초등학교에서 개인정보 보호 업무를 총괄할 개인정보 보호책임자(CPO)는 행정실장이 아니라 학교장이라는 정부 유권해석이 나왔다. 개인정보 보호법령이 규정한 ‘해당 학교의 행정사무를 총괄하는 사람’은 행정실무 책임자가 아닌 학교 운영 전반을 지휘·감독하는 교장을 뜻한다는 판단이다.
법제처는 부산교사노동조합이 요청한 ‘초등학교 개인정보 보호책임자 지정 기준’ 질의에 이같이 회신했다고 2026년 10월 13일 안건(26-0527)에서 밝혔다. 이번 해석으로 일선 학교 현장에서 교원과 행정직원 사이에 이어져 온 책임 소재 갈등이 정리될 전망이다.
질의 배경과 쟁점
현행 개인정보 보호법 제31조제1항은 개인정보처리자에게 개인정보 보호책임자를 두도록 의무화하고 있다. 같은 법 시행령 제32조제2항제1호사목은 각급 학교의 경우 ‘해당 학교의 행정사무를 총괄하는 사람’을 책임자로 지정하도록 규정했다.
그러나 조문이 ‘교장’이라는 직명을 명시하지 않아 교육 현장에서는 혼선이 이어졌다. 행정실을 이끄는 행정실장이 대상인지, 학교 전체를 총괄하는 교장이 대상인지를 두고 책임 공방이 빚어졌다. 개인정보 유출 사고 대응이나 폐쇄회로(CC)TV 관리, 정보공개 청구 처리 책임을 둘러싸고 교원과 교육행정직 사이의 업무 분장 다툼도 계속됐다.
법제처의 법리 판단
법제처는 ‘총괄’이라는 사전적 의미와 초·중등교육법상 직무 범위를 근거로 교장이 책임자라고 못 박았다. 사전상 ‘총괄’은 모든 일을 한데 묶어 관할하는 것을 뜻하므로, 단순히 행정사무를 담당하는 자가 아니라 행정사무 전반을 관할하고 감독 책임을 지는 자를 가리킨다고 짚었다.
초·중등교육법 제20조제1항에 따르면 교장은 교무를 총괄하고 소속 교직원을 지도·감독하는 반면, 같은 조 제5항은 직원이 학교의 행정사무와 그 밖의 사무를 담당한다고 규정한다. 학교에서 이뤄지는 모든 사무인 교무(校務)에는 행정사무가 포함되므로, 이를 총괄하는 주체는 교장이라는 논리다.
조직 체계상의 권한 문제도 지적했다. 법제처는 “만약 행정실장이 개인정보 보호책임자가 된다면 교원에 대한 지도·감독 권한이 없는 행정실장이 교원의 개인정보 처리에 대해서까지 관리·감독 등을 수행해야 하는 불합리한 결과가 초래된다”고 설명했다. 아울러 초·중등교육법 제20조의3이 학교의 장에게 교원의 개인정보 보호를 위한 조치 의무를 부여하고 있다는 점도 근거로 들었다.
실무 파장과 향후 과제
이번 해석은 교육부 훈령인 ‘교육부 개인정보 보호지침’에서 각급 학교 책임자를 ‘원장 또는 교장’으로 정한 기준과 상위 법령 해석을 일치시켰다는 점에서 의미를 지닌다. 그동안 상위 법령 시행령 문언의 모호성을 이유로 제기되던 해석 다툼은 일단락됐다.
일선 초등학교는 학교별 개인정보처리방침상 보호책임자가 교장으로 명확히 반영돼 있는지 점검해야 한다. 총괄 책임 주체는 교장으로 확정됐으나, 실무를 보좌하는 분야별 책임자(교감·행정실장)와 실무담당자 사이의 위임·전결 규정 정비는 각 학교와 시·도교육청의 후속 과제로 남았다.
