한국CPO협의회가 개인정보보호위원회, KISA와 공동으로 'CPO 지정·신고 실무 매뉴얼'을 발간했습니다. 개정 개인정보 보호법이 2026년 9월 11일부터 시행되면서, 일정 규모 이상의 기업·기관은 개인정보 보호책임자(CPO)를 지정하거나 변경·해제할 때 이사회 의결을 거쳐 개인정보보호위원회에 신고해야 하는 의무가 새로 생겼습니다. 신고 대상은 연간 매출 1,800억 원 초과이면서 대규모 개인정보를 처리하는 기업, 재학생 2만 명 이상 대학, 상급종합병원, 주요 공공시스템 운영기관 등입니다. 법 시행일 이전에 이미 CPO를 지정한 기관도 시행일로부터 6개월 이내에 신고해야 하며, 2027년 12월 31일까지는 계도기간으로 운영되어 위반 시 과태료는 부과되지 않습니다.
개정 개인정보 보호법 시행으로 일정 규모 이상 기업·기관에 CPO 지정·변경·해제 시 이사회 의결 및 개인정보보호위원회 신고 의무가 새롭게 부과됐다.
연간 매출 1,800억 원 초과 대규모 개인정보 처리 기업, 대학, 상급종합병원, 공공시스템 운영기관 등이 영향을 받으며, 미이행 시 과태료 부과 가능(계도기간 종료 후).
개인정보 보호법 개정에 따른 CPO 제도 강화로, 개인정보 보호 책임자의 지위와 역할을 법적으로 명확히 하기 위해 신고 의무가 신설됐다.
한국CPO협의회·개인정보보호위원회·KISA가 공동으로 실무 매뉴얼을 발간했으며, '개인정보 포털'을 통한 온라인 신고 시스템을 운영 중이다. 기존 CPO 보유 기관은 시행일로부터 6개월 이내에 신고해야 한다.
신고 대상 기관은 즉시 CPO 지정 요건·자격을 점검하고, 이사회 의결 절차를 준비해야 한다. 2027년 12월 31일까지 계도기간이 운영되므로 해당 기간 내 제도를 정비하는 것이 중요하다.
본문
한국개인정보보호책임자협의회(한국CPO협의회, 회장 염흥열)가 개정 '개인정보 보호법' 시행일인 9월 11일에 맞춰 '개인정보 보호책임자(CPO) 지정·신고 실무 매뉴얼'을 발간했다. 개인정보보호위원회와 한국인터넷진흥원(KISA)과 공동으로 만들었다.
이번 매뉴얼은 이날부터 개인정보위 누리집 'pipc.go.kr'의 정책·법령 -> 법령정보 -> 안내서와 한국CPO협의회 누리집 'kcpo.or.kr'의 알림마당 -> 공지사항에서 내려받을 수 있다.
11일 협회에 따르면, 이번 개정 법령의 주요 내용 중 하나는 일정 요건에 해당하는 개인정보처리자를 대상으로 CPO 지정·변경·해제 시 이사회 의결을 거치고 개인정보위에 신고하도록 하는 의무가 신설된 것이다.
법 개정에 따라 신고 대상에 해당하는 기업 및 기관은 CPO를 지정·변경·해제하는 경우 이사회의 의결을 거쳐야 하며, 신고 사유가 발생한 날부터 6개월 이내에 개인정보위에 신고서를 제출해야 한다.
법 시행일인 9월 11일 이전에 이미 지정된 CPO의 경우 별도의 이사회 의결을 거치지 않아도 되지만, 시행일부터 6개월 이내에 개인정보위에 신고해야 한다. 다만, 경영상 이유로 이사회 소집이 어려운 경우 등 부득이한 사유가 있다고 개인정보위가 인정하는 경우에는 개인정보처리자의 요청에 따라 신고 기간을 최대 1년까지 연장할 수 있다.
신고 및 이사회 의결 의무가 적용되는 대상은 현행법상 전문 CPO 지정 의무 대상과 동일하게 ▲연간 매출액 또는 수입이 1,800억 원을 초과하면서 5만 명 이상의 민감정보·고유식별정보 또는 100만 명 이상의 개인정보를 처리하는 자 ▲재학생 수 2만 명 이상인 대학 ▲상급종합병원 ▲주요 공공시스템을 운영하는 공공시스템운영기관 등이다.
11일 발간한 실무 매뉴얼은 CPO 지정·신고 업무 과정에서 발생할 수 있는 다양한 실무상 의문을 해소할 수 있도록 구체적인 절차와 기준, 관련 서식, FAQ 등을 담았다. 주요 내용은 ▲CPO 지정 대상 및 직위·자격 요건 ▲학위·자격증 및 교육 이수 등에 따른 경력 인정 기준 ▲이사회 의결 등 CPO 지정·변경·해제 시 절차 ▲'개인정보 포털'을 통한 온라인 신고 시스템의 화면별 입력 절차 및 증빙자료 첨부 방법 등으로 구성됐다. 특히 현장에서 질의가 많았던 복수 서비스 운영 시 정보주체 수 산정 방식, CPO 변경·해제 시 신고 방법, 이사회 의결 증빙 방법 등을 Q&A 형태로 정리해 실무 활용도를 높였다.
한편, 개인정보위는 신규 CPO 제도 도입에 따른 대상기관의 부담을 완화하고 제도의 안정적 정착을 위해 2027년 12월 31일까지 계도기간을 운영할 예정이다. 계도기간 중에는 ▲CPO 미지정 ▲CPO 자격요건 미비 ▲이사회 의결 의무 위반 ▲신고 해태 등 법령 위반에 대해 과태료를 부과하지 않는다.
염흥열 한국CPO협의회 회장은 "이번 매뉴얼 발간을 계기로 회원사를 비롯한 현장의 CPO와 개인정보 보호 실무자들이 신규 제도를 원활하게 이행할 수 있도록 관련 제도를 안내하고 CPO의 전문성과 역량 강화를 지속적으로 지원할 예정이다"고 밝혔다.
