하나은행, CPO 임면 '이사회 결의'···개인정보보호, 실무에서 '거버넌스'로

개인정보보호도 이사회 핵심 경영 의제로···CEO·이사회 책임 강화

개인정보 유출 '보안 사고' 넘어 경영 리스크로···은행권 선제 대응 속도

그래픽=박혜수 기자

하나은행이 이사회 중심의 개인정보보호 체계를 본격 가동한다. 최근 개인정보 유출에 대한 제재 수위를 대폭 높인 개인정보보호법 개정안이 본격적으로 시행하면서 은행권의 개인정보 보호 체계에도 변화의 바람이 불고 있다.

15일 금융권에 따르면 하나은행은 최근 지배구조 내부규범을 개정해 개인정보보호책임자(CPO)의 지정·변경·해임을 이사회 결의사항으로 명문화했다.

기존 내부규범상 이사회 결의 대상이었던 준법감시인·위험관리책임자·주요업무집행책임자에 더해 이번 개정의 핵심은 CPO까지 이사회가 직접 관여하는 인사 대상으로 명시적으로 편입됐다는 데 있다.

이는 지난 11일부터 시행된 개인정보보호법 개정안에 따른 것이다. 개정안은 최근 3년 내 고의·중과실에 따른 개인정보 유출 사고가 반복됐거나 고의·중과실로 1000만명 이상 정보주체에게 피해를 발생시킨 경우 관련 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 기존 과징금 상한이 관련 매출액의 3%였던 점을 고려하면 제재 수위가 최대 3배 이상 강화되는 셈이다.

개인정보보호를 둘러싼 최고경영자(CEO)와 CPO의 권한과 책임의 무게도 달라졌다. 그간 실무자인 CPO에게만 한정되던 관리·감독 책임을 CEO에게도 부과하는 동시에 CPO는 개인정보 보호를 위한 전문인력을 관리하고 필요한 예산을 확보하는 한편 개인정보보호 관련 주요 사항을 CEO와 이사회에 보고하는 역할을 맡는다. 일정 규모 이상의 기업은 CPO를 지정하거나 변경·해제할 때 이사회 의결을 거쳐 개인정보위원회에 신고해야 한다.

이는 개인정보보호의 성격이 바뀌고 있다는 의미로 해석된다. 과거 개인정보보호가 정보보호 부서와 CPO가 예방·대응하는 '실무'의 영역​에 가까웠다면, 이제는 CEO와 이사회가 직접 관련 위험을 점검·관리하는 '거버넌스' 영역으로 격상됐다.

특히 은행권의 경우 다른 업종보다 개인정보보호의 중요성이 크다. 민감한 금융 관련 정보를 대규모로 보유하고 있는 특성상 단 한 번의 사고로 큰 피해가 예상되기 때문이다. 단순한 과징금 부과를 넘어 고객 신뢰 하락, 브랜드 가치 훼손, 금융당국의 검사와 제재 등 2차적인 경영 부담으로 이어질 수 있다.

개인정보위원회가 새로운 CPO 제도의 현장 안착을 위해 충분히 시간을 두고 내년 12월 31일까지 계도기간을 운영하는 가운데 하나은행이 발 빠르게 관련 체계 정비에 나선 것도 개인정보보호가 은행권에서 갖는 무게와 무관하지 않다.

이사회가 CPO의 지정·변경·해임에 직접 관여하도록 규정함으로써 개인정보보호를 조직 내 특정 부서의 업무로만 두지 않고 지배구조 차원의 핵심 경영·재무 리스크 대상으로 끌어올린 것이다.

제재 수준이 높아진 만큼 사고를 막기 위한 은행권의 대응도 이어질 전망이다. 단순히 CPO를 지정하는 것을 넘어 누구에게 보고하고, 필요한 인력과 예산을 어떻게 확보하며, 이사회가 개인정보보호 현황을 어떤 방식으로 점검할 것인지​가 중요한 경영 과제가 될 것으로 보인다. 특히 이번 개정안에는 개인정보보호를 위해 지속적으로 투자하고 보호체계를 구축한 기업에 대해 과징금을 최대 40%까지 감경할 수 있는 내용이 담겨 있어, 사전에 얼마나 투자하고 체계적으로 관리할지가 경영진의 중요한 의사결정 기준이 될 전망이다.

금융권 관계자는 "이제 개인정보보호는 사고를 막는 식의 실무적 대응만으로는 한계가 있다"며 "대규모 유출 사고 시 막대한 과징금과 재무적 손실이 경영진의 관리 책임으로 직접 직결되는 만큼 이사회 차원에서 관리 체계를 갖추는 것이 중요해졌다"고 말했다.