IMHR’s 한줄 답변

전체 직원이 아닌 개인정보취급자에게만 교육을 실시하면 됩니다.

전문가 세부 설명

개인정보보호 교육은 개인정보 보호법 제28조에 근거를 두고 있는 것으로, 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 실시하도록 사업주에게 의무화된 교육입니다. 해당 교육은 개인정보(성명, 주민등록번호 및 영상 또는 다른 정보와 결합하여 개인을 알아볼 수 있는 정보)를 취급하는 회사라면, 직원 수에 관계없이 실시해야 합니다.

그렇다면 회사가 개인정보보호 교육을 실시해야 하는 개인정보취급자는 누구일까요? 개인정보취급자란 “개인정보처리자의 지휘∙감독을 받아 개인정보를 처리하는 임직원”을 의미하는데, 직접적으로 개인정보에 관한 업무를 담당하는 자뿐만 아니라 그 밖에 업무상 필요에 의하여 개인정보에 접근하여 처리하는 모든 자를 말합니다. 통상적으로 기업에서는 임직원 및 협력업체, 고객 등의 개인정보를 취급하는 부서인 인사, 총무, 재무회계, 보안, 전산, 고객담당부서 등에서 근무하는 직원들이 개인정보보호 교육 대상이 되는 것입니다.

※ 개인정보처리자: 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는자(법인, 단체 및 개인 등)

한편, 개인정보보호 교육과 관련하여 실무적으로 흔히 오해하는 부분이 별도의 교육 횟수나 시간, 외부 강사를 통한 교육 이수 여부 사항인데요.

교육 횟수, 시간 등은 법에서 정해진 사항이 없으나 연 1~2회 정도를 권장하고 있고, 외부 강사를 통한 교육 이수가 필수가 아니므로 회사의 개인정보 관련 책임자가 직접 교육을 실시해도 무방합니다. 또한, 정부에서 운영하는 개인정보보호 포털(https://www.privacy.go.kr/)을 통한 온라인 교육도 가능합니다.

또한 교육을 미실시 했을 경우 벌금이나 과태료가 있지 않을까 하는 질문이 많은데요. 개인정보보호법에서는 교육 미실시에 따른 과태료나 벌칙 규정은 없습니다. 다만, 개인정보유출 등 관련 사고가 발생했을 때 사업주 책임, 손해배상등의 이슈에서 교육 실시 여부를 확인할 수 있으므로, 교육 미실시에 따른 벌칙이나 과태료가 없더라도 정기적으로 교육을 실시하는 것이 바람직합니다.

[함께 읽으면 좋은 글] 

[HR 프랙티스] 법정의무교육 운영 실무 ›
[한줄 자문] 법정의무교육 실시 기간은 입사일 기준인가요? 당해년도 기준인가요? ›

[개인정보보호법] 제28조(개인정보취급자에 대한 감독)
① 개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자(이하 “개인정보취급자”라 한다)에 대하여 적절한 관리ㆍ감독을 행하여야 한다.
② 개인정보처리자는 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육을 실시하여야 한다.