결론부터 말씀드리면, 법이 정한 기준에 해당해 보호책임자를 따로 지정하지 않는 경우에는 그 사업주 또는 대표자가 개인정보 보호책임자가 됩니다. 별도로 지정하지 않았다고 하여 책임자가 없는 것은 아닙니다. 개인정보 보호법 제31조 제1항은 개인정보처리자가 개인정보의 처리 및 보호에 관한 업무를 총괄해서 담당할 개인정보 보호책임자를 지정하여야 한다고 정합니다. 다만 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 않을 수 있다는 단서를 두고 있습니다. 같은 조 제2항은 이 단서에 따라 개인정보 보호책임자를 지정하지 않는 경우에는 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다고 정합니다. 따라서 지정 의무가 면제되어 따로 지정하지 않더라도, 그 사업주나 대표자가 보호책임자의 역할을 맡게 됩니다. 지정하지 않았다는 이유로 책임이 사라지는 것이 아니라, 대표자가 그 지위를 그대로 지게 되는 셈입니다. 같은 조 제4항은 개인정보 보호책임자가 수행하는 업무를 정하고 있습니다. 개인정보 보호 계획의 수립 및 시행, 개인정보 처리 및 보호 실태와 관행에 대한 정기적인 조사 및 개선, 개인정보 처리와 관련한 불만의 처리 및 피해 구제, 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축, 개인정보 보호 교육 계획의 수립 및 시행, 개인정보파일의 보호 및 관리·감독 등이 여기에 포함됩니다. 질문하신 상황은 인원이 적은 스타트업이 보호책임자를 따로 지정하지 않은 경우입니다. 지정 의무가 면제되는 기준에 해당하는지는 대통령령이 정하는 소상공인 등의 기준에 따라 판단되므로, 본인 사업장이 그 기준에 해당하는지는 개별적으로 확인할 필요가 있습니다. 면제 기준에 해당한다면 대표자가 보호책임자가 되어 위 업무를 맡는 것으로 정리됩니다. 어느 경우든 개인정보 보호 업무를 책임질 사람이 정해져 있어야 한다는 점은 같습니다. 정리하면, 개인정보 보호책임자는 사업장 규모와 무관하게 누군가는 반드시 그 역할을 맡게 되어 있습니다. 규모가 커서 지정 의무가 있으면 지정된 사람이, 기준에 해당해 지정하지 않아도 되는 경우에는 사업주나 대표자가 보호책임자가 됩니다. 따라서 스타트업이라 하더라도 개인정보 보호 계획의 수립과 시행, 유출 방지를 위한 내부통제, 교육과 불만 처리 같은 업무를 누가 책임지고 챙길 것인지 미리 정해 두시는 것이 바람직합니다.규모가 작다는 이유로 책임이 면제되는 것이 아니라 그 지위가 대표자에게 옮겨 갈 뿐이라는 점을 기억해 두시기 바랍니다. 구체적인 사안은 변호사와 상담하시기 바랍니다. ※ 2026년 10월 현행 법령을 기준으로 정리한 일반 정보입니다. 개별 사안은 전문가와 상담하세요.