제4항에 9개로 모두 11개이며 목은 없다. 이 중 ‘누가 무엇을 지는가’를 가르는 자리는 앞의 세 항이다.

제1항 — 본문과 단서

① 개인정보처리자는 개인정보의 처리 및 보호에 관한 업무를 총괄해서 담당할 개인정보 보호책임자를 지정하여야 한다. 다만, 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다.

본문의 어미는 지정하여야 한다(의무), 단서의 어미는 지정하지 아니할 수 있다(예외적 재량)다. 단서만 떼어 읽으면 면제처럼 보이지만, 조문은 여기서 끝나지 않는다.

제2항 — 비워 두지 않는다

② 제1항 단서에 따라 개인정보 보호책임자를 지정하지 아니하는 경우에는 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다.

문언은 될 수 있다가 아니라 된다다. 별도의 선임 절차나 내부 결정 없이 법률이 지위를 부여하는 구조다. 따라서 “지정하지 않아도 되는 처리자에게는 개인정보 보호책임자가 없다”는 정리는 조문과 어긋난다. 지정 행위가 없을 뿐, 보호책임자는 사업주 또는 대표자로 정해져 있다.

지위가 남는다는 말은 업무도 남는다는 뜻이다. 제4항은 보호책임자가 수행하는 업무를 아홉 가지로 열거한다.

④ 개인정보 보호책임자는 다음 각 호의 업무를 수행한다.

1. 개인정보 보호 계획의 수립 및 시행
2. 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보
3. 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고
4. 개인정보 처리 및 보호의 실태와 관행에 대한 정기적인 조사 및 개선
5. 개인정보 처리와 관련한 불만의 처리 및 피해 구제
6. 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축
7. 개인정보 보호 교육 계획의 수립 및 시행
8. 개인정보파일의 보호 및 관리ㆍ감독
9. 그 밖에 개인정보의 적절한 처리 및 보호를 위하여 대통령령으로 정한 업무

제3항 — 반대 방향의 대통령령

③ 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 다음 각 호의 사항을 준수하여야 한다.

1. 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회(법인인 경우로 한정한다. 이하 같다)의 의결을 거칠 것
2. 보호위원회에 대통령령으로 정하는 바에 따라 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 사항을 신고할 것

제1호의 괄호 법인인 경우로 한정한다. 이하 같다는 빼놓고 읽으면 안 되는 문언이다. 이사회 의결이라는 요건 자체가 법인을 전제로 하므로, 이사회가 없는 형태의 처리자에게 이사회 의결을 요구하는 것으로 읽히지 않는다.

하나의 조문, 서로 다른 두 개의 대통령령 기준

제31조 안에는 대통령령에 맡겨진 기준이 둘 들어 있고, 문언도 방향도 다르다.

두 기준을 하나로 뭉쳐 “규모에 따라 달라진다”로 요약하면, 부담을 덜어 주는 기준과 부담을 더하는 기준이 뒤섞인다.

3. 나머지 항이 정하는 것

⑤ 개인정보 보호책임자는 제4항 각 호의 업무를 수행함에 있어서 필요한 경우 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다.

⑥ 개인정보 보호책임자는 개인정보 보호와 관련하여 이 법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고하여야 한다.

⑦ 개인정보처리자는 개인정보 보호책임자가 제4항 각 호의 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며, 개인정보 보호책임자가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다.

⑧ 개인정보처리자는 개인정보의 안전한 처리 및 보호, 정보의 교류, 그 밖에 대통령령으로 정하는 공동의 사업을 수행하기 위하여 제1항에 따른 개인정보 보호책임자를 구성원으로 하는 개인정보 보호책임자 협의회를 구성ㆍ운영할 수 있다.

⑨ 보호위원회는 제8항에 따른 개인정보 보호책임자 협의회의 활동에 필요한 지원을 할 수 있다.

⑩ 제1항에 따른 개인정보 보호책임자의 자격요건, 제3항제2호에 따른 신고의 방법 및 절차, 제4항에 따른 업무 및 제7항에 따른 독립성 보장 등에 필요한 사항은 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정한다.

어미가 항마다 다르다는 점이 중요하다. 제5항ㆍ제8항ㆍ제9항은 할 수 있다(재량)이고, 제1항 본문ㆍ제3항ㆍ제6항ㆍ제7항 후단은 하여야 한다(의무), 제7항 전단은 하여서는 아니 되며(금지)다. 조문 전체를 “모두 의무” 또는 “모두 권고”로 정리하면 어느 쪽이든 틀린 정리가 된다.

제10항이 대통령령에 위임한 사항은 ① 보호책임자의 자격요건, ② 제3항 제2호 신고의 방법 및 절차, ③ 제4항의 업무, ④ 제7항의 독립성 보장 등이다. 자격요건이 대통령령에 있다는 점은 뒤의 과태료 조문과 이어진다.

4. 제재 — 형벌이 아니라 과태료다

제31조 안에는 제재 규정이 없다. 제재는 제75조 제2항이 따로 받는다. 제75조 제2항은 다음 각 호의 어느 하나에 해당하는 자에게는 3천만원 이하의 과태료를 부과한다라고 정하고, 그 각 호 중 제31조를 직접 인용하는 세 호가 법률 제21445호로 신설되어 2026년 9월 11일부터 시행 중이다.

세 호 모두 (제26조제8항에 따라 준용되는 경우를 포함한다)는 괄호를 달고 있다.

여기서 두 가지를 구별해야 한다.

첫째, 과태료는 형벌이 아니다. 과태료는 행정질서벌이고, 벌금은 형벌이다. 같은 금액 단위를 쓰더라도 부과 절차와 법적 성격이 다르며, 과태료를 두고 징역 또는 벌금의 선택형 법정형처럼 설명하는 것은 조문과 맞지 않는다. 제75조 제2항의 문언은 과태료를 부과한다다.

둘째, “제31조를 어겨도 제재가 없다”는 설명도 맞지 않는다. 위 세 호가 제31조 제1항ㆍ제3항 제1호ㆍ제3항 제2호ㆍ제10항을 각각 직접 인용하고 있고, 법정 상한은 3천만원 이하의 과태료다.

참고로, 부칙 단서로 2027년 7월 1일 시행이 예정된 제75조제2항제15호의 개정규정은 제31조가 아니라 인증 관련 조문(제32조의2 제1항 단서)에 연결된 것이다. 제31조에 연결된 제14호의2~제14호의4와는 다른 호다.

5. 개정 이력 — 한 번호로 묶지 말 것

제31조의 현행 문언은 하나의 개정법률이 한꺼번에 만든 것이 아니다.

이번 개정의 핵심인 제3항(이사회 의결ㆍ신고)과 그에 따른 항 재배열은 법률 제21445호가 만들었고, 이는 현행본 상단의 공포번호와 같다. 다만 제2항과 조문 제목에는 2023년 개정 이력이 그대로 남아 있으므로, 제31조 전체를 2026년 개정의 산물로 설명하면 어긋난다.

항 이동에 따른 타법 정비

법률 제21445호는 제31조의 항이 이동한 결과를 다른 법률의 인용 조항에도 반영했다. 부칙 제4조의 타법개정 2건이다.

• 「신용정보의 이용 및 보호에 관한 법률」 제20조의 제31조 인용을 항ㆍ호 이동에 맞춰 정비
• 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제45조의3제4항제2호라목의 「개인정보 보호법」 제31조제2항을 「개인정보 보호법」 제31조제4항으로 정비

다른 법령이나 내부 문서에서 개인정보 보호법 제31조제○항을 인용하고 있다면, 항 번호가 이동했을 수 있다는 점이 여기서 확인된다. 특히 종전의 보호책임자 업무 조항은 현행 제4항이다.

같은 개정법률이 함께 고친 개인정보 보호법 조문은 제23조제2항, 제24조제3항, 제24조의2제2항, 제25조제6항, 제26조제4항ㆍ제8항, 제28조의4제1항, 제28조의7, 제29조, 제30조의3(신설), 제31조, 제31조의2제1항, 제32조의2제1항, 제34조, 제64조의2, 제75조다.

6. 자주 나오는 질문

작은 회사도 개인정보 보호책임자를 지정해야 하나요?

법률은 작은 회사라는 표현을 쓰지 않는다. 제31조 제1항 단서는 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자에 대해 지정하지 아니할 수 있다고 정한다. 다만 지정하지 않는 경우에도 제2항에 따라 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다. 즉 지정이라는 절차를 면하는 것이지, 보호책임자라는 자리와 제4항 각 호의 업무가 사라지는 것이 아니다. 구체적으로 어떤 기준에 해당해야 단서의 적용을 받는지는 법률이 아니라 대통령령이 정하므로, 종업원 수나 매출액의 숫자를 법률의 내용으로 제시할 수는 없다.

개인정보 보호책임자를 바꾸면 이사회 의결과 신고가 필요한가요?

모든 처리자에게 붙는 의무가 아니다. 제31조 제3항은 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자만을 대상으로 한다. 그 대상에 해당하면, 보호책임자를 지정ㆍ변경ㆍ해제할 때 제1호에 따라 이사회(법인인 경우로 한정한다. 이하 같다)의 의결을 거쳐야 하고, 제2호에 따라 보호위원회에 대통령령으로 정하는 바에 따라 그 사항을 신고해야 한다. 이사회 의결 요건은 괄호 문언대로 법인인 경우로 한정된다. 신고의 방법과 절차는 제10항이 대통령령에 위임하고 있으므로, 제출 기한이나 서식을 법률에서 찾을 수는 없다.

개인정보 보호책임자 지정ㆍ신고를 안 하면 형사처벌을 받나요?

제31조 위반에 연결된 제재는 형사처벌이 아니라 과태료다. 제75조 제2항은 3천만원 이하의 과태료를 부과한다라고 정하며, 보호책임자 미지정 또는 자격요건 미달자 지정은 제14호의2, 이사회 의결 미이행은 제14호의3, 지정ㆍ변경ㆍ해제 사항 미신고는 제14호의4가 각각 받는다. 과태료는 행정질서벌이어서 형벌인 벌금과 성격이 다르며, 제31조 위반을 이유로 징역 또는 벌금이 부과된다고 설명하는 것은 조문과 맞지 않는다. 다만 제재가 아예 없는 것도 아니다. 세 호 모두 2026년 9월 11일부터 시행 중이다.

7. 어긋나는 다섯 지점

1. “단서에 해당하면 보호책임자가 없다” → 제2항이 사업주 또는 대표자를 보호책임자로 정한다.
2. “이사회 의결ㆍ신고는 2027년부터” → 부칙 단서가 미룬 것은 제32조의2제1항 단서와 제75조제2항제15호의 개정규정이다. 제31조 제3항은 2026년 9월 11일부터 시행 중이다.
3. “어기면 징역 또는 벌금” → 제75조 제2항은 3천만원 이하의 과태료를 정한다.
4. “이사회 의결은 모든 대상 처리자에게” → 법인인 경우로 한정한다는 괄호가 붙어 있다.
5. “제31조 전체가 2026년 개정으로 생겼다” → 제2항과 조문 제목에는 2023년 개정(법률 제19234호) 이력이 남아 있다.

8. 용어 대응표 — 요약어와 법문

요약어를 쓰더라도 법문을 함께 적어야, 어디까지가 법률이 정한 것이고 어디부터가 대통령령에 맡겨진 것인지 흐려지지 않는다.

확인 범위에 관한 메모

이 글의 확인 범위에서는 개인정보 보호법 제31조 및 제75조 제2항, 법률 제21445호의 제정ㆍ개정문과 부칙 제1조ㆍ제2조ㆍ제3조ㆍ제4조를 대상으로 했다. 제31조 제1항 단서와 제3항의 기준값, 제10항이 위임한 자격요건ㆍ신고 방법 및 절차ㆍ독립성 보장 사항은 법률이 아니라 대통령령이 정하므로 이 글에서는 수치나 기한을 제시하지 않는다. 제31조 또는 개인정보 보호책임자에 관하여 사건번호ㆍ선고(결정)일ㆍ사건명을 갖춘 판례 또는 결정 원문은 확인하지 못했으므로 확인 불가로 적는다.

참고 법령

• 「개인정보 보호법」 제31조(개인정보 보호책임자의 지정 등) — 제1항, 제2항, 제3항 제1호ㆍ제2호, 제4항 제1호~제9호, 제5항, 제6항, 제7항, 제8항, 제9항, 제10항 [시행 2026. 9. 11.] [법률 제21445호, 2026. 3. 10., 일부개정]
• 「개인정보 보호법」 제75조(과태료) 제2항 제14호의2, 제14호의3, 제14호의4, 제15호
• 「개인정보 보호법」 제26조 제8항 (준용)
• 「개인정보 보호법」 제32조의2 제1항 단서 (2027. 7. 1. 시행 예정)
• 「개인정보 보호법」 제34조, 제64조의2 (법률 제21445호 부칙 제2조ㆍ제3조 적용례의 대상)
• 「개인정보 보호법」 부칙(법률 제21445호, 2026. 3. 10.) 제1조(시행일), 제2조(개인정보 유출등의 통지 등에 관한 적용례), 제3조(과징금 부과에 관한 적용례), 제4조(다른 법률의 개정)
• 「개인정보 보호법」(법률 제19234호, 2023. 3. 14., 일부개정) — 제31조 제2항 신설 및 제목개정 이력
• 「신용정보의 이용 및 보호에 관한 법률」 제20조 (법률 제21445호 부칙 제4조에 따른 인용 정비)
• 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제45조의3 제4항 제2호 라목 (법률 제21445호 부칙 제4조에 따른 인용 정비)

관련 법령: 개인정보 보호법 제31조제1항ㆍ제2항 · 개인정보 보호법 제31조제3항 · 개인정보 보호법 제31조제4항부터 제7항 · 개인정보 보호법 제75조제2항제14호의2부터 제14호의4 · 개인정보 보호법 부칙 제1조

일반 정보이며 법률 자문이 아닙니다 — 콘텐츠 원칙 보기

본 콘텐츠는 법률브리프 에디터가 작성 및 검수하였으며, 일부는 AI로 작성되었습니다.