CPO로 지정됐다는 안내를 받았는데, 막상 무엇부터 해야 할지 모르겠다면? 먼저 법에서 정한 CPO의 역할부터 확인해 보세요.
CPO는 회사의 개인정보 보호와 관련된 일을 총괄하는 사람입니다. 그렇다고 취임하자마자 모든 부서의 자료를 모아서 개인정보 처리 현황을 꼼꼼히 확인할 수 있을까요? 사실 이러기는 쉽지 않죠. 또 그러한 범위가 CPO 역할에 포함되어있는지도 잘 모를 일입니다. 하지만 법은 CPO가 맡아야 할 업무를 정하고 있고, 그 업무를 어떤 순서로 시작할지는 조직의 상황에 따라 달라질 수 있다는 점!
이 글에서는 법에 적힌 CPO의 업무가 무엇인지 먼저 살펴보고, 그 업무를 시작할 때 실제로 어떤 항목부터 확인하면 좋은지 정리해 보겠습니다.
CPO의 업무는 개인정보 보호법에 정해져 있습니다
개인정보 보호법 제31조 제1항은 개인정보처리자가 개인정보 처리 업무를 총괄하는 개인정보 보호책임자를 지정하도록 정하고 있습니다. 이 개인정보 보호책임자를 보통 CPO(Chief Privacy Officer)라고 부릅니다.
CPO가 해야 할 일도 같은 조 제3항에 나와 있습니다.
- 개인정보 보호 계획을 세우고 실행하는 일
- 개인정보 처리 실태와 관행을 정기적으로 조사하고 개선하는 일
- 개인정보 처리와 관련된 불만을 처리하고 피해를 구제하는 일
- 개인정보 유출과 오용·남용을 막기 위한 내부통제시스템을 구축하는 일
- 개인정보 보호 교육 계획을 세우고 실행하는 일
- 개인정보파일을 보호하고 관리·감독하는 일
필요하면 개인정보 처리 현황과 처리 체계를 조사하거나 관계자에게 보고를 받을 수도 있습니다(개인정보 보호법 제31조 제4항). 법 위반 사실을 알게 된 경우에는 즉시 개선조치를 해야 하고, 필요한 경우 기관이나 단체의 장에게 보고해야 합니다(같은 조 제5항).
시행령에는 처리방침·자원 관리·파기 업무가 더해집니다
개인정보 보호법 시행령 제32조 제2항은 CPO가 맡는 업무를 더 구체적으로 정하고 있습니다.
- 개인정보 처리방침의 수립·변경·시행
- 개인정보 처리에 필요한 인적·물적 자원과 정보의 관리
- 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기
또한 개인정보처리자는 CPO가 개인정보 처리와 관련된 정보에 접근할 수 있도록 하고, 개인정보 보호 계획과 그 결과를 대표자 또는 이사회에 직접 보고할 수 있는 체계를 마련해야 합니다(시행령 제32조 제6항).
정리하면 CPO가 법적으로 맡는 일은 ‘회사의 개인정보 처리 현황을 파악하고, 보호 계획을 세우고, 문제가 있으면 개선하고, 그 결과를 보고하는 일’이라고 볼 수 있습니다.
업무 내용에 대해 알아보았으니 이제 어떻게 이 업무를 하면 될지 알아보면 좋겠죠? 아래 순서는 업무들을 실제로 시작하기 위한 점검 순서로, 법적으로 정해진 건 없으니 편하신 대로 조정하여 점검하시면 됩니다. (* 법령 원문은 개인정보 보호법 제31조, 개인정보 보호법 제30조, 개인정보 보호법 시행령 제32조에서 확인할 수 있습니다.)
<CPO 실무 점검 권장 순서>
1. 내가 어디까지 결정하고 누구에게 보고하는지 확인하기
처음부터 각 부서에 자료를 요청하기 전에, CPO의 역할과 보고 체계부터 확인하는 것이 좋습니다.
대표자나 이사회에 개인정보 보호 계획과 결과를 직접 보고할 수 있는지, 개인정보 관련 자료를 어느 부서에 요청할 수 있는지, 문제가 발견됐을 때 개선을 요구할 수 있는지 정리해 보세요.
이때 확인할 내용은 다음과 같습니다.
- CPO의 공식 보고 대상
- 정기 보고 주기와 보고 방식
- 개인정보 관련 자료를 요청할 수 있는 범위
- 개선조치가 필요한 경우 의사결정을 요청하는 방법
- 예산·인력·교육·시스템 개선을 결정하는 사람
2. 회사에서 개인정보를 처리하는 업무를 찾아보기
다음으로 어떤 부서가 어떤 업무에서 개인정보를 처리하는지 확인합니다. 개인정보 보호법 제31조 제3항 제2호는 CPO의 업무로 개인정보 처리 실태와 관행을 정기적으로 조사하고 개선하는 일을 정하고 있습니다. 처음부터 ‘개인정보 처리 현황을 보내 달라’고 요청하면 부서마다 다른 자료가 돌아올 수 있으니, 실제 업무를 기준으로 물어보는 편이 낫습니다.
- 홈페이지 문의와 상담
- 회원가입과 서비스 이용
- 행사·교육·세미나 신청
- 채용 지원과 임직원 관리
- 마케팅 캠페인과 뉴스레터
- 계약·결제·고객 요청 처리
- 민원이나 피해 구제 요청 처리
각 업무마다 처리 부서, 담당자, 수집 항목, 수집 경로, 이용 목적, 보유기간, 외부 업체 이용 여부를 같은 양식으로 요청하여 받아보세요. (꿀팁: 자료를 아직 받지 못한 업무는 빈칸으로 두기보다 ‘미확인’이라고 표시하는 편이 좋습니다. 그래야 CPO가 무엇을 확인했고 무엇이 아직 남아 있는지 알 수 있습니다.)
3. 실제로 받는 개인정보와 처리방침을 비교하기
업무 목록을 만들었다면 실제 화면을 확인해야 합니다. 홈페이지 문의폼, 행사 신청폼, 회원가입 화면, 채용 지원 페이지처럼 개인정보를 직접 입력받는 화면을 열어 보세요.
개인정보 보호법 제30조는 개인정보 처리방침에 처리 목적, 처리 및 보유기간, 파기절차와 방법, 위탁에 관한 사항 등을 포함하도록 정하고 있습니다. 시행령 제32조 제2항 제1호도 CPO의 업무로 처리방침의 수립·변경·시행을 들고 있습니다.
따라서 다음 내용을 비교해 보는 것이 필요합니다.
- 실제 화면에서 받는 개인정보 항목
- 화면에 안내한 수집·이용 목적
- 필수 동의와 선택 동의의 구분
- 처리방침에 적힌 내용
- 화면과 처리방침 사이에 달라진 내용
처리방침에는 없는 항목을 폼에서 받고 있거나, 실제로는 받지 않는 항목이 처리방침에 남아 있을 수도 있습니다. 이런 차이를 발견하면 바로 법 위반이라고 단정하기보다, 사실관계를 기록하고 관련 부서와 수정 필요 여부를 확인하는 방식으로 진행하시면 됩니다.
4. 언제까지 보관하고 어떻게 파기하는지 확인하기
개인정보를 어디서 받는지 확인했다면, 그 정보가 언제까지 필요하고 어떻게 파기되는지 확인합니다.
개인정보 보호법 제21조는 개인정보처리자가 보유기간의 경과나 처리 목적 달성 등으로 개인정보가 불필요하게 된 경우 지체 없이 파기하도록 정하고 있습니다. 개인정보 보호법 시행령 제32조 제2항 제3호도 목적이 달성되거나 보유기간이 지난 개인정보의 파기를 CPO의 업무로 정합니다.
업무별로 다음 내용을 확인해 보세요.
- 보유기간과 그 근거
- 보유기간이 끝나는 시점
- 파기 방법
- 파기 담당자와 확인자
- 공유 드라이브·메일·개인 PC에 남은 파일
- 수탁사나 외부 업체에 전달된 자료의 파기 여부
행사 신청자 명단, 채용 지원서, 상담 기록처럼 업무마다 보관 기준이 다를 수 있습니다. ‘필요할 때까지 보관’처럼 기준이 모호하게 적혀 있다면 실제 업무에서 적용할 수 있는 시점과 방법을 다시 정리해야 합니다.
5. 접근 권한과 수탁사 현황을 확인하기
개인정보를 누가 볼 수 있고, 어디까지 사용할 수 있는지도 확인해야 합니다.
개인정보 보호법 제29조는 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 안전성 확보에 필요한 기술적·관리적·물리적 조치를 하도록 정하고 있습니다. 시행령 제32조 제2항 제2호도 개인정보 처리에 필요한 인적·물적 자원과 정보의 관리를 CPO의 업무로 포함합니다.
업무별로 다음 항목을 확인해 보세요.
- 개인정보를 조회하거나 다운로드할 수 있는 사람
- 퇴사자·부서 이동자의 권한이 회수됐는지
- 다운로드한 파일이 저장된 위치
- 외부 업체나 수탁사가 접근하는 개인정보 범위
- 위탁계약과 실제 처리 업무가 일치하는지
- 조회·다운로드·파기 이력을 확인할 수 있는지
6. 확인 결과를 개선 계획과 보고 자료로 정리하기
마지막으로 지금까지 확인한 내용을 개선 계획으로 정리합니다. CPO의 법정 업무는 현황을 조사하는 데서 끝나지 않고, 개인정보 보호 계획을 세우고 실행하며 필요한 개선조치를 하는 데까지 이어집니다.
예시로, 보고 자료에는 다음 내용을 넣을 수 있습니다.
| 점검 항목 | 현재 상태 | 확인 근거 | 담당자 | 개선조치와 기한 |
|---|---|---|---|---|
| 개인정보 처리 업무 | 부서별 취합 중 | 업무 목록·폼 주소 | 각 업무 담당자 | 누락 업무 확인 |
| 수집 목적·안내 | 일부 화면 확인 필요 | 실제 화면·처리방침 | 서비스 담당자 | 문구 대조 |
| 보유·파기 | 파기 기준 확인 필요 | 보관 위치·파기 기록 | 업무 담당자 | 기준과 방법 확정 |
| 접근권한 | 퇴사자 권한 점검 중 | 권한표·계정 목록 | IT·보안 담당자 | 권한 회수 |
| 수탁사 | 처리 범위 취합 중 | 계약서·업체 회신 | 법무·구매 담당자 | 처리 범위와 파기 확인 |
여기서 중요한 것은 모든 항목을 완료로 만드는 것에 열중하기보다, 현재 확인된 사실, 아직 확인하지 못한 내용, 개선이 필요한 이유, 담당자와 기한을 구분해서 무엇을 개선해야할지를 확인하는 것을 우선해야합니다.
CPO가 된 뒤 처음 확인할 내용 정리
CPO에게 법적으로 요구되는 업무는 개인정보 보호 계획 수립·시행, 처리 실태 조사와 개선, 불만 처리와 피해 구제, 내부통제시스템 구축, 교육, 개인정보파일 관리·감독, 처리방침 관리, 자원과 정보 관리, 파기입니다.
취임 직후에는 이 업무를 수행할 수 있는 권한과 보고 체계를 확인한 다음, 개인정보를 처리하는 업무와 담당자를 목록으로 만들고, 실제 수집 화면·처리방침·보유·파기·접근권한·수탁사 현황을 차례로 확인해 보세요.
법령은 개정될 수 있으므로 실제 업무에 적용할 때는 적용 시점의 국가법령정보센터 현행 조문과 개인정보보호위원회 공식 안내를 함께 확인하시기 바랍니다.
