공공기관, 개인정보보호 중요성 인식...보안관리 강화에 노력 

IT·보안 담당부서 팀장이 CPO 겸직하는 곳도 8% 차지

[보안뉴스 김태형] 최근 연이어 발생하고 있는 대규모 개인정보 유출 사고로 인해 각 기업과 기관 등에서는 개인정보의 보호와 관리에 더욱 신경을 곤두세우고 있다. 특히 각 공공기관의 개인정보보호와 관리는 무엇보다 더 중요하다.

이러한 가운데 우리나라 정부기관 등 여러 공공기관에서는 개인정보보호 및 관리를 위한 CPO(Chief Privacy Officer;최고 개인정보 책임자)를 제대로 임명하고 운영하고 있는지 궁금해진다.

이에 보안뉴스 설문 조사 결과, 응답자 중 절반 이상이 공식적으로 임원급의 CPO를 임명하고 개인정보 관리와 보호를 책임지도록 하고 있는 것으로 나타났다.

이 같은 결과는 본지가 중앙정부·지자체·공기업 등의 CPO 1,292명을 대상으로 ‘귀 기관에서는 CPO 직책을 어떤 형태로 운영하고 있나요’라는 설문조사를 진행한 결과, 총 응답자 711명 중에서 약 53%인 378명이 ‘국·실장 이상의 임원급에서 공식적으로 CPO를 맡고 있다’고 응답했다.

이는 정부의 강력한 개인정보보호법 시행에 따라, CPO 임명률이 크게 증가한 것으로 풀이된다. 이는 민간 기업의 CPO 보유실태를 비교해 봐도 짐작할 수 있다.

한국인터넷진흥원(KISA)이 국내 5,135개 기업을 대상으로 진행한 2012년 정보보호실태 조사에 따르면, 개인정보유출 및 잇따른 해킹사고 후 금융 및 보험회사의 90% 이상이 CPO를 보유하게 됐으며 보안투자 증가율도 금융·보험업이 가장 많이 상승한 것으로 나타났다.

특히 금융·보험업의 CPO 임명률은 2011년 대비 2012년에 38%나 증가한 91%로 조사됐다. 전체 사업군에서는 10~49명의 영세 사업체 CPO 임명률이 전년 대비 22.5% 증가한 66.9%로 나타나 대기업뿐만 아닌 중소기업에서도 개인정보에 대한 경각심이 상당히 높아진 것으로 분석됐다.

이러한 영향으로 공공기관에서도 CPO 임명률이 높아진 것으로 보인다. 기업이나 공공기관의 CPO 임명은 개인정보보호법 제31조와 정보통신망법 제27조에 근거한다. 개인정보보호법 제31조 제1항에 의하면 ‘개인정보처리자는 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보보호 책임자를 지정해야 한다’고 되어 있고 제75조 제3항 제8호에 의하면 ‘이를 위반하여 개인정보 처리 방침을 정하지 않는 자는 1천만원 이하의 과태료를 부과 받는다’고 명시하고 있다.

특히 개인정보보호법 제31조 제6항 및 개인정보보호법 시행령 제32조 제2항에 의하면 ‘개인정보처리자는 공공기관과 민간업체의 구분에 따라 개인정보보호 책임자를 지정한다’고 되어 있다.

또 정보통신망법 제27조에 의하면 ‘정보통신서비스 제공자등은 이용자의 개인정보를 보호하고 개인정보와 관련한 이용자의 고충을 처리하기 위해 개인정보 관리책임자를 지정하여야 한다. 다만 종업원 수 이용자 수 등이 대통령이 정하는 기준에 해당하는 정보통신서비스 제공자등의 경우에는 지정하지 아니할 수 있다’고 명시하고 있다.

법령에 따라 임명된 CPO는 각 기업이나 기관의 개인정보보호 업무를 총괄하며 개인정보보호 계획의 수립, 오·남용 방지 대책 수립, 교육·관리·감독의 임무를 맡는다. 행정기관의 경우 고위 공직자나 담당 부서장이 맡도록 되어 있으며 민간부분은 임원급 또는 부서장이 맡는다.

이번 설문에서 두 번째로 많은 응답은 ‘지정된 개인정보관리책임자가 CPO 역할을 맡고 있음’이 32.4%로 전체 응답중 231명이 답했고 세 번째로 많은 응답은 ‘경영지원(총무·인사) 담당 팀장이 CPO역할을 담당하고 있음’이라는 응답이 6.3%, 45명이었다. 

이어서 ‘IT 담당 팀장이 CPO 역할을 담당하고 있음’이라고 응답한 사람이 5.1%, 36명이나 되어 IT담당과 CPO를 겸직하고 있는 곳도 일부 있는 것으로 확인되었다. 

마지막으로 ‘보안부서 팀장이 CPO 역할을 담당하고 있음’이 3.0% 21명이 응답해 CPO가 없고 IT담당 팀장이나 보안부서 팀장이 CPO를 겸직하고 있는 기관이 전체 응답자 중 8% 가량을 차지하고 있는 것으로 조사됐다. 

이처럼 CPO의 임명과 임무는 관계법령으로 정해져 있다. 해당되는 각 기업과 기관에서는 관계 법령에 따라 CPO를 임명하고 개인정보보호를 위한 체계적 보안관리에 보다 적극적으로 나서야 할 때다.

[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>