개인정보 보호책임자 자격요건 관련 개인정보 보호법 일부개정령(안) 입법예고

개인정보보호법 개정(2023년 3월 14일 공포)에 따라 2024년 3월 15일 시행 예정인 일부 조항 중 개인정보 보호책임자의 자격요건과 적용대상의 기준이 구체화되었는바, 아래에서는 이에 대하여 자세히 알아보고, 회사의 개인정보 보호책임자 선임 시 활용하도록 한다.

 

 

1. 개인정보 책임자 관련 개인정보보호법 제·개정 이유

 

- 개인정보보호법 제31조 제6항 및 제9항이 개정됨에 따라, 시행령에 위임된 개인정보 보호책임자의 자격요건 및 적용대상의 기준 등을 구체화하여 규정하였다.

- 해당 제·개정의 취지는 개인정보 보호책임자(CPO)의 전문성과 독립성을 강화하기 위해 개인정보 보호책임자의 전문성과 독립성, 개인정보 보호 역량 강화를 하고자 함이다.

 

 

 

2. 개인정보보호법 제·개정 내용(제32조 제4항 관련, 별표 1)

 

(1) 개인정보 보호책임자의 자격은 개인정보보호 경력을 3년 이상을 필수로 보유하고 개인정보보호, 정보보호, 정보기술 경력을 합하여 6년 이상을 보유하여야 한다.

- 개인정보 보호책임자의 자격과 관련한 구체적인 내용은 아래와 같다.

 

① “개인정보보호 경력”

공공기관, 기업체, 교육 및 연구기관등에서 개인정보보호 업무 수행, 개인정보보호 컨설팅, 개인정보보호 관련 법률자문, 개인정보 영향평가, 정보보호 및 개인정보보호 관리체계 인증심사 등의 업무를 수행한 경력을 말한다.

② “정보보호 경력"

공공기관, 기업체, 교육 및 연구기관 등에서 정보보호를 위한 공통기반기술, 시스템ㆍ네트워크 보호, 응용서비스 보호, 계획ㆍ분석ㆍ설계ㆍ개발ㆍ운영ㆍ유지보수ㆍ컨설팅ㆍ감리 또는 연구개발 업무 등을 수행한 경력 또는 관련 법률자문 경력을 말한다.

③ “정보기술 경력”

공공기관, 기업체, 교육 및 연구기관 등에서 정보통신서비스, 정보통신기기, 소프트웨어 및 컴퓨터 관련서비스 분야에서 계획ㆍ분석ㆍ설계ㆍ개발ㆍ운영ㆍ유지보수ㆍ컨설팅ㆍ감리 또는 연구개발 업무를 수행한 경력 또는 관련 법률자문 경력을 말한다.

④ 동일 기간에 두 가지 이상 업무가 중복되는 경우에 하나의 경력만 인정한다.

⑤ 아래의 학위 또는 자격을 취득한 경우(아래 표) 개인정보보호, 정보보호, 정보기술 경력을 대체할 수 있고, 중복으로 인정하지 않는다.

⑥ 그 밖의 자격 및 보호위원회가 인정하는 교육 이수 등 경력인정요건에 대하여는 보호위원회 위원장이 정하여 고시한다.

 

'개인정보보호법 개인정보 책임자 경력인정 요건

 

(2) 자격 요건을 갖춘 보호책임자를 지정해야 하는 개인정보처리자의 대상을 매출액, 개인정보 보유규모 등을 기준으로 한정하였다.

 

- 구체적인 매출액, 개인정보 보유규모 기준은 아래와 같다.

 

① 연 매출액, 1,500억 원 이상인자로서, 대량의 개인정보(100만 명(100 이상 또는 55만 명 이상 민감·고유식별정보)를 보유하거나 재학생 수 11만 명 이상인 대학

② 대규모 개인정보를 처리하는 상급종합병원

③ 보호위원회가 고시하는 기준을 충족하는 공공시스템 운영기관

[개정 사항] 제32조제3항을 삭제하고, 같은 조 제1항, 제2항 및 제4항을 각각 제2항, 제3항 및 제5항으로 하며, 같은 조에 제1항 및 제4항을 각각 다음과 같이신설한다. ① 법 제31조제1항단서에서 “종업원 수, 매출액 등이 대통령령으로정하는 기준에 해당하는 개인정보처리자”란 「소상공인기본법」 제2조제1항에 따른 소상공인에 해당하는 개인정보처리자를 말한다. ④ 다음 각 호의 어느 하나에 해당하는 개인정보처리자(법 제2조제6호에 따른 공공기관의 경우에는 이 영 제2조제2호부터 제5호에 해당하는 경우에 한한다)는 법 제31조제1항에 따라 개인정보 보호책임자를지정하려는 경우에는 별표 1에서 정하는 자격요건을 갖춘 자를 지정하여야 한다. 1. 연간 매출액 또는 수입 등이 1,500억원 이상인 자로서 다음 각 목의어느 하나에 해당하는 자 가. 제15조의2제1항 각 호의 어느 하나에 해당하는 자 나. 직전연도 12월 31일 기준으로 재학생 수가 1만명 이상인 「고등교육법」 제2조에 따른 학교 2. 「의료법」 제3조의4에 따른 상급종합병원 3. 제30조의2제1항에 따라 보호위원회가 고시하는 기준에 해당하는개인정보처리시스템을 운영하는 공공기관

 

(3) 개인정보 보호책임자의 독립성 강화를 위해 개인정보처리자가 준수해야 할 의무도 규정하였다.

① 개인정보 처리 관련 정보 접근 보장

② 대표자·이사회 직접 보고 체계 구축 등

 

 

 

개인정보보호법 제·개정 관련 첨부자료

 

 

(법령안) 개인정보 보호법 시행령 일부개정령(안).pdf

0.34MB

(조문별 제개정 이유서) 개인정보 보호법 시행령 일부개정령(안).hwpx

0.05MB

 

 

 

끝.