[디지털데일리 김보민기자] 개인정보보호책임자(CPO) 자격 요건을 명시한 제도가 올해 본격 시행된다. 그동안 CPO는 '명패만 있고 영향력이 부족하다'는 지적을 받아온 만큼, 이번 제도로 분위기 전환이 가능할지 관심이 주목된다. 공공·민간 조직에서 활동하는 CPO를 대변할 협의회도 상반기 출범을 앞두고 있어 기대감을 더했다.

◆ '개인정보보호 등 관련 경력 4년' CPO 자격 구체화

16일 개인정보보호위원회(이하 개인정보위)는 '2024 주요 정책 추진계획'을 통해 데이터 경제를 지원하는 개인정보 생태계를 조성하겠다고 밝혔다. 그 일환으로 '전문 CPO 제도'를 3월 도입할 계획이다.

고학수 개인정보위 위원장은 전날 서울정부청사에서 열린 브리핑에서 "전문성 있는 개인정보보호책임자가 독립성을 가지고 업무를 수행할 수 있도록 제도를 도입할 것"이라고 설명했다.

CPO는 영단어 'Chief Privacy Officer' 약자로, 이미 글로벌 기업들 사이에서는 낯선 직책이 아니다. 기업·기관 데이터와 개인정보를 보호할 정책·전략을 다루는 자리로, 최고정보보호책임자(CISO)가 겸직을 하는 경우도 많다. 다만 CISO는 사이버 위협 방지와 보안 아키텍처 등 거시적인 업무를 총괄한다는 점에 차이가 있다.

개인정보위는 내달 15일 개인정보보호법 개정 시행에 맞춰 자격 요건을 명시한 제도를 운영할 예정이다. 개인정보보호, 정보보호, 정보기술(IT) 등 이력을 합쳐 4년 이상의 경력을 갖춘 자만 CPO로 임명될 수 있다.

그동안 국내 CPO 임명 방식은 기업 및 기관마다 제각각이었다. 현재 공공기관은 고위 공무원이, 민간 조직은 대표자 또는 임원이, 소상공인은 대표자가 겸임하는 방식으로 CPO 직책을 운영하고 있다. 일각에서 CPO 역할이 유명무실해질 수 있다는 우려가 제기된 이유이기도 하다.

이번 CPO 요건이 까다로워지면 개인정보보호 업무에 특화된 전문가를 영입하려는 움직임이 빨라질 전망이다.

개인정보위 측은 "현재 CPO는 보호법상 개인정보 조직에서 개인정보 처리나 보호를 관리할 사람을 책임자로 임명해야 한다는 규정만 있고, 다른 자격 기준을 명시하지 않고 있다"며 "자격 사항이 구체화돼 있는 CISO처럼, CPO 또한 직급을 넘어선 요건을 갖추게 될 것"이라고 설명했다.

이 밖에도 개인정보위는 대표자 및 이사회 직접 보고 체계를 구축하는 등 CPO 보고 조항도 추진할 계획이다.

◆ CPO협의회 늦어도 6월 발족, 정책당국 가교 역할

CPO들이 한 자리에 모여 의견을 피력할 수 있는 대화의 장도 출범을 앞두고 있다. 개인정보위는 'CPO 협의회'를 구성해 민간과 공공 영역에서 활동하고 있는 이들이 소통할 수 있는 공간을 마련한다.

협의회는 CPO에 대한 매뉴얼을 마련하고, 산업별 개인정보 침해 요소 및 방지 대책 등 공동 관심사를 논의하는 역할을 수행한다. 참여 CPO는 해킹 등 유출 사고가 발생했을 때 대처 방안을 논의하고, 공동 사업을 발굴할 수 있을 것으로 보인다. 정책당국과 소통하는 공식 가교 역할도 할 전망이다.

협의회 규모는 관심을 보이는 CPO 인원에 따라 달라질 전망이다. 개인정보위 측은 "법에 따른 CPO 협의회이기 때문에, 일부 기업을 넘어 원하는 기업 누구나 다 참여할 수 있도록 운영될 예정"이라며 "추가적인 안을 마련해 협의회를 계속 확장할 수 있는 형태로 운영될 것"이라고 말했다.

협의회는 늦어도 올해 6월 출범한다. 개인정보위는 산업별 분야를 나누는 등 막바지 실무 작업을 마무리해 협의회 발족을 추진 중이다.

한편 개인정보위는 개인정보 전문 인력을 양성하기 위한 전략도 이행할 방침이다. 개인정보 학사 전공을 운영하고 석·박사 전공을 개설하는 것이 골자다. 가명정보 안전 활용에 필요한 전문가를 양성하자는 취지로 예비자, 실무자, 전문가 등 정규 과정을 운영하고 기업 및 대학에서 관련 특강을 시행할 계획이다. 개인정보 보호에 특화된 '국가 자격 제도'를 도입하는 방안도 연구한다.