개인정보

직원 3명인 소규모 쇼핑몰도 개인정보 보호책임자를 따로 지정해야 하나요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.09.29 갱신

아니요, 소상공인에 해당하는 소규모 쇼핑몰은 개인정보 보호책임자를 따로 지정하지 않아도 되고, 이 경우 사업주나 대표자가 보호책임자가 됩니다. 개인정보 보호법은 소상공인기본법상 소상공인을 지정 의무의 예외로 두고, 소상공인이 아닌데 지정하지 않으면 3천만원 이하 과태료를 부과합니다. 지금은 상시 근로자 수로 소상공인에 해당하는지부터 확인하십시오.

소상공인 쇼핑몰이 보호책임자 지정서나 임명장을 따로 만들 필요는 없습니다. 법이 대표자를 보호책임자로 봅니다.

이런 상담이 많습니다

M씨는 2025년 11월부터 반려동물 용품 쇼핑몰을 운영하며 직원 3명을 두고 있고, 회원은 8천 명 정도입니다. 2026년 9월 개인정보 보호법이 바뀌어 보호책임자 미지정 과태료가 올랐다는 기사를 보고, 작은 쇼핑몰도 직원 가운데 한 명을 보호책임자로 지정해야 하는지 물었습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

소규모 쇼핑몰도 개인정보 보호책임자를 지정해야 하나요?

소상공인이라면 지정하지 않아도 됩니다. 2026. 9. 28. 기준 현행 「개인정보 보호법」은 개인정보처리자에게 보호책임자 지정을 요구하면서, 종업원 수·매출액 등이 대통령령 기준에 해당하면 지정하지 않을 수 있게 하고, 시행령은 그 기준을 소상공인기본법상 소상공인으로 정합니다.

쇼핑몰 같은 도소매·서비스업은 상시 근로자 5명 미만이면 소상공인입니다(소기업 요건도 충족해야 합니다). 직원 3명인 사례의 쇼핑몰은 매출이 소기업 기준을 넘지 않는 한 소상공인에 해당합니다.

지정하지 않으면 누가 보호책임자가 되나요?

사업주나 대표자가 보호책임자가 됩니다. 별도로 지정하지 않은 경우의 효과를 법이 직접 정하므로, 대표자는 보호책임자의 업무를 맡게 됩니다. 개인정보 보호 계획 수립, 불만 처리와 피해 구제, 유출 방지 내부통제, 개인정보파일 관리 등이 그 업무입니다.

보호책임자를 따로 지정한다면 누구를 지정해야 하나요?

공공기관이 아닌 사업자는 사업주나 대표자, 또는 임원 가운데서 지정합니다. 임원이 없으면 개인정보 처리 업무를 맡은 부서의 장을 지정합니다. 소상공인도 원하면 직원을 부서장으로 두고 따로 지정할 수 있지만, 아무 직원이나 지정하면 자격요건을 갖추지 못한 사람을 지정한 것이 됩니다.

보호책임자를 지정하지 않으면 과태료는 얼마인가요?

소상공인이 아닌데 보호책임자를 지정하지 않거나 자격요건을 갖추지 못한 사람을 지정하면 3천만원 이하의 과태료 대상입니다. 원안이 쓰일 무렵에는 1천만원 이하였으나, 2026. 9. 11. 시행된 개정법에서 3천만원 이하로 올랐습니다. 2026. 9. 11. 전의 위반행위에는 행위 당시 법률에 따라 개정 전 기준이 적용됩니다(질서위반행위규제법 제3조 제1항).

과태료는 개인정보보호위원회가 부과하며, 위반의 정도·동기·결과와 개인정보처리자의 규모를 고려해 감경하거나 면제할 수 있습니다. 작은 쇼핑몰이라면 규모와 시정 경위를 의견서에 적어 감경을 요청할 수 있습니다.

쇼핑몰 개인정보 보호책임자 대응 순서

• 소상공인 여부 확인 - 상시 근로자 수와 매출로 소상공인에 해당하는지 확인합니다. 해당하면 지정 의무가 없습니다.
• 처리방침 정비 - 개인정보 처리방침에 보호책임자 이름과 연락처를 적고 공개합니다. 지정하지 않았다면 대표자를 적습니다.
• 지정 시 자격 확인 - 따로 지정한다면 대표자·임원·담당 부서장 가운데서 고릅니다. 지정 사실을 문서로 남깁니다.
• 업무 체계 마련 - 불만 처리 창구, 파기 절차, 접근 권한 관리를 정합니다. 대표자가 책임자라면 직접 챙겨야 합니다.
• 규모 변화 점검 - 직원이 늘어 소상공인을 벗어나면 보호책임자를 지정합니다. 미지정 과태료는 3천만원 이하입니다.

여기까지는 일반 기준이고, 회원 수가 많거나 민감정보를 다루는 쇼핑몰, 외부 업체에 개인정보 처리를 맡긴 경우에는 별도 의무가 더해지므로 따로 따져야 합니다. 법무법인 윤성은 개인정보보호위원회 조사와 과태료·과징금 처분 대응을 수행합니다.

이 상황에서 자주 묻는 것

• 소상공인 쇼핑몰은 보호책임자 지정을 안 해도 되나요?
  됩니다. 개인정보 보호법 제31조 제1항 단서와 같은 법 시행령 제32조 제1항은 소상공인기본법 제2조 제1항에 따른 소상공인에 해당하는 개인정보처리자가 보호책임자를 지정하지 않을 수 있다고 정합니다. 이때 제31조 제2항에 따라 사업주나 대표자가 보호책임자가 됩니다.
• 쇼핑몰은 직원 몇 명까지 소상공인인가요?
  도소매·서비스업이면 상시 근로자 5명 미만입니다. 소상공인기본법 시행령 제3조 제1항은 광업·제조업·건설업·운수업은 10명 미만, 그 밖의 업종은 5명 미만으로 정합니다. 소상공인기본법 제2조 제1항에 따라 중소기업기본법상 소기업이어야 한다는 요건도 함께 충족해야 합니다.
• 보호책임자로 아무 직원이나 지정해도 되나요?
  안 됩니다. 개인정보 보호법 시행령 제32조 제2항 제2호는 공공기관이 아닌 개인정보처리자가 사업주·대표자나 임원 가운데서, 임원이 없으면 개인정보 처리 업무를 맡은 부서의 장을 지정하도록 정합니다. 이 범위를 벗어나면 자격요건을 갖추지 못한 사람을 지정한 것이 됩니다.
• 보호책임자를 지정하지 않으면 과태료가 얼마인가요?
  3천만원 이하입니다. 개인정보 보호법 제75조 제2항 제14호의2는 제31조 제1항을 어겨 보호책임자를 지정하지 않거나 자격요건을 갖추지 못한 사람을 지정한 자에게 3천만원 이하의 과태료를 부과하도록 정합니다. 2026. 9. 11. 전 위반에는 개정 전 1천만원 이하 기준이 적용됩니다.
• 대표자가 보호책임자면 무슨 일을 해야 하나요?
  법이 정한 보호책임자 업무를 맡습니다. 개인정보 보호법 제31조 제4항은 개인정보 보호 계획 수립, 처리 실태 조사와 개선, 불만 처리와 피해 구제, 유출 방지 내부통제 구축, 보호 교육, 개인정보파일 관리 등을 보호책임자 업무로 정합니다. 시행령 제32조 제5항은 처리방침 수립과 개인정보 파기도 포함합니다.
• 개인정보 처리방침을 안 올리면 어떻게 되나요?
  1천만원 이하의 과태료 대상입니다. 개인정보 보호법 제75조 제4항 제8호는 제30조 제1항이나 제2항을 어겨 개인정보 처리방침을 정하지 않거나 공개하지 않은 자에게 과태료를 부과하도록 정합니다. 처리방침에는 보호책임자의 성명과 연락처를 적어야 합니다.
• 작은 쇼핑몰이면 과태료를 줄일 수 있나요?
  줄일 수 있습니다. 개인정보 보호법 제75조 제5항은 개인정보보호위원회가 위반행위의 정도·동기·결과와 개인정보처리자의 규모 등을 고려해 과태료를 감경하거나 면제할 수 있다고 정합니다. 사전통지를 받으면 규모와 시정 조치를 의견서에 적어 내시기 바랍니다.

비슷한 상황

• 고객 개인정보가 유출됐는데 72시간 안에 무엇을 신고해야 하나요?
• 직원이 고객 정보를 빼돌려 회사까지 조사받고 있습니다

이 페이지는 일반적인 절차 안내입니다. 개별 사안의 판단은 상담에서 합니다.허진영 대표변호사 · 대한변호사협회 등록 조세 전문변호사 · 세무사 등록광고책임변호사 허진영 · 법무법인 윤성