개인정보 보호책임자 지정, 누구를 정하고 처리방침에 어떻게 적을까
개인정보 보호책임자는 개인정보 처리와 보호 업무를 총괄하는 사람으로, 지정한 뒤 처리방침에 연락처를 공개해야 합니다. 이 글에서는 지정 의무와 예외, 누구를 지정할지, 하는 일, 처리방침 표기 방법을 법령 원문 기준으로 작은 회사 입장에서 정리했습니다.
개인정보 보호책임자 지정 의무와 예외
개인정보 보호법 제31조제1항은 개인정보처리자가 개인정보의 처리와 보호에 관한 업무를 총괄해서 담당할 개인정보 보호책임자를 지정하도록 정합니다. 다만 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하면 지정하지 않을 수 있고, 시행령 제32조제1항은 그 기준을 「소상공인기본법」에 따른 소상공인으로 정합니다.
지정하지 않아도 책임자가 없어지는 것은 아닙니다. 제31조제2항은 지정하지 않는 경우 사업주 또는 대표자가 개인정보 보호책임자가 된다고 정합니다. 소상공인이라도 처리방침에는 책임자나 담당 부서의 연락처를 적어야 하므로, 대표자가 직접 맡는다는 사실을 정리해 두는 것이 좋습니다. 원문은 국가법령정보센터 개인정보 보호법 제31조와 개인정보 보호법 시행령 제32조에서 볼 수 있습니다.
누구를 보호책임자로 지정할까
시행령 제32조제2항제2호는 공공기관이 아닌 개인정보처리자의 경우 사업주 또는 대표자, 임원(임원이 없으면 개인정보 처리 관련 업무를 담당하는 부서의 장) 가운데 지정하도록 정합니다. 아래 표는 사업 규모별로 지정 대상과 추가 의무를 비교한 것입니다.
| 구분 | 지정 대상 | 추가로 확인할 것 |
|---|---|---|
| 소상공인 | 지정하지 않을 수 있고, 이 경우 사업주 또는 대표자가 책임자 | 처리방침에 책임자 또는 담당 부서 연락처 표기 |
| 일반 사업자 | 사업주·대표자 또는 임원(임원이 없으면 관련 부서의 장) | 책임자의 독립성 보장(시행령 제32조제7항) |
| 대형 기준 해당 사업자 | 위 대상 가운데 시행령 별표 1의 자격을 갖춘 사람 | 지정·변경·해제 때 이사회 의결(법인), 개인정보보호위원회 신고 |
대형 기준은 시행령 제32조제3항에 있습니다. 연간 매출액등이 1,800억원을 넘으면서 5만 명 이상의 민감정보·고유식별정보나 100만 명 이상의 개인정보를 처리하는 자 등이 해당하며, 신고는 사유가 생긴 날부터 6개월 이내입니다(제32조제4항). 대부분의 작은 회사는 위 두 줄에 해당하지만, 기준이 애매하면 원문과 전문가 확인을 거칩니다.
독립성 보장
법 제31조제7항은 책임자가 업무를 수행하면서 정당한 이유 없이 불이익을 받지 않도록 하고 업무를 독립적으로 수행할 수 있도록 보장하라고 정합니다. 시행령 제32조제7항은 처리 관련 정보에 대한 접근 보장, 대표자나 이사회에 직접 보고할 수 있는 체계, 업무에 맞는 조직과 자원 제공을 지키도록 합니다. 소상공인이 따로 지정하지 않아 사업주나 대표자가 책임자가 되는 경우는 이 항의 적용에서 빠집니다.
개인정보 보호책임자가 하는 일
법 제31조제4항은 책임자의 업무를 정합니다. 개인정보 보호 계획의 수립·시행, 처리 실태와 관행의 정기적인 조사와 개선, 처리 관련 불만 처리와 피해 구제, 유출·오남용 방지를 위한 내부통제시스템 구축, 보호 교육 계획의 수립·시행, 개인정보파일의 보호와 관리·감독 등입니다. 시행령 제32조제5항은 여기에 처리방침의 수립·변경·시행, 인적·물적 자원과 정보의 관리, 목적이 달성되거나 보유기간이 지난 개인정보의 파기를 더합니다.
그림은 이 업무를 여섯 묶음의 카드로 정리한 것입니다. 작은 회사라면 모든 일을 혼자 처리하기보다, 책임자가 일정을 정하고 실제 작업은 담당자나 외부 업체에 맡긴 뒤 결과를 확인하는 방식이 현실적입니다.
처리방침에 보호책임자 표기하는 방법
법 제30조제1항제6호는 처리방침에 개인정보 보호책임자의 성명 또는 개인정보 보호업무와 관련 고충사항을 처리하는 부서의 명칭과 전화번호 등 연락처를 넣도록 정합니다. 홈페이지 처리방침에는 아래 정도를 적어 두면 이용자가 바로 연락할 수 있습니다.
- 개인정보 보호책임자: 성명과 직책, 또는 담당 부서명
- 연락처: 실제로 받는 전화번호와 이메일 주소
- 고충 처리 부서: 책임자와 다르다면 부서명과 연락처
처리방침 전체 구성은 개인정보처리방침 작성에서 다뤘습니다. 퇴사한 직원 이름이나 쓰지 않는 메일 주소가 그대로 남아 있는 경우가 많으므로, 사람이 바뀔 때 처리방침도 함께 고치는 규칙을 둡니다.
보호책임자를 정하고 알리는 5단계
- 지정 대상 확인: 소상공인인지, 대형 기준에 해당하는지 확인합니다.
- 책임자 정하기: 대표자, 임원 또는 담당 부서장 가운데 정합니다.
- 업무와 권한 정리: 접근할 수 있는 정보와 대표자 보고 방법을 정합니다.
- 처리방침에 표기: 성명 또는 부서명과 연락처를 적습니다.
- 바뀌면 바로 수정: 퇴사나 조직 변경이 있으면 처리방침을 고칩니다.
그림은 다섯 단계를 순서대로 정리한 것입니다. 5단계를 놓치면 처리방침의 연락처로 문의해도 답이 오지 않는 상황이 생깁니다.
디코랩이 돕는 방식
디코랩은 운영 중인 홈페이지의 수정과 개선을 맡습니다. 처리방침 페이지의 책임자 정보나 연락처를 바꾸는 작업은 유지보수 접수 게시판에 비밀글로 요청할 수 있고, 정기 관리는 홈페이지 유지보수 상품에서 확인할 수 있습니다. 지정 대상과 자격 요건에 대한 판단은 전문가에게 확인하세요.
자주 묻는 질문
직원이 몇 명 안 되는 회사도 보호책임자를 지정해야 하나요?
소상공인에 해당하면 지정하지 않을 수 있지만, 그 경우 사업주나 대표자가 책임자가 됩니다. 소상공인 해당 여부는 「소상공인기본법」 기준으로 확인하세요.
외부 업체 직원을 보호책임자로 정할 수 있나요?
시행령은 공공기관이 아닌 개인정보처리자의 책임자를 사업주·대표자 또는 임원(임원이 없으면 관련 부서의 장) 가운데 지정하도록 정합니다. 외부 업체에는 실무를 맡기고 책임자는 내부에서 정하는 방식을 검토하세요.
처리방침에 책임자 실명을 꼭 적어야 하나요?
법은 책임자의 성명 또는 관련 부서의 명칭과 전화번호 등 연락처를 적도록 정합니다. 부서명과 실제로 연결되는 연락처를 적는 방식도 가능합니다.
처리방침의 책임자 정보와 연락처를 정리하고 싶다면 사이트 주소와 바뀐 내용을 적어 디코랩 프로젝트 문의로 보내 주세요.
댓글0
댓글 작성 권한이 없습니다