韩国个人信息保护委员会《个人信息保护负责人（CPO）指定·申报实务手册》（개인정보 보호책임자 지정·신고 실무 매뉴얼，2026年9月版）

【说明】以下为韩国个人信息保护委员会《个人信息保护负责人指定·申报实务手册》（2026年9月版）正文（韩文原文，PDF 文字层完整提取）。 官方页面：https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=&nttId=12466 提取范围：全 61 页。如需引用，请以韩国个人信息保护委员会官方韩文原文为准。 --- p4 --- 개인정보 보호책임자 지정·신고 제도 안내서 발간 목적 본 안내서는 「개인정보 보호법」에서 정한 개인정보 보호책임자 지정 및 신고 등에 대한 주요 사항을 안내합니다. 재검토 기한 안내서의 최신성을 유지하기 위해 발간일(2026년 9월)을 기준으로 3년마다(매 3년이 되는 해의 1월 1일 전까지를 말함) 보완 및 개선 등의 조치를 위해 그 타당성을 검토할 예정입니다. 저작권 표시 본 안내서 내용의 무단 전재를 금하며, 가공·인용할 때는 출처를 밝혀 주시기 바랍니다. * 출처 : 개인정보보호위원회 「개인정보 보호책임자 지정·신고 실무 매뉴얼」 2026.9. 문의처 본 안내서 내용 관련 문의는 개인정보보호위원회 자율보호정책과(☎02-2100-3082)로, 개인정보 보호책임자 신고 절차 등에 관한 사항은 한국인터넷진흥원 개인정보제도팀(☎061-820-2734)로 문의 주시기 바랍니다. 관계법령 「개인정보 보호법」 제31조 및 동법 시행령 제32조 등 ※ 법령 최신 자료는 국가법령정보센터(www.law.go.kr), 개인정보 보호 안내서 최신 자료는 개인정보보호위원회 누리집*, 개인정보 포털**을 참고 * 개인정보보호위원회 누리집(www.pipc.go.kr) : 법령 〉 법령정보 〉 안내서 ** 개인정보 포털(www.privacy.go.kr) : 자료 〉 자료보기 〉 안내서 안내 사항 --- p5 --- CONTENTS Ⅰ 개인정보 보호책임자란? .........................................1 1. CPO 정의 및 업무 .............................................................3 2. CPO 독립성 .....................................................................6 Ⅱ CPO 지정신고 제도 ................................................9 1. CPO 지정 대상 ...............................................................11 2. CPO 지정 요건 ...............................................................11 2-1. 직위 요건 .................................................................11 2-2. 자격 요건 .................................................................13 Ⅲ CPO 신고 제도 .......................................................23 1. 신고 대상 .......................................................................25 2. 신고 절차 .......................................................................28 3. 신고 방법 .......................................................................32 Ⅳ 행정조치 ......................................................................41 붙임1 CPO 제도 관련 개인정보 보호법 및 시행령 조문 .............46 붙임2 개인정보 보호책임자 지정 및 경력 인정에 관한 고시 ........51 --- p7 --- 개인정보 보호책임자 지정·신고 제도 안내서 개인정보 보호책임자란? Ⅰ --- p9 --- 3 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 • ‌‌개인정보 보호책임자(Chief Privacy Officer, 이하 ‘CPO’)는 개인정보처리자의 개인정보 처리 및 보호에 관한 업무를 총괄하여 담당하는 사람을 말함 ■ CPO의 업무 • ‌‌CPO는 「개인정보 보호법」(이하 ‘법’) 제31조제4항 및 동법 시행령(이하 ‘영’) 제32조제5항에 따른 업무를 총괄하여 수행함 1. 개인정보 보호 계획의 수립 및 시행 2. 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보 3. 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고 4. 개인정보 처리 및 보호의 실태와 관행에 대한 정기적인 조사 및 개선 5. 개인정보 처리와 관련한 불만의 처리 및 피해 구제 6. 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축 7. 개인정보 보호 교육 계획의 수립 및 시행 8. 개인정보파일의 보호 및 관리ㆍ감독 9. 법 제30조에 따른 개인정보 처리방침의 수립ㆍ변경 및 시행 10. 개인정보 처리와 관련된 인적ㆍ물적 자원 및 정보의 관리 11. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기 ※ 2026년 3월 법 개정으로 “2. 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보”, “3. 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고”가 CPO의 업무로 추가되었음 Ⅰ 개인정보 보호책임자란? 1 CPO 정의 및 업무 --- p10 --- 4 • ‌‌CPO는 개인정보 보호와 관련하여 이 법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고하여야 함(법 제31조제6항) <개인정보 보호법> 제31조(개인정보 보호책임자의 지정 등) ① 개인정보처리자는 개인정보의 처리 및 보호에 관한 업무를 총괄해서 담당할 개인정보 보호책임자를 지정하여야 한다. 다만, 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다. ② 제1항 단서에 따라 개인정보 보호책임자를 지정하지 아니하는 경우에는 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다. ③ 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 다음 각 호의 사항을 준수하여야 한다. 1. 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회(법인인 경우로 한정한다. 이하 같다)의 의결을 거칠 것 2. 보호위원회에 대통령령으로 정하는 바에 따라 개인정보 보호책임자 지정·변경 또는 해제에 관한 사항을 신고할 것 ④ 개인정보 보호책임자는 다음 각 호의 업무를 수행한다. 1. 개인정보 보호 계획의 수립 및 시행 2. 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보 3. 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고 4. 개인정보 처리 및 보호의 실태와 관행에 대한 정기적인 조사 및 개선 5. 개인정보 처리와 관련한 불만의 처리 및 피해 구제 6. 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축 7. 개인정보 보호 교육 계획의 수립 및 시행 8. 개인정보파일의 보호 및 관리ㆍ감독 9. 그 밖에 개인정보의 적절한 처리 및 보호를 위하여 대통령령으로 정한 업무 ⑤ 개인정보 보호책임자는 제4항 각 호의 업무를 수행함에 있어서 필요한 경우 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다. 개인정보 보호책임자 지정·업무 관련 법령 --- p11 --- 5 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 ⑥ 개인정보 보호책임자는 개인정보 보호와 관련하여 이 법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고하여야 한다. <개인정보 보호법 시행령> 제32조(개인정보 보호책임자의 지정 등) ⑤ 법 제31조제4항제9호에서 “대통령령으로 정한 업무”란 다음 각 호와 같다. 1. 법 제30조에 따른 개인정보 처리방침의 수립ㆍ변경 및 시행 2. 개인정보 처리와 관련된 인적ㆍ물적 자원 및 정보의 관리 3. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기 --- p12 --- 6 2 CPO 독립성 • ‌‌개인정보처리자는 CPO가 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 해서는 안 되며, CPO가 업무를 독립적으로 수행할 수 있도록 보장하여야 함(법 제31조제7항) • ‌‌개인정보처리자는 CPO의 독립적 업무수행을 보장하기 위하여 아래의 사항을 준수하여야 함 ① 개인정보 처리와 관련된 정보에 대한 CPO의 접근 보장(영 제32조제7항제1호) ※ CPO는 업무를 수행함에 있어서 필요한 경우 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있음(법 제31조제5항) ② CPO가 개인정보 보호 계획의 수립ㆍ시행 및 그 결과에 관하여 정기적으로 대표자 또는 이사회에 직접 보고할 수 있는 체계의 구축(영 제32조제7항제2호) ※ CPO는 사업주 또는 대표자 및 이사회에 개인정보 보호 현황 및 주요 사항을 보고하여야 함(법 제31조제4항제3호) ③ CPO의 업무 수행에 적합한 조직체계의 마련 및 인적ㆍ물적 자원의 제공(영 제32조제7항제3호) ※ 개인정보처리자의 사업주 또는 대표자는 개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 최종적인 책임자로서 개인정보 보호에 필요한 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 하여야 함(법 제30조의3) --- p13 --- 7 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 <개인정보 보호법> 제31조(개인정보 보호책임자의 지정 등) ⑦ 개인정보처리자는 개인정보 보호책임자가 제4항 각 호의 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며, 개인정보 보호책임자가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다. <개인정보 보호법 시행령> 제32조(개인정보 보호책임자의 업무 및 지정요건 등) ⑦ 개인정보처리자(법 제31조제2항에 따라 사업주 또는 대표자가 개인정보 보호책임자가 되는 경우는 제외한다)는 법 제31조제7항에 따른 개인정보 보호책임자의 독립성 보장을 위해 다음 각 호의 사항을 준수해야 한다. 1. 개인정보 처리와 관련된 정보에 대한 개인정보 보호책임자의 접근 보장 2. 개인정보 보호책임자가 개인정보 보호 계획의 수립ㆍ시행 및 그 결과에 관하여 정기적으로 대표자 또는 이사회에 직접 보고할 수 있는 체계의 구축 3. 개인정보 보호책임자의 업무 수행에 적합한 조직체계의 마련 및 인적ㆍ물적 자원의 제공 개인정보 보호책임자 독립성 관련 법령 --- p15 --- 개인정보 보호책임자 지정·신고 제도 안내서 CPO 지정신고 제도 Ⅱ --- p17 --- 11 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 • ‌‌원칙적으로 모든 개인정보처리자는 개인정보의 처리 및 보호에 관한 업무를 총괄해서 담당할 CPO를 지정하여야 함(법 제31조제1항) - 다만, 「소상공인기본법」 제2조제1항에 따른 소상공인에 해당하는 개인정보 처리자는 CPO를 별도로 지정하지 않을 수 있으며, 이 경우에는 사업주 또는 대표자가 CPO가 됨(법 제31조제1항 및 제2항, 영 제32조제1항) 2 CPO 지정 요건  직위 요건 ① 공공기관이 아닌 개인정보처리자 • ‌‌사업주 또는 대표자, 임원을 CPO로 지정하여야 함(영 제32조제2항제2호) - 임원이란 회사 경영 업무에 주요한 권한이 있고 경영에 책임을 지니는 자로서 「상법」 제401조의2제1항제3호1)에 따라 회사의 업무를 집행한 자와 같은 법 제408조의22)에 따른 집행임원을 포함함 Ⅱ CPO 지정신고 제도 1 CPO 지정 대상 1) 「상법」 제401조의2제1항제3호 이사가 아니면서 명예회장ㆍ회장ㆍ사장ㆍ부사장ㆍ전무ㆍ상무ㆍ이사 기타 회사의 업무를 집행할 권한이 있는 것으로 인정될 만한 명칭을 사용하여 회사의 업무를 집행한 자 2) 「상법」 제408조의2(집행임원 설치회사, 집행임원과 회사의 관계) ① 회사는 집행임원을 둘 수 있다. 이 경우 집행임원을 둔 회사(이하 “집행임원 설치회사”라 한다)는 대표이사를 두지 못한다.(하략) --- p18 --- 12 - 임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장을 CPO로 지정할 수 있음 ※ 임원이 없는 경우란 “개인정보 처리 관련 업무를 담당하는 임원이 없는 경우” 또는 “자격요건을 충족하는 임원이 없는 경우”가 아닌 전체 조직 내에 임원이 없는 경우를 의미함 ② 공공기관에 해당하는 개인정보처리자 • ‌‌아래 기준에 따라 CPO를 지정하여야 함(영 제32조제2항제1호) < 공공기관 CPO 지정 요건 > 구분 요건 가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관 고위공무원단에 속하는 공무원(이하"고위공무원"이라 한다) 또는 그에 상당하는 공무원 나. 가목 이외에 정무직공무원을 장(長)으로 하는 국가기관 3급 이상 공무원(고위공무원을 포함) 또는 그에 상당하는 공무원 다. 가목 및 나목 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로 하는 국가기관 4급 이상 공무원 또는 그에 상당하는 공무원 라. 가목부터 다목까지의 규정에 따른 국가기관 외의 국가기관(소속기관 포함) 해당 기관의 개인정보 처리 관련 업무를 담당하는 부서의 장 마. 시·도 및 시·도 교육청 3급 이상 공무원 또는 그에 상당하는 공무원 바. 시·군 및 자치구 4급 이상 공무원 또는 그에 상당하는 공무원 사. 「초·중등교육법」, 「고등교육법」, 그 밖의 다른 법률에 따라 설치된 각급 학교 해당 학교의 행정사무를 총괄하는 사람(다만, 직전 연도12월31일 기준으로 재학생 수가 2만명 이상인 「고등교육법」 제2조에 따른 학교에 해당하는 경우에는 교직원 중에서 지정 가능) 아. 가목부터 사목까지의 규정에 따른 기관 외의 공공기관 개인정보 처리 관련 업무를 담당하는 부서의 장. 다만, 개인정보 처리 관련 업무를 담당하는 부서의 장이 2명 이상인 경우에는 해당 공공기관의 장이 지명하는 부서의 장 --- p19 --- 13 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치  자격 요건 【적용 대상】 • ‌‌아래의 개인정보처리자(공공기관의 경우에는 영 제2조제2호, 제3호, 제3호의2, 제4호 및 제5호에 해당하는 경우로 한정*)는 개인정보보호 경력 등 자격요건을 갖춘 자를 CPO로 지정하여야 함(영 제32조제2항) * 중앙행정기관 및 지방자치단체 등 국가기관은 적용되지 않음 ① 연간 매출액 3) 등이 1,800억원을 초과하는 자(영 제2조제5호 4)에 따른 각급 학교 및 「의료법」 제3조 5)에 따른 의료기관은 제외)로서 다음의 어느 하나에 해당하는 자 - 5만명 이상의 정보주체에 관한 민감정보 또는 고유식별정보를 처리하는 자 - 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자 ※ 공공기관이라 하더라도 매출 또는 수익사업에서 생기는 소득이 발생하고 그 규모가 연간 1,800억 원을 초과하는 경우에는 처리하는 정보의 종류 및 정보주체 수가 법령에서 정한 기준 이상인 경우 전문 CPO지정 및 신고 대상에 해당함 ② 직전 연도 12월 31일 기준 재학생 수(대학원 재학생 수 포함)가 2만명 이상인 「고등교육법」 제2조6)에 따른 학교 ③ 「의료법」 제3조의47)에 따른 상급종합병원 ④ 공공시스템운영기관8) 3) 개인정보처리자가 매출액을 산정하지 않는 경우에는 「법인세법」 제4조제3항제1호에 따른 수익사업에서 생기는 소득을 말함 4) 개인정보 보호법 시행령 제2조제5호 「초ㆍ중등교육법」, 「고등교육법」, 그 밖의 다른 법률에 따라 설치된 각급 학교 5) 「의료법」 제3조(의료기관) 이 법에서 “의료기관”이란 의료인이 공중(公衆) 또는 특정 다수인을 위하여 의료ㆍ조산의 업(이하 “의료업”이라 한다)을 하는 곳을 말한다. 6) 「고등교육법」 제2조(학교의 종류) 고등교육을 실시하기 위하여 다음 각 호의 학교를 둔다. 1. 대학 2. 산업 대학 3. 교육대학 4. 전문대학 5. 방송대학ㆍ통신대학ㆍ방송통신대학 및 사이버대학(이하 “원격대학”이라 한다) 6. 기술대학 7. 각종학교 7) 「의료법」 제3조의4(상급종합병원 지정) ① 보건복지부장관은 다음 각 호의 요건을 갖춘 종합병원 중에서 중증질환에 대하여 난이도가 높은 의료행위를 전문적으로 하는 종합병원을 상급종합병원으로 지정할 수 있다. (하략) 8) 개인정보의 처리 규모, 접근 권한을 부여받은 개인정보취급자의 수 등이 보호위원회가 고시하는 기준에 해당하는 개인정보처리시스템 중에서 보호위원회가 지정하는 개인정보처리시스템을 운영하는 공공기관으로 개인정보보호위원회(pipc.go.kr) > 공지사항 > ‘집중관리 대상 공공시스템 목록’ 참고 --- p20 --- 14 < 자격을 갖춘 CPO 지정 의무 대상 > 【적용 기준】 • ‌‌자격을 갖춘 CPO를 지정해야 하는 개인정보처리자는 개인정보보호 경력, 정보보호 경력, 정보기술 경력을 합하여 총 4년 이상 보유하고, 그 중 개인정보보호 경력을 최소 2년 이상 보유한 사람을 CPO로 지정하여야 함(영 별표 1) 구분 내용 개인정보보호 경력 • 공공기관, 기업체, 교육기관 및 연구기관 등에서 개인정보보호 관련 정책 및 제도ㆍ개인정보 영향평가ㆍ개인정보 보호 인증심사 등 개인정보보호 업무를 수행한 경력, 개인정보보호 관련 컨설팅 또는 법률자문 경력을 말함 정보보호 경력 • 공공기관, 기업체, 교육기관 및 연구기관 등에서 정보보호를 위한 공통기반기술, 시스템ㆍ네트워크 보호, 응용서비스 보호, 계획ㆍ분석ㆍ설계ㆍ개발ㆍ운영ㆍ유지보수ㆍ컨설팅ㆍ감리 또는 연구개발 등 정보보호 업무를 수행한 경력, 정보보호 관련 컨설팅 또는 법률자문 경력을 말함 정보기술 경력 • 공공기관, 기업체, 교육기관 및 연구기관 등에서 정보통신서비스, 정보통신기기, 소프트웨어 및 컴퓨터 관련 서비스 분야의 계획ㆍ분석ㆍ설계ㆍ개발ㆍ운영ㆍ유지보수ㆍ컨설팅ㆍ감리 또는 연구개발 등 정보기술 업무를 수행한 경력, 정보기술 관련 컨설팅 또는 법률자문 경력을 말함 --- p21 --- 15 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 • ‌‌동일 기간에 두 가지 이상 업무가 중복되는 경우 하나의 경력기간만 인정됨 • ‌‌학위 또는 자격을 취득하거나 개인정보보호위원회(이하 “보호위원회”) 주관 교육을 이수한 경우 경력으로 인정받을 수 있음 ① 학위 또는 자격취득 시 업무경력으로 인정되는 기간은 아래와 같음 < CPO 경력 인정 요건(시행령 별표1 및 하위 고시) > 구분 요건 인정 기간 개인정보보호 경력 • 개인정보보호 관련 박사학위 취득자 2년 인정 • 개인정보보호 관련 석사학위 취득자 • 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시 제14조에 따른 정보보호 및 개인정보보호 관리체계 인증심사원 • 개인정보 영향평가에 관한 고시 제5조제2항에 따른 개인정보 영향평가 전문인력 • 「변호사법」 제4조에 따른 변호사 자격 취득자 1년 인정 • 개인정보보호 관련 학사학위 취득자 6개월 인정 정보보호, 정보기술 경력 • 정보보호, 정보기술 관련 박사학위 취득자 2년 인정 • 정보보호, 정보기술 관련 석사학위 취득자 • 정보관리기술사, 컴퓨터시스템응용기술사 1년 인정 • 정보보호, 정보기술 관련 학사학위 취득자 • 정보보안기사, 정보처리기사 6개월 인정 ② 그 밖에 보호위원회가 주관하는 교육을 이수한 경우 최대 3개월의 범위 내에서 개인정보보호 경력을 인정함 ※ 개인정보 보호 경력으로 인정받는 보호위원회 주관 교육 현황은 개인정보보호 배움터 (edu.privacy.go.kr)을 통해 확인 가능 --- p22 --- 16 Q1 임원의 판단 기준은? • ‌‌공공기관 외의 개인정보처리자는 원칙적으로 사업주 및 대표자 또는 임원(「상법」 제401조의2제1항제3호에 따라 회사의 업무를 집행한 자*와 같은 법 제408조의2에 따른 집행임원 포함)으로 CPO를 지정해야 함(전체 조직에 임원이 없는 경우에는 개인정보 처리 관련 업무 담당 부서장을 CPO로 지정할 수 있음) * 이사가 아니면서 명예회장ㆍ회장ㆍ사장ㆍ부사장ㆍ전무ㆍ상무ㆍ이사 기타 회사의 업무를 집행할 권한이 있는 것으로 인정될 만한 명칭을 사용하여 회사의 업무를 집행한 자 • ‌‌이에 따라, CPO의 임원 해당 여부를 판단할 때는 ‘대내외적으로 인정될 만한 이사급 호칭 사용’ 여부와 ‘실질적 의사결정’ 권한을 종합 확인함 - (이사급 호칭) 전무·상무(보)·이사·본부장·처장·임원 등 대내외적으로 인정될만한 이사급 호칭을 사용 ※ 호칭은 단순 부여된 명칭 이외에 인사명령서 및 인사카드, 호칭에 따른 대내외 역할 등을 종합적으로 확인 - (실질적 의사결정) 직무상 독립하여 권한과 책임을 가진 자를 CPO로 지정하여야 함을 고려하여 조직도, 위임전결규정 등을 종합적으로 확인 • ‌‌다만, 개인정보 보호 법령상 CPO의 겸직을 제한하는 규정은 없으므로 타 임원과의 겸직은 가능함 Q2 신고제도 시행일인 2026년 9월 11일 이전에 지정된 CPO도 자격요건을 충족해야 되는지? • ‌‌개정 전 영 제32조제4항에 해당하는 개인정보처리자의 경우 [별표1]에서 정하는 요건을 갖춘 사람을 CPO로 지정하도록 하는 규정은 2024년 3월 15일(공공시스템 운영기관은 2024년 9월 15일)부터 시행되었음 - 따라서, 영 시행일 이후 지정된 CPO는 2024년 3월 15일(공공시스템운영기관은 2024년 9월 15일)부터 자격요건을 충족했어야 하며, - 영 시행일 이전 지정된 CPO*도 신고제도 시행일인 2026년 9월 11일은 자격요건 유예기간(2026.3.14.)이 경과한 시점이므로 자격요건을 충족해야 함 * 영 시행 당시 CPO를 지정한 개인정보처리자는 영 시행일부터 2년(~’26년 3월 14일, 공공 시스템운영기관은 ~’26년 9월 14일) 동안 자격요건을 갖춘 것으로 보도록 유예기간 부여 --- p23 --- 17 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 Q3 CPO를 4년 이상 했다면 자격요건을 충족하는지? • ‌‌CPO로서 4년 이상 해당 업무를 수행하였다면 개인정보보호 경력을 총 4년 이상 보유한 것으로 인정되므로, CPO 자격요건을 충족한 것으로 볼 수 있음 - 다만, 경력증명서, 직무기술서, 인사발령문 등을 통해 CPO지정 사실 및 지정 기간을 확인할 수 있도록 하여야 함 Q4 전문 CPO의 경력으로 인정되는 관련 학위 기준에 법학도 포함되는지? • ‌‌단순히 법학 관련 학위를 취득했다고 해서 CPO경력으로 인정되지는 않으며, 논문 등을 통해 개인정보보호와 관련된 학위를 취득하였음이 확인될 필요가 있음 Q5 소속 부서(팀)가 개인정보 보호 전담 조직이 아니나, 업무분장상 개인정보보호, 정보보호, 정보기술 관련 업무가 포함되어 있을 경우, 경력 인정이 가능한지? • ‌‌소속 부서(팀)의 업무분장상 개인정보보호, 정보보호, 정보기술 관련 업무가 포함되어 있다면 해당 근무 경력에 대해 인정이 가능함 - 다만, 이 경우에도 부서(팀) 내 업무분장상 본인의 주된 업무가 개인정보보호, 정보 보호, 정보기술 관련 업무이어야 함 - 또한, 직무기술서 등을 통해 해당 부서에서 개인정보보호, 정보보호, 정보기술 관련 업무수행 사실을 확인할 수 있도록 하여야 함 Q6 동일 기간 내 개인정보보호·정보보호·정보기술 경력의 중복 인정 범위는 어떻게 되는지? • ‌‌동일한 시기에 개인정보보호·정보보호·정보기술 업무를 수행한 경우, 해당 기간이 별도의 개인정보보호·정보보호·정보기술 경력기간으로 중복 인정되지는 않음 --- p24 --- 18 Q7 대학원 재학 기간과 실무 경력기간이 겹칠 때, 둘 다 경력으로 인정받을 수 있는지? • ‌‌업무경력 외에 개인정보보호, 정보보호, 정보기술 관련 학위를 취득한 경우 이에 따른 경력을 추가적으로 인정 가능함 ※ (예시) 개인정보보호 부서에서 개인정보보호 담당자로 2년간 근무하면서 재직 중에 정보 기술 관련 석사학위를 취득한 경우, 근무 경력 2년에 석사학위 취득에 따른 경력 1년을 더해서 총 3년의 경력을 인정받을 수 있음 Q8 경력증명 서류 제출 시 어떤 서류를 제출해야 하는지? • ‌‌직무기술서, 경력증명서, 학위증명서, 자격증 등 CPO의 경력을 확인할 수 있는 자료로, 자격요건 준수 여부를 입증할 수 있는 자료를 제출해야 함 - 해당 자료에서 개인정보보호 등 경력을 구체적으로 확인할 수 없는 경우, 증빙자료와 함께 어떤 분야의 경력인지 부연 설명을 기재할 필요 ※ (예시) ‘OO.OO~OO.OO 경력은 개인정보보호 경력, XX.OO~XX.OO 경력은 정보보호 경력’ 등 Q9 개인정보처리시스템을 운영한 담당 인력 및 부서장의 경력을 개인정보보호 경력으로 인정해 줄 수 있는지? • ‌‌직무기술서·경력증명서·위임전결규정 등을 통해 영 별표 1에서 규정하고 있는 개인 정보보호·정보보호·정보기술 업무와의 연관성이 입증된 경력은 해당 업무경력으로 인정될 수 있으며, 실무자뿐만 아니라 관리자로서의 경력도 인정 가능함 --- p25 --- 19 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 Q10 상임이사급 이상 직위로 CPO 지정 시 자격요건의 예외로 인정해 줄 수 있는지? • ‌‌CPO를 특정 직위로 지정함을 전제로 자격요건의 예외나 배제에 대해 법령상 규정하고 있지 않으므로 상임이사급 직위로 CPO를 지정한 경우에도 자격요건을 추가로 충족 하여야 함 Q11 법무팀 소속으로 개인정보 관련 법률자문을 일부(예: 연 2~3회 수준)만 수행한 경우에도 CPO 자격요건상 경력으로 인정되는지? • ‌‌법무팀 소속이라는 사실만으로 개인정보보호 업무경력이 인정되는 것은 아니며, 개인정보보호 관련 법률자문을 주된 업무로 수행했음을 직무기술서·경력증명서 등을 통해 입증해야 함 Q12 부서의 장이 아닌 담당자 등으로 개인정보보호, 정보보호, 정보기술 관련 업무를 한 경력도 인정되는지? • ‌‌부서의 장뿐만 아니라 담당자 등으로 업무를 한 경력의 경우에도, 개인정보보호, 정보 보호, 정보기술을 주된 업무로 수행하였다면 경력으로 인정됨 --- p26 --- 20 <개인정보 보호법> 제31조(개인정보 보호책임자의 지정 등) ① 개인정보처리자는 개인정보의 처리 및 보호에 관한 업무를 총괄해서 담당할 개인정보 보호책임자를 지정하여야 한다. 다만, 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다. ② 제1항 단서에 따라 개인정보 보호책임자를 지정하지 아니하는 경우에는 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다. .. 중략.. ⑩ 제1항에 따른 개인정보 보호책임자의 자격요건, 제3항제2호에 따른 신고의 방법 및 절차, 제4항에 따른 업무 및 제7항에 따른 독립성 보장 등에 필요한 사항은 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정한다. <개인정보 보호법 시행령> 제32조(개인정보 보호책임자의 지정 등) ① 법 제31조제1항 단서에서 “종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자”란 「소상공인기본법」 제2조제1항에 따른 소상공인에 해당하는 개인정보처리자를 말한다. ② 개인정보처리자는 법 제31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우에는 다음 각 호의 구분에 따라 지정해야 한다. 이 경우 제3항에 따른 개인정보처리자는 다음 각 호의 구분에 따른 사람 중 별표 1에 따른 개인정보 보호책임자의 자격을 갖춘 사람을 개인정보 보호책임자로 지정해야 한다. 1. 공공기관: 다음 각 목의 구분에 따른 기준에 해당하는 공무원 등 가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관: 고위공무원단에 속하는 공무원(이하 “고위공무원”이라 한다) 또는 그에 상당하는 공무원 나. 가목 외에 정무직공무원을 장(長)으로 하는 국가기관: 3급 이상 공무원(고위공무원을 포함한 다) 또는 그에 상당하는 공무원 다. 가목 및 나목 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로 하는 국가기관: 4급 이상 공무원 또는 그에 상당하는 공무원 라. 가목부터 다목까지의 규정에 따른 국가기관 외의 국가기관(소속 기관을 포함한다): 해당 기관의 개인정보 처리 관련 업무를 담당하는 부서의 장 개인정보 보호책임자 지정·지정 요건 관련 법령 --- p27 --- 21 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 마. 시ㆍ도 및 시ㆍ도 교육청: 3급 이상 공무원 또는 그에 상당하는 공무원 바. 시ㆍ군 및 자치구: 4급 이상 공무원 또는 그에 상당하는 공무원 사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정사무를 총괄하는 사람. 다만, 제3항제2호에 해당하는 경우에는 교직원을 말한다. 아. 가목부터 사목까지의 규정에 따른 기관 외의 공공기관: 개인정보 처리 관련 업무를 담당하는 부서의 장. 다만, 개인정보 처리 관련 업무를 담당하는 부서의 장이 2명 이상인 경우에는 해당 공공기관의 장이 지명하는 부서의 장이 된다. 2. 공공기관 외의 개인정보처리자: 다음 각 목의 어느 하나에 해당하는 사람 가. 사업주 또는 대표자 나. 임원(「상법」 제401조의2제1항제3호에 따라 회사의 업무를 집행한 자와 같은 법 제408조의2에 따른 집행임원을 포함하며, 임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장을 말한다) ③ 법 제31조제3항 각 호 외의 부분에서 “대통령령으로 정하는 기준에 해당하는 개인정보처리자”란 다음 각 호의 어느 하나에 해당하는 개인정보처리자(공공기관의 경우에는 제2조제2호, 제3호, 제3호의2, 제4호 및 제5호에 해당하는 경우로 한정한다)를 말한다. 1. 연간 매출액등이 1,800억원을 초과하는 자(제2조제5호에 따른 각급 학교 및 「의료법」 제3조에 따른 의료기관은 제외한다)로서 다음 각 목의 어느 하나에 해당하는 자 가. 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자 나. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자 2. 전년도 말 기준 재학생 수(대학원 재학생 수를 포함한다)가 2만명 이상인 「고등교육법」 제2조에 따른 학교 3. 「의료법」 제3조의4에 따른 상급종합병원 4. 공공시스템운영기관 --- p29 --- 개인정보 보호책임자 지정·신고 제도 안내서 CPO 신고 제도 Ⅲ --- p31 --- 25 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 • ‌‌CPO지정·변경·해제에 관한 사항을 신고해야 하는 개인정보처리자는 자격을 갖춘 CPO를 지정해야 하는 개인정보처리자와 대상 기준이 동일함 • ‌‌아래의 개인정보처리자(공공기관의 경우에는 영 제2조제2호, 제3호, 제3호의2, 제4호 및 제5호에 해당하는 경우로 한정*)는 CPO지정·변경·해제에 관한 사항을 보호위원회에 신고하여야 함(법 제31조제3항제2호) * 중앙행정기관 및 지방자치단체 등 국가기관은 적용되지 않음 ① 연간 매출액9) 등이 1,800억원을 초과하는 자(영 제2조제5호 10)에 따른 각급 학교 및 「의료법」 제3조11)에 따른 의료기관은 제외)로서 다음의 어느 하나에 해당하는 자 - 5만명 이상의 정보주체에 관한 민감정보 또는 고유식별정보를 처리하는 자 - 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자 ※ 공공기관이라 하더라도 매출 또는 수익사업에서 생기는 소득이 발생하고 그 규모가 연간 1,800억 원을 초과하는 경우에는 처리하는 정보의 종류 및 정보주체 수가 법령에서 정한 기준 이상인 경우 전문 CPO지정 및 신고 대상에 해당함 Ⅲ CPO 신고 제도 1 신고 대상 9) 개인정보처리자가 매출액을 산정하지 않는 경우에는 「법인세법」 제4조제3항제1호에 따른 수익사업에서 생기는 소득을 말함 10) 개인정보 보호법 시행령 제2조제5호 「초ㆍ중등교육법」, 「고등교육법」, 그 밖의 다른 법률에 따라 설치된 각급 학교 11) 「의료법」 제3조(의료기관) 이 법에서 “의료기관”이란 의료인이 공중(公衆) 또는 특정 다수인을 위하여 의료ㆍ조산의 업(이하 “의료업”이라 한다)을 하는 곳을 말한다. --- p32 --- 26 ② 직전 연도 12월 31일 기준 재학생 수(대학원 재학생 수 포함)가 2만명 이상인 「고등교육법」 제2조12)에 따른 학교 ③ 「의료법」 제3조의413)에 따른 상급종합병원 ④ 공공시스템운영기관14) < CPO 신고 의무 대상 > 12) 「고등교육법」 제2조(학교의 종류) 고등교육을 실시하기 위하여 다음 각 호의 학교를 둔다. 1. 대학 2. 산업대학 3. 교육대학 4. 전문대학 5. 방송대학ㆍ통신대학ㆍ방송통신대학 및 사이버대학(이하 “원격 대학”이라 한다) 6. 기술대학 7. 각종학교 13) 「의료법」 제3조의4(상급종합병원 지정) ① 보건복지부장관은 다음 각 호의 요건을 갖춘 종합병원 중에서 중증질환에 대하여 난이도가 높은 의료행위를 전문적으로 하는 종합병원을 상급종합병원으로 지정할 수 있다. (하략) 14) 개인정보의 처리 규모, 접근 권한을 부여받은 개인정보취급자의 수 등이 보호위원회가 고시하는 기준에 해당하는 개인정보처리시스템 중에서 보호위원회가 지정하는 개인정보처리시스템을 운영하는 공공기관 으로 개인정보보호위원회(pipc.go.kr) > 공지사항 > ‘집중관리 대상 공공시스템 목록’ 참고 --- p33 --- 27 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 Q1 개인정보처리자의 국내대리인도 신고대상인지? • ‌‌국내대리인은 개인정보 처리와 관련한 불만의 처리 및 피해 구제 업무 등 CPO의 업무 일부를 대행하여 수행하는 자임 - 따라서, 국내대리인은 신고 대상이 아니며, 국내대리인을 지정한 개인정보처리자의 CPO가 신고 대상이 됨 ※ 국내대리인 지정 관련 상세 내용은 보호위원회·한국인터넷진흥원의 「국내대리인 지정 제도 안내서(2020.12.)」 및 보호위원회 「해외사업자 개인정보 보호법 적용 안내서 (2024.4.)」 참고 Q2 정보주체의 수를 산정할 때 고객 정보 외에 임직원 정보도 포함되는지? • ‌‌개인정보 보호법상 정보주체는 처리되는 개인정보의 주체를 의미하므로 고객뿐만 아니라 임직원 정보도 정보주체 수에 포함됨 Q3 개인정보처리자가 복수의 서비스를 운영하는 경우 모든 서비스를 합산하여 정보주체의 수를 산정하는지? • ‌‌개인정보처리자가 운영하는 전체 서비스의 정보주체 수를 기준으로 산정하여야 함 Q4 법인은 하나이나 하위에 각 사 체제로 운영되는 경우 CPO 지정 절차 및 신고 의무 적용을 위한 매출액·정보주체 수 산정 기준은? • ‌‌개인정보 보호법 제2조제5호상 “개인정보처리자”에 해당하는 대상에 대해 확정할 필요가 있음 - 개인정보 처리의 실질적 관리·통제 권한, 개인정보처리시스템 등 개인정보 처리와 관련된 인적·물적 자원 및 정보관리의 독립적 운영 여부 등을 종합 고려하여 각 사가 독자적 개인정보처리자에 해당하는지를 판단 • ‌‌각 사가 독자적 개인정보처리자에 해당한다면, CPO지정 절차 및 신고 의무 적용을 위한 매출액·개인정보 처리 규모 산정 시 각 사 별로 산정하여야 하며, 각 사별로 CPO를 지정해야 함 --- p34 --- 28 2 신고 절차 • ‌‌신고 대상에 해당하는 개인정보처리자는 CPO를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회(법인인 경우로 한정)의 의결을 거쳐야 함(법 제31조 제3항제1호) • ‌‌또한, 보호위원회에 CPO지정·변경 또는 해제에 관한 사항을 신고하여야 함(법 제31조제3항제2호) - CPO를 지정·변경 또는 해제하는 경우 그 사유가 발생한 날부터 6개월 이내에 보호위원회 고시로 정하는 신고서를 보호위원회에 제출하여야 함 - 개정법 시행일 이전 지정된 CPO를 신고하는 경우 신고기간의 기산점은 개정법 시행일인 2026년 9월 11일이 됨(영 부칙 제2조) - 다만, 보호위원회는 신고기간 내에 CPO지정·변경 또는 해제 신고를 할 수 없는 부득이한 사유*가 있다고 인정하는 경우 개인정보처리자의 요청에 따라 1년의 범위에서 기간을 연장할 수 있음 * 경영상의 이유로 이사회가 소집되기 어려운 경우 등 Q1 이사회 의결의 구체적인 방식이나 시기가 정해져 있는지? • ‌‌이사회 의결의 구체적인 방식이나 시기 등에 대한 특별한 제한은 없음 - 따라서, 정기 이사회뿐만 아니라 임시 이사회 혹은 서면결의 등 관계 법령 및 해당 법인의 정관에 따라 허용되는 범위 내에서 진행할 수 있음 Q2 이사회가 없는 경우 CPO 지정·변경·해제 시 이사회 의결을 거치지 않고 보호위원회에 신고를 해도 되는지? • ‌‌이사회 의결 의무는 법인의 경우에 한정 적용함. 이사회가 없는 구조인 법인의 경우에는 CPO 지정·변경·해제 시 이사회 의결을 거치지 않아도 되나, 이사회가 없음을 입증할 수 있는 증빙자료를 제출하여야 함 --- p35 --- 29 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 Q3 개정법 시행 이전에 이미 CPO를 지정해 둔 개인정보처리자의 경우에도 이사회 의결을 거쳐 신고를 해야 되는지? • ‌‌신고 대상 개인정보처리자가 개정법 시행 전에 이미 CPO를 지정하여 운영하고 있는 경우에는 이사회 의결을 추가로 거칠 필요는 없음 • ‌‌다만, CPO 지정 신고에 관한 의무는 이행하여야 하므로 개정법 시행일인 2026년 9월 11일부터 6개월 이내에 CPO 지정에 관한 사항을 보호위원회에 신고하여야 함 Q4 신고 의무 발생일(사유가 발생한 날)의 기준은? • ‌‌신고 사유가 발생한 날은 실제 임명·발령 등 CPO 신규 지정ㆍ변경·해제 행위가 발생한 날을 의미하며 해당일을 기준으로 신고기간을 산정함 ※ 단, 개정법 시행 이전 CPO를 지정한 경우 개정법 시행일(’26.9.11.)부터 6개월 이내에 개인정보위에 CPO 지정에 관한 사항을 신고하여야 함 Q5 신고를 할 수 없는 부득이한 사유는 무엇이며 부득이한 사유의 인정 절차는? • ‌‌신고를 할 수 없는 부득이한 사유의 예시로 영 제32조제4항은 “경영상의 이유로 이사회가 소집되기 어려운 경우”를 규정하고 있으며, 부득이한 사유의 인정 여부는 개별 사안의 구체적인 사실관계를 종합적으로 고려하여 판단할 필요 • ‌‌신고기간의 연장이 필요한 신고기관은 보호위원회에 소명 자료와 함께 신고기간의 연장을 요청하여야 하며, 부득이한 사유의 인정 여부는 보호위원회가 개별 사안별로 판단함 --- p36 --- 30 Q6 CPO가 다른 사람으로 변경된 경우 변경 신고 방법은? • ‌‌CPO가 변경된 경우, 「개인정보 보호책임자 지정 및 경력 인정에 관한 고시」상 ‘개인 정보 보호책임자 지정·변경·해제 신고서’에 CPO 지정에 관한 사항과 CPO 해제에 관한 사항을 동시에 기재하여 제출하여야 함 - “개인정보 포털”내 CPO 지정 신고시스템에서 CPO 지정 항목과 CPO 해제 항목을 동시에 기입하여 신고할 수 있음 Q7 신고한 CPO의 직위·직급 또는 자격사항 등이 변경된 경우에도 변경 신고를 해야 하는지? • ‌‌변경 신고는 CPO가 다른 사람으로 변경된 경우에 신고의무가 발생하므로 동일한 CPO의 직위·직급, 소속, 자격사항 등 변경 사항은 변경 신고의 대상이 아님 Q8 CPO 사임 후 후임자 충원까지 시간적 공백이 있는 경우, 해제신고와 지정신고를 각각 별도로 해야 하는지? • ‌‌CPO 해제와 CPO 신규 지정은 별개의 신고대상 행위이므로 원칙적으로 해당 행위가 발생한 날을 기산점으로 신고기간이 산정됨 - 신규 CPO 지정이 지연되어 기존 CPO의 해임 신고기간이 먼저 도래할 우려가 있다면 해제신고를 먼저 이행하는 것이 타당함 • ‌‌신고기간이 6개월이므로 CPO 사임 후 6개월 내에 CPO 신규 지정이 가능한 경우라면 6개월 안에 해제신고와 지정신고를 동시에 할 수 있음 --- p37 --- 31 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 <개인정보 보호법> 제31조(개인정보 보호책임자의 지정 등) ③ 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 다음 각 호의 사항을 준수하여야 한다. 1. 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회(법인인 경우로 한정한다. 이하 같다)의 의결을 거칠 것 2. 보호위원회에 대통령령으로 정하는 바에 따라 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 사항을 신고할 것 <개인정보 보호법 시행령> 제32조(개인정보 보호책임자의 지정 등) ④ 제3항에 따른 개인정보처리자는 법 제31조 제3항제2호에 따라 개인정보 보호책임자를 지정ㆍ변경 또는 해제하는 경우 그 사유가 발생한 날부터 6개월 이내에 보호위원회 고시로 정하는 개인정보 보호책임자 지정ㆍ변경ㆍ해제 신고서를 보호위원회에 제출하여야 한다. 다만, 보호위원회는 경영상의 이유로 이사회가 소집되기 어려운 경우 등 부득이한 사유로 기간 내에 신고서를 제출할 수 없다고 인정하는 경우 개인정보처리자의 요청에 따라 1년의 범위에서 기간을 연장할 수 있다. 부칙 제2조(개인정보 보호책임자의 지정 신고에 관한 특례) 제32조제4항의 개정규정에도 불구하고 같은 조 제3항의 개정규정에 따른 기준에 해당하는 개인정보처리자로서 이 영 시행 전에 개인정보 보호책임자를 지정한 개인정보처리자는 이 영 시행일부터 6개월 이내에 같은 조 제4항의 개정규정에 따라 보호위원회에 신고해야 한다. 개인정보 보호책임자 신고 관련 법령 --- p38 --- 32 3 신고 방법 1. 개인정보 포털(www.privacy.go.kr) 상단 메뉴에서 기업·공공 서비스 를 누르고 CPO 신고 를 선택 2. CPO 지정ㆍ신고제도 안내 확인 후 CPO 신고 탭에서 다음 을 누르고 신고 절차 시작 --- p39 --- 33 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 3. 본인인증 * 신고자 본인인증 필요, 본인인증 불가한 경우 이메일(cpo_register@kisa.or.kr)을 통해 신고 --- p40 --- 34 4. 신고서를 작성할 때에는 필수항목을 모두 정확하게 입력하여야 하며, 전화번호는 연락가능한 번호를 기입하여야 함 * 유선 전화번호가 없는 경우 ‘없음’ 선택 * 이사회 의결 증빙서류 : 이사회 개최 결과 보고서, 이사회 의결서(또는 결의서), 이사회 의사록, 이사회 운영 사무국 확인서 등 - 24 - 신고서를 작성할 때에는 필수항목을 모두 정확하게 입력하여야 하며 전화번호는 연락가능한 번호를 기입하여야 함 * 유선 전화번호가 없는 경우 ’없음‘ 선택 * 이사회 의결 증빙서류 : 이사회 개최 결과 보고서, 이사회 의결서(또는 결의서), 이사회 의사록, 이사회 운영 사무국 확인서 등 --- p41 --- 35 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 5. CPO의 경력은 개인정보보호, 정보보호 및 정보기술로 구분하고 관련 업무경력을 수기로 입력하여야 함 * 경력이 인정되는 학위, 자격 보유 등에 대한 사항은 CPO경력 인정 요건 선택 을 누르면 별도의 팝업창이 뜨며 해당되는 요건을 선택하고 저장하면 경력인정 칸에 자동으로 항목별 경력값이 입력됨 --- p42 --- 36 6. 경력 인정 증빙자료는 업무, 교육, 학위, 자격증으로 구분하여 PDF파일로 첨부 하여야 함 * 하나의 구분에 두 개 이상의 파일을 첨부하는 경우 zip 압축파일로 압축하여 첨부 7. CPO 지정·해제를 동시에 신고하려는 경우, 신고서 화면의 개인정보 보호책임자 추가 를 누르면 CPO에 대한 사항을 추가 입력할 수 있음 --- p43 --- 37 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 8. 신고서 작성을 마치면 행정정보 공동이용 동의 여부를 선택함. 동의하지 않는 경우 법인등기사항증명서, 사업자등록증을 첨부함 * 사업자등록증이 없는 해외사업자는 설립증명서(Certificate of Incorporation) 등 해당 법인이 속한 국가의 사업자등록증과 유사한 서류를 유사 증빙서류로 첨부 하단의 신고하기 를 누르면 작성된 CPO 지정ㆍ해제 신고서가 나타남 --- p44 --- 38 9. CPO 지정ㆍ해제 신고서 확인 후 인쇄하기 를 눌러 인쇄하고 기관 직인 날인 후 스캔한 파일(기관 직인 날인이 불가한 경우 권한 있는 자의 서명으로 갈음 가능), 또는 신고서를 첨부한 기관 직인이 날인된 내부 결재문서 업로드, 업로드 후 신고완료 를 눌러 신고를 완료함 --- p45 --- 39 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 10. 신고현황 메뉴를 통해 신고자의 신고 현황을 확인할 수 있음 * 신고 완료 이전 단계에는 신고서의 “취소”, “정정”이 가능함 ☞ 문의처 : cpo_register@kisa.or.kr --- p47 --- 개인정보 보호책임자 지정·신고 제도 안내서 행정조치 Ⅳ --- p49 --- 43 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 • ‌‌CPO‌지정·신고 위반 시 과태료 부과 대상임 - 영의 [별표 2] 과태료 부과 기준은 아래와 같음 <과태료의 부과기준> (단위: 만원) 위반행위 근거 법조문 과태료 금액 1회 위반 2회 위반 3회 이상위반 터. 법 제31조제1항(법 제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보 보호책임자를 지정하지 아니하거나 제31조제10항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 개인정보 보호책임자의 자격요건을 갖추지 아니한 자를 개인정보 보호책임자로 지정한 경우 법 제75조 제2항제14호의2 900 1,800 3,000 퍼. 법 제31조제3항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에 이사회의 의결을 거치지 아니한 경우 법 제75조제2항 제14호의3 900 1,800 3,000 허. 법 제31조제3항제2호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자의 지정ㆍ변경 또는 해제에 관한 사항을 신고하지 아니한 경우 법 제75조제2항 제14호의4 900 1,800 3,000 무. 법 제63조제1항(법 제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 관계 물품ㆍ서류 등 자료를 제출하지 않거나 거짓으로 제출한 경우 법 제75조 제2항제25호 900 1,800 3,000 Ⅳ 행정조치 --- p50 --- 44 위반행위 근거 법조문 과태료 금액 1회 위반 2회 위반 3회 이상위반 부. 법 제63조제2항(법 제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 출입ㆍ검사를 거부ㆍ방해 또는 기피한 경우 법 제75조 제2항제26호 900 1,800 3,000 수. 법 제64조제1항에 따른 시정조치 명령에 따르지 않은 경우 법 제75조 제2항제27호 900 1,800 3,000 • ‌‌보호위원회는 법 제61조에 따른 개선권고, 법 제64조에 따른 시정조치 명령, 법 제75조에 따른 과태료 부과의 내용 및 결과에 대하여 공표할 수 있음(법 제66조 제1항) • ‌‌보호위원회는 아래에 해당하는 경우에는 개인정보처리자에게 관계 물품·서류 등 자료를 제출하게 할 수 있음(법 제63조제1항) - 이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게 된 경우 - 이 법 위반에 대한 신고를 받거나 민원이 접수된 경우 • ‌‌보호위원회는 개인정보처리자가 자료를 제출하지 아니하거나 이 법을 위반한 사실이 있다고 인정되면 소속 공무원으로 하여금 개인정보처리자 및 해당 법 위반사실과 관련한 관계인의 사무소나 사업장에 출입하여 업무 상황, 장부 또는 서류 등을 검사하게 할 수 있음(법 제63조제2항) --- p51 --- 45 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 <개인정보 보호법> 제63조(자료제출 요구 및 검사) ① 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 관계 물품ㆍ서류 등 자료를 제출하게 할 수 있다. 1. 이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게 된 경우 2. 이 법 위반에 대한 신고를 받거나 민원이 접수된 경우 3. 그 밖에 정보주체의 개인정보 보호를 위하여 필요한 경우로서 대통령령으로 정하는 경우 ② 보호위원회는 개인정보처리자가 제1항에 따른 자료를 제출하지 아니하거나 이 법을 위반한 사실이 있다고 인정되면 소속 공무원으로 하여금 개인정보처리자 및 해당 법 위반사실과 관련한 관계인의 사무소나 사업장에 출입하여 업무 상황, 장부 또는 서류 등을 검사하게 할 수 있다. 이 경우 검사를 하는 공무원은 그 권한을 나타내는 증표를 지니고 이를 관계인에게 내보여야 한다. 제66조(결과의 공표) ① 보호위원회는 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제64조의2에 따른 과징금의 부과, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과의 내용 및 결과에 대하여 공표할 수 있다. 제75조(과태료) ② 다음 각 호의 어느 하나에 해당하는 자에게는 3천만원 이하의 과태료를 부과한다. 14의2. 제31조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)을 위반하여 개인정보 보호책임자를 지정하지 아니하거나 제31조제10항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 개인정보 보호책임자의 자격요건을 갖추지 아니한 자를 개인정보 보호책임자로 지정한 자 14의3. 제31조제3항제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에 이사회의 의결을 거치지 아니한 자 14의4. 제31조제3항제2호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 개인정보 보호책임자의 지정ㆍ변경 또는 해제에 관한 사항을 신고하지 아니한 자 25. 제63조제1항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 관계 물품ㆍ서류 등 자료를 제출하지 아니하거나 거짓으로 제출한 자 26. 제63조제2항(제26조제8항에 따라 준용되는 경우를 포함한다)에 따른 출입ㆍ검사를 거부ㆍ방해 또는 기피한 자 27. 제64조제1항에 따른 시정조치 명령에 따르지 아니한 자 행정조치 관련 법령 --- p52 --- 46 붙임1 CPO 제도 관련 개인정보 보호법 및 시행령 조문 <개인정보 보호법> 제31조(개인정보 보호책임자의 지정 등) ① 개인정보처리자는 개인정보의 처리 및 보호에 관한 업무를 총괄해서 담당할 개인정보 보호책임자를 지정하여야 한다. 다만, 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다. ② 제1항 단서에 따라 개인정보 보호책임자를 지정하지 아니하는 경우에는 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다. ③ 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 다음 각 호의 사항을 준수하여야 한다. 1. 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회(법인인 경우로 한정한다. 이하 같다)의 의결을 거칠 것 2. 보호위원회에 대통령령으로 정하는 바에 따라 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 사항을 신고할 것 ④ 개인정보 보호책임자는 다음 각 호의 업무를 수행한다. 1. 개인정보 보호 계획의 수립 및 시행 2. 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보 3. 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고 4. 개인정보 처리 및 보호의 실태와 관행에 대한 정기적인 조사 및 개선 5. 개인정보 처리와 관련한 불만의 처리 및 피해 구제 6. 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축 7. 개인정보 보호 교육 계획의 수립 및 시행 8. 개인정보파일의 보호 및 관리ㆍ감독 9. 그 밖에 개인정보의 적절한 처리 및 보호를 위하여 대통령령으로 정한 업무 ⑤ 개인정보 보호책임자는 제4항 각 호의 업무를 수행함에 있어서 필요한 경우 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다. ⑥ 개인정보 보호책임자는 개인정보 보호와 관련하여 이 법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고하여야 한다. ⑦ 개인정보처리자는 개인정보 보호책임자가 제4항 각 호의 업무를 수행함에 있어서 --- p53 --- 47 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며, 개인정보 보호책임자가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다. ⑧ 개인정보처리자는 개인정보의 안전한 처리 및 보호, 정보의 교류, 그 밖에 대통령령으로 정하는 공동의 사업을 수행하기 위하여 제1항에 따른 개인정보 보호책임자를 구성원으로 하는 개인정보 보호책임자 협의회를 구성ㆍ운영할 수 있다. ⑨ 보호위원회는 제8항에 따른 개인정보 보호책임자 협의회의 활동에 필요한 지원을 할 수 있다. ⑩ 제1항에 따른 개인정보 보호책임자의 자격요건, 제3항제2호에 따른 신고의 방법 및 절차, 제4항에 따른 업무 및 제7항에 따른 독립성 보장 등에 필요한 사항은 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정한다. <개인정보 보호법 시행령> 제32조(개인정보 보호책임자의 지정 등) ① 법 제31조제1항 단서에서 “종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자”란 「소상공인기본법」 제2조제1항에 따른 소상공인에 해당하는 개인정보처리자를 말한다. ② 개인정보처리자는 법 제31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우에는 다음 각 호의 구분에 따라 지정해야 한다. 이 경우 제3항에 따른 개인정보처리자는 다음 각 호의 구분에 따른 사람 중 별표 1에 따른 개인정보 보호책임자의 자격을 갖춘 사람을 개인정보 보호책임자로 지정해야 한다. 1. 공공기관: 다음 각 목의 구분에 따른 기준에 해당하는 공무원 등 가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관: 고위공무원단에 속하는 공무원(이하 “고위공무원”이라 한다) 나. 가목 외에 정무직공무원을 장으로 하는 국가기관: 3급 이상 공무원(고위공무원을 포함한다) 또는 그에 상당하는 공무원 다. 가목 및 나목 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로 하는 국가기관: 4급 이상 공무원 또는 그에 상당하는 공무원 라. 가목부터 다목까지의 규정에 따른 국가기관 외의 국가기관(소속 기관을 포함한다): 해당 기관의 개인정보 처리 관련 업무를 담당하는 부서의 장 마. 시·도 및 시·도 교육청: 3급 이상 공무원 또는 그에 상당하는 공무원 바. 시·군 및 자치구: 4급 이상 공무원 또는 그에 상당하는 공무원 사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정사무를 총괄하는 사람. 다만, 제3항제2호에 해당하는 경우에는 교직원을 말한다. 아. 가목부터 사목까지의 규정에 따른 기관 외의 공공기관: 개인정보 처리 관련 업무를 담당하는 부서의 장. 다만, 개인정보 처리 관련 업무를 담당하는 부서의 장이 2명 --- p54 --- 48 이상인 경우에는 해당 공공기관의 장이 지명하는 부서의 장이 된다. 2. 공공기관 외의 개인정보처리자: 다음 각 목의 어느 하나에 해당하는 사람 가. 사업주 또는 대표자 나. 임원(「상법」 제401조의2제1항제3호에 따라 회사의 업무를 집행한 자와 같은 법 제408조의2제1항에 따른 집행임원을 포함하며, 임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장을 말한다) ③ 법 제31조제3항 각 호외의 부분에서 “대통령령으로 정하는 기준에 해당하는 개인정보처리자”란 다음 각 호의 어느 하나에 해당하는 개인정보처리자(공공기관의 경우에는 제2조제2호, 제3호, 제3호의2, 제4호 및 제5호에 해당하는 경우로 한정한다)를 말한다. 1. 연간 매출액 등이 1,800억원을 초과하는 자(제2조제5호에 따른 각급 학교 및 「의료법」 제3조에 따른 의료기관은 제외한다)로서 다음 각 목의 어느 하나에 해당하는 자 가. 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자 나. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자 2. 전년도 말 기준 재학생 수(대학원 재학생 수를 포함한다)가 2만명 이상인 「고등교육법」 제2조에 따른 학교 3. 「의료법」 제3조의4에 따른 상급종합병원 4. 공공시스템운영기관 ④ 제3항에 따른 개인정보처리자는 법 제31조제3항제2호에 따라 개인정보 보호책임자를 지정·변경 또는 해제하는 경우 그 사유가 발생한 날부터 6개월 이내에 보호위원회 고시로 정하는 개인정보 보호책임자 지정·변경·해제 신고서를 보호위원회에 제출하여야 한다. 다만, 보호위원회는 경영상의 이유로 이사회가 소집되기 어려운 경우 등 부득이한 사유로 기간 내에 신고서를 제출할 수 없다고 인정하는 경우 개인정보처리자의 요청에 따라 1년의 범위에서 기간을 연장할 수 있다. ⑤ 법 제31조제4항제9호에서 “대통령령으로 정한 업무”란 다음 각 호와 같다. 1. 법 제30조에 따른 개인정보 처리방침의 수립·변경 및 시행 2. 개인정보 처리와 관련된 인적·물적 자원 및 정보의 관리 3. 처리 목적이 달성되거나 보유 기간이 지난 개인정보의 파기 ⑥ 보호위원회는 개인정보 보호책임자가 법 제31조제4항의 업무를 원활히 수행할 수 있도록 개인정보 보호책임자에 대한 교육과정을 개설ㆍ운영하는 등 지원을 할 수 있다. ⑦ 개인정보처리자(법 제31조제2항에 따라 사업주 또는 대표자가 개인정보 보호책임자가 되는 경우는 제외한다)는 법 제31조제7항에 따른 개인정보 보호책임자의 독립성 보장을 위해 다음 각 호의 사항을 준수해야 한다. 1. 개인정보 처리와 관련된 정보에 대한 개인정보 보호책임자의 접근 보장 2. 개인정보 보호책임자가 개인정보 보호 계획의 수립·시행 및 그 결과에 관하여 정기적으로 대표자 또는 이사회에 직접 보고할 수 있는 체계의 구축 --- p55 --- 49 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 3. 개인정보 보호책임자의 업무 수행에 적합한 조직체계의 마련 및 인적·물적 자원의 제공 부 칙 제1조(시행일) 이 영은 2026년 9월 11일부터 시행한다. 제2조(개인정보 보호책임자의 지정 신고에 관한 특례) 제32조제4항의 개정규정에도 불구하고 같은 조 제3항의 개정규정에 따른 기준에 해당하는 개인정보처리자로서 이 영 시행 전에 개인정보 보호책임자를 지정한 개인정보처리자는 이 영 시행일부터 6개월 이내에 같은 조 제4항의 개정규정에 따라 보호위원회에 신고해야 한다. 【별표 1】 개인정보 보호책임자의 자격(제32조제2항 각 호 외의 부분 후단 관련)> 1. 제32조제2항 각 호 외의 부분 후단에 따라 개인정보 보호책임자로 지정되는 사람은 개인정보보호 경력, 정보보호 경력, 정보기술 경력을 합하여 총 4년 이상 보유하고, 그 중 개인정보보호 경력을 최소 2년 이상 보유해야 한다. 2. 제1호에서 “개인정보보호 경력”이란 공공기관, 기업체, 교육기관 및 연구기관 등에서 개인정보보호 관련 정책 및 제도ㆍ개인정보 영향평가ㆍ개인정보 보호 인증심사 등 개인정보보호 업무를 수행한 경력, 개인정보보호 관련 컨설팅 또는 법률자문 경력을 말한다. 3. 제1호에서 “정보보호 경력”이란 공공기관, 기업체, 교육기관 및 연구기관 등에서 정보보호를 위한 공통기반기술, 시스템ㆍ네트워크 보호, 응용서비스 보호, 계획ㆍ분석ㆍ 설계ㆍ개발ㆍ운영ㆍ유지보수ㆍ컨설팅ㆍ감리 또는 연구개발 등 정보보호 업무를 수행한 경력, 정보보호 관련 컨설팅 또는 법률자문 경력을 말한다. 4. 제1호에서 “정보기술 경력”이란 공공기관, 기업체, 교육기관 및 연구기관 등에서 정보통신서비스, 정보통신기기, 소프트웨어 및 컴퓨터 관련 서비스 분야의 계획ㆍ분석ㆍ 설계ㆍ개발ㆍ운영ㆍ유지보수ㆍ컨설팅ㆍ감리 또는 연구개발 등 정보기술 업무를 수행한 경력, 정보기술 관련 컨설팅 또는 법률자문 경력을 말한다. 비고: 가. 동일 기간에 두 가지 이상 업무가 중복되는 경우에는 하나의 경력만 인정한다. 나. 개인정보보호, 정보보호, 정보기술 관련 학위를 취득한 경우에는 아래의 표에 따라 --- p56 --- 50 경력으로 인정한다. 다만, 여러 학위를 취득한 경우에는 개인정보 보호책임자를 지정하려는 개인정보처리자가 정하는 하나의 학위만 경력으로 인정한다. 학 위 경력 인정기간 개인정보보호 관련 박사 개인정보보호 경력 2년 개인정보보호 관련 석사 개인정보보호 경력 1년 개인정보보호 관련 학사 개인정보보호 경력 6개월 정보보호 관련 박사 정보보호 경력 2년 정보보호 관련 석사 정보보호 경력 1년 정보보호 관련 학사 정보보호 경력 6개월 정보기술 관련 박사 정보기술 경력 2년 정보기술 관련 석사 정보기술 경력 1년 정보기술 관련 학사 정보기술 경력 6개월 다. 그 밖에 보호위원회가 정하여 고시하는 자격을 취득하거나 교육을 이수한 경우 등의 해당 취득자격이나 이수교육 등에 대해서는 보호위원회가 정하여 고시하는 바에 따라 개인정보보호 경력, 정보보호 경력 또는 정보기술 경력으로 인정한다. --- p57 --- 51 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 붙임2 개인정보 보호책임자 지정 및 경력 인정에 관한 고시 제1조(목적) 이 고시는 「개인정보 보호법」(이하 “법”이라 한다) 제31조제3항 및 제10항, 같은 법 시행령(이하 “영”이라 한다) 제32조제4항 및 별표 1에 따라 개인정보 보호책임자의 지정 신고 및 경력 인정에 필요한 세부 사항을 정함을 목적으로 한다. 제2조(개인정보 보호책임자 지정 신고 등) ① 영 제32조제4항에 따라 개인정보 보호책임자를 지정· 변경· 해제하고 신고하려는 개인정보처리자는 별지 서식의 개인정보 보호책임자 지정·변경·해제신고서를 개인정보보호위원회(이하 “보호위원회”라 한다)에 제출하여야 한다. ② 제1항에 따라 개인정보 보호책임자 지정· 변경·해제신고서를 제출받은 보호위원회는 「전자정부법」 제36조제1항에 따른 행정정보의 공동이용을 통하여 법인등기사항 증명서(법인인 경우만 해당한다) 또는 사업자등록증(개인인 경우만 해당한다)을 확인하여야 한다. 다만, 신고인은 법인등기사항증명서 및 사업자등록증의 확인에 동의하지 아니하는 경우에는 해당 서류의 사본을 제출하여야 한다. 제3조(자격의 인정) 법 제31조제10항 및 영 별표1에 따른 개인정보 보호책임자의 경력 인정을 위한 자격 요건은 별표와 같다. 제4조(경력 인정을 위한 교육) 보호위원회가 법 제7조의8제7호에 따라 개인정보 보호책임자의 역량을 강화하기 위하여 실시하는 개인정보 보호책임자의 경력 개발 및 직무수행과 관련된 교육과정(이하 “개인정보 보호 책임자 교육과정”이라 한다)을 이수한 경우에는 최대 3개월의 범위에서 개인정보 보호책임자의 개인정보 보호 경력으로 인정한다. 다만, 개인정보 보호책임자 교육 과정에는 다음 각 호의 사항이 포함되어야 한다. 1. 개인정보 관련 법률·정책·제도 및 최신 이슈 2. 개인정보 보호책임자의 역할 및 업무 수행에 필요한 사항 3. 개인정보 처리단계별 관리 방안 4. 개인정보 보호 기술 5. 개인정보 유출사고 대응 6. 개인정보 보호 우수사례 7. 그 밖에 개인정보처리자의 개인정보 보호를 위하여 필요한 사항 등 제5조(재검토 기한) 보호위원회는 「행정규제기본법」 제8조에 따라 이 고시에 대하여 2025년 1월 1일을 기준으로 2년마다(매 2년이 되는 해의 기준일과 같은 날 전까지를 말한다) 그 타당성을 검토하여 개선 등의 조치를 하여야 한다. 부칙 이 고시는 발령한 날부터 시행한다. --- p58 --- 52 ■ 개인정보 보호책임자 지정 및 경력 인정에 관한 고시〔별지 서식〕 개인정보 보호책임자 지정‧변경‧해제 신고서 접수번호 접수일자 처리기간 30일 신고인 상호명(법인명) 사업자등록번호(법인등록번호) 사무소 소재지 대표자 전화번호 신고유형 개인정보 보호책임자 지정 □ 개인정보 보호 책임자 성명 지정일 전화번호 전자우편주소 휴대전화번호(선택) 직책/직급 이사회 의결 여부 의결 □ 미의결 □ (미의결 사유) 관련 업무 경력 개인정보보호: 년 개월, 정보보호‧정보기술: 년 개월, 총 년 개월 (관련 학위 및 자격취득, 교육 이수를 통한 경력을 합산하여 제출) 신고유형 개인정보 보호책임자 해제 □ 개인정보 보호 책임자 성명 해제일 이사회 의결 여부 의결 □ 미의결 □ (미의결 사유) 「개인정보 보호법」 제31조제3항, 같은 법 시행령 제32조제4항에 따라 위와 같이 개인정보 보호책임자의 지정‧변경‧해제를 신고합니다. 년 월 일 신 고 인 (서명 또는 인) 개인정보보호위원회 귀하 담당 공무원 확인사항 1. 법인 등기사항증명서(법인인 경우만 해당합니다) 2. 사업자등록증(개인인 경우만 해당합니다) 수수료 없음 행정정보 공동이용 동의서 본인은 이 건 업무처리와 관련하여 담당 공무원이 「전자정부법」 제36조제1항에 따른 행정정보의 공동이용을 통하여 위의 담당 공무원 확인 사항 제1호 및 제2호를 확인하는 것에 동의합니다. ※ 담당 공무원의 행정정보 공동이용에 동의하지 않는 경우에는 신고인이 해당 서류를 직접 제출해야 함 신고인 (서명 또는 인) 처리절차 신고서 작성 ➡ 접수 ➡ 검토 ➡ 신고완료 신고인 개인정보보호위원회 210㎜×297㎜[백상지 80g/㎡(재활용품)] --- p59 --- 53 Ⅰ. 개인정보 보호책임자란?Ⅱ. CPO 지정신고 제도Ⅲ. CPO 신고 제도Ⅳ. 행정조치 [별표] < 개인정보 보호책임자 경력 인정 자격 > 구분 경력 인정 자격 인정기간 개인정보보호 경력 • ‌‌정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시 제14조에 따른 정보보호 및 개인정보보호 관리체계 인증심사원 • ‌‌개인정보 영향평가에 관한 고시 제5조제2항에 따른 개인정보 영향평가 전문인력 • ‌‌「변호사법」 제4조에 따른 변호사 자격 취득자 1년 정보보호, 정보기술 경력 • ‌‌정보관리기술사, 컴퓨터시스템응용기술사 1년 • ‌‌정보보안기사, 정보처리기사 6개월 --- p60 --- 개인정보 보호책임자 지정·신고 실무 매뉴얼 발 행 일 2026년 9월 발 행 처 개인정보보호위원회 지원기관 한국인터넷진흥원, 한국개인정보보호책임자협의회 ※ 최신자료는 “개인정보보호위원회 누리집(pipc.go.kr)”, “개인정보 포털 (privacy.go.kr)”에서 확인할 수 있습니다.