CPO의 자격요건

언론사 : 보안뉴스

뉴스 제목 : CPO 자격요건, 어떻게 되나요? 우리 회사 부장님도 가능한가요? 

게시일 : 2024-03-19

URL : https://m.boannews.com/html/detail.html?mtype=3&tab_type=6&idx=127840

CPO 자격요건, 어떻게 되나요? 우리 회사 부장님도 가능한가요?

---

[ 기사 요약 ]

CPO(개인정보 보호책임자)의 자격요건 관련 제도가 본격 시행되면서 CPO 자격요건을 두고 관심이 높아지고 있다. CPO 자격요건과 관련해 가장 많이 받는 질문은 '공공기관은 순환보직에 따른 전문 CPO 지정 어려움을 토로하고, 민간의 경우 부서장 등을 전문 CPO로 지정할 수 있는지에 대한 질의'이며, 개인정보보호위원회 자율보호정책과 윤여진 과장은 '공공기관의 경우 민감한 개인정보를 정보주체의 동의없이도 대규모로 수집하여 처리하고 있는 점 등을 고려할 때, 민간기업 뿐만 아니라 공공기관도 전문 CPO 지정 등 개인정보 보호를 위한 투자가 필요한 시기라고 생각한다'라는 의견을 밝혔다.

- CPO 자격요건 -

1. 개인정보보호 경력, 정보보호 경력, 정보기술 경력을 합해 총 4년 이상 보유하고, 그 중 개인정보보호 경력을 최소 2년 이상 보유

2. 개인정보보호 경력이란 공공기관, 기업체, 교육기관 및 연구기관 등에서 개인정보보호 관련 정책 및 제도, 개인정보 영향평가, 개인정보보호 인증 심사 등 개인정보보호 업무를 수행한 경력, 개인정보보호 관련 컨설팅 또는 법률자문 경력을 말함

3. 정보보호 경력이란 공공기관, 기업체, 교육기관 및 연구기관 등에서 정보보호를 위한 공통기반기술, 시스템·네트워크 보호, 응용서비스 보호, 계획·분석·설계·개발·운영·유지보수·컨설팅·감리 또는 연구개발 등 정보보호 업무를 수행한 경력, 정보보호 관련 컨설팅 또는 법률자문 경력을 말함

4. 정보기술 경력이란 공공기관, 기업체, 교육기관 및 연구기관 등에서 정보통신서비스, 정보통신 기기, 소프트웨어 및 컴퓨터 관련 서비스 분야의 기획·분석·설계·개발·운영·유지보수·컨설팅·감리 또는 연구개발 등 정보기술 업무를 수행한 경력, 정보기술 관련 컨설팅 또는 법률자문 경력을 말함

이와 함께 동일 기간에 2가지 이상 업무 중복되는 경우 하나의 경력만 인정되고, 관련 학위를 취득한 경우 학위에 따라 일정 부분 경력으로 인정한다. 하지만 여러 학위를 취득한 경우 개인정보처리자가 정하는 하나의 학위만 경력으로 인정한다.

	개인정보 보호책임자(CPO)의 자격요건	관련 근거
민간 기업	사업주 또는 대표자, 임원(임원이 없는 경우 개인정보 처리업무 담당 부서) *중소기업기본법에 따른 소기업 중 업종별 상시근로자수 5만명(광업, 제조업, 건설업 및 운수업은 10명 미만) 시 CPO 지정하지 않을 수 있으며, 대표자가 CPO가 됨	개인정보보호법
공공기관	국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관 : 고위공무원단에 속하는 공무원	개인정보보호법 시행령 제32조
	정무직공무원을 장으로하는 국가기관 : 3급 이상 공무원
	3급 공무원을 장으로 하는 국가기관 : 4급 이상 공무원 또는 그에 상당하는 공무원
	기타 국가기관(소속기관 포함) : 해당기관의 개인정보 처리 업무 관련 업무 담당부서장
	시·도 및 시·도 교육청 : 3급 이상 공무원
	시·도 및 자치구 : 4급 공무원
	각급 학교 : 해당 학교 행정사무를 총괄하는 사람
	기타 공공기관 : 개인정보 처리 관련 업무를 담당하는 부서장

 

[ 개인의견 ]

이번 기사를 요약하면서 내가 CPPG 자격증 공부를 하며 배웠던 내용이 나와서 설레면서 요약했던 것 같다.

아직까지 내가 완벽하게 공부를 한건 아니지만 공부를 하면서 되새김질한다는 생각을 하면서 2차적 공부를 한 느낌이다. 

우리나라 CPO는 회사 내부의 사람이 해야하지만 EU-GDPR에서의 DPO같은 경우 '용역계약을 한 외부인'이 가능하다. 개인정보보호 관련 업무가 민감하고 유출되면 크다는 것을 알고있다. 그렇기에 회사 내부사람이 해야한다는 것 같은데... 이러한 기능을 책임질 수 있는 사람이 없는 곳에서 CPO를 지정하기위해 급하게 구하거나, 실력이 보증되지 않았는데 자격요건만 맞췄다고 그 직책을 주는게 맞나 싶다.... 회사 외부인이더라고 실력이 확실한 사람을 데려다 쓰는게 더 좋을 것 같다는 생각이 드는데...움..모르겠다 실력이 좋은 사람을 회사 내부로 끌어들이면 해결되긴 하지만 사업주나 대표자, 임원 혹은 개인정보 처리 관련 업무를 담당하는 부서의 장이 CPO가 된다...장점도 분명해보이지만 단점도 어느정도보여서... 뭐가 옳다 아니다는 말할 수 없지만 각자 좋은 것을 유도리있게 가져다 사용하면 좋을 것 같다는 생각이 든다. 우리나라 CPO 지정은 뭔가 유도리 없이 꽉 막힌 느낌이 없지않아 드는 느낌이 들기 때문에 ^>^...

	EU-GDPR의 DPO	개인정보보호법의 CPO
복수단체의 단일지정	N : 1	1 : 1
자격요건	용역계약을 한 외부인 가능	오로지 내부자
지정 신고의무	있음	없음
겸직금지	겸직허용	겸직허용 (있음으로 된게 일부 有)