개인정보·처리방침
직원 10명 회사도 개인정보 보호책임자를 지정해야 하나 — 소상공인 예외와 2026. 9. 11. 개정 후 과태료 3천만원
개인정보 보호책임자 지정 의무의 예외(소상공인), 대표 겸직 가능 여부, 처리방침 기재 사항, 2026. 9. 11. 개정으로 생긴 이사회 의결·신고 대상과 과태료 3천만원을 정리합니다.
핵심 답변
결론. 원칙적으로 예. 상시 근로자가 10명이면 업종과 관계없이 소상공인 요건(10명 미만)을 벗어나므로 개인정보 보호책임자를 지정해야 하고, 지정하지 않으면 2026. 9. 11.부터 3천만원 이하 과태료 대상입니다. 소상공인(소기업이면서 상시 근로자가 업종별 10명 또는 5명 미만)은 지정하지 않을 수 있고 그 경우 사업주나 대표자가 자동으로 보호책임자가 되며, 소상공인이었다가 규모가 커진 회사는 다음 연도부터 3년간 소상공인으로 보는 유예가 있습니다(상시 근로자 20명 이상 등 제외 사유 있음).
근거. 개인정보 보호법 제31조 제1항·제2항은 지정 의무와 예외를, 시행령 제32조 제1항은 예외 대상을 「소상공인기본법」 제2조 제1항의 소상공인으로 정합니다. 미지정 과태료는 법 제75조 제2항 제14호의2(2026. 3. 10. 개정, 2026. 9. 11. 시행)입니다.
예외. 연간 매출액 1,800억원을 넘으면서 5만명 이상의 민감정보·고유식별정보나 100만명 이상의 개인정보를 처리하는 사업자 등은 자격요건을 갖춘 사람을 지정하고 이사회 의결과 보호위원회 신고까지 해야 합니다. 처리방침에는 보호책임자의 성명 또는 담당 부서의 명칭과 연락처를 적어야 하고, 적힌 사람과 실제 지정이 다르면 처리방침 자체의 문제가 됩니다.
표 1. 규모별로 무엇이 다른가
| 구분 | 지정 의무 | 누가 될 수 있나 | 추가 절차·자격 |
|---|---|---|---|
| 소상공인(소기업이면서 상시 근로자가 광업·제조업·건설업·운수업은 10명 미만, 그 밖의 업종은 5명 미만) | 지정하지 않을 수 있음. 지정하지 않으면 사업주·대표자가 보호책임자(법 제31조 제2항) | 사업주·대표자(지정하는 경우 임원도 가능) | 자격요건·이사회 의결·신고 없음 |
| 그 밖의 중소기업·스타트업(직원 10명 회사 포함) | 지정 의무(법 제31조 제1항) | 사업주·대표자 또는 임원. 임원이 없으면 개인정보 처리 업무 담당 부서의 장(시행령 제32조 제2항 제2호) | 자격요건 없음. 독립성 보장(시행령 제32조 제7항) |
| 연간 매출액 1,800억원 초과 + 5만명 이상 민감정보·고유식별정보 또는 100만명 이상 개인정보 처리, 재학생 2만명 이상 대학, 상급종합병원, 공공시스템운영기관 | 지정 의무 + 지정·변경·해제 시 이사회 의결(법인) + 사유 발생일부터 6개월 이내 보호위원회 신고(법 제31조 제3항, 시행령 제32조 제3항·제4항) | 위와 같되 별표 1 자격을 갖춘 사람 | 개인정보보호·정보보호·정보기술 경력 합계 4년 이상, 그중 개인정보보호 경력 2년 이상(학위 환산 가능) |
소상공인인지 어떻게 보나요?
소상공인은 「중소기업기본법」상 소기업 가운데 상시 근로자 수가 10명 미만이고, 업종별로 광업·제조업·건설업·운수업은 10명 미만, 그 밖의 업종은 5명 미만인 사업자입니다(소상공인기본법 제2조 제1항, 시행령 제3조 제1항). 온라인 쇼핑몰·학원·음식점·소프트웨어 회사처럼 '그 밖의 업종'이면 직원이 5명만 되어도 소상공인이 아닙니다. 그래서 직원 10명 회사는 어느 업종이든 소상공인 요건을 벗어나고, 아래의 지위 유지 유예에 해당하지 않는 한 지정 의무가 있습니다.
소기업 요건은 업종별 평균매출액으로 봅니다(중소기업기본법 시행령 제8조 제1항·별표 3). 정보통신업은 50억원 이하, 도매·소매업은 60억원 이하, 전문·과학·기술 서비스업은 30억원 이하, 숙박·음식점업과 교육 서비스업, 보건업은 15억원 이하이고, 제조업은 세부 업종에 따라 15억원(산업용 기계·장비 수리업)에서 140억원 이하까지 다르므로 한국표준산업분류 코드로 확인해야 합니다. 직원이 4명인데 매출이 기준을 넘으면 소기업이 아니므로 소상공인도 아닙니다.
상시 근로자 수는 직전 사업연도 매월 말일 인원의 평균으로 계산하고, 임원·일용근로자·3개월 이내 계약직·인정받은 기업부설연구소 등의 연구전담요원·월 60시간 미만 단시간근로자는 빼며, 월 60시간 이상 단시간근로자는 0.5명으로 셉니다(소상공인기본법 시행령 제3조 제3항·제4항). 창업·합병·분할한 지 얼마 안 된 회사는 창업일 등부터 산정일까지의 월평균으로 따로 계산합니다. 규모가 커져 소상공인에서 벗어나도 그 다음 연도부터 3년간은 소상공인으로 봅니다(법 제2조 제2항). 다만 상시 근로자가 20명 이상이 되거나 중소기업에서 벗어나는 등 시행령 제4조의 사유가 있으면 이 유예가 없습니다. 유예는 보호책임자 지정 예외에도 그대로 이어지지만, 직원이 늘고 있다면 미리 지정해 두는 쪽이 간단합니다.
대표가 직접 보호책임자를 맡아도 되나요?
됩니다. 공공기관이 아닌 개인정보처리자의 보호책임자는 사업주 또는 대표자, 아니면 임원(임원이 없으면 개인정보 처리 업무 담당 부서의 장) 중에서 지정합니다(시행령 제32조 제2항 제2호). 소상공인이 지정하지 않으면 대표자가 법에 따라 자동으로 보호책임자가 되므로(법 제31조 제2항), 소규모 회사에서 대표가 맡는 것은 법이 예정한 모습입니다. 외부 자문인이나 일반 직원은 이 범위에 들어가지 않습니다.
대표가 맡을 때 주의할 점은 역할이 이름뿐이 되지 않게 하는 것입니다. 보호책임자는 보호 계획 수립·시행, 처리 실태 조사·개선, 불만 처리·피해 구제, 내부통제시스템 구축, 교육 계획, 개인정보파일 관리·감독을 맡고(법 제31조 제4항), 시행령은 여기에 처리방침의 수립·변경·시행, 인적·물적 자원 관리, 보유 기간이 지난 개인정보의 파기를 더합니다(시행령 제32조 제5항). 처리방침을 누가 관리하는지가 곧 보호책임자의 업무라는 뜻입니다. 소상공인 예외에 따라 별도 지정 없이 대표자가 보호책임자가 되는 경우에는 독립성 보장 규정(시행령 제32조 제7항)이 적용되지 않지만, 지정 의무가 있는 회사가 대표자를 지정한 경우에는 적용됩니다.
처리방침에는 무엇을 적나요?
- 보호책임자의 성명, 또는 개인정보 보호 업무와 고충 사항을 처리하는 부서의 명칭과 전화번호 등 연락처(법 제30조 제1항 제6호). 둘 중 하나면 법정 요건은 채워지지만, 실무에서는 성명·직위·연락처와 고충 처리 부서를 함께 적는 방식이 일반적입니다.
- 연락처는 실제로 응답하는 창구여야 합니다. 퇴사한 담당자의 이메일, 받지 않는 대표번호는 정보주체의 권리 행사 방법(제30조 제1항 제5호)과도 연결되는 결함입니다.
- 보호책임자가 바뀌면 처리방침을 갱신합니다. 실제 지정 여부(지정 의무)와 처리방침 갱신 여부(공개 의무)는 별개의 문제이므로 각각 확인합니다. 적법하게 지정해 두고 처리방침만 못 고친 경우는 미지정이 아니라 처리방침의 정확성 문제입니다.
- 소상공인이 지정하지 않는 경우에도 처리방침의 보호책임자 항목은 필요합니다. 이때는 대표자의 성명 또는 담당 부서·연락처를 적습니다.
우리 회사가 소상공인 예외인지, 누구를 지정해야 하는지 확인하려면
상시 근로자 수와 업종별 매출 기준으로 예외 해당 여부를 가리고, 지정 서류와 처리방침의 보호책임자 항목, 내부 관리계획의 조직 구성 부분까지 한 번에 맞춰 드립니다.
2026. 9. 11. 개정으로 무엇이 달라졌나요?
세 가지입니다. 첫째, 보호책임자를 지정하지 않거나 자격요건을 갖추지 않은 사람을 지정하면 과태료 상한이 1천만원에서 3천만원으로 올랐습니다. 종전 제75조 제4항 제9호가 삭제되고 제2항 제14호의2가 신설되었으며, 시행령 별표 2의 부과기준은 1회 900만원, 2회 1,800만원, 3회 이상 3,000만원입니다. 둘째, 매출액 1,800억원 초과 등 대규모 처리자는 보호책임자를 지정·변경·해제할 때 이사회 의결을 거치고 6개월 이내에 보호위원회에 신고해야 하며, 어기면 각각 3천만원 이하 과태료입니다(제75조 제2항 제14호의3·제14호의4). 셋째, 보호책임자의 업무에 '이사회에 대한 보고'가 들어가고, 대규모 처리자는 별표 1의 경력 요건을 갖춘 사람을 지정해야 합니다.
직원 10명 회사가 대규모 처리자에 해당할 가능성은 낮지만, 기준은 인원이 아니라 매출액과 처리 규모이므로 그 기준으로 확인합니다. 이사회 의결·신고·자격요건은 대규모 처리자에게만 적용되지만, 보호책임자 업무 목록의 개정(전문 인력 관리·예산 확보, 대표자와 이사회에 대한 보고)은 모든 보호책임자에게 적용됩니다. 직원 10명 회사가 할 일은 대표자나 임원 중 한 사람을 문서로 지정하고 처리방침에 적는 것입니다. 지정 문서는 법이 서식을 정하지 않으므로 대표이사 결재의 지정서나 내부 관리계획의 조직 구성 항목으로 남기면 됩니다.
표 2. 보호책임자 관련 과태료
| 위반 | 근거 | 상한 | 1회·2회·3회 이상(시행령 별표 2) |
|---|---|---|---|
| 보호책임자를 지정하지 않음(지정 의무가 있는 모든 처리자) | 법 제75조 제2항 제14호의2 | 3천만원 이하 | 900·1,800·3,000만원 |
| 별표 1의 자격요건을 갖추지 않은 사람을 지정(대규모 처리자) | 법 제75조 제2항 제14호의2 | 3천만원 이하 | 900·1,800·3,000만원 |
| 이사회 의결 없이 지정·변경·해제(대규모 처리자) | 법 제75조 제2항 제14호의3 | 3천만원 이하 | 900·1,800·3,000만원 |
| 보호위원회에 신고하지 않음(대규모 처리자) | 법 제75조 제2항 제14호의4 | 3천만원 이하 | 900·1,800·3,000만원 |
| 처리방침에 보호책임자 성명 또는 부서·연락처가 없음 | 법 제30조 제1항 제6호·제75조 제4항 제8호 | 1천만원 이하 | 300·600·1,000만원 |
함께 봐야 할 글
보호책임자 항목이 처리방침의 다른 법정 항목과 어떻게 이어지는지는 처리방침 필수 항목 점검표에, 과태료 전체 표는 과태료·과징금 금액표에 있습니다. 보호책임자가 가장 먼저 점검할 두 항목인 수탁자 목록과 해외 도구는 위탁과 제3자 제공의 차이와 해외 도구와 국외 이전에서 다룹니다.
처리방침에 보호책임자 항목이 있는지, 연락처 형식이 갖춰졌는지는 개인정보 처리방침 점검기가 문서 기준으로 확인합니다. 실제 지정 여부와 소상공인 해당 여부는 문서로 알 수 없으므로 점검기 결과와 별도로 확인해야 합니다.
자주 묻는 질문
개인정보 보호책임자와 정보보호최고책임자(CISO)는 같은 사람이어야 하나요?
다른 제도입니다. 개인정보 보호책임자는 개인정보 보호법 제31조에 따라 모든 개인정보처리자(소상공인 예외)가 두는 사람이고, 정보보호최고책임자는 정보통신망법에 따라 일정 규모의 정보통신서비스 제공자가 지정하는 사람입니다. 소규모 회사는 대개 보호책임자만 해당하며, 두 제도에 모두 해당하는 회사라면 각 법의 겸직 제한 요건을 따로 확인해야 합니다.
외부 변호사나 컨설턴트를 보호책임자로 둘 수 있나요?
공공기관이 아닌 처리자의 보호책임자는 사업주·대표자 또는 임원(임원이 없으면 담당 부서의 장) 중에서 지정하도록 시행령 제32조 제2항 제2호가 정하고 있어 외부인은 될 수 없습니다. 외부 전문가는 보호책임자를 돕는 자문 역할이고, 처리방침에 적히는 책임자는 내부 사람이어야 합니다.
보호책임자가 교육을 받지 않으면 과태료가 있나요?
보호책임자 본인의 교육 이수를 의무로 정해 과태료를 부과하는 조문은 개인정보 보호법 제75조에 없습니다. 교육은 보호책임자가 수립·시행해야 하는 '개인정보 보호 교육 계획'(법 제31조 제4항 제7호)과 시행령 제30조의 내부 관리계획에 담기는 취급자 교육의 문제이고, 보호위원회는 보호책임자 교육과정을 지원할 수 있습니다(시행령 제32조 제6항). 교육 기록은 안전조치 의무 이행과 과태료 감경 판단에서 의미가 있습니다.