2023년 개인정보보호 가이드라인으로 알아보는 인사, 노무 업무 관련 개인정보보호

인사 업무를 하다 보면 직원들의 개인정보를 어디까지 열람하고, 요청할 수 있는지 애매한 상황을 마주할 때가 자주 있는데요. 오늘은 2023년 1월 기준, 고용노동부에서 새롭게 개정한 인사, 노무 업무 관련 개인정보보호 가이드라인에 대해 살펴보겠습니다.

개인정보란?

<개인정보 보호법 제2조>에 따른 정의
개인정보란 개인의 학력, 재산, 사회적 지위, 신분, 신체 등 개인에 관한 모든 정보로 성명, 주민등록번호 등에 의해 개인을 식별할 수 있는 정보를 의미합니다. 만약 해당 정보만으로 특정 개인을 식별할 수 없더라도 다른 정보와 용이하게 결합하여 식별할 수 있으면 그것도 개인정보에 해당됩니다. 최근 많이 사용되고 있는 홍채 인식이나 지문 인식을 위한 개인의 생채 정보도 개인 정보라고 할 수 있습니다. 특히 누구나 갖고 있는 이메일 주소는 해당 정보만으로는 특정 개인을 알아볼 수 없을지라도 다른 정보와 용이하게 결합할 경우 당사자를 알아볼 수 있는 정보라고 할 수 있으므로 개인정보에 해당한다고 볼 수 있습니다.

인사, 노무에 필요한 개인정보보호 활용 가이드라인

채용부터 고용 종료까지 단계별 준수사항
2023년 1월 31일, 고용노동부와 개인정보보호 위원회는 근로계 전반에 걸쳐 필요한 개인정보 보호에 필요한 지침을 재정비해 발표했습니다. 이번 가이드라인은 채용준비-채용결정-고용유지-고용종료 4단계로 나눠 각 단계별 준수 사항을 안내하고 있습니다.

1단계: 채용 준비
[채용절차의 공정화에 관한 법률 제4조 3]에 따라 기업은 입사지원자 모집 과정에서 그 직무에 필요하지 않은 정보를 수집해서는 안되며, 입사지원자가 개인정보를 제출하지 않도록 사전에 안내해야 합니다. 또한, 채용 여부 확정 후에는 채용 서류를 반환하거나 온라인 제출 시에는 파기해야 합니다.

2단계: 채용 결정
채용이 결정된 후 근로에 필요한 근로자 명부, 임금대장 등은 법령상 의무준수를 위해 법령을 근거하여 근로자에게 안내 후 개인정보를 수집할 수 있으며, 인사발령, 교육, 복리후생, 연봉 계약서 등 근로계약 체결에 필요한 개인정보 수집은 개인정보 최소 수집 원칙에 위배되지 않은 범위 내에서 수집해야 합니다.

3단계: 고용 유지
재직 중인 근로자의 개인정보를 공개하려는 경우 근로자 동의를 받아야 하며 기업의 합병 등으로 인한 근로자의 개인정보 이전 시, 이전 사실, 정보 받는 자의 연락처, 이전을 원하지 않을 경우 조치 방법을 근로자에게 알려야 합니다. 또한 CCTV , 위치, 지문인식 기기 등 디지털 장치 도입 시에는 장치 설치 목적과 개인정보 처리 내용 설명 후 법령상 의무준수 및 근로계약 이행 등에 필요한 최소한의 범위 내에서 개인정보를 수집 및 이용 가능하며, CCTV 촬영범위 조정 등으로 개인정보 수집을 최소한으로 합니다. 마지막으로 개인정보처리 방침을 통해 개인정보 처리 내용을 근로자에게 공개하고 안전성 확보에 필요한 조치를 수행해야 합니다.

4단계: 고용 종료
근로자의 퇴사로 인해 개인정보가 불필요한 경우 해당 근로자에 대한 모든 정보를 파기해야 합니다. 하지만 추후 경력증명서 발급 등에 필요한 개인정보는 보유기간을 공식적으로 정하여 개인정보처리방침에 작성 및 공개할 수 있으며, 인사정책 수립 목적으로 퇴직자의 인사정보가 필요한 경우에는 익명 또는 가명 처리 후 통계 등의 형태로 이용 가능합니다.

개정된 개인정보보호 가이드라인 주요 QnA

Q1. 신입사원 채용을 위해 입사지원서를 받으려고 합니다. 지원자의 개인정보 수집‧이용 동의를 받아야 하나요?
채용 전형에 필요한 최소한의 개인정보는 동의 없이 수집할 수 있습니다. 다만, 민감정보, 고유식별 정보를 수집하려는 경우 동의 또는 법령에 근거가 있어야 합니다. 특히, 주민등록번호는 일반적으로 채용 전형을 위해서는 수집할 수 없으며, 법령에 구체적인 근거가 있는 경우에만 수집 가능합니다.

Q2. 거래처와 업무 수행을 위해 업무 담당자의 연락처 등 개인정보를 공유하려는 경우 근로자의 동의를 받아야 하나요?
근로자의 개인정보를 제3자에게 제공하려는 경우로써 법령에 근거가 없는 경우에는 원칙적으로 정보주체인 근로자로부터 동의를 받아야 합니다. 다만, 업무 담당자 연락처는 거래처 등과 공유될 수 있음을 근로자가 쉽게 예측할 수 있고, 정보주체에게 불이익이 발생할 가능성이 적은 점을 고려하여 개인정보 보호법 제17조 제4항에 따라 동의 없이 제3자에게 제공할 수도 있습니다. 이 경우, 사업주는 당초 수집 목적과의 관련성, 정보주체의 이익을 부당하게 침해할 가능성 등을 개인정보 처리 방침에 작성하여 미리 공개하고, 해당 처리 실태를 개인정보 보호 책임자를 통해 점검해야 합니다.(개인정보 보호법 시행령 제14조 2)

Q3. 사업장 내 CCTV 설치·운영을 하기 위해서 근로자의 동의를 받아야 하나요?
고객 상담실이나 출입 안내실 등 불특정 다수가 출입할 수 있는 공개된 장소에 CCTV를 설치‧운영하는 경우에는 개인정보 보호법 제25조 및 제58조에 따라 시설 안전 등 목적으로 동의 없이 설치‧운영할 수 있습니다. 그 외의 경우에는 개인정보 보호법 제15조 제1항에 따라 정보주체의 동의를 받은 경우, 법령상 의무 준수를 위해 불가피한 경우, 정당한 이익을 위해 필요한 경우 등으로서 명백하게 정보주체의 권리보다 우선하는 경우 등에 설치할 수 있습니다. 다만, 이 경우에도 해당 목적 외로 촬영되지 않아야 하며, 근로자 감시 등 해당 목적 외로 촬영하거나 촬영한 영상을 해당 목적 외로 이용하는 경우에는 보호법 위반에 해당할 수 있습니다.

Q4. 퇴직 근로자의 경력 증명을 위해 근로자의 개인정보를 보유하는 경우에도 동의를 받아야 하나요?
경력증명서 발급 기간이 취업규칙 등에 명시되어 있는 경우, 해당 기간 동안 보유하는 데 대해서는 동의를 받지 않아도 됩니다. 참고로, 근로기준법 제39조 및 동법 시행령 제19조에 따라 최소한 3년은 경력증명서를 발급하여야 합니다.

Q5. 채용 확정 후 종교, 범죄경력 정보 등을 수집하고 이용할 경우, 별도 동의를 받아야 하나요?
종교 등 민감정보 수집 시, 법령에 근거가 없다면 별도의 동의를 받아야 합니다.

이번 지침은 다변하는 근로환경 등을 고려해 관련 분야의 전문가들과 함께 논의하고, 연구를 걸쳐 발표되었습니다.
각 기업의 개인정보보호 관련 업무를 담당하는 직원들은 이번에 변경된 가이드라인을 잘 숙지하여 업무에 많은 활용하시길 추천드립니다.