외국계 한국법인이나 지주회사 계열사의 개인정보 보호책임자(CPO)는 대개 예산을 쥐고 있지 않습니다. 보안 예산은 본사가 편성하고, 한국법인 이사회는 본사 임원 두세 명이 서면결의로 운영합니다. 그런 회사의 CPO에게 2026년 9월 11일 시행 개정 개인정보 보호법(법률 제21445호)은 전문 인력 관리와 예산 확보, 대표자·이사회 보고를 법정 업무로 부여합니다. 예산 권한이 없는 사람이 이 조문을 어떻게 이행하는지가 이 글의 질문입니다.

핵심 요약 개정법 제31조 제4항 제2호·제3호는 CPO의 업무에 「개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보」와 「사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고」를 넣었습니다. 두 호의 위반에는 과태료가 없습니다. 대신 같은 개정이 대표자의 예산 지원 책임(제30조의3)과 예방투자 과징금 감경(제64조의2 제6항)을 함께 만들었기 때문에, 이 두 호는 사고 조사와 과징금 산정에서 회사가 무엇을 보여 줄 수 있는지를 정하는 조문으로 작동합니다. 예산 권한이 본사에 있는 CPO는 예산을 쥐는 것이 아니라 요구·배정·보고를 문서로 남기는 방식으로 이 의무를 이행합니다.

「예산의 확보」는 CPO에게 예산 권한을 주라는 뜻인가요?

조문 셋을 겹쳐 읽으면 답이 나옵니다. 개정법이 신설한 제30조의3은 사업주 또는 대표자를 개인정보 보호의 최종 책임자로 정하고, 「전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게」 하도록 합니다. 제31조 제4항 제2호는 CPO의 업무를 그 인력의 「관리」와 예산의 「확보」로 정합니다. 그리고 시행령 제32조 제6항 제3호는 처리자가 CPO에게 「업무 수행에 적합한 조직체계의 마련 및 인적·물적 자원의 제공」을 하도록 2024년 3월 12일부터 이미 요구하고 있습니다.

구조는 지원(대표자), 확보(CPO), 제공(처리자)입니다. 법은 CPO에게 결재권을 주라고 하지 않습니다. CPO가 할 일은 보호 계획(제4항 제1호)에 필요한 인력과 예산을 산정해 요구하고, 배정 결과를 확인하며, 부족하면 대표자와 이사회에 보고하는 것입니다. 개정법은 시행령에 있던 실질을 법률 본문의 CPO 업무로 올리고 그 짝으로 대표자의 지원 책임을 명문화했습니다. 정보통신망법의 CISO 겸직 조문도 부칙 제4조 제2항으로 같은 항을 인용하게 되어, 겸직 CISO의 CPO 업무에 이 두 호가 들어옵니다(CISO가 CPO를 겸할 수 있나요).

이행하지 않으면 과태료가 있나요?

없습니다. 개정법이 제75조 제2항에 신설한 과태료는 미지정·자격 미달 지정(제14호의2), 이사회 의결 누락(제14호의3), 신고 누락(제14호의4) 셋뿐이고, 제4항 제2호·제3호에는 과태료도 과징금도 붙지 않았습니다. 이사회 의결·신고의 대상은 시행령(대통령령 제36671호, 2026. 9. 10. 공포)이 연간 매출액등 1,800억 원 초과 등으로 잘라 두었으므로, 그 밖의 법인에게 이번 개정이 CPO에 관해 남기는 것은 사실상 이 두 호뿐입니다.

제재가 없는 의무는 두 자리에서 작동합니다. 첫째, 2026년 KT·롯데카드 제재의 시정명령은 과징금과 별도로 CPO 거버넌스 정비를 요구했고, 롯데카드 결정문은 CPO가 의사결정 기록을 확인할 수 없다고 진술한 사실을 「매우 중대한 위반행위」 판단에 반영했습니다(본사 APAC DPO를 한국 CPO로 올려 두었습니다). 둘째, 제64조의2 제6항은 예산·인력·설비 등에 투자한 사업자의 과징금을 고의·중과실이 없는 한 「감경한다」고 정하고, 시행령 제60조의2 제5항은 그 고려 사항에 제30조의3의 책임 이행 정도와 보호책임자의 역할·조직·인력 구성을 넣었습니다(과징금 감경이 실제로 인정된 사유들).

본사가 예산을 쥔 구조에서는 무엇을 남겨야 하나요?

두 호에는 이행 형식이 없으므로 회사가 스스로 기록을 만들어야 합니다. 다섯 가지가 출발점입니다.

첫째, CPO 명의의 연간 예산·인력 요구서를 남깁니다. 보호 계획과 연동해 항목별로 산정하고, 대표자에게 제출한 날짜와 함께 보관합니다.

둘째, 본사 배정 예산 중 한국법인 몫을 특정하는 문서를 확보합니다. 배정 통지, 본사·자회사 간 서비스 계약, 비용 배분 내역처럼 한국법인에 귀속되는 금액과 인력이 적힌 문서가 있어야 제30조의3의 「지원」을 보일 수 있습니다.

셋째, 요구가 거절되거나 삭감됐을 때 CPO의 의견을 기록합니다. 제31조 제6항은 CPO가 법 위반 사실을 알면 개선조치를 하고 기관의 장에게 보고하도록 합니다. 예산이 삭감된 사실보다 CPO가 아무 말도 하지 않은 사실이 조사에서 더 무겁게 읽힙니다.

넷째, 대표자 보고와 이사회 보고를 정기 안건으로 고정합니다. 문언이 「대표자 및 이사회」이므로 대표자 보고로 이사회 보고를 갈음할 수 없습니다. 서면결의만 하는 법인이라면 연 1회 이상 「개인정보 보호 현황」 안건을 넣고 결의 기록을 보관합니다. 본사 프라이버시 조직에 대한 보고는 이 호의 보고가 아닙니다.

다섯째, CISO 겸직 회사는 보안 예산과 개인정보 보호 예산을 구분해 기록합니다. 감경 심사가 보는 것은 「개인정보 보호에 필요한」 투자이므로 항목이 구분돼야 특정할 수 있습니다.

사고 조사에서 이 기록은 어떻게 쓰이나요?

이 기록이 읽히는 자리는 평상시가 아니라 유출 조사입니다. 조사관은 CPO에게 예산을 요구한 적이 있는지, 대표자와 이사회에 무엇을 보고했는지를 묻습니다. 문서로 답할 수 있는 회사에는 예방투자 감경을 심사할 근거가 생기고, 없는 회사는 「준법 감시·통제가 미흡한 점」으로 적힙니다. 사고 인지 후의 시간표는 유출 인지 후 72시간에, 개정 전체는 개정법 정리에, 본사 정책 이식의 다른 지점은 아홉 지점에 있습니다.

자주 묻는 질문

Q. CPO에게 예산 결재권이 없으면 제31조 제4항 제2호 위반인가요?

아닙니다. 조문은 대표자가 지원하고(제30조의3) CPO가 확보하며(제31조 제4항 제2호) 처리자가 제공하는(시행령 제32조 제6항 제3호) 구조입니다. CPO가 필요한 예산과 인력을 산정해 요구하고 배정 결과를 기록으로 남기면 조문이 요구하는 업무를 수행한 것이고, 이 호의 위반에는 과태료가 없습니다.

Q. 서면결의만 하는 한국법인 이사회에도 보고해야 하나요?

제31조 제4항 제3호는 「대표자 및 이사회」 보고를 정하고 이사회 구성은 묻지 않습니다. 서면결의 안건에 개인정보 보호 현황을 정기 항목으로 넣고 보고 사실을 남기는 것이 현실적인 이행 방법입니다. 본사 글로벌 프라이버시 조직에만 보고하는 구조는 이 호와 맞지 않습니다.

참고 자료