방통위의 DPO 자격증, 스페인 벤치마킹해 만든다

방통위, 2019년 시행 목표로 개인정보보호 전문 관리사 자격증 제도 준비 중
스페인 DPO 자격 인증제도, EU 회원국도 도입하거나 벤치마킹해

[보안뉴스 원병철 기자] 방송통신위원회(위원장 이효성, 이하 방통위)가 2018년부터 개인정보보호 전문 관리사, 일명 DPO 자격증을 신설한다. DPO는 ‘데이터 보호 책임자(Data Protection Officer)’의 준말로 EU GDPR에서 요구하는 새로운 직책이다.

방통위는 DPO가 현재 기관이나 기업에서 개인정보를 책임지는 ‘개인정보보호책임자(CPO)’와는 다른 부분이 있는데다, 기술적 전문성은 물론 법률적 전문성을 요구하는 등 기존 CPO로는 대체하기 힘들기 때문에 기업들이 GDPR을 준비하는 데 가장 어려움을 겪는 부분이라고 설명했다.

실제로 DPO는 우리나라는 물론 해외에서도 수급하기 어려워하는 직종이다. 페이스북이 DPO 공개채용에 나섰지만 몇 달 동안 사람을 구하지 못했었고, 드롭박스도 비슷한 어려움을 겪었다. 워낙 사람을 구하기 어렵자 일부 기업들은 서비스형 DPO 사업을 시작하기도 했다.

이런 상황을 인식한 방통위가 DPO 자격증 카드를 빼든 것이다. 아예 국가에서 전문자격증을 만들어 DPO를 양성하고, 교육하겠다는 거다. 이를 위해 방통위는 내년 예산을 받기 위해 세부계획을 기획하고 있다.

예산을 배정 받으면 KISA를 수행기관으로 본격적인 DPO 자격증 교육에 들어간다. 아직 확정된 것은 아니지만, KISA에서도 어느 정도 준비에 들어간 것으로 보인다.

한편, DPO 제도가 우리나라는 물론 해외에서도 처음 도입되는 만큼 EU에서 준비하고 있는 자격제도를 참고할 계획이다. 예를 들면, EU 회원국인 스페인이 2017년 10월 도입한 ‘DPO 자격 인증제도(DPO-AEPD SCHEME)’는 현재 다른 EU 회원국에서도 도입하거나 벤치마킹하는 것으로 알려졌다.

스페인 개인정보 감독기구(AEPD)가 시행하는 DPO 자격 인증제도는 평가시험에 응시하기 위해서는 일정 수준 이상의 관련 활동과 직무 등 경력, 그리고 공인 교육 이수가 필요하다. 이는 스페인뿐만 아니라 EU 내에서 이수하거나 획득한 교육과 경험도 포함된다.

평가시험은 DPO 직무를 수행하기 위해 필요한 법·제도 지식 및 기술적·전문적 능력을 평가한다. 개인정보보호 관련 법·제도에서는 △GDPR △국가 법령 △e-Privacy 지침 △WP29 가이드라인 등을 평가하며, 책임성 부문에서는 △개인정보 처리위험 분석·관리 △개인정보보호 영향평가 등을 평가한다. 마지막으로 개인정보보호 규정 준수 보장 기법 등에서는 △개인정보보호 및 정보 시스템 감사 △정보처리 관리 보안 등을 평가한다.

스페인 DPO 자격 인증제도는 3년간 유효하며, 갱신을 위해서는 연간 최소 15시간의 교육을 이수하거나 3년간 60시간의 교육을 이수하면 된다.
[원병철 기자(boanone@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다