화요일 오전 9시 40분, 대표님의 메신저 한 줄이 올라왔습니다.
“개인정보 보호법이 바뀐다는데, 이번에 CPO부터 지정합시다. 후보자는 오늘 안에 정리해서 보고하세요.”
경영지원 담당자는 급히 인사발령안을 열고, 보안팀은 CISO가 겸직하면 될지 검색하기 시작하며, 개인정보 담당자는 지정서 서식을 찾습니다. 정작 아무도 명확한 답을 내리지 못해 회사 전체가 혼란에 빠집니다.
CPO 지정은 “오늘부터 당신이 CPO입니다”라는 인사발령 한 장으로 끝나지 않습니다. 법에서 요구하는 대상인지 확인하고, 법적 결격 사유나 겸직 제한은 없는지 가려내며, 이사회에 직접 보고할 수 있는 권한을 가진 인물인지 검토해야 완벽한 선임이 이루어집니다.
CPO 지정 안건을 올려야 할 때, 실패 없는 CPO 선임을 위해 반드시 검토해야 할 3가지 핵심 기준을 정리했습니다.
1. [대상 판단] 우리 회사가 법적 자격을 갖춘 ‘전문 CPO’를 정해야 하는 대상인가?
대표님에게 보고할 때 가장 위험한 문장은 “법이 바뀌었으니 남들처럼 우리도 CPO 새로 뽑고 신고해야 합니다”입니다. 확실한 근거 없이 안건을 올렸다간 “우리 회사가 왜 대상인데?”라는 질문에 막히게 됩니다. 회사의 개인정보 처리 규모에 따라 ‘법으로 정해진 경력·자격을 갖춘 전문 CPO’를 지정해야 하는지, 아니면 ‘내부 임원 중 자율 선임’이 가능한지 먼저 판정해야 합니다.
📌 CPO 지정 및 이사회 의결·신고 대상 판정 기준
| 구분 | 적용 조건 / 판정 기준 | 선임 및 절차 기준 | 전문 CPO 자격 요건 (추가) |
| 대규모 공공기관 | 중앙행정기관, 지자체 및 대규모 개인정보(10만 명 이상) 처리 공공기관 |
전문 자격요건 CPO 지정 필수 (이사회/위원회 의결 및 1개월 내 신고) |
• 개인정보보호·정보보호·정보기술 경력 합산 총 4년 이상 • 이 중 개인정보보호 경력 최소 2년 이상 필수 보유 |
| 대규모 민간기업 |
① 개인정보 100만 명 이상 보유 기업 ② 매출액·자산총액(1,500억 원 이상) 등 개보법 시행령 기준 이상 기업 |
전문 자격요건 CPO 지정 필수 (이사회 의결 및 개인정보위 신고 의무) |
• [직위 요건] 사업주, 대표자, 또는 임원 • [경력 요건] 개인정보보호·정보보호·정보기술 경력 합산 총 4년 이상 (개인정보보호 경력 최소 2년 이상 필수 포함) |
| 일반 민간기업 | 위 대규모 조건에 해당하지 않는 중소·중견기업 |
내부 자율 CPO 지정 (복잡한 외부 신고 절차 없이 내부 임원 선임 가능) |
• 법정 전문 경력 요건 미적용 • 내부 규정에 따라 임원 또는 부서장급 지정 가능 |
법무·컴플라이언스 팀과 함께 우리 회사의 개인정보 보유 수량(100만 명 기준)을 먼저 산정해 본 뒤, 이사회 의결과 정부 신고가 필요한 전문 CPO 의무 대상인지부터 최종 확인해야 합니다.
2. [겸직 제한] CISO나 IT·보안 총괄자를 후보에서 제외해야 하는가?
현실에서 CPO 후보를 찾을 때 가장 먼저 나오는 제안은 “보안 담당하는 IT 팀장이나 CISO가 CPO도 같이 맡으면 빠르지 않나요?”입니다. 하지만 “IT 담당자 한 명이 알아서 다 처리하면 되겠지” 하고 지정했다가는 CPO 지정 자체가 법 위반이 될 수 있어 주의해야 합니다.
-
역할의 근본적 분리: CISO는 시스템과 네트워크를 방어하는 ‘기술적 보안 총괄’이고, CPO는 개인정보의 수집·이용·파기 및 ‘법적 준수와 감시’를 총괄합니다. 보안망을 구축하는 사람(CISO)과 그 안에서 데이터가 법대로 쓰이는지 감시하는 사람(CPO)을 분리하여 견제와 균형을 이루도록 하는 것이 개정법의 핵심 취지입니다.
-
CISO 겸직 금지 조항: 실제로 자산총액 5조 원 이상이거나 ISMS-P 인증 의무 대상 등 일정 규모 이상의 기업은 CISO의 타 업무(CPO 포함) 겸직이 법으로 엄격히 금지됩니다.
-
1. 정보통신망법 (정보통신망 이용촉진 및 정보보호 등에 관한 법률)
-
자산총액 5조 원 이상인 정보통신서비스 제공자
-
자산총액 5,000억 원 이상 5조 원 미만이면서, 개인정보 누출 시 피해 규모가 크거나 서비스 안정성에 미치는 영향이 커 과학기술정보통신부장관이 지정·고시하는 정보통신서비스 제공자
2. 전자금융거래법
-
총자산 10조 원 이상인 금융회사 및 전자금융업자
-
상시 임직원 수 1,500명 이상인 금융회사 및 전자금융업자
3. 개인정보 보호법
-
개인정보 처리 및 활용 업무(영업·마케팅·IT 개발 등)와 감사·통제 업무 간 이해상충(자가 감시)이 발생하여 개인정보 보호 업무 수행의 독립성이 저해되는 부서장 및 임원
-
-
따라서 우리 회사가 겸직 금지 대상에 해당한다면 IT/보안 총괄자를 후보에서 제외하고, 다른 임원급 후보를 물색해야 합니다.
3. [권한과 독립성] 이사회 보고권과 예산·인력 요구권을 가진 위치인가?
“법도 잘 모르고 바쁘다”는 이유로 실무 부서장이나 팀원급에게 형식적으로 CPO 명함만 쥐여주는 경우가 있습니다. 하지만 개정 개보법에서 CPO는 단순한 실무 책임자가 아닙니다.
CPO는 법적으로 대표자 및 이사회에 개인정보 현황을 정기적으로 직접 보고하고, 필요시 예산과 인력을 요구할 수 있는 독립된 권한을 가져야 합니다. 실무진을 CPO로 지정하면 이러한 이사회 보고 체계나 권한 행사가 불가능해져 결과적으로 법적 지정 요건을 충족하지 못하게 됩니다.
[CPO 후보자 적격성 체크리스트]
- [ ] CISO와 CPO 겸직 금지 대상 기업에 해당하는지 사전 검토했는가?
- [ ] 각 부서의 개인정보 처리 현황 및 통제를 요청할 권한이 있는가?
- [ ] 필요시 인력·예산·교육 안건을 대표 및 이사회에 직접 보고할 수 있는가?
- [ ] 겸직 없이 온전히 CPO의 업무에 집중할 수 있는가?
💡 CPO 역할을 완벽히 해내는 방법: 캐치시큐 활용법
CISO 겸직 금지 조항 등으로 인해 결국 개인정보 비전문가인 일반 임원이 CPO로 선임되는 경우가 많습니다. 이때 지정된 CPO가 가장 두려워하는 것은 “내용도 잘 모르는데 유출 사고 시 법적 책임과 이사회 보고를 어떻게 감당하냐”는 점입니다.
CPO의 법적 책임을 대신해 줄 수 있는 사람은 없습니다. 하지만 수집폼 통합 관리부터 파기확인서 발급, 이사회 보고용 리포트 추출까지 자동화해 주는 운영 플랫폼(캐치시큐)을 함께 세팅해 준다면, CPO가 다 챙기지 못하는 것들을 완벽하게 보완하여, 조직의 개인정보 통제권을 행사하고 실무 부담을 덜 수 있습니다.
| 구분 | 수작업 방식 (기존) | 캐치시큐 도입 시 (개선) |
| 수집 현황 파악 | 부서마다 엑셀로 일일이 물어보고 취합 | 구글폼, 네이버폼, 캐치폼 등 수집 폼 목록 자동 통합 관리 |
| 파기 및 증빙 | 파기했는지 말로만 확인하고 기록 부재 | 보유 기간 경과 데이터 자동 감지 및 ‘파기확인서’ 즉시 발급 |
| 접근 이력 통제 | 누가 데이터를 조회했는지 확인 불가 | 개인정보 조회·다운로드·파기 이력 및 보안 로그 자동 기록 |
| 이사회 보고 | 며칠 동안 보고서용 장표 수작업 작성 | 수집·파기·권한 현황을 시각화 리포트로 즉시 추출 |
CPO 지정 및 이사회 의결 준비, 어디서부터 시작해야 할지 막막하신가요?
지정 요건 체크부터 비전문가도 쉽게 관리하는 자동화 체계까지 한눈에 확인해 보세요. 캐치시큐와 하는 무료상담으로 우리 조직의 현황을 파악하고 개인정보 컴플라이언스를 꼼꼼히 챙겨보세요!
