개인정보 보호책임자를 정했다고 해서 사업주나 대표자의 총괄 관리 책임이 사라지는 것은 아니다. 개인정보 보호법 제30조의3은 사업주 · 대표자를 안전한 처리와 정보주체 권리 보호의 최종 책임자로 정하고, 전문 인력과 충분한 예산 지원 등 관리 조치를 실효성 있게 하도록 한다.
담당자 지정과 경영자의 역할을 나눈다
가령 회사가 개인정보 담당자를 지정한 뒤 보호 관련 문제는 그 사람에게 모두 맡기면 된다고 생각한다고 하자. 설명용 가상 사례다. 제31조의 보호책임자 지정과 그 사람이 수행할 업무가 있다는 사실은 제30조의3의 사업주 · 대표자 책임과 구별된다. 담당자를 정한 것과 실제 보호 업무를 수행할 여건을 마련한 것은 다르다. 업무 담당자와 실제 지원 내용을 함께 살펴야 한다.
인력과 예산 지원도 실효성이 있어야 한다
제30조의3은 개인정보 보호에 필요한 전문 인력과 충분한 예산의 지원 등 총괄적인 관리 조치를 실효성 있게 하도록 정한다. 책임자를 정하는 형식만 갖췄다고 이 의무도 모두 이행했다고 볼 수는 없다. 보호 업무를 할 인력이 있는지, 필요한 조치와 관련된 예산을 어떻게 지원하는지 확인한다. 이 조문만으로 모든 회사에 같은 인원수나 예산액이 정해지는 것은 아니다. 규모와 실제 처리 내용에 관한 사정을 나누어 볼 일이다.
보호책임자의 독립적인 업무도 보장한다
제31조 제7항은 보호책임자가 법정 업무를 수행할 때 정당한 이유 없이 불이익을 주거나 받게 하지 말고, 독립적으로 일할 수 있도록 보장하게 한다. 제31조 제4항에는 보호 계획, 전문 인력 관리와 예산 확보, 사업주 · 대표자 및 이사회에 대한 보호 현황 보고 등의 업무도 포함된다. 담당 업무와 보고 체계, 지원 요청과 실제 조치에 관한 자료를 대조한다. 이 글은 사고가 나면 대표 개인에게 언제나 특정 민사 · 형사 책임이 생긴다고 단정하는 설명이 아니다. 법이 정한 관리 의무와 구체적인 책임 성립은 자료와 해당 규정을 구별해 검토해야 한다.
