개인정보

개인정보 보호책임자를 임명했으면 대표이사는 유출 사고의 책임에서 벗어나나요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.10.18 갱신

보호책임자를 지정했다는 사정만으로 대표자의 관리 책임이 없어지지는 않습니다. 2026. 9. 11. 시행된 개인정보 보호법 제30조의3은 대표자를 최종 책임자로 정하고 전문 인력·예산 지원 등 총괄 관리 조치를 요구합니다. 다만 사고만으로 대표자 개인 책임이 자동 확정되지는 않습니다.

보호책임자를 지정하고 업무를 맡겼다는 사정만으로 대표자의 관리 책임이 없어지지는 않습니다. 2026년 9월 11일부터 시행된 개인정보 보호법 제30조의3은 사업주·대표자가 최종 책임자로서 필요한 전문 인력과 충분한 예산 지원 등 실효적인 총괄 관리 조치를 하도록 명시합니다. 다만 사고가 발생했다는 이유만으로 대표자 개인의 형사책임이나 손해배상이 자동 확정되는 것도 아닙니다.

이런 상담이 많습니다

A씨는 회원 약 30만명의 개인정보를 처리하는 회사의 대표이사입니다. 회사는 2025. 3. 정보보호팀장을 개인정보 보호책임자로 지정했고, 보호책임자는 2026. 6. 접근권한 관리 시스템 교체 예산 8,000만원을 요청했지만 다음 해로 미뤄졌습니다. 2026. 9. 22. 외주 개발사 계정이 도용되어 회원 정보 일부가 유출되는 사고가 났습니다. 이사회에서는 보호책임자에게 업무를 모두 맡겼으니 대표이사는 책임이 없다는 의견과 대표이사가 개인적으로 배상해야 한다는 의견이 엇갈렸습니다. A씨는 보호책임자를 임명한 것으로 자신의 책임이 정리되는지 물으셨습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

보호책임자의 업무와 대표자의 역할은 어떻게 다른가요?

개인정보 보호책임자는 개인정보 처리·보호 업무를 총괄하며 계획 수립, 전문 인력 관리와 예산 확보, 주요 사항 보고, 실태 조사·개선, 피해 구제와 내부통제 등을 수행합니다. 대표자는 이를 실질적으로 수행할 수 있도록 조직과 자원을 지원하고 총괄 관리해야 합니다.

직함만 만들어 두고 자료 접근과 예산을 차단하면 실제 보호체계가 작동하기 어렵습니다. 법 제31조는 보호책임자의 독립성 보장과 정당한 이유 없는 불이익 금지도 규정합니다. 보호책임자에게 서약서나 책임 확인서를 받는 것과 회사가 필요한 권한·인력·예산을 제공한 것은 다른 문제입니다.

대표자가 모든 보안 작업을 직접 승인해야 하나요?

법이 대표자에게 모든 기술 작업을 직접 수행하라고 정한 것은 아닙니다. 조직의 규모와 개인정보 처리 위험에 맞춰 권한, 보고와 개선 조치가 작동하도록 하는 관리가 필요합니다. 형식적인 연간 보고 한 번만으로 언제나 충분하다고 단정할 수도 없습니다.

시행령 제32조는 보호책임자가 관련 정보에 접근할 수 있고, 계획과 이행 결과를 대표자 또는 이사회에 직접 정기 보고할 수 있는 체계, 적합한 조직과 인적·물적 자원 등을 마련하도록 정합니다. 현장 담당자가 반복해서 제기한 위험을 경영진이 알 수 있었는지, 보고 후 개선이 어떻게 결정됐는지가 실제 자료로 남아 있어야 합니다.

유출되면 대표자가 무조건 처벌받거나 개인 돈으로 배상하나요?

그렇게 단순화할 수 없습니다. 법정 관리 의무의 존재와 개별 제재·손해배상·형사책임의 성립요건은 구별해야 합니다. 어떤 위반행위가 있었고 누가 관여했는지, 고의·과실이나 인과관계 등 해당 책임의 요건이 충족되는지를 검토해야 합니다.

반대로 외주업체가 일으킨 사고라거나 보호책임자에게 전결을 줬다는 이유만으로 회사와 경영진의 검토가 끝나는 것도 아닙니다. 위탁한 업무, 보고받은 위험, 승인하거나 보류한 개선 조치와 실제 권한을 확인해야 합니다. 사고 후 책임을 한 사람에게 몰아주는 문서를 새로 만드는 방식은 원래의 경위를 설명하지 못합니다.

회사가 부담하는 금액은 법인세에서도 다르게 처리됩니다. 유출을 이유로 부과된 과징금은 법령 위반을 이유로 한 공과금이어서 손금에 넣지 못합니다. 고의·중과실 유출로 법원이 손해액의 5배 범위에서 정한 배상금 중 실제 손해를 넘는 부분도 손금불산입 대상입니다.

개인정보 대응 순서

조직도와 역할 분장, 보호책임자의 지정·보고 기록, 개인정보 관련 예산과 인력, 위험 점검 및 개선 요청·결정 자료를 함께 보십시오. 승인액이 있다는 사실뿐 아니라 실제 집행과 미조치 항목, 대체 조치가 있었는지 확인해야 합니다.

서비스를 새로 도입하거나 개인정보 처리 규모가 늘었다면 기존 체계로 충분한지 검토하고, 보호책임자가 필요한 정보를 받을 수 있는지도 점검하는 것이 좋습니다. 사고가 발생한 뒤에는 로그와 보고자료를 보존하고 유출 통지·신고 및 피해 대응을 따로 검토해야 합니다. 총괄 관리 자료 정리 때문에 시급한 법정 절차를 미뤄서는 안 됩니다.

실효적인 총괄 관리인지 살피려면 경영진이 어떤 정보를 받을 수 있도록 했는지 확인해야 합니다. 위험 보고서가 현업 부서의 결재선에서 멈추거나 보호책임자가 중요한 처리 현황에 접근하지 못하면 필요한 판단이 이루어지기 어렵습니다. 정기 보고 일정과 급한 문제의 별도 보고 경로를 나누어 실제로 누구에게 전달되는지 확인하는 것이 좋습니다.

전문 인력과 충분한 예산은 회사의 사업과 위험을 고려하여 검토해야 합니다. 모든 기업이 같은 금액을 쓰면 된다는 획일적인 기준으로 이해할 수는 없습니다. 처리하는 정보의 성격과 규모, 신규 서비스, 기존 점검에서 확인한 위험을 근거로 자원 배분을 검토하고, 예산을 줄이거나 조치를 미룬 경우에는 대체 방안과 판단 이유를 남기는 편이 필요합니다.

보호책임자가 위반을 지적하거나 개선을 요구했다는 이유로 부당한 불이익을 받지 않도록 하는 것도 조직 운영의 문제입니다. 법정 독립성 보장과 회사의 일반 인사권을 구분하고, 업무 수행에 필요한 자료·보고 기회를 차단하는 조치가 없는지 확인해야 합니다. 단순히 겸직을 허용하거나 직함을 높이는 것만으로 업무 여건이 실질적으로 확보됐다고 단정하지 않아야 합니다.

사고 뒤에는 당시 경영진이 실제로 알았던 내용과 사후 조사에서 새로 확인된 내용을 구별해야 합니다. 결과를 알고 과거의 모든 보고서를 같은 의미로 읽으면 사실관계를 잘못 설명할 수 있습니다. 반대로 당시 명확히 보고된 위험을 나중에 처음 알았던 것처럼 정리해서도 안 됩니다. 원래 자료를 보존하고 발견 시점·보고 경로·결정·조치의 순서를 재구성하는 것이 우선입니다.

법정 의무 위반이 의심되는 경우에도 회사에 대한 행정처분, 이용자에 대한 손해배상과 대표자 개인의 형사책임을 하나로 뭉쳐 결론내리지 않는 것이 좋습니다. 각각 적용 규정과 행위, 관련 자료가 다릅니다. 경영진은 책임 범위를 검토하는 일과 피해 확산을 막고 필요한 통지·신고를 하는 일을 구분하여 병행해야 하며, 회사 내부의 책임 논쟁 때문에 이용자 대응이 지연되지 않도록 역할을 정리해야 합니다.

보호책임자를 교체할 때의 이사회 의결과 신고 절차는 「개인정보 보호책임자를 인사발령으로 교체하면 되나요, 이사회 의결과 신고도 필요한가요?」에서 자세히 설명했습니다.

이 상황에서 자주 묻는 것

• 보호책임자가 모든 책임을 진다는 계약은 유효한가요?
  그 계약만으로 법정 의무가 사라지지는 않습니다. 개인정보 보호법 제30조의3은 사업주·대표자를 최종 책임자로 정하므로, 보호책임자와 내부에서 책임을 나누는 약정이 있어도 회사와 대표자의 관리 의무는 그대로 검토해야 합니다.
• 예산을 많이 쓰면 관리 의무를 모두 이행한 것인가요?
  금액만으로 판단할 수 없습니다. 정보의 성격과 처리 규모, 기존 점검에서 확인된 위험에 맞는 조직과 조치가 실제로 작동했는지가 중요하며, 예산을 줄이거나 미룬 경우에는 대체 방안과 판단 이유를 남겨야 합니다.
• 외주업체 사고이면 회사는 검토하지 않아도 되나요?
  그렇지 않습니다. 외주업체에서 사고가 났더라도 회사가 위탁한 업무 범위, 보고받은 위험, 승인하거나 보류한 개선 조치와 관리·감독 내용을 따로 검토해야 합니다. 위탁 사실만으로 회사의 검토가 끝나지 않습니다.
• 대표자가 직접 기술 자격증을 갖춰야 하나요?
  아닙니다. 제30조의3은 대표자에게 특정 기술 자격증 취득을 요구하지 않습니다. 대표자는 전문 인력과 충분한 예산을 지원하고, 보호책임자의 보고를 받아 개선을 결정하는 총괄 관리 조치를 실효성 있게 해야 합니다.
• 사고가 나면 대표자의 개인 배상이 확정되나요?
  자동으로 확정되지 않습니다. 최종 책임자라는 문구와 개별 손해배상·형사책임의 성립요건은 다르므로, 어떤 위반행위가 있었고 대표자가 어떻게 관여했는지, 고의·과실과 인과관계가 있는지를 따로 확인해야 합니다.
• 개인정보 유출 사고 전에도 관리체계에서 무엇을 확인해야 하나요?
  조직·권한·예산·보고 자료를 준비하면 경영진의 관리 조치와 보호책임자의 실제 업무 여건을 함께 검토할 수 있습니다.

법무법인 윤성 × Lexle

허진영 변호사법무법인 윤성 대표변호사대한변호사협회 등록 조세 전문변호사 · 세무사 등록

이 글과 관련해 지금 상황을 남겨 주세요. 다른 상황이어도 괜찮아요. 남겨 주시면 제가 먼저 읽어 볼게요!

• 채팅으로 끝까지전화 안 하셔도 돼요
• 사진 한 장이면 시작모르는 건 비워 두셔도 돼요
• 금액부터 알려 드려요보시고 맡길지 정하시면 돼요
• 10분 안에 답업무시간 기준 · 알림톡으로 알려요
• 변호사가 직접 읽어요맡을 수 있는 일인지 알려 드려요
• 결과는 문서로같은 채팅방에 문서로 와요

지금 상황을 적어 주세요

변호사에게 보내기

휴대폰 문자로 한 번만 확인할게요 · 금액은 먼저 알려 드려요

법무법인 윤성이 직접 운영해요 · 법률사무는 전부 소속 변호사가 해요

비슷한 상황

• 개인정보 처리방침에 빠진 항목이 있으면 과태료가 나오나요? 꼭 적을 항목은요?
• 개인정보 유출 뒤 보호위원회 조사를 받는데 안전조치를 다 했다면 과징금을 피할 수 있나요?
• 개인정보 유출 피해자들이 모여 포털을 상대로 단체소송을 낼 수 있나요?
• 회사 서버가 해킹돼 고객 정보가 새 나갔다면 무엇부터 해야 하나요?
• 쇼핑몰 해킹으로 내 개인정보가 유출됐다는데 무엇을 할 수 있나요?
• 해외 플랫폼에 내 개인정보 제공 내역을 요구하고 한국 법원에 소송할 수 있나요?

이 글은 일반적인 법률 안내입니다. 개별 사안은 사실관계와 자료에 따라 판단이 달라질 수 있습니다.허진영 대표변호사 · 대한변호사협회 등록 조세 전문변호사 · 세무사 등록광고책임변호사 허진영 · 법무법인 윤성© 법무법인 윤성 · 무단 복제·자동 수집 금지이 글에 의견 보내기