CPO·CISO란? 기업의 개인정보 유출 해킹 리스크 대비 가이드 정리

대형 해킹과 개인정보 유출 사고가 잇따르면서 2026년 9월 11일 개정 개인정보 보호법이, 10월 1일 개정 정보통신망법이 차례로 시행되었습니다. 두 법 모두 개인정보 보호책임자(CPO)와 정보보호 최고책임자(CISO)의 지위와 책임을 높이고, 사고를 낸 기업에 대한 과징금 기준을 크게 강화한 것이 핵심입니다. 이 글에서는 CPO와 CISO의 차이, 우리 회사의 지정 의무와 자격요건, 겸직 가능 여부, 유출·해킹 시 제재 수위와 대비 방법을 차례로 정리했습니다.

1. CPO와 CISO 차이

Ⅰ. CPO의 의미와 근거 법령

CPO(Chief Privacy Officer, 개인정보 보호책임자)는 개인정보 보호법 제31조에 따라 개인정보 처리에 관한 업무를 총괄해서 책임지는 사람입니다. 개인정보 보호 계획 수립, 처리 실태 점검, 정보주체 고충 처리, 유출·오남용 방지를 위한 내부통제 등이 법정 업무입니다. 2026년 개정으로 전문 인력 관리와 예산 확보, 사업주·대표자 및 이사회 보고가 업무에 추가되었습니다.

Ⅱ. CISO의 의미와 근거 법령

CISO(Chief Information Security Officer, 정보보호 최고책임자)는 정보통신망법 제45조의3에 따라 정보통신서비스 제공자가 지정·신고하는 정보보호 총괄 책임자입니다. 정보보호 계획의 수립·시행, 정보보호 위험의 식별·평가와 대책 마련 등을 맡습니다. 2026년 개정으로 정보보호 인력 관리와 예산 편성, 이사회 보고 권한이 더해졌습니다.

Ⅲ. CPO와 CISO 업무 범위 비교

CPO는 개인정보가 어떻게 수집·이용·파기되는지를, CISO는 그 정보가 담긴 시스템과 네트워크가 안전한지를 책임진다는 점이 가장 큰 차이입니다.

CPO와 CISO 비교

2. 우리 회사, CPO·CISO 지정 대상일까?

Ⅰ. 개인정보처리자의 CPO 지정 의무

업무를 목적으로 개인정보를 처리하는 사업자는 원칙적으로 모두 CPO를 지정해야 합니다. 다만 개인정보 보호법 시행령 제32조에 따라 소상공인은 별도 지정 없이 사업주 또는 대표자가 CPO로 지정된 것으로 봅니다.

Ⅱ. 정보통신서비스 제공자의 CISO 지정·신고 의무

정보통신서비스 제공자는 CISO를 지정해 과학기술정보통신부에 신고해야 합니다. 자본금 1억 원 이하 부가통신사업자, 소기업, 소상공인 등은 지정·신고 의무에서 제외되며, 신고 대상이 아닌 일정 사업자가 신고하지 않으면 정보통신망법 시행령 제36조의7에 따라 사업주나 대표자를 CISO로 지정한 것으로 봅니다.

CPO·CISO 지정 의무 대상과 예외

3. CPO·CISO 자격요건과 지정 절차

Ⅰ. CPO 직위와 자격요건

민간 기업의 CPO는 사업주·대표자 또는 임원 중에서 지정하고, 임원이 없으면 개인정보 처리 관련 부서의 장을 지정합니다. 이사회 의결·신고 대상과 같은 범위의 기업은 다음 자격요건을 갖춘 사람을 CPO로 지정해야 합니다.

• 개인정보 보호·정보보호·정보기술 경력 합산 4년 이상

• 그중 개인정보 보호 경력 2년 이상 필수

• 개인정보 보호 경력만 4년 이상인 경우도 충족

Ⅱ. CPO 지정·변경·해제 시 이사회 의결과 신고

2026년 9월 11일부터 대상 기업은 개인정보 보호법 제31조에 따라 다음 절차를 거쳐야 합니다.

• CPO 지정·변경·해제 시 이사회 의결

• 사유 발생일부터 6개월 이내 개인정보보호위원회 온라인 신고

• 신고 시 이사회 의결 증빙과 자격요건 증명 서류 제출

• 시행 전 지정 CPO: 시행일부터 6개월 이내 신고(사유 인정 시 최대 1년 연장)

Ⅲ. CISO 임원 지정 의무와 중기업 예외

2026년 10월 1일부터 중견기업 등은 CISO를 임원으로 지정해야 하고, 새로 의무가 생긴 기업에는 6개월의 유예기간이 주어집니다. 중기업은 종전처럼 정보보호 관련 부서장을 CISO로 둘 수 있습니다. CISO 자격요건은 정보통신망법 시행령 제36조의7이 정보보호·정보기술 분야 학위와 경력, ISMS 인증심사원 자격 등으로 정하고 있습니다.

4. CPO·CISO 겸직 가능 여부

Ⅰ. CISO 겸직 제한 대상 기업

다음 기업의 CISO는 법에서 정한 정보보호 업무 외의 다른 업무를 겸할 수 없습니다.

• 직전 사업연도 말 자산총액 5조 원 이상인 정보통신서비스 제공자

• ISMS 인증 의무 대상 중 직전 사업연도 말 자산총액 5천억 원 이상인 정보통신서비스 제공자

과학기술정보통신부는 겸직 제한 범위에 CPO 업무도 포함된다고 안내해 왔으므로, 이들 기업은 CISO와 CPO를 따로 두어야 합니다. 위반 시 정보통신망법 제76조에 따라 3천만 원 이하의 과태료 대상입니다.

Ⅱ. CPO 겸직 제한 규정 유무

현행 개인정보 보호법령에는 CPO의 겸직을 금지하거나 제한하는 규정이 없습니다. 개인정보보호위원회도 겸직 제한 규정 신설을 검토하고 있지 않다고 밝혔지만, 겸직에 문제가 없다고 단정할 수는 없으며 운영 현황을 지켜보겠다는 입장입니다.

Ⅲ. 겸직 운영 시 역할 범위와 전담 조직

겸직 자체가 허용되더라도 CPO가 회사 전체의 개인정보 처리를 실제로 관리하고 있는지가 제재 단계에서 따져집니다. 겸직 구조라면 다음 사항을 문서로 정해 두어야 합니다.

• CPO 관리 범위: IT 서비스·인프라·위탁 업무 등 전사 개인정보 처리 영역

• 개인정보 보호 전담 인력 또는 전담 조직

• CPO의 대표자·이사회 직접 보고 체계

5. 개인정보 유출·해킹 시 기업 제재 수위

개인정보 유출 사고에는 개인정보 보호법 과징금 규정이, 해킹 등 침해사고에는 정보통신망법이 함께 적용될 수 있습니다. 2026년 개정으로 두 법 모두 반복·중대 사고에 대한 과징금이 신설·강화되었고, 개인정보 보호법 제30조의3은 사업주·대표자를 개인정보 보호의 최종 책임자로 명시했습니다.

CPO·CISO 및 유출·해킹 관련 주요 제재 규정

Ⅰ. 개인정보 유출 징벌적 과징금 요건

2026년 9월 11일 이후 발생한 위반행위부터 과징금 상한이 전체 매출액의 3%에서 10%로 높아졌습니다. 다음 중 하나에 해당하면 10% 이내 과징금 특례가 적용될 수 있습니다.

• 고의·중과실로 3년 이내 위반행위 반복

• 고의·중과실로 1천만 명 이상 대규모 피해 발생

• 시정명령 불이행으로 개인정보 유출 발생

반복 위반 가중 비율도 1회 20%, 2회 40%, 3회 이상 80%로 높아져, 같은 유형의 사고가 다시 나면 부담이 급격히 커집니다.

Ⅱ. 신고·통지 기한과 지연 시 과징금 가중

사고를 알게 된 뒤의 신고·통지 기한을 넘기거나 확산 방지 조치를 하지 않으면 과징금이 최대 30%까지 가중될 수 있습니다.

해킹·유출 사고 신고·통지 기한

Ⅲ. 예방 투자에 따른 과징금 감경 요건

사전 투자와 사후 대응은 각각 감경 요소로 반영됩니다.

• 사고 전 개인정보 보호 예산·인력·설비 확충과 보호체계 강화: 기준금액 최대 40% 감경(고의·중과실 위반 제외)

• 사고 대응 체계 사전 구축, 조기 탐지, 신고·통지, 확산 방지 조치 이행: 최대 40% 감경

Ⅳ. 제재 사례로 본 CPO 역할 한정과 전담조직 부재

최근 개인정보보호위원회 처분에서는 CPO가 형식적으로만 지정된 구조가 직접 처분 사유로 지적되었습니다.

6. 관련 사례 및 판례로 보는 주요 쟁점

Ⅰ. 보호조치 기준을 지켰다면 해킹 유출에도 책임이 없는지 여부

정보통신서비스 제공자가 고시에서 정한 기술적·관리적 보호조치를 다했다면, 특별한 사정이 없는 한 개인정보의 안전성 확보에 필요한 보호조치 의무를 위반했다고 보기 어렵고, 위반 여부는 해킹 당시 보편적으로 알려진 정보보안 기술 수준 등을 고려해 판단합니다(대법원 2015. 2. 12. 선고 2013다43994, 44003 판결).

Ⅱ. 개인정보 유출만으로 위자료 배상이 인정되는지 여부

유출로 위자료를 배상할 정신적 손해가 발생했는지는 유출된 정보의 종류와 성격, 제3자의 열람 여부 또는 열람 가능성, 확산 범위, 추가 피해 가능성, 관리 실태와 유출 경위, 피해 확산 방지 조치 등을 종합해 사건별로 판단합니다(대법원 2012. 12. 26. 선고 2011다59834 판결).

Ⅲ. 보호조치 일부 미흡만으로 중대한 위반행위 과징금이 가능한지

퇴직자 계정 미말소 등 일부 미흡한 점이 있더라도 사회통념상 합리적으로 기대 가능한 정도의 기술적 보호조치를 다하지 않았다고 단정하기 어렵다면, 이를 중대한 위반행위로 평가해 과징금을 산정한 것은 재량권 일탈·남용에 해당할 수 있습니다(대법원 2021. 8. 19. 선고 2018두56404 판결).

Ⅳ. 변호사 인사이트

판례는 해킹이 있었다는 결과만으로 책임을 묻지 않고, 사고 당시 합리적으로 기대할 수 있는 보호조치를 다했는지를 따집니다. 개정법의 과징금 감경 역시 사고 전 투자와 사고 후 대응을 증빙으로 평가하므로, 결국 손해배상 소송과 과징금 절차 모두에서 회사가 내밀 수 있는 것은 평소 남겨 둔 기록입니다. CPO·CISO 지정 의사록, 이사회 보고 자료, 보안 예산 집행 내역, 사고 인지 시점부터의 조치 기록을 지금부터 체계적으로 쌓아 두시고, 사고가 발생했다면 72시간 안의 대응 방향을 정하기 전에 변호사와 함께 검토하시는 것을 추천드립니다.

7. 개인정보 유출·해킹 리스크 대비 가이드

Ⅰ. 2026년 개정법 시행에 따른 사전 점검 체크리스트

• 우리 회사가 CPO 이사회 의결·신고 대상인지, 기존 CPO 신고 기한은 어떻게 되나요?

• 현재 CPO가 개인정보 보호 경력 2년을 포함한 총 4년 이상 경력 요건을 충족하는지는 어떻게 되나요?

• CISO를 임원으로 지정해야 하는 기업인지, 새로 대상이 되었다면 6개월 유예기간 안에 지정이 가능할까요?

• CISO 위원장과 IT개발·개인정보보호·인사·재무 부서장으로 구성된 정보보호위원회, CEO·이사회 보고 체계는 어떻게 되나요?

• CPO의 관리 범위가 IT 서비스뿐 아니라 인프라·위탁 업무까지 포함하는지는 어떻게 되나요?

• 유출이 확정되지 않은 가능성 단계에서도 72시간 안에 통지할 내부 절차가 마련돼 있을까요?

• 과징금 감경 증빙이 될 개인정보 보호 예산·인력·설비 투자 기록은 어떻게 되나요?

• 2027년 7월 1일부터 적용되는 ISMS-P 인증 의무 대상에 해당하는지는 어떻게 되나요?

Ⅱ. 해킹·유출 사고 발생 시 대응 순서

신고·통지 기한은 사고를 알게 된 시점부터 계산되므로, 인지 직후 몇 시간의 대응이 과징금 가중과 감경을 가릅니다.

• CISO는 침해 경로 차단과 확산 방지, CPO는 유출 항목과 대상 정보주체 범위 파악을 나누어 맡습니다.

• 정보통신서비스 제공자는 침해사고를 알게 된 때부터 24시간 이내 과학기술정보통신부 또는 한국인터넷진흥원에 신고합니다.

• 유출이 확인되거나 유출 가능성이 높으면 72시간 이내 정보주체에게 통지하고, 대상이면 개인정보보호위원회 또는 한국인터넷진흥원에 신고합니다.

• 통지문에 손해배상 청구와 분쟁조정 신청 등 피해구제 방법을 포함합니다.

• 조사 과정에서 유출 대상자가 추가로 확인되면 그때부터 다시 72시간 안에 통지합니다.

• 접속 기록, 조치 경과, 의사결정 내역을 삭제하지 말고 보존합니다.

8. 자주 묻는 질문(FAQ)

Q. 직원 수가 적은 회사도 CPO를 지정해야 할까요?

개인정보를 처리하는 사업자는 규모와 관계없이 CPO를 두어야 합니다. 다만 소상공인기본법상 소상공인은 별도로 지정하지 않아도 사업주 또는 대표자가 CPO로 지정된 것으로 봅니다. CISO의 경우 소기업·소상공인 등은 지정·신고 의무 대상에서 제외됩니다.

Q. 기존에 지정한 CPO도 다시 신고해야 할까요?

이사회 의결·신고 의무 대상 기업이라면 개정법 시행 전에 지정한 CPO에 대해 이사회 의결을 다시 거칠 필요는 없지만, 시행일인 2026년 9월 11일부터 6개월 안에 개인정보보호위원회에 신고해야 합니다. 사유가 인정되면 신고 기간을 최대 1년까지 연장할 수 있습니다.

Q. CPO 계도기간에는 과태료가 부과되지 않을까요?

개인정보보호위원회는 2027년 12월 31일까지 계도기간을 두고 CPO 미지정, 자격요건 미비, 이사회 의결 의무 위반 등에 과태료를 부과하지 않습니다. 계도기간은 새 CPO 제도에 관한 것이므로, 2026년 9월 11일 이후 발생한 유출 등 위반행위에는 강화된 과징금 기준이 그대로 적용됩니다.

Q. 유출이 확인되지 않았는데도 통지해야 할까요?

개정 개인정보 보호법은 유출이 최종 확인되기 전이라도 객관적으로 유출 가능성이 높다고 판단되면 알게 된 때부터 72시간 안에 정보주체에게 알리도록 하는 유출 가능성 통지제를 도입했습니다. 기한 안에 통지하지 않으면 과징금 산정 시 최대 30%까지 가중될 수 있습니다.

Q. CPO와 CISO를 한 사람이 맡아도 될까요?

자산총액 5조 원 이상이거나 ISMS 인증 의무 대상 중 자산총액 5천억 원 이상인 기업은 CISO가 CPO 업무를 겸할 수 없습니다. 그 외 기업은 현행 법령상 CPO 겸직을 금지하는 규정이 없지만, 겸직하더라도 CPO가 회사 전체의 개인정보 처리 영역을 관리할 수 있도록 역할 범위와 전담 인력을 갖춰야 합니다.

9. 마치며, 번화의 대응 전략

2026년 개정 개인정보 보호법과 정보통신망법은 개인정보 보호와 정보보안을 실무 부서의 일이 아니라 대표자와 이사회가 책임지는 경영 사안으로 바꾸어 놓았습니다. CPO·CISO를 제대로 지정했는지, 실제로 권한과 역할을 행사했는지는 평소에는 과태료 문제로, 사고가 나면 과징금과 손해배상 규모를 가르는 기준으로 이어집니다. 법률사무소 번화는 상담부터 변호사가 직접 담당하며, 각 의뢰인 분들의 상황에 맞는 대응 전략을 수립합니다. CPO·CISO 지정 체계를 점검하거나 해킹·유출 사고에 대응해야 한다면 아래 연락처를 통해 쟁점과 대응 방향을 확인하시기 바랍니다.

• ✍️ 작성: 법률사무소 번화 서준범 변호사

• 대한변협 등록 분야: 민사, 형사

• 변호사 소개: 서준범 변호사 소개 페이지

• 최종 검토일: 2026. 10. 20.

• 작성·검수 방식: 게시 전 담당 변호사 최종 검토 완료