개인정보

개인정보 보호책임자를 인사발령으로 교체하면 되나요, 이사회 의결과 신고도 필요한가요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.10.18 갱신

일정 규모·유형의 개인정보처리자는 2026년 9월 11일부터 보호책임자의 지정·변경·해제 때 이사회 의결과 개인정보보호위원회 신고를 검토해야 합니다. 모든 회사에 일률적으로 같은 절차가 적용되는 것은 아닙니다. 다만 대상 회사라면 일반 인사발령만 했다는 이유로 법정 절차까지 마쳤다고 볼 수 없습니다.

일정 규모·유형의 개인정보처리자는 2026년 9월 11일부터 보호책임자의 지정·변경·해제 때 이사회 의결과 개인정보보호위원회 신고를 검토해야 합니다. 모든 회사에 일률적으로 같은 절차가 적용되는 것은 아닙니다. 다만 대상 회사라면 일반 인사발령만 했다는 이유로 법정 절차까지 마쳤다고 볼 수 없습니다.

이런 상담이 많습니다

A씨 회사는 연간 매출액이 약 2,300억원이고 회원 약 140만명의 개인정보를 처리하는 온라인 쇼핑몰입니다. 회사는 2026. 10. 1. 정보보호실장을 개인정보 보호책임자에서 해제하고 새 임원을 지정하는 인사발령을 냈습니다. 경영진에서는 연말 정기 이사회 때 한꺼번에 승인하면 된다는 의견이 나왔습니다. 신고는 6개월 안에만 하면 되니 2027. 3.에 하자는 의견도 있었습니다. 새로 지정할 임원은 정보보호 업무 경력이 없는 영업 담당 임원이었습니다. A씨는 인사발령만으로 교체가 끝난 것인지, 이사회 의결을 나중에 받아도 되는지 물으셨습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

어느 회사가 새 절차의 대상인가요?

개인정보 보호법 제31조 제3항과 시행령 제32조 제3항이 기준을 정합니다. 일반 기업에 관해서는 연간 매출액 등이 1,800억 원을 초과하면서, 5만 명 이상에 관하여 민감정보·고유식별정보를 처리하거나 100만 명 이상에 관하여 개인정보를 처리하는지 확인해야 합니다. ‘매출 1,800억 원 이상’과 ‘초과’는 다릅니다.

학교와 의료기관에는 별도의 기준이 있습니다. 전년도 말 재학생 수가 대학원생을 포함하여 2만 명 이상인 대학 등, 상급종합병원, 공공시스템운영기관 등에 관한 규정도 함께 확인해야 합니다. 회사가 고객 수만 적다고 판단하면서 임직원 등 다른 정보주체를 빠뜨리거나, 민감정보와 고유식별정보를 일반 연락처와 같은 기준으로 계산하지 않아야 합니다.

인사발령 후 6개월 안에 신고하면 이사회도 나중에 열어도 되나요?

신고 기한과 이사회 의결 절차는 다릅니다. 법은 대상 법인이 보호책임자를 지정하거나 그 지정을 변경·해제할 때 이사회 의결을 거치도록 합니다. 신고에 6개월이 주어졌다는 이유로 의결 절차를 처음부터 생략해도 된다고 이해해서는 안 됩니다.

시행령은 해당 사유가 발생한 날부터 6개월 이내 정해진 신고서를 제출하도록 합니다. 부득이한 사유가 있으면 위원회가 요청에 따라 일정 범위에서 신고기간을 연장할 수 있지만, 회사가 스스로 ‘이사회를 열기 어려웠다’고 판단한 것만으로 자동 연장되는 것은 아닙니다. 조직 개편이나 겸직 해제 시에도 실질적으로 보호책임자의 지정을 바꾸는지 확인해야 합니다.

시행 전에 지정한 보호책임자도 다시 의결해야 하나요?

시행령 부칙은 새 대상 기준에 해당하면서 시행 전에 보호책임자를 지정한 경우의 신고 특례를 둡니다. 시행일부터 6개월 이내 신고해야 하는 문제와 기존 지정에 관하여 이사회를 새로 거쳐야 하는지는 구별해야 합니다. 개인정보위의 2026년 9월 안내는 기존 지정자에게 별도의 이사회 의결을 다시 요구하지 않는다고 설명합니다.

또한 제도 정착을 위한 계도기간 안내와 법령의 시행일은 다릅니다. 계도기간이라는 이유로 담당자와 자료를 정하지 않은 채 아무 절차도 준비하지 않아도 된다고 판단하지 않는 것이 좋습니다. 시행 후 새로 교체하거나 해제하는 경우에는 그 행위를 기준으로 다시 검토해야 합니다.

개인정보 대응 순서

회사 규모와 개인정보 처리현황, 현 보호책임자의 지정 근거, 후보자의 법정 자격과 지위, 독립성 보장 방안을 함께 확인해야 합니다. 신고 대상 여부와 적격자 여부는 별개이므로 이사회 의결만 받으면 누구나 지정할 수 있다고 보지 않아야 합니다.

인사발령·이사회 의결·신고일을 연결한 관리표와 제출본을 보존하십시오. 법령상 자격요건과 신고서의 실제 기재사항도 확인해야 합니다. 책임자를 해제하면서 후임과 보고체계가 비어 버리지 않도록 업무 인계 및 자료 접근 권한을 함께 정리하는 것이 필요합니다.

처리 규모 자료에는 어떤 개인을 어떤 항목으로 계산했는지 기준을 붙여야 합니다. 단순 회원 계정 수와 실제 정보주체 수가 다를 수 있고, 민감정보·고유식별정보를 처리하는 집단과 일반 개인정보를 처리하는 집단도 구별해야 합니다. 법정 기준을 충족하는지 검토하면서 회사의 시스템별 숫자를 중복 합산하거나 일부 시스템만 집계하지 않도록 범위를 확인해야 합니다.

매출액 등과 인원 기준을 충족했다는 사실은 후보자가 법령상 보호책임자가 될 수 있다는 판단과 다릅니다. 시행령은 공공기관과 그 밖의 처리자에 관한 지위 기준을 두고 일정 대상에는 별표의 자격도 요구합니다. 대표자, 임원 또는 부서장이라는 명칭을 포괄적으로 나열한 채 누구든 지정 가능하다고 처리하지 말고 회사 유형과 실제 직위를 대조해야 합니다.

이사회에 제출하는 자료에는 교체 이유와 효력 발생일, 후보자의 역할·보고 경로를 구체화하는 것이 좋습니다. 해제를 의결하면서 이미 다른 사람을 지정한 것인지, 후임 선정이 아직 남았는지 불분명하면 신고 내용도 맞추기 어렵습니다. 인사부서의 발령일과 이사회 의결일이 다르다면 그 경위와 적용 절차를 검토하여 문서를 실제 사실에 맞춰 정리해야 합니다.

전임자를 해제한 이유도 남겨 두어야 합니다. 법은 보호책임자가 업무를 수행하는 데 정당한 이유 없이 불이익을 주지 못하게 합니다. 해제된 사람이 근로자라면 부당한 전직 등을 이유로 그날부터 3개월 이내에 노동위원회에 구제를 신청할 수 있으므로, 업무상 필요와 협의 경위를 자료로 갖춰 두는 편이 좋습니다.

신고서 제출과 수리·접수 내역도 보존해야 합니다. 신청 화면에 내용을 저장한 상태와 실제 제출된 상태는 다를 수 있으므로 제출본과 접수 사실을 확인하십시오. 기간 연장을 요청하는 경우에도 요청했다는 사실과 위원회가 인정한 연장 범위를 구분해야 합니다. 내부에서 연장될 것이라 예상하고 기한 관리를 멈추는 방식은 적절하지 않습니다.

보호책임자 변경은 홈페이지 처리방침의 연락처와 내부 사고 대응 연락망에도 영향을 줄 수 있습니다. 이사회 의결과 신고만 확인하고 실제 이용자·직원들이 전임자에게만 연락하는 상태를 그대로 두지 않는 것이 좋습니다. 다만 모든 자료를 한꺼번에 수정했다는 이유로 각 법정 절차가 완료됐다고 처리하지 말고 지정·신고·자격·공개·인계의 상태를 나누어 확인해야 합니다.

보호책임자를 지정한 뒤에도 대표자에게 남는 관리 책임은 「개인정보 보호책임자를 임명했으면 대표이사는 유출 사고의 책임에서 벗어나나요?」에서 자세히 설명했습니다.

이 상황에서 자주 묻는 것

• 직원이 적은 회사도 무조건 이사회 의결을 해야 하나요?
  아닙니다. 보호책임자 지정 의무와 이사회 의결·신고 의무는 구분됩니다. 이사회 의결과 신고는 연간 매출액등 1,800억원 초과 등 시행령 제32조 제3항 기준에 해당하는 처리자에게 적용되므로 대상 여부부터 확인해야 합니다.
• 고객 수 100만 명만 넘으면 곧바로 같은 기준인가요?
  아닙니다. 일반 기업은 연간 매출액등이 1,800억원을 초과하면서 100만명 이상의 개인정보 또는 5만명 이상의 민감정보·고유식별정보를 처리해야 기준에 해당합니다. 대학·상급종합병원 등은 별도 기준을 봅니다.
• 기존 보호책임자를 계속 두면 아무 신고도 필요 없나요?
  신고 특례를 확인해야 합니다. 시행령 부칙은 새 기준에 해당하면서 2026. 9. 11. 전에 보호책임자를 지정한 처리자가 시행일부터 6개월 이내에 개인정보보호위원회에 신고하도록 정합니다.
• 변경 신고를 하면 해제 절차는 따로 볼 필요가 없나요?
  아닙니다. 법은 지정·변경·해제를 구분하므로 실제로 한 행위와 신고 내용을 맞춰야 합니다. 해제와 함께 후임을 지정했는지, 후임 선정이 남았는지에 따라 이사회 안건과 신고서 기재가 달라질 수 있습니다.
• 계도기간은 법 시행이 미뤄졌다는 뜻인가요?
  아닙니다. 개정 법령은 2026. 9. 11.부터 시행되었고 계도기간은 행정상 운영에 관한 안내입니다. 계도기간이라는 이유로 대상 여부 검토와 이사회 의결, 신고 준비를 미루지 않는 것이 좋습니다.
• 개인정보 보호책임자 교체 전에 어떤 자료를 확인해야 하나요?
  처리 규모 자료, 기존 지정 문서, 후보자의 직위·자격 자료, 예정 의결안을 준비하면 새 절차의 대상인지와 의결·신고 순서를 확인할 수 있습니다. 인사발령일과 의결일, 신고일은 한 표로 연결해 두십시오.

법무법인 윤성 × Lexle

허진영 변호사법무법인 윤성 대표변호사대한변호사협회 등록 조세 전문변호사 · 세무사 등록

이 글과 관련해 지금 상황을 남겨 주세요. 다른 상황이어도 괜찮아요. 남겨 주시면 제가 먼저 읽어 볼게요!

• 채팅으로 끝까지전화 안 하셔도 돼요
• 사진 한 장이면 시작모르는 건 비워 두셔도 돼요
• 금액부터 알려 드려요보시고 맡길지 정하시면 돼요
• 10분 안에 답업무시간 기준 · 알림톡으로 알려요
• 변호사가 직접 읽어요맡을 수 있는 일인지 알려 드려요
• 결과는 문서로같은 채팅방에 문서로 와요

지금 상황을 적어 주세요

변호사에게 보내기

휴대폰 문자로 한 번만 확인할게요 · 금액은 먼저 알려 드려요

법무법인 윤성이 직접 운영해요 · 법률사무는 전부 소속 변호사가 해요

비슷한 상황

• 개인정보 처리방침에 빠진 항목이 있으면 과태료가 나오나요? 꼭 적을 항목은요?
• 개인정보 유출 뒤 보호위원회 조사를 받는데 안전조치를 다 했다면 과징금을 피할 수 있나요?
• 회사 서버가 해킹돼 고객 정보가 새 나갔다면 무엇부터 해야 하나요?
• 이사 2명 추가 선임을 제안했는데 이사회가 안건을 바꿔 올렸다면 결의 취소가 되나요?
• 개인정보 유출 피해자들이 모여 포털을 상대로 단체소송을 낼 수 있나요?

이 글은 일반적인 법률 안내입니다. 개별 사안은 사실관계와 자료에 따라 판단이 달라질 수 있습니다.허진영 대표변호사 · 대한변호사협회 등록 조세 전문변호사 · 세무사 등록광고책임변호사 허진영 · 법무법인 윤성© 법무법인 윤성 · 무단 복제·자동 수집 금지이 글에 의견 보내기