(서울=뉴스1) 이민주 기자 = SK텔레콤(017670), KT(030200), LG유플러스(032640)의 통신 3사가 개인정보보호 안건을 최고경영자(CEO)와 이사회가 직접 챙기는 경영 의제로 끌어올렸다.
지난해 잇따른 해킹 사고를 겪으면서 정보보호 거버넌스를 강화하는 흐름에 이어 내달 개인정보보호책임자(CPO)의 권한과 책임을 강화한 개정 개인정보보호법 시행까지 다가오면서 경영진 보고 체계를 정비하고 CPO의 역할과 관련 조직을 강화하고 있다.
25일 업계에 따르면 SK텔레콤은 최근 CPO의 대표자·이사회 보고를 의무화하는 내부 조항을 신설했다. 기존 비정기적으로 이뤄지던 개인정보보호 관련 보고를 정례화해 이사회 개최 시 또는 분기별로 보고하는 체계를 갖췄다.
SK텔레콤은 지난해 CPO 조직을 신설하고 CPO의 권한과 책임을 강화했다. 이 같은 개인정보보호 체계 개편 내용을 CEO와 이사회에 별도로 보고했으며 CPO 주도로 개인정보 관련 사규 개정도 마쳤다.
CPO의 역할도 개인정보보호법 준수에서 AI 거버넌스와 윤리, 고객 신뢰까지 함께 설계하는 방향으로 확대하고 있다. 기존 보안·법무 조직 중심으로 개인정보를 관리하던 구조에서 서비스 기획·개발·마케팅·운영 조직이 함께 개인정보 리스크를 검토하는 체계로 바꿨다.
서비스 출시 이후 개인정보보호 문제를 점검하는 방식에서 벗어나 기획 단계부터 개인정보보호를 함께 설계하는 '프라이버시 바이 디자인'(Privacy by Design) 원칙도 실제 업무 프로세스에 적용했다.
KT는 정보보호 조직 자체를 CEO 직속으로 끌어올렸다. 기존 기술혁신부문 산하에 있던 정보보안실을 CEO 직속으로 옮기고 지난해까지 한 명이 겸직하던 CISO와 CPO도 분리했다.
현재 CISO가 정보보안실을 총괄하고 정보보안실 산하 3개 그룹 가운데 개인정보보호그룹장이 CPO를 맡고 있다. KT는 지난 4월 정보보호 분야 전문가인 김창오 CPO를 외부에서 영입했다.
CPO의 경영진 보고체계도 정비하고 있다. CPO가 개인정보보호 현황과 주요 사항을 대표자와 이사회에 보고할 수 있도록 관련 보고체계와 절차를 마련 중이다.
CISO와 CPO는 각자의 역할과 소관에 따라 업무를 담당하면서 기존 협업·대응체계를 기반으로 함께 대응한다. 김 CPO는 인공지능 전환(AX) 시대에 맞춰 데이터 중심의 개인정보보호 체계 구축을 맡는다.
LG유플러스도 CPO의 대표자 및 이사회 보고 사항을 의무화하는 내부 조항을 신설했다. 기존 비정기적으로 이뤄지던 개인정보보호 관련 주요 현안 보고를 정례화한다.
LG유플러스는 정보보안센터장이 CISO와 CPO를 함께 맡는 현행 겸직 체제를 유지했다. 책임자는 겸직하지만 실무 조직은 정보보안과 개인정보보호 기능을 나눠 운영한다.
CISO·CPO 산하에 정보보안기술담당과 개인정보보호담당을 각각 두고 기술적 보안 통제와 침해사고 대응, 개인정보보호 기준 수립과 중요 정보 관리 등을 분담하고 있다. LG유플러스는 현재로서는 두 직책을 별도로 분리할 계획이 없는 것으로 파악됐다.
지난해 잇따른 해킹 사고 이후 통신 3사는 거버넌스 개편을 통해 정보보호 체계를 강화하고 있다. 여기에 더해 오는 9월 11일 시행되는 개정 개인정보보호법에 대비하는 조치기도 하다.
개정안은 연이은 대규모 개인정보 유출 사고를 계기로 기업·기관의 개인정보 보호책임을 강화하기 위해 마련됐다.
주요 내용은 △징벌적 과징금 도입 △CPO 역할 강화 △공공·민간 주요 개인정보처리자에 대한 ISMS-P 인증 의무화 등이다. 중대·반복적인 법 위반에 대해서는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 한 것이 대표적이다.
특히 CPO가 개인정보 보호에 필요한 전문인력을 관리하고 관련 예산을 확보하도록 역할을 강화했다. 개인정보 보호 현황과 주요 사항을 대표자와 이사회에 보고하는 의무도 신설했다. 개인정보보호 관련 주요 이슈를 CEO와 이사회의 관리·감독 영역으로 명확히 한 것이다.
개정법 시행을 앞두고 업계에서는 개인정보보호 현안이 CEO와 이사회에 정기적으로 보고되는 만큼 경영진의 주요 의사결정 과정에서 개인정보보호가 차지하는 비중도 커질 것으로 보고 있다.
업계 관계자는 "CISO와 CPO의 분리 여부보다 강화된 CPO의 권한과 역할이 실제 경영 과정에서 얼마나 실효성 있게 작동할지가 관건"이라며 "보고 정례화가 되는 만큼 개인정보보호가 정보보안 부서만의 문제가 아니라 전사적인 경영 과제로 자리 잡게 될 것"이라고 설명했다.
minju@news1.kr
