개인정보 보호위원회

업무 현장에서 궁금해 할 만한 개인정보 관련 법‧제도‧정책‧사례 등을 개인정보보호위원회 전문가들이 골라서 설명해드립니다.개인정보 관련 모니터링과 사전검토가 필요한 기업에는 가이드가 되고,개인정보에 관심이 많은 분들께는 현안,이슈를 두루 살펴볼 수 있는 유용한 창구가 되기를 기대합니다.소재에 관한 제언이나 그 이외의 의견은 언제든지 환영합니다.pipcpr@korea.kr 로 연락주시기 바랍니다.

[12.9.(월).발행]

인공지능 시대,개인정보보호책임자(CPO)의 역할

 개인정보보호책임자(Chief Privacy Officer,이하‘CPO’) 제도는개인정보관련 법규 준수,오남용 방지 등 개인정보처리자의 개인정보 보호활동을 촉진하고 책임을 부과하는 규제 장치의 하나로서 소상공인기본법에 따른 소상공인을 제외한 기업 등 개인정보처리자는 개인정보 보호법 제31조에 따라 개인정보 처리에 관한 업무를 총괄해서 책임질CPO를 지정하여야 합니다.

CPO는 개인정보 보호 계획의 수립 및 시행,개인정보 처리실태 조사,개인정보 유출방지를  위한 내부 통제시스템의 구축 등 조직 내 개인정보 처리 및 보호 업무에 관한 중추적 역할을 수행하고 있습니다. 이에 따라,CPO에게는 개인정보 관련 규제 준수,기술변화 대응,비즈니스 전략 고려 등 대내외 환경 변화를 파악하고 적정하게 대응하기 위한 복합적 자질과 높은 전문성이 요구됩니다. 아울러, 인공지능 시대 심화와 함께 점점 더 복잡해지는 디지털 규제 환경과 기술적·사회적변화에 따른 리스크와 영향을 효과적으로 평가하고 관리할 수 있는 CPO의 역할이 더욱 중요해지고 있습니다. 특히, 개인정보보호, 인공지능 거버넌스, 사이버 보안, 안전 및 신뢰 등 조직의 디지털 거버넌스를 구성하는 요소가 광범위하고 상호 연계됨에따라 디지털 거버넌스를 설계·조정하는 리더로서 CPO의 책임과 권한도 확장될 것으로 전망됩니다.

이러한 시대적 흐름을 반영하여 개인정보보호위원회(이하'개인정보위')는 CPO의 조직 내 위상과 전문성을 강화하는 것이 CPO역할과 책임 확대를 위한 선결요건이라 인식하고, 개인정보 보호 법령의 개정을 통해 CPO의 자격요건과 업무 수행 체계를 명확하게 규정한 전문CPO제도를 2024년 3월 15일부터 전면 시행하였습니다.

종전에는 CPO를 지정하는 데 있어서 단지 대표자·임원 등으로 지정할 수 있는 직위요건만 규정하고 구체적인 자격요건에 대한 규정이 없었습니다. 이에CPO의 전문성 강화를 목적으로 개인정보 보호법 시행령 제 32조개정을통해 개인정보처리자의 매출액과 개인정보의 보유 규모를 고려하여 대규모 개인정보처리자는 개인정보보호·정보보호·정보기술 경력 합을 4년 이상 보유하고 그 중 개인정보 보호 경력을 2년 이상 필수로 보유한 자격요건을 갖춘 전문CPO를지정 하도록 의무화하였습니다. 전문CPO를 지정하여야 하는 대상기관에는▴연간 매출액등이 1,500억 원 이상인 자로서 100만명 이상의 개인정보 또는 5만명 이상의 민감정보·고유식별정보를 처리하는 개인정보처리자,▴재학생 수가 2만명 이상인 대학교,▴상급종합병원,▴공공시스템운영기관이 포함됩니다. 또한, 개인정보처리자는 CPO가  개인정보업무에  관해 정기적으로 대표자 또는 이사회에 직접 보고할 수 있는 체계를 구축하고, CPO의 업무 수행에적합한조직체계를 마련하며인적·물적 자원을 제공하도록 규정하였습니다. 이를 바탕으로, CPO가 개인정보처리 및 보호에 관한 전사적 전략을 수립하고 실질적 역할을 하는 데 전문CPO제도가 기여할 수 있을 것으로 기대됩니다.

기술의 사회적 편익과 위험이 복잡하게 얽혀있는 인공지능 심화 시대에서는 기존의 전통적 데이터 처리 양상과는 달리 정보주체가 예측하기 어려운 방식으로 데이터 처리가 복잡화·다변화되고 있습니다. 데이터 처리 방식의 근본적 변화로 인해 개인정보 유·노출 등 전형적인 프라이버시 리스크가 심화될 뿐만 아니라 새로운 유형의 리스크도 급증하면서 정보주체의 통제권 행사 만으로는 체계적 안전 관리와 정보주체의 권리보장에 한계가 존재합니다. 따라서,프라이버시 리스크 변화에 전략적으로 대응하기 위해 CPO중심의 내부 거버넌스 체계 수립 등 개인정보처리자의 적극적인 노력이 필수적이며, 전문CPO제도는 이러한 맥락에서 개인정보처리자의  책임성 강화와 정보주체의 권리 향상을 위한 교두보 역할을 할 수 있습니다.  궁극적으로,CPO의 전문성이 제고 되고 조직 내 위상이 강화되면서 CPO가 수동적 법규 준수 역할에서 벗어나 데이터 디지털 거버넌스 관련 적극적·전향적 역할을 수행하게 될 것입니다.

개인정보보호위원회 자율보호정책과 공수진 사무관