법정 예외로 개인정보 보호책임자를 따로 지정하지 않는 경우에도 담당자가 사라지는 것은 아니다. 개인정보 보호법 제31조 제2항은 이때 사업주나 대표자가 개인정보 보호책임자가 된다고 정한다. 작은 회사라는 설명만으로 보호 업무 자체를 하지 않아도 된다고 받아들여서는 안 된다.
지정 예외와 담당 업무를 구별한다
가령 회사에 개인정보 문제를 문의했더니 별도 담당자를 두지 않는다는 답을 들었다고 하자. 설명용 가상 사례다. 제31조 제1항은 개인정보 처리와 보호 업무를 총괄할 책임자를 지정하는 것을 원칙으로 하되, 종업원 수와 매출액 등이 대통령령의 기준에 해당하면 지정하지 않을 수 있도록 한다. 모든 소규모 회사가 무조건 예외라는 뜻은 아니다. 회사가 실제로 어떤 기준에 따라 별도 지정을 하지 않았다는 것인지 확인한다.
예외인 경우 사업주나 대표자가 맡는다
제31조 제1항 단서에 따라 따로 지정하지 않는 경우에는 사업주 또는 대표자가 보호책임자가 된다. 예외에 해당한다는 주장과 누구도 보호 업무를 맡지 않는다는 설명은 다르다. 보호책임자의 업무에는 개인정보 처리와 관련한 불만 처리와 피해 구제, 실태 조사와 개선, 보호 계획 등이 포함된다(제4항). 회사에 연락할 때 어떤 정보의 어떤 처리에 관한 문제인지 먼저 특정한다.
고충 처리 창구와 답변을 확인한다
제31조 제5항은 필요한 경우 보호책임자가 처리 현황과 체계를 조사하거나 관계자에게 보고받을 수 있게 한다. 제6항은 법령 위반 사실을 알면 즉시 개선조치를 하도록 정한다. 다만 문의를 했다는 사실만으로 위법이나 배상 책임이 인정되는 것은 아니다. 제30조 제1항 제6호에 따라 처리방침에 실린 보호책임자 성명 또는 관련 고충 처리 부서의 명칭과 연락처를 확인한다. 문의 내용과 회사의 답변을 모아 어떤 조치를 요청하는지 정리한다. 이 글은 지정 예외의 구체적 매출액 기준이나 모든 회사의 책임자 자격을 임의로 정하는 설명이 아니다.
