핵심 요약
•
개인정보의 구분 : 일반개인정보 · 민감정보 · 고유식별정보로 구분됨
•
민감정보 · 고유식별정보는 원칙적으로 수집 금지, 법령 근거 또는 별도 동의가 있는 경우에만 수집 가능 (개인정보 보호법 제23조, 제24조)
•
파기 원칙 : 보유기간 경과, 처리목적 달성 등으로 개인정보가 불필요하게 된 경우 지체 없이(정당한 사유가 없는 한 5일 이내) 파기함 (개인정보 보호법 제21조)
•
안전조치의무 위반 시 제재 : 2023.9.15. 시행 개정법부터 형사처벌이 아닌 과징금(전체 매출액의 100분의 3 이하) 및 과태료(3천만원 이하) 로 전환됨 (개인정보 보호법 제29조, 제64조의2, 제75조제2항)
ER · 고용관계 > 일반
개인정보의 보호
채용부터 퇴직까지 인사 · 노무 전 단계에서 발생하는 개인정보의 수집 · 이용 · 제3자 제공 · 안전한 관리 · 파기 기준을 정리함 > 2023.9.15. 시행 개정법에 따른 제재 체계 변경을 반영함
개인정보의 의의 및 유형
•
개인정보 : 살아있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보
•
해당 정보만으로 특정 개인을 알아볼 수 없어도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함 (개인정보 보호법 제2조제1호)
구분 | 정의 및 예시 |
일반개인정보 | 성명, 주민등록번호, 주소, 연락처 등 개인을 식별할 수 있는 기본 정보 (원칙적으로 고지 후 동의 받아 수집) |
고유식별정보 | 주민등록번호, 운전면허번호, 여권번호, 외국인등록번호 (개인정보 보호법 제24조, 같은 법 시행령 제19조) |
민감정보 | 사상 · 신념, 노동조합 · 정당의 가입 · 탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보 · 유전정보 · 범죄경력자료에 해당하는 정보 등 (개인정보 보호법 제23조, 같은 법 시행령 제18조) |
보호대상이 되는 인사관련 개인정보 (예시)
유형구분 | 개인정보항목 |
일반정보 | 이름, 주민등록번호, 운전면허번호, 주소, 전화번호, 생년월일, 출생지, 본적지, 성별, 국적 |
가족정보 | 가족구성원의 이름, 출생지, 생년월일, 주민등록번호, 직업, 전화번호 |
교육 및 훈련정보 | 학교출석사항, 최종학력, 학교성적, 기술자격증 및 전문면허증, 이수한 훈련 프로그램, 상벌사항 |
병역정보 | 군번 및 계급, 제대유형, 주특기, 근무부대 |
부동산 · 소득정보 | 소유주택 · 토지 · 차량, 봉급액, 봉급경력, 보너스 및 수수료, 이자 · 사업소득 |
신용정보 | 대부잔액 및 지불상황, 신용카드, 지불연기 및 미납 이력, 임금압류 통보 기록 |
고용정보 | 현재 고용주, 직무수행평가기록, 훈련 · 출석 · 상벌기록, 취업일 · 퇴직일 등 근속기간, 휴가 · 휴직기록, 근무시간 기록 |
법적정보 (민감정보) | 전과기록 · 범죄경력, 자동차 교통위반기록, 파산 및 담보기록, 구속기록, 이혼기록, 납세기록 |
의료정보 (민감정보) | 가족병력기록, 과거 의료기록, 정신질환기록, 신체장애, 혈액형, 각종 신체테스트 정보 |
조직정보 (민감정보) | 노조가입, 종교단체가입, 정당가입, 클럽회원 |
통신 · 위치정보 | 전자우편, 전화통화내용, 로그파일, 쿠키, GPS나 휴대폰에 의한 위치정보 |
신체정보 (민감정보/고유식별) | 지문, 홍채, DNA 등 생체인식정보, 신장 등 신체 특징 |
습관 및 취미정보 | 흡연 · 음주 여부, 선호 스포츠 및 여가활동 |
개인정보의 수집 · 이용
•
근로자 등에게 다음 사항을 알리고 동의를 받아야 함 (개인정보 보호법 제15조제2항)
1.
개인정보의 수집 · 이용 목적
2.
수집하려는 개인정보의 항목
3.
개인정보의 보유 및 이용 기간
4.
동의를 거부할 권리가 있다는 사실 및 동의 거부 시 불이익이 있는 경우 그 내용
고유식별정보 및 민감정보의 수집
•
고유식별정보 또는 민감정보를 수집하는 경우에는 법령에 구체적인 근거가 필요
→ (예) 연말정산을 위해 소득세법에 따라 주민등록번호를 수집하는 경우
•
법령에 근거가 없어도 정당한 수집 사유가 있는 경우, 필요 최소 범위에서 별도 동의를 추가로 얻어 수집 · 이용 (주민등록번호는 제외)
※ 고유식별정보 중 주민등록번호는 법령이 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우에만 처리 가능함 (개인정보 보호법 제24조의2제1항)
주민등록번호 처리 가능 사유
•
법률 · 대통령령 · 국회규칙 · 대법원규칙 · 헌법재판소규칙 · 중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 처리를 요구하거나 허용한 경우 (예 : 소득세법에 따른 연말정산)
•
정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우
•
위 사유에 준하여 처리가 불가피한 경우로서 개인정보보호위원회가 고시로 정하는 경우
※ 위반 시 3천만원 이하의 과태료 부과 (개인정보 보호법 제75조제2항)
개인정보의 제3자 제공
•
정보주체의 동의를 받거나, 당초 수집한 목적 범위에서 제공하는 경우에만 제3자 제공이 가능 (개인정보 보호법 제17조제1항)
•
동의를 받을 때에는 다음 사항을 알려야 하고, 변경 시에도 동일하게 알리고 동의를 받아야 함 (개인정보 보호법 제17조제2항)
1.
개인정보를 제공받는 자
2.
개인정보를 제공받는 자의 이용 목적
3.
제공하는 개인정보의 항목
4.
개인정보를 제공받는 자의 보유 및 이용 기간
5.
동의를 거부할 권리가 있다는 사실 및 거부 시 불이익의 내용
•
정보주체의 동의 없이 제3자에게 제공한 경우 5년 이하의 징역 또는 5천만원 이하의 벌금에 처함 (개인정보 보호법 제71조제1호)
개인정보 안전조치의무
•
개인정보처리자는 개인정보가 분실 · 도난 · 유출 · 위조 · 변조 또는 훼손되지 아니하도록 내부관리계획 수립, 접속기록 보관 등 안전성 확보에 필요한 기술적 · 관리적 · 물리적 조치를 하여야 함 (개인정보 보호법 제29조)
※ 보유한 개인정보 주체의 수 등에 따라 조치 내용은 달라질 수 있음
관리적 조치
내부관리계획의 수립 · 시행 | 보호책임자 지정, 개인정보취급자 역할 · 교육, 접근권한 관리, 접근통제, 암호화 조치, 접속기록 보관 · 점검, 악성프로그램 방지, 물리적 안전조치, 개인정보 보호조직 구성 및 운영, 유출사고 대응계획, 위험도 분석 및 대응방안 마련, 위탁 시 수탁자 관리 · 감독 등
※ 개인정보 보호책임자는 이행 실태를 연 1회 이상 점검 · 관리 |
접근 권한의 제한 | 업무 담당자별 최소한의 접근권한 차등 부여, 전보 · 퇴직 등 인사이동 발생 시 접근권한을 지체 없이 변경 또는 말소하고 그 내역을 최소 3년간 보관, 개인정보취급자별로 별도 계정을 발급하고 공유하지 않도록 함, 비밀번호 작성규칙 수립 및 적용 등 |
기술적 조치
접근통제 시스템 설치 · 운영 | IP 주소 등으로 접속권한 제한, 외부 접속 시 VPN 등 안전한 접속수단 적용, 일정시간 미사용 시 자동 접속차단, 고유식별정보 처리 시 연 1회 이상 취약점 점검 등 |
개인정보의 암호화 | 고유식별정보 · 비밀번호 · 생체인식정보는 안전한 알고리즘으로 암호화하여 저장 · 전송 ※ 주민등록번호의 암호화는 필수 |
접속기록의 보관 및 위 · 변조 방지 | 접속기록을 1년 이상 보관 · 관리, 접속기록 등 월 1회 이상 점검, 위·변조 및 도난·분실되지 않도록 접속기록을 안전하게 보관 |
악성프로그램 방지 | 보안프로그램을 최신 상태로 유지하고 보안 업데이트 공지 시 즉시 조치 |
관리용 단말기의 안전조치 | 인가 받지 않은 사람이 접근하여 임의 조작하지 못하도록 조치, 본래 목적 외 사용 금지 |
물리적 조치
물리적 안전조치 | 전산실 · 자료보관실 등 출입통제 절차 수립, 개인정보가 담긴 서류 · 보조저장매체는 잠금장치가 있는 장소에 보관
※ 별도의 개인정보처리시스템을 운영하지 않고 업무용 컴퓨터 또는 모바일 기기를 이용하여 개인정보를 처리하는 경우에는 불요 |
재해 · 재난 대비 | 위기대응 매뉴얼 마련, 정기 점검, 개인정보처리시스템 백업 및 복구 계획 마련 |
개인정보의 파기 | • 보유기간의 경과, 처리목적 달성 등으로 개인정보가 불필요하게 된 때에는 지체 없이(정당한 사유가 없는 한 5일 이내) 파기함 (개인정보 보호법 제21조제1항)
• 파기방법 (개인정보보호위원회 안전성 확보조치 기준)
◦ 완전파괴(소각 · 파쇄 등)
◦ 전용 소자장비를 이용하여 삭제
◦ 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행
◦ 전자적 파일 형태 : 삭제 후 복구 및 재생되지 않도록 관리 · 감독 (일부 파기의 경우)
◦ 기록물 · 인쇄물 · 서면 등 : 해당 부분을 마스킹, 천공 등으로 삭제 (일부 파기의 경우) |
안전조치의무 위반 시 제재
•
2023.9.15. 시행 개정으로 형사처벌에서 행정제재로 전환됨
위반 내용 | 제재 |
안전조치의무를 이행하지 않은 경우 | 3천만원 이하의 과태료 (개인정보 보호법 제75조제2항) |
안전조치의무 위반의 결과로 개인정보가 분실 · 도난 · 유출 · 위조 · 변조 또는 훼손된 경우 | 전체 매출액의 100분의 3을 초과하지 않는 범위의 과징금 병과 가능 (개인정보 보호법 제64조의2)
→ 매출액 산정이 곤란한 경우 20억원 한도 내 부과 |
계산 예시 (2026년 기준)
채용절차 및 고용 · 퇴직까지의 개인정보수집 시 유의사항
•
채용서류의 반환 청구기간은 구직자의 채용 여부가 확정된 날 이후 14일부터 180일까지의 범위에서 구인자가 정함
•
반환 청구기간 경과 또는 미반환 시 「개인정보 보호법」에 따라 파기 (채용절차의 공정화에 관한 법률 제11조제3항 · 제4항, 같은 법 시행령 제4조)
1. 채용 준비
수집가능 : 이름 · 연락처 · 주소, 직무수행 평가에 필요한 학력 · 성적 · 자격
보존 : 불합격자 14~180일 / 합격자 지체없이 파기
2. 채용 결정
수집가능 : 서류 · 필기 · 면접 전형에 필요한 최소한의 정보
보존 : 불합격자 14~180일 / 합격자 지체없이 파기
3. 고용 유지
수집가능 : 법령상 의무이행 및 근로계약 이행에 필요한 정보
보존 : 불필요 시점부터 5일 이내 파기
4. 고용 종료
수집불가 : 경력증명 목적 3년 이상 보관은 퇴직 시점 별도 동의 필요
보존 : 보유기간 종료일로부터 5일 이내 파기
단계 | 구분 | 수집정보 | 보존기간 |
1. 채용 준비
(채용공고를 통한 모집) | 동의없이 수집가능 | 최소한의 개인정보
• 지원자 확인 및 연락에 필요한 정보 : 이름, 전화번호, 주소
• 직무수행능력 평가에 필요한 정보 : 학력, 성적, 자격사항 (채용예정 직위에 학력 · 경력 · 자격이 요구되는 경우) | • 불합격자 : 채용 여부 확정일 이후 14일~180일 (이 기간 내 구직자는 반환 요구 가능)
• 합격자 : 전형 종료 후 지체없이(5일 이내) 파기 |
동의없이 수집불가 | 고유식별정보(주민등록번호 등) 및 민감정보(종교, 정치적 견해 등)의 수집은 원칙적으로 금지
→ 별도 법령에 따라 지원자의 동의 후 수집 | - | |
2. 채용 결정 | 동의없이 수집가능 | 해당 전형에 필요한 최소한의 개인정보
• 서류전형 : 학점, 외국어 성적, 자격증 보유여부, 관련 경력
• 필기시험 : 필기시험 성적
• 면접 : 인성 · 기타 경험 · 지도교수 · 포부 등 | • 불합격자 : 채용 여부 확정일 이후 14일~180일
• 합격자 : 전형 종료 후 지체없이(5일 이내) 파기 |
동의없이 수집불가 | 민감정보의 수집은 원칙적으로 금지
→ 반드시 필요한 경우 해당 사유를 명시하여 지원자의 동의 후 수집 (주민등록번호 제외) | - | |
3. 고용 유지 | 동의없이 수집가능 | • 근로기준법 등의 법령상 의무준수를 위한 근로자의 개인정보 (예 : 근로자명부, 임금대장 작성, 4대보험 처리 등에 필요한 정보)
• 인사업무 등 근로계약 이행을 위해 반드시 필요한 개인정보 (예: 거주지, 전문성, 경력, 복리후생 제공을 위한 가족 정보 등) | 불필요하게 된 날로부터 5일 이내 파기 |
동의없이 수집불가 | 민감정보의 수집은 원칙적으로 금지
→ 반드시 필요한 경우 해당 사유를 명시하여 동의 후 수집 | - | |
4. 고용 종료 | 동의없이 수집가능 | - | - |
동의없이 수집불가 | 퇴직 근로자 경력증명을 위하여 3년 이상 경력증명 정보를 보관하고자 하는 경우
→ 퇴직 시점에 퇴직 근로자의 동의를 받아 보관 | 보유기간 종료일로부터 5일, 처리목적 달성으로 불필요하게 된 날로부터 5일 이내 파기 |
관련 판례
판례
대법원 2023.10.26. 선고 2023도1086 판결 : 접근권한 미제한 시스템에서 타 직원 인사평가정보 열람 시 정보통신망법위반 성립 여부
자주 묻는 질문 (FAQ)
신규채용 또는 재직 중 직원의 결격사유 및 신원을 회사가 조회할 수 있는지
탈락자의 이력서를 인재풀(향후 채용 후보자 DB)로 계속 보관해도 되는지
(참고자료) 개인정보보호 가이드라인
update 2022.5.27 by leedy
update 2026.07.24. by hrside.team