한국개인정보보호책임자협의회(KCPO)가 개인정보보호위원회, KISA와 함께 'CPO(개인정보 보호책임자) 지정·신고 실무 매뉴얼'을 발간했습니다. 개정 법령에 따라 연 매출 1,800억 원 초과 기업, 대형 대학, 상급종합병원, 주요 공공기관 등은 CPO를 지정하거나 변경·해제할 때 이사회 의결을 거쳐 6개월 이내에 신고해야 합니다. 매뉴얼에는 신고 대상·자격 요건·절차·Q&A 등 실무에 필요한 내용이 망라되어 있습니다. 다만 2027년 12월 31일까지는 계도기간으로, 위반 시에도 과태료가 부과되지 않습니다.
개정 개인정보 보호법에 따른 CPO 지정·신고 의무화 제도가 시행되며, 관련 실무 매뉴얼이 공식 발간되었다.
연 매출 1,800억 원 초과 기업 및 대형 대학·병원·공공기관은 CPO 지정 시 이사회 의결과 6개월 이내 신고 의무를 이행해야 하며, 미준수 시 과태료 부과 대상이 된다(계도기간 2027년 말까지).
개인정보 보호법 개정으로 CPO 지정·변경·해제 절차가 강화되고 신고 의무가 신설되었다.
KCPO·개인정보위·KISA가 공동으로 실무 매뉴얼을 발간하여 신고 대상 판단, 이사회 의결 절차, 온라인 신고 방법 등을 안내하고 있다.
신고 대상 기관의 보안·개인정보 담당자는 매뉴얼을 통해 CPO 자격 요건과 신고 절차를 사전에 확인하고, 계도기간(~2027.12.31) 내에 정비를 완료하는 것이 바람직하다.
본문
(출처=개인정보보호책임자협의회)
한국개인정보보호책임자협의회는 11일 개인정보보호위원회, 한국인터넷진흥원(KISA)과 공동으로 '개인정보 보호책임자(CPO) 지정·신고 실무 매뉴얼'을 발간했다.
개정 법령에 따라 일정 요건에 해당하는 기업·기관은 CPO를 지정·변경·해제할 때 이사회 의결을 거쳐야 하며, 사유 발생일부터 6개월 이내 개인정보위에 신고해야 한다.
이미 지정된 CPO는 별도 이사회 의결 없이 시행일부터 6개월 안에 신고하면 된다. 부득이한 사유가 인정되면 신고 기간은 최대 1년까지 연장할 수 있다.
신고 대상은 연 매출 또는 수입 1800억원을 초과하면서 일정 규모 이상의 민감정보·고유식별정보 또는 개인정보를 처리하는 사업자와 재학생 2만명 이상 대학, 상급종합병원, 주요 공공시스템 운영기관 등이다.
매뉴얼에는 CPO 지정 대상과 자격 요건, 경력 인정 기준, 이사회 의결 절차, 개인정보 포털을 통한 온라인 신고 방법과 증빙자료 첨부 절차 등이 담겼다. 복수 서비스 운영 시 정보주체 수 산정, CPO 변경·해제 신고, 이사회 의결 증빙 등 현장 질의가 많은 사항도 질문답변(Q&A) 형태로 정리했다.
개인정보위는 제도 정착을 위해 2027년 12월 31일까지 계도기간을 운영한다. 이 기간 CPO 미지정, 자격요건 미비, 이사회 의결 의무 위반, 신고 지연 등에 과태료를 부과하지 않는다.
매뉴얼은 개인정보위와 한국CPO협의회 누리집에서 내려받을 수 있다.
