[정봉수 칼럼] 개인정보 보호법과 회사 내 인사관리 (2026년 8월 기준)

[강남 소비자저널=정봉수 칼럼니스트] 

 

I. 서론

정보화와 디지털 전환이 가속화되면서 기업이 처리하는 개인정보의 양과 형태도 크게 확대되었다. 개인정보 유출은 스팸, 명의도용, 보이스피싱, 계정 탈취 등 2차 피해로 이어질 수 있으므로, 기업의 개인정보 관리는 단순한 전산 보안의 문제가 아니라 인사·노무관리의 핵심 준법 영역이 되었다.

「개인정보 보호법」은 2011년 3월 29일 제정되어 같은 해 9월 30일부터 시행되었다. 이후 2020년 이른바 데이터 3법 개정으로 정보통신서비스 분야의 개인정보 보호규정이 「개인정보 보호법」 중심으로 통합되었고, 개인정보보호위원회가 중앙행정기관으로 출범하였다. 2023년 전면 개정에서는 개인정보 수집·이용의 법적 근거, 영상정보처리기기 규율, 유출 통지·신고, 과징금 제도 등이 대폭 개편되었다.

2026년 8월 22일 현재 「개인정보 보호법」은 2025년 10월 2일 시행 법률을, 시행령은 2026년 8월 20일 시행 대통령령을 기준으로 적용된다. 따라서 2015년 기준으로 작성된 기존 내용 중 개인정보 수집의 법적 근거, 주민등록번호 처리, 채용정보 관리, 영상정보처리기기, 개인정보 유출 대응 및 제재에 관한 부분은 현행 법령에 맞추어 수정할 필요가 있다.

이하에서는 현행 「개인정보 보호법」의 핵심 내용을 살펴본 후, 채용·재직·퇴직과 사업장 내 모니터링 등 인사관리 단계에서 회사가 유의하여야 할 사항을 정리한다.

II. 개인정보 보호법의 주요 내용

「개인정보 보호법」은 개인정보의 수집·이용·제공·보관·파기 및 정보주체의 권리 보장에 관한 일반법이다. 회사는 온라인 서비스 여부와 관계없이 개인정보를 처리하는 범위에서 개인정보처리자로서 법의 적용을 받는다.

1. 적용대상과 개인정보 보호범위

개인정보는 살아 있는 개인에 관한 정보로서 성명, 주민등록번호, 영상 등으로 개인을 알아볼 수 있는 정보뿐만 아니라 다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있는 정보도 포함한다. 전자파일뿐만 아니라 종이 이력서, 인사카드, 평가서류 등 오프라인 문서에 기록된 정보도 보호대상이다. 또한 2020년 개정 이후에는 가명정보에 관한 별도의 처리 규율도 법에 포함되어 있다.

다만 신용정보, 의료정보 등 특정 분야에는 「신용정보의 이용 및 보호에 관한 법률」 등 별도의 법률이 특별규정을 둘 수 있으므로, 해당 업무에서는 개인정보 보호법과 개별 법령을 함께 확인하여야 한다.

2. 개인정보 수집·이용의 법적 근거

현행 법 제15조 제1항은 개인정보를 수집·이용할 수 있는 경우를 다음과 같이 규정하고 있다. 2015년 당시 6가지였던 근거는 2023년 개정으로 7가지가 되었고, 특히 계약 관련 문구가 변경되었다.

1) 정보주체의 동의를 받은 경우, 2) 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우, 3) 공공기관이 법령 등에서 정하는 소관 업무 수행을 위하여 불가피한 경우, 4) 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우, 5) 정보주체 또는 제3자의 급박한 생명·신체·재산의 이익을 위하여 필요한 경우, 6) 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우, 7) 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우이다.

따라서 회사가 근로자의 개인정보를 처리한다고 하여 모든 경우에 동의서를 받아야 하는 것은 아니다. 근로계약의 이행, 임금 지급, 4대보험 신고, 세무 처리처럼 계약 또는 법령상 의무에 필요한 정보는 해당 법적 근거에 따라 처리할 수 있다. 반대로 업무와 직접 관련이 없는 선택적 복지, 홍보물에 직원 사진 게시, 불필요한 가족정보 수집 등은 별도의 적법한 근거가 있는지 확인하여야 한다.

또한 법 제16조에 따라 개인정보는 목적에 필요한 최소한의 범위에서 수집하여야 하며, 원래 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 없고 안전성 확보조치를 한 경우에는 법 제15조 제3항에 따라 동의 없이 추가 이용할 수 있는 경우가 있다.

3. 민감정보·고유식별정보 및 주민등록번호의 처리 제한

민감정보와 주민등록번호를 제외한 고유식별정보는 일반 개인정보보다 엄격하게 관리된다. 민감정보와 고유식별정보는 원칙적으로 다른 개인정보 처리에 대한 동의와 구분하여 별도의 동의를 받거나 법령상 근거가 있는 경우에 처리할 수 있다. 그러나 주민등록번호는 별도의 동의를 받는 것만으로 처리할 수 없다.

법 제24조의2에 따라 주민등록번호는 법률·대통령령 등에서 구체적으로 처리를 요구하거나 허용한 경우, 정보주체 또는 제3자의 급박한 생명·신체·재산의 이익을 위하여 명백히 필요한 경우 등 법이 정한 예외에 한하여 처리할 수 있다. 따라서 채용지원서 단계에서 특별한 법적 근거 없이 주민등록번호를 미리 요구하는 방식은 피해야 한다. 입사 후 4대보험·세무 등 개별 법령에 따른 신고에 주민등록번호가 필요한 경우에는 그 법적 근거와 필요한 범위에서 처리한다.

주민등록번호 등 고유식별정보를 적법하게 처리하는 경우에도 암호화 등 안전성 확보조치를 하여야 한다.

4. 고정형·이동형 영상정보처리기기의 규율

2023년 개정법은 기존의 “영상정보처리기기” 규율을 고정형과 이동형으로 구분하였다. 공개된 장소에 고정형 영상정보처리기기를 설치·운영할 수 있는 경우는 법령의 구체적 허용, 범죄 예방·수사, 정당한 권한을 가진 자의 시설안전·관리 및 화재예방, 교통단속, 교통정보 수집·분석·제공, 그리고 촬영된 영상정보를 저장하지 않는 경우로서 대통령령이 정하는 경우 등 법 제25조 제1항의 사유로 제한된다.

고정형 영상정보처리기기 운영자는 설치 목적·장소, 촬영 범위·시간, 관리책임자 연락처 등이 포함된 안내판을 설치하여야 하고, 설치 목적과 다른 곳을 임의로 비추거나 녹음 기능을 사용하는 등 법이 금지하는 방식으로 운영해서는 안 된다. 화장실·탈의실 등 사생활 침해 우려가 현저한 장소에는 원칙적으로 설치할 수 없다.

이동형 영상정보처리기기에는 업무용 웨어러블 카메라, 휴대용 카메라 등 이동하면서 사람 또는 그와 관련된 사물을 촬영하는 장치가 포함될 수 있다. 공개된 장소에서 업무 목적으로 촬영하려면 법 제25조의2가 정한 법적 근거와 촬영사실 표시, 정보주체의 거부권 및 권리침해 방지 요건을 점검하여야 한다.

5. 보유기간, 파기 및 안전성 확보조치

개인정보는 처리 목적이 달성되거나 보유기간이 경과하면 다른 법령에 따라 보존하여야 하는 경우를 제외하고 지체 없이 파기하는 것이 원칙이다(법 제21조). 따라서 인사자료는 “퇴직자 자료이므로 계속 보관한다”는 식으로 무기한 보유해서는 안 되며, 각 자료별 법적 보존기간과 실제 업무상 필요성을 구분하여 보유·파기 기준을 정해야 한다.

개인정보처리자는 법 제29조에 따라 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 내부관리계획, 접근권한 관리, 접속기록 관리, 암호화, 물리적 보호조치 등 필요한 안전성 확보조치를 취하여야 한다. 급여·인사 시스템을 외부 업체에 위탁하는 경우에는 법 제26조에 따라 수탁자에 대한 계약상 의무와 관리·감독도 필요하다.

6. 개인정보 유출 통지·신고와 제재

개인정보 유출 사실을 알게 된 개인정보처리자는 원칙적으로 72시간 이내에 정보주체에게 유출된 개인정보의 항목, 유출 시점과 경위, 피해 최소화 방법, 회사의 대응조치와 피해구제 절차, 담당부서 및 연락처 등을 알려야 한다. 긴급한 확산방지 조치가 필요한 경우나 천재지변 등 부득이한 사유가 있는 경우에는 시행령이 정한 예외가 적용될 수 있다.

또한 ① 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우, ② 민감정보 또는 고유식별정보가 유출된 경우, ③ 개인정보처리시스템이나 개인정보 처리에 이용하는 정보기기에 대한 외부의 불법적인 접근으로 유출된 경우에는 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원에 신고하여야 한다.

제재체계도 2015년과 크게 달라졌다. 현행법은 주요 위반행위에 대하여 전체 매출액의 3%를 초과하지 않는 범위에서 과징금을 부과할 수 있고, 매출액이 없거나 산정이 곤란한 일정한 경우에는 20억 원 이하의 과징금을 부과할 수 있도록 하고 있다. 위반행위의 유형에 따라 과태료·형사처벌이 별도로 적용될 수 있으므로, 과거의 단일한 “5천만 원 이하 과태료” 등의 설명만으로는 현행 제재체계를 정확히 설명하기 어렵다.

III. 인사관리와 관련된 개인정보 관리

회사의 인사관리에서는 채용지원자 정보, 재직자의 인사·급여·평가·복지정보, 퇴직자 기록, CCTV·출입기록·위치정보 등 다양한 개인정보가 처리된다. 법적 근거와 필요성은 업무 단계별로 달라지므로 “직원 정보”라는 이유만으로 일괄적으로 동의를 받거나 일괄 보관하는 방식은 적절하지 않다.

 

1. 채용 과정의 개인정보 관리

채용지원자가 회사의 채용절차에 응하여 이력서·자기소개서 등 필요한 자료를 제출하는 경우, 직무 적합성 판단과 채용절차 진행에 필요한 최소한의 일반 개인정보는 법 제15조 제1항 제4호의 “계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우”를 근거로 처리할 수 있으므로, 모든 항목에 대하여 별도의 동의를 받아야 하는 것은 아니다.

다만 회사는 채용 목적에 필요한 최소한의 정보만 요구하여야 하고, 민감정보나 고유식별정보를 수집할 필요가 있다면 별도의 법적 근거를 확인하여야 한다. 특히 주민등록번호는 지원자의 동의만으로 수집할 수 없으므로, 법령상 구체적인 근거가 없는 채용지원 단계에서는 요구하지 않는 것이 원칙이다.

또한 「채용절차의 공정화에 관한 법률」은 상시 30명 이상의 근로자를 사용하는 사업 또는 사업장의 채용절차에 적용되며, 직무수행에 필요하지 않은 지원자 본인의 용모·키·체중 등 신체적 조건, 출신지역·혼인여부·재산, 직계존비속 및 형제자매의 학력·직업·재산을 기초심사자료에 기재하도록 요구하거나 입증자료로 수집하는 것을 금지하고 있다. 채용서류의 반환·보관·파기 절차도 같은 법 제11조에 따라 관리하여야 한다.

2. 재직 중 및 퇴직 후 직원 개인정보 관리

근로계약이 체결된 후에는 임금 지급, 인사발령, 근태·휴가 관리, 4대보험, 원천징수, 연말정산 등 계약 이행이나 법령상 의무에 필요한 개인정보를 해당 법적 근거에 따라 처리할 수 있다. 따라서 이러한 필수 인사관리 정보에 대하여 포괄적인 “개인정보 사용동의서”를 받아야만 처리할 수 있는 것은 아니며, 오히려 처리 목적별 법적 근거를 구분하는 것이 중요하다.

기존 글은 「근로기준법 시행령」 제27조를 근거로 성명·주민등록번호 등을 임금대장에 기록한다고 설명하였으나 현행 규정과 맞지 않는다. 현재 「근로기준법」 제41조와 같은 법 시행령 제20조에 따른 근로자 명부의 주요 기재사항은 성명, 성별, 생년월일, 주소, 이력, 종사업무의 종류, 고용·해고·퇴직 관련 사항 등이며, 주민등록번호는 근로자 명부의 일반 기재사항으로 규정되어 있지 않다.

「근로기준법」 제42조는 근로자 명부와 근로계약에 관한 중요한 서류를 3년간 보존하도록 하고, 시행령 제22조는 근로계약서, 임금대장, 임금계산 관련 서류, 고용·해고·퇴직 서류, 승급·감급, 휴가 관련 서류 등을 구체적으로 정하고 있다. 다만 세법·사회보험법 등 다른 법령이 별도의 보존기간을 정한 자료는 그 기간을 따라야 하며, 법정 보존기간과 업무상 필요가 모두 끝난 개인정보는 원칙적으로 파기하여야 한다.

직원 사진·영상의 대외 홍보, 선택적 복지서비스 제공, 민감한 건강정보의 이용, 해외 본사나 제3자에 대한 제공 등은 근로계약 이행에 당연히 포함된다고 보기 어려울 수 있으므로 처리 목적별로 동의 또는 다른 적법한 근거가 있는지를 별도로 검토하여야 한다. 또한 직원은 자신의 개인정보에 대한 열람·정정·삭제·처리정지 등 법이 정한 권리를 행사할 수 있으므로 회사는 이를 처리할 절차를 마련하여야 한다.

3. 사업장 내 CCTV와 디지털 근로자 모니터링

기업 건물의 로비와 같이 불특정 다수가 출입하는 장소는 공개된 장소에 해당할 수 있으므로 법 제25조가 적용된다. 반면 출입이 통제되고 근로자나 허가받은 사람만 출입하는 사무실·공장 내부 등 비공개된 근로공간에서는 법 제25조의 공개장소 설치 제한 조항보다는 개인정보 수집·이용의 일반원칙이 적용된다. 이 경우에도 회사는 촬영 목적, 필요성, 최소범위, 보유기간, 접근권한, 정보주체의 권리 보장 등 개인정보 보호 요건을 충족하여야 한다.

대법원은 2023년 6월 29일 선고 2018도1917 판결에서, 공장 CCTV가 시설보안·화재감시 목적을 포함하고 있더라도 다수 근로자의 작업현장과 출퇴근 장면을 촬영하고, 근로자의 권리 침해가 크며, 대체수단을 강구한 자료가 없는 등의 사정에서는 개인정보처리자의 정당한 이익이 정보주체의 권리보다 명백히 우선한다고 보기 어렵다고 판단하였다. 이는 사업장 CCTV의 적법성을 단순히 “시설안전 목적”이라는 명칭만으로 판단할 수 없고 실제 촬영범위와 근로자 권리 침해 정도, 대체수단의 존재 등을 함께 비교형량하여야 한다는 점을 보여준다.

또한 같은 판결은 「근로자참여 및 협력증진에 관한 법률」 제20조 제1항 제14호의 “사업장 내 근로자 감시 설비”는 주된 설치 목적이 근로자 감시가 아니더라도 실질적으로 근로자를 감시하는 효과가 있으면 해당할 수 있다고 보았다. 따라서 노사협의회가 설치된 사업장에서 근로자 감시 효과가 있는 CCTV 등 설비를 도입하는 경우에는 노사협의회 협의사항인지 검토하고 필요한 협의절차를 거치는 것이 중요하다.

IV. 결론

개인정보 보호와 인사관리에서 가장 중요한 변화는 “동의서를 받아 두면 된다”는 접근에서 벗어나, 처리 목적별로 법적 근거를 확인하고 필요한 최소정보만 수집·보유하는 체계로 전환되었다는 점이다. 근로계약의 이행이나 법령상 의무에 필요한 개인정보는 동의 외의 법적 근거로 처리할 수 있는 반면, 주민등록번호는 동의만으로 처리할 수 없고, 업무상 필요성이 낮은 정보나 민감한 정보는 별도의 법적 근거가 필요하다.

회사는 채용 단계에서 불필요한 개인정보 수집을 제한하고, 재직 중에는 인사자료에 대한 접근권한과 안전성 확보조치를 강화하며, 퇴직 후에는 법정 보존기간과 실제 필요성을 기준으로 보유·파기하여야 한다. CCTV, 위치정보, 생체정보 등 디지털 근로자 모니터링 수단을 도입할 때에는 개인정보 보호뿐만 아니라 근로자참여법상 노사협의 절차와 대법원 판례가 제시한 필요성·비례성도 함께 고려하여야 한다.

아울러 2026년 9월 11일부터는 개인정보 유출사고에 대한 제재와 기업의 개인정보 보호 책임체계가 다시 강화될 예정이므로, 회사의 개인정보 처리방침, 내부관리계획, 유출 대응절차 및 CPO 관련 체계를 개정 시행일에 맞추어 재점검할 필요가 있다.

 

주요 참고 법령 및 자료

1. 「개인정보 보호법」 [시행 2025. 10. 2.] 및 「개인정보 보호법 시행령」 [시행 2026. 8. 20.]

2. 개인정보보호위원회, 「개인정보 처리 통합 안내서」(2025. 7.)

3. 개인정보보호위원회, 「인사·노무 담당자 필수조치 사항 ‘이것만은 꼭!’」(2023. 6. 19.)

4. 「근로기준법」 제41조·제42조 및 같은 법 시행령 제20조·제22조

5. 「채용절차의 공정화에 관한 법률」 제3조·제4조의3·제11조

6. 「근로자참여 및 협력증진에 관한 법률」 제20조 제1항 제14호

7. 대법원 2023. 6. 29. 선고 2018도1917 판결

8. 개인정보보호위원회 2026. 3. 9. 보도자료, 「개인정보 유출사고 예방을 위해 개인정보 보호 책임·관리체계 강화된다」