핵심 요약. 저희가 정리한 위원회 결정문 1,010건 가운데 위법성 판단 절에서 행위가 추출된 704건(2026년 9월 14일 수집분)에서 「개인정보 보호책임자의 지정 등을 소홀히 한 행위」로 적힌 것은 1건입니다. 그 한 건에서 회사는 보호책임자를 지정하고 있었고, 위원회가 위반으로 본 것은 보안 조직을 두 영역으로 나누면서 한쪽 영역에 보호책임자의 역할과 책임이 미치지 않는 체계를 만든 점이었습니다(보호법 제31조 제1항·제3항). 회사가 먼저 확인할 것은 처리방침에 적은 개인정보 항목을 처리하는 시스템이 전부 보호책임자의 관할에 들어와 있는지입니다. 이현섭 변호사(법무법인 세움) 집계.
개인정보 보호책임자를 지정하라는 조문은 오래된 것이고, 회사 대부분은 이미 누군가를 지정해 두었습니다. 그래서 조사에서 이 조문이 문제가 되리라고는 잘 예상하지 않습니다. 2026년 9월 11일 시행된 개정법이 보호책임자의 업무에 예산 확보와 대표자·이사회 보고를 넣으면서, 이 조문이 실제로 어떻게 적용돼 왔는지를 확인할 이유가 생겼습니다.
몇 건이었고 무엇을 세었나
위원회 결정문 1,010건 가운데 위법성 판단 절의 표제에서 행위가 추출된 것은 704건이고(2026년 9월 14일 수집분), 그 표제가 「개인정보 보호책임자의 지정 등을 소홀히 한 행위」인 것은 1건입니다. 조문으로는 보호법 제31조가 인정된 의결이 그보다 많지만, 표제가 보호책임자 지정을 정면으로 가리킨 것은 이 한 건입니다. 결정문의 표제를 유형별로 모아 둔 것은 위반행위 층에 있습니다.
지정해 두었는데 왜 위반이 되나
그 한 건인 제2025-018-243호(2025년 8월 27일 의결)에서 회사는 보호책임자를 지정하고 있었습니다. 결정문은 회사가 정보보호실장에게 정보보호책임자와 개인정보 보호책임자를 겸임하도록 해 두었다고 적습니다. 위원회가 문제 삼은 것은 지정의 유무가 아니라 그 지정이 회사 전체를 덮지 않았다는 점입니다.
결정문에 따르면 회사는 웹·앱 서비스를 담당하는 영역과 통신망 시스템을 담당하는 영역으로 보안 조직을 나누어 운영했고, 각 조직은 담당 영역 안에서만 보안 업무를 수행했습니다. 보호책임자는 앞쪽 영역에 속해 있었고, 뒤쪽 영역의 보호법 준수에 대해서는 역할과 책임이 없는 체계였습니다. 위원회는 이를 두고 회사가 "사실상 개인정보 처리에 관한 업무를 총괄하는 개인정보 보호책임자를 지정했다고 볼 수 없으므로" 제31조 제1항을 위반한 것이라고 판단했습니다.
범위의 공백은 세 자리에서 드러났습니다. 첫째로 회사가 세운 내부 관리계획은 앞쪽 영역만 포함하고 통신망 영역에는 적용되지 않았습니다. 둘째로 회사는 개인정보 처리방침에 가입자고유식별번호와 단말기식별번호를 개인정보 항목으로 적어 두었는데, 보호책임자는 그 항목을 처리하는 영역을 포함한 보호 계획을 세우지 않았고 처리 실태도 파악하고 있지 않았습니다. 셋째로 2022년 10월 인증심사에서 통신망의 개인정보 처리 관련 결함을 지적받았으나, 보호책임자는 그 지적에 대해 보호법 준수 여부를 검토하지 않았습니다.
이 처분에 대해서는 취소를 구하는 소가 제기되어 계속 중입니다. 따라서 위 판단이 최종적으로 확정된 것은 아니고, 아래의 정리도 현재까지 공개된 결정문을 기준으로 한 것입니다.
그래서 무엇을 먼저 준비하나
첫째로 개인정보 처리방침에 적어 둔 개인정보 항목의 목록을 펴 놓고, 그 항목을 실제로 처리하는 시스템이 모두 보호책임자의 관할에 들어와 있는지를 맞춰 보는 순서가 좋겠습니다. 위 사안에서 공백이 처음 드러난 자리가 바로 여기였습니다. 처리방침은 회사가 스스로 공개한 문서이므로, 그 문서에 적힌 항목과 실제 관할 범위가 어긋나면 설명하기 어려운 상태가 됩니다.
둘째로 내부 관리계획의 적용 범위를 확인합니다. 계획서의 첫 장에 적힌 적용 대상이 회사의 일부 조직이나 일부 시스템으로 한정돼 있는 경우가 실무에서 드물지 않고, 그 한정이 의도된 것인지 관행으로 굳은 것인지는 대개 문서만으로 드러나지 않습니다. 셋째로 외부 인증심사에서 받은 지적사항에 보호법 준수 검토가 따라붙는 절차를 두는 방법이 있습니다. 보안 관점의 조치로 닫힌 지적이 법 준수 관점에서는 열려 있는 상태로 남을 수 있기 때문입니다.
조직을 영역별로 나누어 운영하는 회사, 본사와 한국법인이 보안 기능을 나누어 갖는 외국계 회사에서는 이 점검의 값이 더 큽니다. 겸직 보호책임자의 업무 범위가 2026년 9월 11일 개정으로 어떻게 정리됐는지는 CISO가 겸하는 CPO 업무의 준거 조문에서 따로 다루었습니다. 사안에 따라 결론이 달라질 수 있으므로 개별 검토가 필요합니다.
이 집계가 말하지 않는 것
분모인 704건은 결정문의 위법성 판단 절에서 행위 표제가 추출된 사건만 센 것입니다. 결정문이 공개되지 않은 의결과 표제가 다른 형식으로 적힌 의결은 빠져 있고, 조문으로 제31조가 인정된 의결이 이 한 건뿐이라는 뜻도 아닙니다. 한 건은 통계로 쓸 수 있는 수가 아니므로, 위 내용은 분포가 아니라 판단의 내용을 읽기 위한 것입니다. 해당 처분은 다투어지는 중이고, 같은 회사에 함께 인정된 안전조치의무 위반과 유출 통지 지연이 처분 전체의 무게를 이루고 있어 보호책임자 관련 판단만 떼어 금액과 연결할 수는 없습니다.
자주 묻는 질문
Q. 개인정보 보호책임자를 지정해 두면 제31조는 지킨 것이 되나요, 총괄 범위까지 맞춰야 하나요?
지정했다는 사실만으로는 부족하다고 본 의결이 있습니다. 어느 사안에서 회사는 정보보호실장이 정보보호책임자와 개인정보 보호책임자를 겸임하도록 지정해 두었으나, 위원회는 보안 조직을 두 영역으로 나누어 운영하면서 한쪽 영역에 보호책임자의 역할과 책임이 없는 체계를 구성한 점을 들어 "사실상 개인정보 처리에 관한 업무를 총괄하는 개인정보 보호책임자를 지정했다고 볼 수 없다"고 판단했습니다(제2025-018-243호). 적용된 조문은 보호법 제31조 제1항 및 제3항입니다.
Q. 그런 위반이 인정된 사례가 얼마나 되나요?
저희가 정리한 위원회 결정문 가운데 위법성 판단 절에서 행위가 추출된 704건(2026년 9월 14일 수집분)에서 「개인정보 보호책임자의 지정 등을 소홀히 한 행위」로 적힌 것은 1건입니다. 다만 이 처분에 대해서는 취소를 구하는 소가 제기되어 계속 중이므로, 판단이 최종적으로 확정된 상태는 아닙니다.
Q. 회사가 먼저 확인할 것은 무엇인가요?
개인정보 처리방침에 적어 둔 개인정보 항목을 실제로 처리하는 시스템이 모두 보호책임자의 관할에 들어와 있는지부터 확인하는 편이 좋겠습니다. 위 사안에서 회사는 처리방침에 가입자고유식별번호와 단말기식별번호를 개인정보 항목으로 명시해 두었으나, 보호책임자는 그 항목을 처리하는 영역을 포함한 보호 계획을 세우지 않았고 처리 실태도 파악하지 않고 있었습니다. 내부 관리계획의 적용 범위가 그 시스템을 덮는지가 다음 확인 사항입니다.
참고 자료
- 개인정보보호위원회 의결 제2025-018-243호(2025. 8. 27.)
- 개인정보 보호법 제31조, 2026년 9월 11일 시행 개정법(법률 제21445호) 제31조 제4항
- 위원회 처분을 다툰 사건의 진행 상황은 개인정보위 처분 불복 소송에 의결·심급별로 정리돼 있습니다
