법무법인[유] 지평 || [개인정보 · 데이터 · AI] CPO의 이사회 보고

법률정보|Legal Update

[개인정보 · 데이터 · AI] CPO의 이사회 보고 · 의결 및 이사의 책임

2026.08.20

2026. 9. 11. 시행 개정 개인정보 보호법 대응
<div style="text-align: justify;"> 
2026. 9. 11.부터 시행되는 개정 「개인정보 보호법」은 ▲개인정보처리자의 사업주 또는 대표자가 개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 최종적인 책임자임을 명시하고, ▲일정 규모 이상의 개인정보처리자로 하여금 CPO 지정ㆍ변경ㆍ해제 시 이사회 의결을 거치고 개인정보보호위원회에 신고하도록 하며, ▲CPO의 법정 업무에 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고를 새롭게 추가하는 등 거버넌스 측면에서 중대한 변화를 요구하고 있으므로, 사전 대응이 필요합니다. 
 
「개인정보 보호법」의 개정은 개인정보와 관련한 이슈뿐만 아니라 「상법」상 이사의 책임에도 영향을 미칠 수 있습니다. 
 
법무법인(유) 지평은 이러한 실무상 혼선을 해소하고 기업이 개정법 시행에 체계적으로 대비할 수 있도록 「개정 개인정보 보호법에 따른 CPO 이사회 보고ㆍ의결 실무 안내서」를 마련하였습니다. 
 
 
1. 주요 변경 사항 
 
(1) 개인정보 보호책임자 선임 및 신고 절차 등이 신설되었습니다. 
 
2026년 9월 11일부터 시행되는 개정 「개인정보 보호법」은 개인정보 보호에 관한 업무를 더 이상 개인정보 보호책임자(이하 "CPO")나 실무부서만의 업무가 아닌, 대표자와 이사회가 함께 수행하여야 하는 핵심 경영과제로 격상하여 전사적인 거버넌스 체계를 구축하도록 하였습니다. 
 
개정법에 따르면 ▲개인정보처리자의 사업주 또는 대표자는 개인정보의 안전한 처리 및 정보주체의 권리 보호에 대한 최종적인 책임자로서 개인정보 보호에 필요한 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 수행하여야 하고, ▲일정 규모 이상의 개인정보처리자는 CPO를 지정하거나 그 지정을 변경ㆍ해제할 때 이사회 의결을 거쳐 개인정보보호위원회에 신고하여야 하며, ▲CPO의 법정 업무에 ‘개인정보 보호 현황 및 주요 사항에 관한 사업주 또는 대표자 및 이사회에 대한 보고’가 새롭게 포함됩니다. 
 
(2) 개정법과 시행령(안)은 이와 관련한 구체적인 항목이나 방식은 언급하지 않고 있습니다. 
 
개정법과 시행령(안)은 구체적인 내용을 규정하고 있지 않기 때문에 기업 현장에서는 다음과 같은 구체적 사항을 준비하는 과정이 필요할 것으로 예상됩니다.</div>

<ul>
	<li style="text-align: justify;">CPO의 지정ㆍ변경ㆍ해제와 관련하여 CPO의 자격 충족 여부</li>
	<li style="text-align: justify;">개인정보 보호 현황 가운데 어떤 사항을 이사회에 ‘보고’해야 하는지</li>
	<li style="text-align: justify;">보고는 어느 주기로, 어떤 형식과 수준으로 해야 하는지</li>
	<li style="text-align: justify;">개인정보 유출사고 등 긴급한 사안은 언제, 어떤 절차로 보고해야 하는지</li>
	<li style="text-align: justify;">보고자료와 이사회 의사록에는 무엇이 포함되고 어떻게 관리해야 하는지</li>
</ul>

<div style="text-align: justify;"> 
(3) 이사의 의무가 가중됩니다. 
 
이사는 회사에 대하여 선관주의의무(상법 제382조 제2항, 민법 제681조), 충실의무(상법 제382조의3)를 부담하므로 현행법 하에서도 이사가 의무를 위반하거나 게을리하여 개인정보 유출 등의 사고가 발생할 경우 손해배상책임(상법 제399조, 제401조)이 발생할 수 있습니다.  그런데 개정법에 따라 CPO의 지정ㆍ변경ㆍ해제가 의결 안건이 되고, 이사회에 개인정보 보호 현황이 정기적으로 보고된다면 이사들은 그 내용을 알았거나 알 수 있었던 것이 되므로, 유출 등의 사고 발생 시 관련된 안건에 관한 찬성이나 반대를 표시한 이사는 물론 이의를 제기하지 않은 이사의 책임(상법 제399조 제2항, 제3항)이 문제 될 가능성도 있습니다. 
 
구체적으로 ① 보고된 위험 신호를 이사회가 방치하였는지, ② 개인정보 보호를 위한 예산ㆍ인력 요청을 거부하였는지, ③ 보고 체계가 적절하였는지, ④ CPO의 지정ㆍ변경ㆍ해제 결의 시 이사들이 자격요건, 독립성, 전문성 등을 충분히 검토하고 부적격자 지정이나 부당한 해임에 찬성 또는 묵인하지 않았는지가 이사 책임의 중요한 쟁점이 될 것입니다. 
 
 
2. 개정 조항의 적용 대상 
 
이사회 의결ㆍ신고 의무의 적용 대상 기준은 대통령령에 위임되어 있습니다.  보호위원회는 2026. 6. 2.부터 7. 13.까지 「개인정보 보호법 시행령 일부개정령안」을 입법예고하였으며, 그 내용은 아래와 같습니다.</div>

<div style="text-align: justify;"> 
CPO 지정ㆍ변경ㆍ해제는 결의 안건(찬반 표결, 의사록 기재)으로, 그 밖의 개인정보 보호 현황 및 주요 사항은 보고 안건으로 구분됩니다. 
 
CPO의 지정ㆍ변경ㆍ해제는 이사회 결의안건으로 상정하여 의결 결과를 의사록에 기재하여야 합니다.  개인정보 보호 현황 및 주요 사항은 CPO의 이사회 보고사항으로 상정하고, 보고가 이루어진 사실과 주요 내용을 의사록에 기재하되, 주요 질의ㆍ답변이나 후속조치 요청사항이 있는 경우에는 이를 함께 기록하는 것이 바람직합니다. 
 
따라서 기업은 이사회 규정과 개인정보 보호 관련 내규에서 CPO 지정ㆍ변경ㆍ해제에 관한 의결 절차와 정기ㆍ수시 보고사항, 보고 주기ㆍ방식, 자료ㆍ의사록의 작성ㆍ보존 및 후속 조치 절차를 각각 구분하여 정하는 것이 바람직합니다.</div>

<div style="text-align: justify;"> 
개정법은 ‘개인정보 보호 현황 및 주요 사항’을 이사회 보고 대상으로 규정하고 있으나 구체적인 범위를 열거하고 있지는 않습니다.  「개정 개인정보 보호법에 따른 CPO 이사회 보고ㆍ의결 실무 안내서」에서는 CPO의 법정 업무와 국내외 개인정보ㆍ정보보호 거버넌스 사례를 바탕으로 보고사항을 다음과 같이 다섯 가지 영역으로 유형화하였습니다.</div>

<table cellpadding="8px" style="width:100%; text-align:center; border:1px solid #bbb; border-collapse:collapse;" width="100%">
	<tbody>
		<tr>
			<td style="border: 1px solid rgb(187, 187, 187); background-color: rgb(242, 242, 242); border-top: 2px solid #cc0000; padding: 10px 8px; vertical-align: middle;" width="32%">
			<div style="line-height: 25px; font-size: 16px; text-align: justify;">① 계획ㆍ전략ㆍ자원 관련</div>
			</td>
			<td style="border: 1px solid rgb(187, 187, 187); border-top: 2px solid #cc0000; padding: 10px 15px; vertical-align: middle;" width="68%">
			<ul>
				<li style="line-height: 25px; text-align: justify; ">연간 개인정보 보호 계획과 시행 결과</li>
				<li style="line-height: 25px; text-align: justify;">중장기 개인정보 보호 전략 및 로드맵</li>
				<li style="line-height: 25px; text-align: justify;">전문 인력 현황과 확보 계획</li>
				<li style="line-height: 25px; text-align: justify;">예산 편성ㆍ집행 현황</li>
			</ul>
			</td>
		</tr>
		<tr>
			<td style="border: 1px solid rgb(187, 187, 187); background-color: rgb(242, 242, 242); padding: 10px 8px; vertical-align: middle;" width="32%">
			<div style="line-height: 25px; font-size: 16px; text-align: justify;">② 거버넌스ㆍ내규 관련</div>
			</td>
			<td style="border: 1px solid rgb(187, 187, 187); padding: 10px 15px; vertical-align: middle;" width="68%">
			<ul>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">개인정보 보호 관련 내규의 제ㆍ개정 
				(유출 등 사고 발생 시 대응 매뉴얼, 내부관리계획 등 포함)</li>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">개인정보 처리방침의 중요사항 변경</li>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">교육 계획과 실시 결과</li>
			</ul>
			</td>
		</tr>
		<tr>
			<td style="border: 1px solid rgb(187, 187, 187); background-color: rgb(242, 242, 242); padding: 10px 8px; vertical-align: middle;" width="32%">
			<div style="line-height: 25px; font-size: 16px; text-align: justify;">③ 리스크ㆍ내부통제 관련</div>
			</td>
			<td style="border: 1px solid rgb(187, 187, 187); padding: 10px 15px; vertical-align: middle;" width="68%">
			<ul>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">개인정보 처리 실태 점검 결과와 개선 조치</li>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">접근권한ㆍ접속기록ㆍ이상행위 탐지 등 내부통제 현황</li>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">영향평가 또는 자체 위험도 평가 결과</li>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">감독기관 조사ㆍ처분 및 시정명령 이행 현황</li>
			</ul>
			</td>
		</tr>
		<tr>
			<td style="border: 1px solid rgb(187, 187, 187); background-color: rgb(242, 242, 242); padding: 10px 8px; vertical-align: middle;" width="32%">
			<div style="line-height: 25px; font-size: 16px; text-align: justify;">④ 사고ㆍ정보주체 대응 관련</div>
			</td>
			<td style="border: 1px solid rgb(187, 187, 187); padding: 10px 15px; vertical-align: middle;" width="68%">
			<ul>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">개인정보 유출 등 사고와 대응 현황</li>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">정보주체 통지ㆍ위원회 신고 및 재발방지 대책</li>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">불만ㆍ분쟁조정ㆍ소송 현황</li>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">피해 구제와 배상 재원</li>
			</ul>
			</td>
		</tr>
		<tr>
			<td style="border: 1px solid rgb(187, 187, 187); background-color: rgb(242, 242, 242); padding: 10px 8px; vertical-align: middle;" width="32%">
			<div style="line-height: 25px; font-size: 16px; text-align: justify;">⑤ 제3자 리스크 관련</div>
			</td>
			<td style="border: 1px solid rgb(187, 187, 187); padding: 10px 15px; vertical-align: middle;" width="68%">
			<ul>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">수탁자 관리ㆍ감독 결과</li>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">개인정보 국외 이전 현황</li>
				<li style="line-height: 25px; font-size: 15px; text-align: justify;">클라우드 및 생성형 AI 서비스 이용에 따른 개인정보 위험</li>
			</ul>
			</td>
		</tr>
	</tbody>
</table>

<div style="background:#eeeeee;border:1px solid #cccccc;padding:20px; text-align: justify; ">실무 포인트 
 
모든 사항을 동일한 수준으로 보고할 필요는 없습니다.  회사의 업종, 개인정보 처리 규모, 고유식별정보 및 민감정보 처리 여부, 재무ㆍ평판 영향 등을 반영한 ‘중요성 기준’을 정하고 이를 내규에 구체화하는 것이 중요합니다.</div>
 
 
5. 이사회 보고 체계의 정비

<div style="text-align: justify;"> 
기업의 지배구조와 기존 내부통제 체계에 따라 다음 세 가지 방식을 검토할 수 있습니다.  </div>

<table cellpadding="8px" style="width:100%; text-align:center; border:1px solid #bbb; border-collapse:collapse;" width="100% text-align: justify; ">
	<tbody>
		<tr>
			<td style="border: 1px solid rgb(187, 187, 187); background-color: rgb(242, 242, 242); border-top: 2px solid #cc0000; padding: 8px; vertical-align: middle;" width="25%">
			<div style="line-height: 25px; font-size: 16px; text-align: center;">운영 유형</div>
			</td>
			<td style="border: 1px solid rgb(187, 187, 187); background-color: rgb(242, 242, 242); border-top: 2px solid #cc0000; padding: 8px; vertical-align: middle;" width="75%">
			<div style="line-height: 25px; font-size: 16px; text-align: center;">주요 내용</div>
			</td>
		</tr>
		<tr>
			<td style="border: 1px solid rgb(187, 187, 187); background-color: rgb(242, 242, 242); font-size: 16px; line-height: 25px; padding: 12px; vertical-align: middle;" width="25%">
			<div style="line-height: 25px; font-size: 16px; text-align: justify; ">이사회 직접 보고형</div>
			</td>
			<td style="border: 1px solid rgb(187, 187, 187); font-size: 16px; line-height: 25px; padding: 12px 15px; vertical-align: middle;" width="75%">
			<div style="line-height: 25px; font-size: 16px; text-align: justify; ">CPO가 이사회에 직접 보고하고 필요한 의결 안건을 상정하는 방식</div>
			</td>
		</tr>
		<tr>
			<td style="border: 1px solid rgb(187, 187, 187); background-color: rgb(242, 242, 242); font-size: 16px; line-height: 25px; padding: 12px; vertical-align: middle;" width="25%">
			<div style="line-height: 25px; font-size: 16px; text-align: justify; ">기존 위원회 先활용형</div>
			</td>
			<td style="border: 1px solid rgb(187, 187, 187); font-size: 16px; line-height: 25px; padding: 12px 15px; vertical-align: middle;" width="75%">
			<div style="line-height: 25px; font-size: 16px; text-align: justify; ">내부통제위원회 등이 먼저 심의한 후 그 결과와 CPO 보고내용을 CPO가 이사회에 보고하는 방식</div>
			</td>
		</tr>
		<tr>
			<td style="border: 1px solid rgb(187, 187, 187); background-color: rgb(242, 242, 242); font-size: 16px; line-height: 25px; padding: 12px; vertical-align: middle;" width="25%">
			<div style="line-height: 25px; font-size: 16px; text-align: justify; ">전문위원회 신설형</div>
			</td>
			<td style="border: 1px solid rgb(187, 187, 187); font-size: 16px; line-height: 25px; padding: 12px 15px; vertical-align: middle;" width="75%">
			<div style="line-height: 25px; font-size: 16px; text-align: justify; ">이사회 내 개인정보 또는 디지털 리스크 관련 위원회를 설치(신설)하여 전문적ㆍ심층적으로 검토한 후 CPO가 이사회에 보고하는 방식</div>
			</td>
		</tr>
	</tbody>
</table>

<div style="text-align: justify;"> 
다만, 개정법이 보고 상대방을 ‘이사회’로 명시하고 있으므로, 이사회 내 위원회에 보고하는 것만으로 법정 보고를 갈음할 수 있다고 단정하기는 어렵습니다.  위원회를 활용하더라도 최종적으로 이사회 본회의에 보고되도록 절차를 설계하는 것이 안전합니다.</div>
 
 
6. ‘정기보고’와 ‘수시보고’의 이원화

<div style="text-align: justify;"> 
개정법은 구체적인 이사회 보고 주기를 정하지 않았습니다.  실무적으로는 최소 연 1회 이상 대면 정기보고를 실시하고 기업의 처리 규모와 위험 수준에 따라 반기 보고 또는 분기별 요약보고를 병행하는 방안을 고려해 볼 수 있겠습니다.</div>

<div style="background:#eeeeee;border:1px solid #cccccc;padding:20px;text-align: justify; ">실무 포인트 
 
정기보고: 연간 계획ㆍ성과ㆍ예산ㆍ인력ㆍ위험 현황을 종합 보고 
수시보고: 유출사고, 감독기관 조사ㆍ처분, 대규모 민원ㆍ분쟁, 중대한 수탁자 사고, 주요 변경사항 등 발생 시 즉시 보고</div>

<div style="text-align: justify;"> 
특히 개인정보 유출 통지ㆍ신고에는 별도의 법정 기한이 있으므로, 이사회 보고 일정을 고려하는 과정에서 법정 조치가 지연되지 않도록 부득이한 경우 ‘선 법정 조치, 후 이사회 보고’가 가능한 위기대응 절차를 마련해야 합니다.</div>
 
 
7. 기록 관리

<div style="text-align: justify;"> 
이사회 의결ㆍ보고가 적절하게 이루어졌는지는 결국 기록으로 확인됩니다.  다음 자료를 체계적으로 작성ㆍ보존할 필요가 있습니다.</div>

<ul>
	<li>이사회 의결ㆍ부의안건 및 보고서</li>
	<li>CPO가 이사회에 제공한 설명자료와 첨부자료</li>
	<li>이사들의 질의와 CPO의 답변</li>
	<li>이사회의 지시사항 및 의결ㆍ논의 결과</li>
	<li>지시사항에 대한 후속 조치와 이행 결과</li>
	<li>이사회 규정 및 개인정보 보호 내규의 개정 이력</li>
</ul>

<div style="text-align: justify;"> 
단순히 보고자료를 의사록에 첨부하고 ‘별첨과 같이 보고받았다’고 기재하거나, 특별한 이유 없이 모든 보고를 서면으로 갈음하는 방식은 실질적인 보고ㆍ감독이 이루어졌는지에 관한 논란이 발생할 수 있습니다.</div>
 
 
8. 위반 시 제재

<div style="text-align: justify;"> 
(1) 이사회 의결ㆍ신고 위반: 개정법 제75조 제2항 제14호의3(이사회 의결을 거치지 아니한 경우) 및 제14호의4(신고하지 아니한 경우)에 따라 3천만원 이하의 과태료를 부과합니다. 
 
* 위반 횟수별 구체적 부과금액 등 세부 기준은 시행령 별표 확정 후 재확인이 필요합니다. 
 
(2) 보고 미이행: 제31조 제4항의 보고업무 미수행 자체에 대한 직접적인 과태료 조항은 확인되지 않습니다.  다만 독립성 보장 의무, 내부통제 및 안전조치의무, 시정명령 등과 연계된 법적 위험을 별도로 검토하여야 합니다. 
 
(3) 실무상 영향: 보호위원회는 위반 행위 조사 과정에서 내부통제 체계의 적정성을 평가하므로, CPO의 독립성 미보장이나 보고 체계 부재는 위반행위의 중대성ㆍ예방조치 이행 여부 평가에서 불리하게 고려될 수 있습니다.</div>
 
 
9. 시행 전 기업이 우선 점검할 사항

<div style="text-align: justify;"> 
개인정보 보호법에 의한 행정제재는 아니지만, 대규모 유출로 인한 과징금ㆍ손해배상 발생 시 해당 기업의 이사에게 상법상의 책임이 제기될 가능성도 있습니다(상법 제399조, 제401조 및 제403조).  이를 방어하기 위해서라도 이사회 보고에 대한 충실한 기록이 필요합니다. 
 
□ CPO 지정ㆍ변경ㆍ해제 시 이사회 의결 및 신고 의무 대상에 해당하는가 
□ 현 CPO의 지위와 자격요건이 법령에 부합하는가 
□ 이사회 규정에 CPO 관련 의결 및 신고에 관한 절차 등이 규정되어 있는가 
□ 개인정보 관련 내규에 보고 대상ㆍ기준ㆍ주기ㆍ절차가 규정되어 있는가 
□ CPO가 대표자 및 이사회에 보고할 수 있는 절차가 보장되어 있는가 
□ 정기보고서와 유출사고 긴급보고서 등 표준 서식이 마련되어 있는가 
□ 이사회 지시사항을 추적ㆍ관리하는 체계가 있는가 
□ 대표이사 등 경영진 대상 개인정보 보호 교육이 준비되어 있는가</div>

<div style="background:#eeeeee;border:1px solid #cccccc;padding:20px; text-align: justify; ">유의사항 
 
이상의 내용은 입법예고안에 따른 것이므로 시행 전 확정 조문과 경과조치를 반드시 다시 확인해야 합니다.</div>

<div style="text-align: justify;"> 
법무법인(유) 지평 개인정보ㆍ데이터ㆍAI팀은 기업의 적용 대상 여부 진단, CPO 지정 및 신고 절차, 이사회 보고체계 설계, 관련 내규 개정, 표준 보고서 작성 및 이사ㆍ경영진 교육 등 개정법 시행에 필요한 종합적인 법률자문을 제공하고 있습니다.</div>

Issue Briefing [금융규제] 금융복합기업집단 감독규정 개정 – 모든 전자금융업자를 소속금융회사에 포함 2026.08.06

목록으로

JIPYONG 법무법인[유] 지평

관련 업무분야

관련 구성원

관련 업무분야

관련 구성원

SHARE

면책공고

유한책임