개인정보 보호법 시행령 일부 개정령 부칙 제2조제1항에 따른 개인정보 보호책임자에 관한 경과조치의 의미

개인정보보호법 시행령 제32조(개인정보 보호책임자의 업무 및 지정요건 등) 

④ 다음 각 호의 어느 하나에 해당하는 개인정보처리자(공공기관의 경우에는 제2조제2호부터 제5호까지에 해당하는 경우로 한정한다)는 제3항 각 호의 구분에 따른 사람 중 별표 1에서 정하는 요건을 갖춘 사람을 개인정보 보호책임자로 지정해야 한다. 
1. 연간 매출액등이 1,500억원 이상인 자로서 다음 각 목의 어느 하나에 해당하는 자(제2조제5호에 따른 각급 학교 및 「의료법」 제3조에 따른 의료기관은 제외한다)
가. 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자
나. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자

 

질의 요지: 2024년 3월 12일 대통령령 제34309호로 일부개정된 「개인정보 보호법 시행령」 제32조제4항에서는 「의료법」 제3조의4에 따른 상급종합병원 등에 해당하는 개인정보처리자는 같은 조 제3항 각 호의 구분에 따른 사람 중 별표 1에서 정하는 요건 을 갖춘 사람을 개인정보 보호책임자로 지정하도록 하고, 별표 1을 신설하여 개인정보 보호책임자의 자격요건을 강화하면서, 같은 영 부칙 제2조제1항에서는 “이 영 시행 당시 종전의 제32조제2항에 따라 개인정보 보호책임자를 지정한 개인정보처리자로서 제32조제4항의 개정규정에 따른 개인정보처리자(공공시스템운영기관은 제외한다)에 해당하는 경우에는 이 영 시행일부터 2년 동안 제32조제3항·제4항 및 별표 1에 따른 개인정보 보호책임자를 지정한 것으로 본다”고 규정하고 있는 바,개인정보처리자(각주: 개정 「개인정보 보호법 시행령」 시행 당시 종전의 제32조제2항에 따라 개인정보 보호책임자를 지정한 개인정보처리자로서 개정 「개인정보 보호법 시행령」 제32조제4항의 개정규정에 따른 개인정보처리자(공공시스템운영기관은 제외함)에 해당하는 것을 전제로 함.)가 개정 「개인정보 보호법 시행령」 시행 당시 구 「개인정보 보호법 시행령」(각주: 2024. 3. 12. 대통령령 제34309호로 일부개정되기 전의 것을 말하며, 이하 같음) 제32조제2항에 따라 지정한 개인정보 보호책임자의 임기가 만료되어 개정 「개인정보 보호법 시행령」 시행일부터 2년 이내에 같은 영 제32조제3항·제4항 및 별표 1에 따른 강화된 자격요건을 갖추지 못한 자로 개인정보 보호책임자를 지정한 경우, 해당 개인정보처리자는 같은 영 부칙 제2조제1항에 따라 같은 영 제32조제3항·제4항 및 별표 1에 따른 개인정보 보호책임자를 지정한 것으로 볼 수 있는지?

 

즉, 법이 강화되었는데, 예전 기준으로 뽑았던 CPO의 임기가 끝난 후, 새로운 기준(강화된 자격요건)을 갖추지 못한 사람을 다시 CPO로 지정했을 때도 2년간 자동 인정되는지가 요지다.

 

결론부터 말하면, 이 사안에서 개인정보처리자는 개정 시행령 부칙 제2조제1항에 따라 같은 영 제32조제3항·제4항 및 별표 1에 따른 개인정보 보호책임자를 지정한 것으로 볼 수 없다.

 

왜 새로 뽑은 CPO는 유예 적용이 되지 않을까? 여기서는 이 '유예'의 의도가 무엇인지가 중요한데, 이 유예조치는 '기존에 일하고 있던 사람을 보호하기 위한 장치'로 해석된다. 

 

부칙이란, 법이 바뀌면 기존 제도 아래에서 이미 지정되어 일하고 있는 사람이나 기관이 갑자기 불리해지지 않게 하기 위해 유예를 적용하는 것을 말하는데, 사실 이는 어찌 보면 당연한 것이다. 법이 바뀌자마자 그걸 실무에 바로 적용하는 곳이 어디 있겠나. '너 지금 조건으론 부족한데, 법이 갑자기 바뀐 거니까 좀 봐줌'이라는 것이다. 그리고 이 '유예'는 명확하게 기존의 CPO를 보호하기 위한 것이다. 기존 CPO가 법 개정 당시 이미 지정돼 있으면 보호대상이지만, 그런데 임기 끝나고 새로운 사람을 뽑았으면 보호대상이 아닌 것이다. 왜냐하면 새로 뽑는 건 기득권 보호와 아무 관계가 없기 때문이다.