Offcanvas

보안

강은성의 보안 아키텍트ㅣ개인정보보호책임자(CPO)의 전문성과 독립성

2024.03.13 강은성  |  CIO KR
2023년 3월 대폭 개정된 개인정보보호법의 대다수 규정이 같은 해 9월 15일이 시행되었지만, 일부는 개정 뒤 1년이 경과한 올해 3월 15일부터 시행된다. 대표적인 규정이 개인정보보호책임자(Chief Privacy Officer, CPO)에 관한 제31조(개인정보 보호책임자의 지정 등) 규정이다. 시행일에 맞춰 CPO에 관한 시행령 또한 개정되었다.

사업자(개인정보처리자)에 가장 영향을 많이 미칠 부분은 아무래도 CPO의 자격 요건(전문성)과 독립성 보장일 것이다. 얼마 전 CPO의 자격 요건에 관해 개인정보위원회 내에서 논란이 있었다는 보도가 나왔다. 개인적으로는, 임원 CPO가 업무를 수행하는 데 관련 경력 6년과 4년의 차이가 얼마나 클까 싶다.

자격 요건에 관해서는 2022년에 쓴 칼럼(정보보호최고책임자(CISO)와 개인정보보호책임자(CPO)의 자격 요건)으로 대신하고자 한다. 다만, 이 칼럼에서도 강조했듯, 2016년 7월에 개인정보보호법 시행령에 도입된 CPO의 ‘임원 요건’이 앞으로도 계속 유지되길 바란다.

이번 칼럼에서는 주로 CPO의 독립성에 관해 다루고자 한다. 관련 개정 조문은 다음과 같다.
 
제31조(개인정보 보호책임자의 지정 등) <2024.3.15 시행>

⑥ 개인정보처리자는 개인정보 보호책임자가 제3항 각 호의 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며, 개인정보 보호책임자가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다.
⑨ 제1항에 따른 개인정보 보호책임자의 자격요건, 제3항에 따른 업무 및 제6항에 따른 독립성 보장 등에 필요한 사항은 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령(영 제32조)으로 정한다.

개인정보보호법에서 CPO의 전문성과 독립성을 강조하는 것은 유럽연합 개인정보보호법인 GDPR(General Data Protection Regulation)의 영향이 클 것이다. DPO(Data Protection Officer)의 전문성이 DPO의 업무 수행에 필요한 전문성인 것처럼 DPO의 독립성 역시 DPO의 업무와 연관되어 있다.

먼저, DPO의 독립성에 관한 규정을 살펴보자.
 
GDPR 제38조(DPO의 지위)

3. 컨트롤러 또는 프로세서는 DPO가 업무를 수행하면서 어떠한 지시도 받지 않도록 보장해야 한다. DPO는 본인의 업무 수행을 이유로 컨트롤러나 프로세서에 의해 해임 또는 처벌받아서는 안 된다. DPO는 컨트롤러 또는 프로세서의 최고경영진에게 직접 보고해야 한다.

이 조문에 따르면, 사업자(컨트롤러프로세서)는 DPO의 독립성을 보장하기 위해, DPO가 업무 수행 시, (1)어떠한 지시도 받지 않고, (2)불이익을 받지 않고 (3)최고경영진에 직접 보고할 수 있도록 해야 한다. 이중 핵심 사항은, (1)인데, 이것은 DPO가 업무를 수행하면서 사업자 CEO를 포함해 그 누구에게도 지시를 받지 않도록 보장해야 한다는 뜻으로 해석된다.

GDPR에서 규정한 DPO의 업무는 다음과 같다.
 
GDPR 제39조(DPO의 업무) 제1항

(a) GDPR 등 유럽연합과 회원국의 개인정보보호 법규의 의무 수행에 관하여 컨트롤러나 프로세서, 임직원에게 고지와 권고
(b) GDPR 등 개인정보보호 법규와 개인정보보호 관련 회사 정책을 잘 준수하는지 모니터링
(c) 요청이 있으면 개인정보 영향평가에 관해 조언하고 잘 수행하는지 모니터링
(d) 감독기구와의 협력
(e) 감독기구와의 창구 역할 및 자문 제공

컨트롤러나 프로세서, 임직원에게 고지·권고·자문·모니터링, 감독기구와의 협력·자문이 주 업무인 DPO에게는 컨트롤러나 프로세서의 지시를 받지 않는 ‘독립성’이 매우 중요하다.

위에서 본 개인정보보호법 제31조 제6항에서는 CPO가 같은 조 제3항의 업무를 수행할 때 ‘정당한 이유 없이’ 불이익을 받지 않도록 하고, 업무를 독립적으로 수행할 수 있도록 사업자가 보장할 것을 규정한다.
 
제31조(개인정보 보호책임자의 지정 등) <2024.3.15 시행>

③ 개인정보 보호책임자는 다음 각 호의 업무를 수행한다.
    1. 개인정보 보호 계획의 수립 및 시행
    2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선
    3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제
    4. 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축
    5. 개인정보 보호 교육 계획의 수립 및 시행
    6. 개인정보파일의 보호 및 관리·감독
    7. 그 밖에 개인정보의 적절한 처리를 위하여 대통령령(영 제32조)으로 정한 업무
영 제32조(개인정보 보호책임자의 업무 및 지정요건 등) <2024.3.15 시행>

② 법 제31조 제3항 제7호에서 “대통령령으로 정한 업무”란 다음 각 호와 같다.
    1. 법 제30조에 따른 개인정보 처리방침의 수립·변경 및 시행
    2. 개인정보 처리와 관련된 인적·물적 자원 및 정보의 관리
    3. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기
 
DPO와는 달리 개인정보보호 계획의 시행, 내부통제시스템 구축, 개인정보 파일 보호 등 개인정보보호 업무의 수행 책임이 있는 CPO가 DPO와 같은 ‘독립성’을 갖기는 어렵다. CPO가 업무를 수행하려면 무엇보다도 개인정보 보호에 관한 경영적 의사결정과 수행체계를 포함한 ‘개인정보 보호 거버넌스’를 수립해야 하고, 최고경영진과 소통하고, 관련 부서와 협업해야 한다.

이를 고려하여 개정 개인정보보호법 시행령 제32조에서는 ‘CPO의 독립성 보장에 필요한 사항’을 다음과 같이 구체화하였다.
 
영 제32조(개인정보 보호책임자의 업무 및 지정요건 등) <2024.3.15 시행>

⑥ 개인정보처리자는 법 제31조(개인정보 보호책임자의 지정 등) 제6항에 따른 개인정보 보호책임자의 독립성 보장을 위해 다음 각 호의 사항을 준수해야 한다.
    1. 개인정보 처리와 관련된 정보에 대한 개인정보 보호책임자의 접근 보장
    2. 개인정보 보호책임자가 개인정보 보호 계획의 수립·시행 및 그 결과에 관하여 정기적으로 대표자 또는
       이사회에 직접 보고할 수 있는 체계의 구축
    3. 개인정보 보호책임자의 업무 수행에 적합한 조직체계의 마련 및 인적·물적 자원의 제공

영 제32조 제6항에는 DPO의 ‘독립성 보장’ 요건 중 ‘어떠한 지시도 받지 않도록 보장해야 한다’는 핵심 요건이 빠졌고, CPO가 업무를 수행하는 데 필요한 사항을 제공하라는 취지의 2가지 조문이 추가됐다. 우리나라의 현실을 고려한 적절한 조문으로 보인다. 다만, 현실적 상황이나 조문의 내용으로 볼 때 굳이 이걸 ‘CPO의 독립성 보장’으로 계속 표현할지는 검토가 필요하지 않을까 한다. 핵심은, 최고경영진이, CPO가 법에서 규정한 업무를 수행할 수 있도록 CPO의 권한을 보장하고, 지원해 주는 것이기 때문이다.

‘CPO의 독립성’을 강조하기 위해서는, 예를 들어, 과거 금융회사에서 내부통제 업무를 담당하면서 CPO를 겸임했던 ‘준법감시인’(금융사 지배구조법 제25조(준법감시인의 임면))과 같이 법적으로 뒷받침할 필요가 있을 것 같다. 또한, 개인정보보호법에서 개인정보보호위원회가 (일정한) 독립성을 갖춘 방식도 활용할 수 있다. 개인정보보호위원회가 중앙행정기관으로서 국무총리의 행정감독권 적용 대상(정부조직법 제18조(국무총리의 행정감독권))이지만, 다른 행정부처와 관련될 수 있는 업무를 수행할 때는 예외(개인정보보호법 제7조(개인정보 보호위원회))로 한 방식이다.

어떤 식이든 개인정보보호법에서 CPO가 조직에서 업무를 수행하는 데 필요한 권한을 보장하기 위한 조문을 신설한 것은 매우 바람직한 것으로 판단된다. 이런 조문이 현실에서 실제 작동할 수 있도록 개인정보보호위원회에서 적극 나서기를 기대해 본다.

* 강은성 교수는 국내 최대 보안기업의 연구소장과 인터넷 포털회사의 최고보안책임자(CSO)를 역임한 정보보호 및 개인정보보호 전문가다. 현재는 서울여자대학교 정보보호학과 조교수로 있다. 저서로 「IT시큐리티」(한울, 2009)와 「팀장부터 CEO까지 알아야 할 기업 정보보안 가이드」(한빛미디어, 2022) 등이 있다.
ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.