한 사람이 정보보호 최고책임자(CISO)와 개인정보 보호책임자(CPO)를 함께 맡는 회사가 많습니다. 보안 조직을 따로 두기 어려운 회사만 그런 것이 아닙니다. 본사가 보안과 개인정보를 한 임원에게 묶어 두는 외국계 한국법인, 정보보호 조직을 이사급 한 명 아래로 통합한 대기업 계열사에서도 흔한 구조입니다. 그런데 "그 겸직의 법적 근거가 어디 있느냐"는 질문을 받으면, 답이 이상한 곳에 도착합니다. 근거 조문이 3년째 엉뚱한 항을 가리키고 있었기 때문입니다.

핵심 요약 정보통신망법 제45조의3 제4항 제2호 라목은 CISO가 겸할 수 있는 업무로 "「개인정보 보호법」 제31조제2항에 따른 개인정보 보호책임자의 업무"를 듭니다. 그런데 개인정보 보호법 제31조 제2항은 2023년 9월 15일 이후 업무 조항이 아니라 "지정하지 않으면 대표자가 보호책임자가 된다"는 간주 규정이고, 업무는 제3항에 있습니다. 2026년 9월 11일 시행된 개정 개인정보 보호법(법률 제21445호) 부칙 제4조 제2항이 이 인용을 "제31조제4항"으로 바로잡았고, 그 결과 겸직 CISO의 CPO 업무 외연에 개정법이 신설한 전문 인력 관리·예산 확보와 대표자·이사회 보고가 명시적으로 들어옵니다. 겸직 가능 여부가 바뀐 것이 아니라, 겸직으로 수행해야 하는 업무의 준거와 범위가 바뀌었습니다.

CISO의 CPO 겸직, 어느 회사에서 문제가 되나요?

모든 회사가 이 조문을 신경 써야 하는 것은 아닙니다. 정보통신망법 제45조의3 제3항은 일정 규모 이상의 정보통신서비스 제공자에 대해 CISO의 겸직을 제한합니다. 시행령 제36조의7 제5항이 정한 기준은 두 가지입니다. 직전 사업연도 말 자산총액 5조원 이상이거나, ISMS 인증 의무대상 중 자산총액 5천억원 이상인 회사입니다.

이 기준에 해당하는 회사의 CISO는 같은 조 제4항에 열거된 업무 외에는 다른 업무를 겸직할 수 없습니다. 그리고 제4항 제2호 라목이 "개인정보 보호법에 따른 개인정보 보호책임자의 업무"를 겸직 가능 목록에 올려 두었습니다. 즉 겸직 제한 대상 회사에서 CISO가 CPO를 겸하는 유일한 법적 통로가 이 라목이고, 라목이 인용하는 조문의 범위가 곧 겸직으로 할 수 있는 일의 범위입니다.

그 라목은 지금 어떤 조문을 가리키고 있나요?

현행 라목의 문언은 "「개인정보 보호법」 제31조제2항에 따른 개인정보 보호책임자의 업무"입니다. 2023년 9월 14일까지는 이 인용이 정확했습니다. 당시 개인정보 보호법(법률 제16930호) 제31조 제2항이 보호책임자의 업무를 열거하는 조항이었기 때문입니다.

2023년 3월 14일 개정(법률 제19234호, 2023년 9월 15일 시행)이 구조를 바꿨습니다. 제1항에 소규모 처리자의 지정 예외 단서가 붙고, 제2항은 "지정하지 아니하는 경우 사업주 또는 대표자가 보호책임자가 된다"는 간주 규정이 됐으며, 업무 목록은 제3항으로 밀렸습니다. 정보통신망법의 라목은 이때 함께 정비되지 않았습니다. 그 결과 2023년 9월 15일부터 지금까지, 겸직 근거 조문은 업무 목록이 아니라 간주 규정을 가리키고 있습니다. 실무에서는 문언에도 불구하고 "보호책임자의 업무"라는 취지로 읽어 왔지만, 겸직 제한 위반 여부를 조문으로 따져야 하는 회사 입장에서 인용이 어긋난 상태가 3년 가까이 이어진 것입니다.

9월 11일에 무엇이 바뀌나요?

2026년 9월 11일 시행된 개정 개인정보 보호법(법률 제21445호, 2026년 3월 10일 공포) 부칙 제4조 제2항이 정보통신망법 제45조의3 제4항 제2호 라목의 "제31조제2항"을 "제31조제4항"으로 고쳤습니다. 개정법에서 보호책임자의 업무 조항은 제3항에서 제4항으로 한 번 더 이동하는데, 이번에는 인용이 따라갑니다.

중요한 것은 개정법 제31조 제4항이 종전 업무 목록에 두 가지를 신설했다는 점입니다.

  • 제2호: 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보
  • 제3호: 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고

라목은 항 전체를 인용하므로, 9월 11일부터 겸직 CISO가 수행하는 CPO 업무에는 이 둘이 명시적으로 포함됐습니다. 참고로 같은 부칙 제4조 제1항은 신용정보법 제20조 제4항의 인용도 정비하는데, 그쪽은 "제31조제4항제1호 및 같은 항 제4호부터 제7호까지"로 적어 신설된 제2호·제3호를 인용 범위에서 뺐습니다. 망법의 CISO 겸직 조항만 항 전체를 인용하는 방식이라, 예산 확보와 이사회 보고가 겸직 업무의 외연에 들어오는 결과는 정보통신서비스 제공자 쪽에서만 생깁니다.

실무에서 무엇을 점검해야 하나요?

겸직 자체가 금지되는 것이 아니므로 조직도를 바꿀 일은 아닙니다. 점검할 것은 겸직 구조가 개정법이 요구하는 CPO의 업무 수행을 실제로 뒷받침하는지입니다.

첫째, 겸직 CISO에게 개인정보 보호 예산에 대한 권한이 있는지 확인합니다. 보안 예산과 개인정보 보호 예산이 다른 부서에 갈라져 있고 겸직 임원이 후자에 관여하지 못하는 구조라면, 제4항 제2호의 업무를 수행할 수 없는 상태입니다.

둘째, 이사회 보고 라인을 확인합니다. 특히 외국계 한국법인에서 겸직 임원이 본사 보안 조직에만 보고하고 한국 법인 이사회에는 보고 경로가 없는 구조가 자주 발견됩니다. 제4항 제3호는 사업주·대표자와 이사회에 대한 보고를 보호책임자의 업무로 정하므로, 한국 법인 차원의 보고 절차를 문서화해 둘 필요가 있습니다. 예산 권한이 본사에 있고 이사회가 서면결의로 운영되는 회사에서 이 두 호를 어떻게 이행하는지는 본사가 예산을 쥔 한국법인의 CPO에서 따로 다뤘습니다.

셋째, 개정법 제31조 제3항의 신설 의무를 함께 봅니다. 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 보호책임자를 지정·변경·해제할 때 이사회 의결을 거치고 보호위원회에 신고해야 합니다. 적용 대상 기준은 시행령 개정으로 정해졌는데, 2026년 9월 10일 공포된 시행령(대통령령 제36671호) 제32조 제3항은 연간 매출액등 1,800억 원 초과에 민감정보·고유식별정보 5만 명 또는 개인정보 100만 명 요건이 붙는 사업자 등을 대상으로 삼고, 신고 기한을 사유 발생일부터 6개월로 정했습니다. 대상에 해당할 가능성이 있는 회사라면 겸직 임원의 지정 문서와 직무기술서를 지금 정비해 두는 편이 안전합니다.

개정법 전반의 조문 이동은 2026년 9월 11일 시행 개정 개인정보 보호법 신구조문 대조표에, 개정 항목 전체는 개정법 가이드에 정리해 두었습니다. 외국계 한국법인의 CPO 지정 문제는 외국 모회사 자회사의 CPO 지정에서 별도로 다뤘습니다.

자주 묻는 질문

Q. CISO는 CPO를 겸직할 수 있나요?

겸직 제한이 없는 회사라면 별도 제약 없이 겸직할 수 있습니다. 자산총액 5조원 이상이거나 ISMS 인증 의무대상 중 자산총액 5천억원 이상인 정보통신서비스 제공자는 정보통신망법 제45조의3 제3항에 따라 CISO가 같은 조 제4항의 업무 외에는 겸직할 수 없는데, 제4항 제2호 라목이 개인정보 보호책임자(CPO)의 업무를 겸직 가능 업무로 명시하고 있으므로 이 경우에도 CPO 겸직 자체는 가능합니다.

Q. 2026년 9월 11일에 CISO 겸직 규정의 무엇이 바뀌나요?

개정 개인정보 보호법(법률 제21445호) 부칙 제4조 제2항이 정보통신망법 제45조의3 제4항 제2호 라목의 인용 조문을 '개인정보 보호법 제31조제2항’에서 '제31조제4항’으로 고칩니다. 개정법 제31조 제4항에는 전문 인력 관리·예산 확보(제2호)와 대표자·이사회 보고(제3호)가 신설돼 있어, 겸직 CISO가 수행하는 CPO 업무의 범위가 이 두 가지를 포함하는 것으로 정리됩니다.

구체적인 사안에 대해서는 겸직 제한 대상 여부, 조직 구조, 시행령 확정 내용에 따라 판단이 달라질 수 있으므로 개별 검토가 필요합니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료