1.

적용 대상

개정법에 따라, CPO의 지정·변경·해제를 이사회 의결을 통해 하여야 하고 그 사실을 위원회에 신고해야 하는 개인정보처리자는 다음과 같습니다.
 

• 연간 매출액이 1,800억 원을 초과하고, ① 5만 명 이상의 민감정보·고유식별정보를 처리하거나, 또는 ② 100만 명 이상의 개인정보를 처리하는 개인정보처리자;

• 전년도 말 기준 재학생 수 2만 명 이상인 ‘고등교육법’ 제2조에 따른 학교;

• ‘의료법’ 제3조의4에 따른 상급종합병원; 또는

• 공공시스템운영기관

참고로, 안내서에 따르면, 위 기준에서 정보주체의 수는 고객에 한정되는 것이 아니라 임직원도 포함되며, 하나의 기업이 다수의 서비스를 운영하고 있다면 각 서비스와 관련하여 처리되는 정보주체의 수를 합산하여 위 기준의 충족 여부를 판단하여야 합니다.
 

2.

의무 내용

우선 상기 적용 대상에 해당하는 개인정보처리자는 CPO를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회의 의결을 거쳐야 합니다.
 

• 안내서에서는, 이사회 의결의 구체적인 방식이나 시기 등에 대한 특별한 제한은 없으며, 이사회가 없는 구조인 법인의 경우에는 이사회 의결을 거치지 않아도 되나 이 때에는 이사회가 없음을 입증할 수 있는 증빙자료를 제출하여야 한다고 설명하고 있습니다.

한편, CPO 지정·변경·해제에 관한 사항은 그 사유가 발생한 날부터 6개월 이내에 위원회에 신고하여야 합니다.
 

• 상기 신고는 위원회가 운영하는 웹사이트를 통해 온라인으로 진행됩니다. 이 때에는 이사회 의결을 거쳤음을 증빙하는 서류와 CPO의 자격요건 충족을 증명할 수 있는 서류를 함께 제출할 것이 요구된다는 점을 유의할 필요가 있습니다.

• 개정법 시행 전에 CPO를 이미 지정한 개인정보처리자는 그 지정에 대해 이사회 의결을 다시 거칠 필요는 없지만 개정법 시행일인 2026년 9월 11일부터 6개월 이내에 위원회 신고는 해야 합니다.

• 안내서에 따르면, CPO의 사임 후 후임 CPO 지정까지 시간적 공백이 있는 때에는, CPO의 해제와 지정 각각의 사유가 발생한 날부터 6개월의 신고기간이 산정되며, 만약 CPO의 사임 후 6개월 이내에 후임 CPO 지정이 가능하면 CPO 해제와 지정을 동시에 신고하는 것도 가능합니다.