앞선 글에서는 개인정보 보호책임자, CPO를 누구로 정해야 하는지 살펴봤습니다. CPO로 지정된 뒤 어떤 업무부터 확인해야 하는지도 정리했죠.
그런데 여기서 한 가지 더 확인해야 할 사실이 있습니다.
CPO는 이사회에 개인정보 보호 현황과 주요 사항을 보고해야 한다는 점, 알고 계셨나요?
2026년 9월 11일부터 시행되는 개정 개인정보 보호법에는 CPO의 법정 업무로 ‘사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고’가 새롭게 들어갑니다. 이제 개인정보 보호는 CPO나 실무부서만의 업무가 아니라, 대표자와 이사회가 함께 확인하고 결정해야 하는 경영 과제가 됩니다.
이 글에서는 개정 전과 후 무엇이 달라지는지, 법에서 확인되는 내용과 아직 조직이 정해야 하는 실무 항목은 무엇인지 차례로 알아보겠습니다.
먼저 결론부터 확인해 보세요
2026년 9월 11일부터 CPO의 법정 업무에 이사회 보고가 포함됩니다.
다만 ‘모든 회사가 CPO를 선임할 때 이사회 의결을 해야 한다’는 뜻은 아닙니다. 2026년 9월 11일 시행 예정인 시행령 개정안 기준으로, CPO 지정·변경·해제 때 이사회 의결을 거치고 개인정보보호위원회에 신고해야 하는 대상은 다음과 같습니다.
- 연간 매출액 또는 수입이 1,800억 원 이상이면서, 5만 명 이상의 정보주체에 관한 민감정보·고유식별정보 또는 100만 명 이상의 개인정보를 처리하는 개인정보처리자
- 재학생 수가 2만 명 이상인 대학
- 상급종합병원
- 공공시스템운영기관
이 대상에 해당하면 CPO 지정·변경·해제 의무가 발생한 날부터 1개월 이내에 개인정보보호위원회에 신고해야 하며, 부득이한 사유가 있으면 1개월 연장할 수 있습니다. 현재 국가법령정보센터에 게시된 시행령 본문과 시행 예정 개정안 사이에 시점 차이가 있으므로, 실제 적용 전에는 최종 공포된 시행령과 개인정보보호위원회 안내를 다시 확인해야 합니다.
반면 CPO의 업무로 정해진 이사회 보고는 제31조 제4항 제3호에 별도로 규정되어 있습니다. 따라서 CPO가 있는 조직이라면 개인정보 보호 현황과 주요 사항을 대표자와 이사회에 보고할 수 있는 체계를 미리 마련해야 합니다.
보고 주기, 보고서 양식, ‘주요 사항’의 세부 범위까지 법에 모두 적혀 있는 것은 아닙니다. 이 부분은 조직의 개인정보 처리 규모와 위험 수준에 맞춰 내부 규정과 보고 절차로 정해야 합니다.
개정 전에는 이사회 보고가 법에 명시되어 있었을까?
개정 전 개인정보 보호법 제31조는 개인정보 보호책임자의 지정과 업무를 정하고 있었습니다. CPO는 개인정보 보호 계획 수립·시행, 개인정보 처리 실태 조사와 개선, 불만 처리와 피해 구제, 유출과 오용·남용 방지를 위한 내부통제시스템 구축, 교육 계획 수립·시행, 개인정보파일 관리·감독 등의 업무를 수행했습니다.
개인정보 보호법 시행령 제32조에도 처리방침의 수립·변경·시행, 개인정보 처리에 필요한 인적·물적 자원과 정보의 관리, 개인정보의 파기 등 CPO의 구체적인 업무가 정해져 있었습니다.
하지만 개정 전 제31조에 ‘사업주 또는 대표자 및 이사회에 개인정보 보호 현황과 주요 사항을 보고한다’는 문구가 별도로 명시되어 있지는 않았습니다. 조직에 따라 대표자 보고나 내부 결재, 보안위원회 보고 등을 운영할 수는 있었지만, 이를 개인정보 보호법상 CPO의 법정 업무라고 일반화하기는 어려웠습니다.
즉, 개정 전에는 이사회 보고가 조직의 내부통제나 경영 판단에 따라 운영되는 영역이었다면, 개정 후에는 CPO가 수행해야 하는 법정 업무로 명확해집니다.
개정 후에는 무엇이 달라질까요?
개정 개인정보 보호법 제31조는 CPO의 업무에 다음 내용을 추가했습니다.
사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고
이 문장은 단순히 보고서를 작성하라는 의미로만 보기 어렵습니다. CPO가 개인정보 보호 현황을 파악하고, 중요한 위험과 개선 필요 사항을 경영진과 이사회가 확인할 수 있도록 전달하는 책임이 법에 들어온 것입니다.
또한 개정법 제30조의3은 개인정보처리자의 사업주 또는 대표자를 개인정보의 안전한 처리와 정보주체의 권리 보호에 대한 최종적인 책임자로 규정합니다. 사업주 또는 대표자는 개인정보 보호에 필요한 전문 인력과 충분한 예산을 지원하는 등 총괄적인 관리 조치를 실효성 있게 해야 합니다.
정리하면 역할은 이렇게 나뉩니다.
틈새 정리 : 개정 전 / 개정 후 표로 비교해보기
| 구분 | 개정 전 | 2026년 9월 11일 이후 |
|---|---|---|
| 대표자 책임 | 개인정보 보호에 대한 일반적인 관리 책임 | 안전한 처리와 정보주체 권리 보호에 대한 최종 책임을 법에 명시 |
| CPO의 이사회 보고 | 법정 업무로 명시되지 않음 | 개인정보 보호 현황 및 주요 사항의 보고를 법정 업무로 명시 |
| CPO 지정·변경·해제 | 현행 기준에 따른 지정 | 일정 기준에 해당하면 이사회 의결 및 개인정보보호위원회 신고 필요 |
| 보고 주기·세부 항목 | 조직별 내부 기준에 따라 운영 | 이사회 보고 의무는 명시되지만 주기·세부 항목은 조직이 정해야 함 |
이사회 의결과 이사회 보고는 다릅니다
여기서 말하는 ‘의결’과 ‘보고’는 이름만 다른 같은 절차가 아닙니다. 목적과 결과가 완전히 다릅니다.
| 구분 | 이사회 의결 | 이사회 보고 |
|---|---|---|
| 무엇을 위한 절차인가요? | CPO를 지정·변경·해제할지 이사회가 안건으로 심의하고 결정하는 절차 | CPO가 개인정보 보호 현황과 주요 사항을 이사회에 설명하고 공유하는 절차 |
| 언제 하나요? | 일정 기준에 해당하는 조직이 CPO를 지정·변경·해제할 때 | 개정법 시행 후 CPO의 법정 업무로서, 조직이 정한 정기·수시 보고 시점에 |
| 무엇이 남아야 하나요? | 의결 안건, 찬반 또는 결정 내용, 이사회 의사록, 해당 시 개인정보보호위원회 신고 | 보고자료, 확인된 사실과 근거, 미확인 범위, 질의·답변, 후속조치 기록 |
| 결과는 무엇인가요? | CPO 지정·변경·해제에 대한 이사회의 공식 결정 | 개인정보 보호 상태를 이사회가 파악하고 필요한 조치·예산·인력 등을 판단할 수 있는 정보 |
의결은 ‘CPO를 어떻게 할지 결정’하는 절차입니다
연간 매출액 또는 수입 1,800억 원 이상이면서 5만 명 이상의 민감정보·고유식별정보 또는 100만 명 이상의 개인정보를 처리하는 개인정보처리자, 재학생 수 2만 명 이상인 대학, 상급종합병원, 공공시스템운영기관은 시행령 개정안 기준을 확인해야 합니다. 이 대상이 CPO를 지정·변경·해제할 때는 이사회 의결을 거치고, 의무 발생일부터 1개월 이내 개인정보보호위원회에 신고하는 절차가 따라옵니다. 부득이한 사유가 있으면 1개월 연장할 수 있습니다.
즉 의결 자료에는 ‘누구를 CPO로 지정할지’, ‘변경·해제 사유가 무엇인지’, ‘권한과 책임을 어떻게 부여할지’를 안건으로 올리고, 최종 결정과 의사록을 남겨야 합니다.
보고는 ‘개인정보 보호 상태를 공유하고 판단받는’ 절차입니다
이사회 보고는 CPO 지정 안건에 대한 찬반을 묻는 절차가 아닙니다. CPO가 개인정보 보호 현황과 주요 사항을 대표자 및 이사회에 설명하고, 이사회가 현재 상태와 개선 필요 사항을 파악할 수 있도록 하는 절차입니다.
보고 자료에는 예를 들어 주요 개인정보 처리 업무, 처리방침과 실제 수집 화면의 차이, 보유·파기 현황, 접근권한, 수탁자, 사고·민원·권리행사, 개선 과제와 의사결정 요청을 담을 수 있습니다. 보고 주기와 세부 항목은 법에 일률적으로 정해져 있지 않으므로 조직의 처리 규모와 위험 수준에 맞춰 내부 규정으로 정해야 합니다.
따라서 내부 규정에서는 의결 문서와 보고 문서를 별도로 관리해야 합니다. 의결 문서에는 결정과 의사록을, 보고 문서에는 현황·근거·미확인 사항·후속조치를 남기는 방식입니다.
이사회 보고 기준을 이렇게 세워 보세요
2편에서는 CPO가 지정된 뒤 개인정보 처리 업무, 처리방침, 보유·파기, 접근권한, 수탁자 현황을 어떤 순서로 확인할지 다뤘습니다. 이번에는 그 점검 결과를 이사회가 판단할 수 있는 기준으로 바꿔 보겠습니다. 먼저 2편을 확인하면 흐름을 이해하기 쉽습니다. 2편 보러가기
이사회 보고 기준은 신용정보 관리기준을 참고해 정리하면 실무에서 빠뜨리는 항목이 줄어듭니다. 관리기준 준수 여부, 처리기록의 보존 상태, 관리ㆍ보호인의 점검 결과, 사고나 수시 위험을 나눠 적는 방식입니다.
개인정보 담당자와 보안 담당자가 함께 이사회 자료를 준비한다면, 먼저 실제 수집 항목·운영 방식·보유기간 기준·수탁사 관계를 기준으로 적용 범위를 정해야 합니다. 이 글의 네 가지 기준은 이사회에 현황과 위험을 설명하기 위한 실무 정리입니다. 조직마다 처리하는 정보와 업무 방식이 다르므로, 우리 조직의 적용 범위와 내부 기준에 맞춰 사용하세요.
보고 기준은 네 축으로 정리할 수 있습니다
| 보고 기준 | 보고 기준에 포함할 내용 | 이사회에 보여줄 사실 | 결정이 필요한 경우 |
|---|---|---|---|
| 1. 관리기준 준수 | 수집·처리·이용·보호 기준과 실제 운영의 일치 여부 | 이번 보고 기간의 적용 기준, 점검 범위, 미준수·예외 사항과 원인 | 기준 개정, 통제 보완, 담당 부서 간 책임 조정 |
| 2. 처리기록의 완전성 | 수집·이용, 제공·제공받음, 폐기 기록의 날짜·항목·사유·근거와 보존 상태 | 기록 누락 여부, 보존 상태, 제공·폐기 근거의 확인 가능 여부 | 로그 보강, 보존 체계 개선, 자료 정비 기한 |
| 3. 관리ㆍ보호인 점검 | 관리계획, 점검·개선, 권리행사, 내부통제, 교육의 운영 상태 | 정기 점검 결과, 반복 미흡 항목, 교육·내부통제의 작동 여부, 개선조치 증적 | 전문 인력, 독립성, 교육·점검 예산, 개선 과제 우선순위 |
| 4. 수시 위험과 대외 조치 | 사고 예방을 위한 내부통제와 정기·수시 점검, 필요한 대외 조치 | 사고·오류·민원, 영향 범위, 긴급 조치, 보고·제출 대상 여부 | 긴급 예산, 시스템 변경, 외부 대응 및 후속 점검 |
처리기록은 단순한 문서 보관 목록이 아닙니다. 이사회에서 “어떤 정보를 왜 수집·이용했고, 누구에게 어떤 근거로 제공했으며, 언제 폐기했는가”라는 질문을 받았을 때 답할 수 있게 하는 증적입니다. 보고서에는 항목을 모두 옮겨 적기보다, 기록이 확인되는 범위와 누락·조사 중인 범위을 분리해 적는 편이 좋습니다.
이사회 보고 자료는 이렇게 정리해 보세요
| 이사회 보고 항목 | 확인할 근거 자료 | 보고할 내용 | 후속 결정 |
|---|---|---|---|
| 관리기준 준수 현황 | 내부 관리기준, 적용 부서·시스템 목록, 점검 결과 | 준수 범위와 예외·미흡 사항, 원인, 조치 기한 | 기준·통제 변경 승인 |
| 수집·이용 기록 | 수집 경로, 이용 기록, 날짜·항목·사유·근거 | 처리기록의 누락 여부와 확인 불가 범위 | 기록 체계·책임자 보완 |
| 제공·제공받음·폐기 기록 | 제공처 목록, 제공·수령 근거, 폐기 기록, 보존 위치 | 3년 보존 여부, 폐기 지연·근거 불명확 사례 | 보존·폐기 절차와 시스템 개선 |
| 관리ㆍ보호인 점검 결과 | 점검표, 개선 계획, 교육 기록, 준수 점검 결과 | 반복 미흡 항목, 담당자·기한, 완료 증적 | 인력·교육·점검 예산 |
| 사고·권리행사·대외 조치 | 사고 기록, 민원·권리행사 처리, 통지·신고·제출 자료 | 영향 범위, 긴급 조치, 법정 조치 완료 여부 | 재발 방지 및 긴급 대응 결정 |
캐치시큐 같은 개인정보 관리 도구를 검토할 때도 같은 질문으로 확인해 보세요. 업무별 처리 현황을 목록으로 보이는지, 근거 자료와 담당자를 연결할 수 있는지, 기록 누락과 미해결 조치를 이사회 자료로 꺼낼 수 있는지가 핵심입니다. 제품이 법적 적용 여부를 판단하거나 준수를 보장하는 것은 아니므로, 조직의 법무·준법감시 검토와 함께 운영 기준을 정해야 합니다.
이사회 보고 전 확인할 체크리스트✅
아래 항목은 이사회 보고자료를 준비할 때 바로 확인할 수 있도록 정리한 실무 체크리스트입니다. 체크한 뒤에는 근거 자료 위치나 확인이 더 필요한 사유를 함께 남겨 보세요.
- 보고 대상 기간·범위와 담당자를 정했나요?
- 처리 중인 개인정보와 주요 변경사항을 정리했나요?
- 수집·이용·제공·파기 현황을 확인했나요?
- 처리기록과 근거 자료 위치를 남겼나요?
- 점검 결과와 미흡 조치의 담당자·기한을 정했나요?
- 접근권한·수탁사·교육 등 관리 현황을 확인했나요?
- 사고·민원·권리행사와 긴급 이슈를 구분했나요?
- 이사회 결정이 필요한 예산·인력·기한을 정리했나요?
- 질의·답변과 후속조치 책임자를 남겼나요?
- 다음 보고 시점과 수시 보고 조건을 정했나요?
보고하기 전에 꼭 기억할 점
관리기준과 기록·점검 체계를 이사회 보고에 활용하더라도, 모든 조직에 같은 보고서 양식이나 주기가 맞는 것은 아닙니다. 정기 보고 주기, 수시 보고가 필요한 위험 기준, 의사록과 증적의 보존 방식은 조직의 처리 규모와 위험 수준에 맞춰 정하세요.
보고의 출발점은 “우리는 안전하다”는 선언이 아닙니다. 관리기준이 실제로 지켜졌는지, 처리기록으로 설명할 수 있는지, 점검에서 무엇이 미흡했는지, 이사회가 무엇을 결정해야 하는지를 구분해 보여주는 일입니다. 자료가 아직 모이지 않은 부분은 문제 없음으로 처리하지 말고, 미확인 사유와 확인 기한을 남기세요.
적용 대상과 세부 기준, 외부 제출 여부는 실제 업무에 적용하기 전에 조직의 업무 범위에 맞춰 다시 확인하세요.
참고한 법령과 자료
※ 이 글은 2026년 9월 11일 시행 예정인 개정 개인정보 보호법과 공개된 공식 자료를 기준으로 작성한 실무 안내입니다. 시행령의 최종 조문과 조직별 적용 대상은 실제 업무 적용 시 국가법령정보센터의 현행 법령 및 개인정보보호위원회 공식 안내를 다시 확인해야 합니다.
개인정보 보호 현황과 근거 자료가 여러 부서에 흩어져 있다면, 캐치시큐 개인정보 보호 컨설팅에서 현재 운영 상태와 관리 문서의 연결을 함께 점검해 보세요.
