정보보호 최고책임자 지정 신고, 겸직 제한 기준

회원 수가 꾸준히 늘어난 온라인 쇼핑몰 운영사에서 개발 총괄 이사가 정보보호 최고책임자 직함까지 달고 있었습니다. 서버 증설 회의, 신규 기능 일정, 보안 점검 보고가 모두 한 사람 책상으로 모였습니다. 그러다 외부 감사를 앞두고 이 겸직 자체가 법 위반일 수 있다는 지적이 나왔습니다. 정보통신망법 제45조의3은 누가 정보보호 최고책임자를 두고 신고해야 하는지, 어떤 회사에서 다른 업무를 맡기면 안 되는지를 나눠 정합니다. 그 기준을 실무 순서대로 정리했습니다.

누가 정보보호 최고책임자를 지정해야 하나

대상은 정보통신서비스 제공자입니다. 전기통신사업자뿐 아니라 그 통신망을 이용해 영리 목적으로 정보를 제공하거나 매개하는 사업자도 포함되므로, 쇼핑몰·앱 서비스·플랫폼 운영사 대부분이 여기에 들어갑니다. 회원 가입을 받고 결제를 처리하는 사업이라면 우선 대상이라고 보고 검토를 시작하는 편이 안전합니다.

제45조의3 제1항은 이 사업자가 보안과 정보의 안전한 관리를 위해 대통령령이 정한 기준을 갖춘 임직원을 정보보호 최고책임자로 지정하고 과학기술정보통신부장관에게 신고하도록 정합니다. 직함만 붙이는 것으로는 부족하고, 자격 기준을 충족한 사람이어야 합니다. 단서가 있습니다. 자산총액, 매출액 등이 대통령령이 정한 기준에 해당하는 사업자는 신고를 하지 않을 수 있습니다. 이 면제는 규모가 작은 사업자를 위한 장치로 운영되므로, 우리 회사가 면제 대상인지는 시행령의 수치로 확인해야 합니다.

겸직이 금지되는 회사는 어디인가

모든 회사에 걸리는 제한은 아닙니다.

제3항은 지정·신고된 정보보호 최고책임자 가운데 자산총액, 매출액 등이 대통령령이 정한 기준에 해당하는 사업자의 경우에 한해 제4항의 업무 외에는 겸직할 수 없다고 정합니다. 일정 규모 이상의 회사라면 정보보호 최고책임자에게 개발 총괄이나 영업 같은 다른 일을 맡길 수 없다는 뜻입니다.

규모 기준 아래의 회사라면 겸직 자체는 막혀 있지 않지만, 지정과 신고 의무는 그대로 집니다.

정보보호 최고책임자는 무슨 일을 하나

제4항은 업무를 반드시 총괄하는 것과 겸할 수 있는 것, 두 묶음으로 나눴습니다.

겸직 금지 대상 회사라도 표의 아래 칸 업무는 함께 맡을 수 있습니다. 정보보호 최고책임자가 개인정보 보호책임자를 겸하는 구조는 법이 허용하는 형태입니다. 2026년 9월 11일부터 시행된 문언은 이 부분이 가리키는 개인정보 보호법 조항 번호만 정비했습니다.

신고를 빠뜨리거나 겸직시키면 어떤 제재가 있나

과태료입니다. 2026년 10월 1일부터 시행된 제76조 제2항은 다음 두 경우를 3천만원 이하 과태료 대상으로 정합니다.

• 대통령령이 정한 기준에 맞는 사람을 정보보호 최고책임자로 지정하지 않거나 그 지정을 신고하지 않은 경우
• 겸직 금지 대상 회사가 정보보호 최고책임자에게 제4항 업무 외의 일을 맡긴 경우

과태료보다 더 큰 부담은 사고가 난 뒤에 옵니다. 침해사고 조사 과정에서 정보보호 최고책임자가 실제로는 다른 업무에 매여 있었다는 사실이 드러나면, 회사의 보호조치 전반이 형식에 그쳤다는 평가로 이어지기 쉽습니다. 조사 과정에서는 보안 예산과 인력 배치까지 함께 들여다보게 됩니다.

새로 생긴 정보보호위원회와는 어떻게 맞물리나

2026년 10월 1일 시행된 제45조의4는 자산총액, 매출액 등이 대통령령이 정한 기준에 해당하는 사업자에게 정보보호에 관한 사항을 심의하는 정보보호위원회를 두도록 했습니다. 위원장은 정보보호 최고책임자가 맡습니다. 위원회 구성과 운영은 대통령령으로 정합니다. 위원장 자리까지 맡게 되는 만큼, 대상 회사라면 정보보호 최고책임자의 직급과 보고 체계를 위원회 운영에 맞춰 다시 짜 둘 필요가 있습니다.

제5항은 정보보호 최고책임자들이 모이는 협의회를 둘 수 있게 하고 제6항은 그 활동 경비를 정부가 지원할 수 있게 했는데, 가입 의무는 없지만 침해사고 정보를 교류하는 창구로 쓸 만합니다.

확인할 것
· 우리 회사가 신고 면제 기준에 해당하는지, 시행령 수치로 확인했는가
· 겸직 금지 기준에 해당한다면 현재 맡긴 업무가 제4항 범위 안에 있는가
· 지정된 사람이 시행령의 자격요건을 갖추었는가
· 사람을 바꿨다면 변경 신고까지 마쳤는가
· 정보보호위원회 설치 대상인지 검토했는가

정리

정보통신서비스 제공자는 자격을 갖춘 임직원을 정보보호 최고책임자로 지정하고 신고해야 합니다. 일정 규모에 해당하면 신고가 면제되고, 다른 일정 규모 이상이면 겸직이 금지되는 구조이므로 두 기준을 따로 확인해야 합니다.

위반은 3천만원 이하 과태료 대상이고, 규모가 큰 회사는 정보보호위원회까지 갖춰야 합니다. 조직 개편이나 감사를 앞두고 있다면 시행령 기준과 현재 업무 분장부터 대조하십시오. 어긋나는 부분이 보이면 변호사와 함께 지정·신고 서류와 내부 규정을 정비하시기 바랍니다.

참조 조문

정보통신망 이용촉진 및 정보보호 등에 관한 법률 제2조, 제45조의3, 제45조의4, 제76조

관련 안내: 부산 변호사 · 업무분야

이 유형의 사건은 초기 대응 시점이 결과를 좌우합니다. 시간이 지난 뒤 후회하시기보다, 의문이 생기는 그 시점에 변호사와 상의하시기 바랍니다.

법무법인 대한중앙 한병철 변호사

대한변호사협회 인증 형사전문·부동산전문변호사 (13년차)

전화: 1533-7377 | 이메일: hanbyungchul@naver.com

부산 해운대 사무소 · 영남권/제주 중심, 서울·경기·충청·호남·강원 의뢰 대응

상담 신청하시면 담당자가 연락드려 상담료를 안내합니다.

자주 묻는 질문

정보보호 최고책임자와 개인정보 보호책임자를 한 사람이 맡아도 되나요?

됩니다. 제45조의3 제4항 제2호 라목이 개인정보 보호책임자 업무를 겸할 수 있는 업무로 정하고 있어, 겸직 금지 대상 회사라도 이 조합은 허용됩니다.

직원이 열 명 남짓한 스타트업도 신고해야 하나요?

지정 의무는 정보통신서비스 제공자 전체에 있습니다. 다만 자산총액·매출액 등이 시행령 기준에 해당하면 신고를 하지 않을 수 있으니 회사 재무 수치를 시행령과 대조해 보십시오.

외부 보안업체 직원을 정보보호 최고책임자로 신고할 수 있나요?

제1항은 대통령령이 정한 기준에 해당하는 임직원을 지정하도록 정합니다. 회사 소속이 아닌 외부 인력을 그대로 신고하는 것은 문언과 맞지 않을 수 있으니 시행령 기준을 먼저 확인하십시오.

겸직 금지 위반으로 과태료를 받으면 형사처벌도 따르나요?

제45조의3 위반에 대한 제재는 제76조 제2항의 과태료로 규정되어 있습니다. 다만 침해사고가 함께 발생했다면 다른 조항의 책임이 별도로 검토될 수 있습니다.

법무법인 대한중앙 | 해운대 사무소

대한변호사협회 인증 형사전문·부동산전문변호사

작성·검토: 한병철 변호사 · 2026-10-20

대표 변호사 한병철

전화: 1533-7377 | 이메일: hanbyungchul@naver.com

본 글은 일반적인 법률 정보 제공을 목적으로 하며, 개별 사안에 대한 법률 자문이 아닙니다. 구체적인 사건은 정식 상담을 통해 확인이 필요합니다.

초안은 AI 도구의 도움을 받아 작성하고, 담당 변호사가 검토·수정한 뒤 게시합니다.