개인정보보호 교육

개인정보보호 교육이란?

개인정보보호 교육은 성희롱 예방·장애인 인식개선·산업안전보건·퇴직연금 교육과 묶여 '5대 법정의무교육'으로 불리지만, 이 묶음은 법이 정한 이름이 아니라 실무에서 편의상 부르는 말입니다. 나머지 넷이 주로 고용노동부 소관의 노동 관계 법률에 근거한다면 개인정보보호 교육은 개인정보 보호법에 근거하고 개인정보보호위원회가 소관합니다. 근거가 다르니 대상과 주기, 점검 방식도 다릅니다. 다른 법정교육의 '연 1회 1시간' 틀을 그대로 옮겨 적으면 정작 이 법이 요구하는 것을 놓치게 됩니다.

법이 정한 구조는 이렇습니다. 실시 주체는 개인정보처리자, 곧 회사이고, 대상은 회사의 지휘·감독 아래 개인정보를 처리하는 개인정보취급자입니다. 정규직뿐 아니라 파견·시간제 근로자도 업무상 개인정보를 다루면 포함됩니다. 주기는 법 조문에 '정기적으로'라고만 돼 있고 횟수와 시간이 숫자로 박혀 있지 않습니다. 대신 안전성 확보조치 기준 고시가 내부 관리계획에 교육 사항을 넣고 교육 목적·대상·내용·일정·방법을 계획해 실시하도록 요구합니다. 많은 회사가 연 1회 이상으로 운영하지만 구체 기준은 개인정보보호위원회의 최신 고시와 안내서를 확인해야 합니다.

따라서 담당자가 할 일은 세 가지입니다. 먼저 인사·영업·고객센터·전산처럼 누가 개인정보취급자인지 명단을 확정합니다. 다음으로 업무별로 내용을 달리합니다. 고객 정보를 대량으로 다루는 부서와 임직원 정보만 다루는 부서의 위험은 같지 않습니다. 마지막으로 교육 계획서, 참석 명단, 교재, 평가 결과를 남깁니다. 유출 사고나 점검 때 회사가 관리·감독을 다했는지 보여 주는 자료가 바로 이 기록입니다.

현장에서 어긋나는 지점은 전 직원에게 같은 영상을 틀고 서명을 받는 것으로 끝내는 일입니다. 형식은 갖췄지만 메일 오발송, 파일 무단 반출, 위탁업체 관리 같은 실제 사고 유형은 다뤄지지 않습니다. 수탁자, 곧 개인정보 처리를 맡긴 외부 업체에 대한 교육·감독도 위탁한 회사의 몫이라는 점이 자주 빠집니다. 위반 시 제재는 교육 미실시 하나만으로 정해지기보다 안전조치 의무 전반의 이행 여부와 함께 판단되며, 과징금·과태료의 기준은 개정이 잦으므로 소관 기관 안내로 확인해야 합니다.