직원 개인정보 소홀했다간 최고 5천만원

프린트

경영정보 ㅣ 인사노무 직원 개인정보 소홀했다간 최고 5천만원 기수집 주민번호 내년 8월까지 파기…개인정보관리 A to Z

기사입력2015-09-07 00:00

이혜원 기자 (dipsy@junggi.co.kr) ㅣ다른기사보기

개인정보라고 하면 고객들의 정보를 떠올리나 여기에는 근로자의 개인정보도 포함된다. 별다른 문제의식 없이 입사지원자나 직원의 개인정보를 수집해서는 안 된다는 의미다.<자료=비자트>

개인정보 유출시 징벌적 손해배상을 할 수 있도록 하는 개인정보보호법 개정안이 지난 7월 국회 본회의를 통과했다. 징벌적 손해배상이란 기업이 개인정보를 유출하거나 동의 없이 활용해 피해를 준 경우 피해액의 최대 3배까지 배상하도록 한 제도다. 개인정보 수집은 어려워지고 이에 대한 처벌은 날로 강화되는 추세다. 기업들은 흔히 개인정보라고 하면 고객들의 정보를 떠올리나 여기에는 근로자의 개인정보도 포함된다. 별다른 문제의식 없이 입사지원자나 직원의 개인정보를 수집해서는 안 된다는 의미다.

개인정보의 개념부터 알고 넘어가자. 개인정보는 개인을 식별할 수 있는 일체의 정보를 뜻한다. 이름, 주민등록번호, 주소, 전화번호 뿐 아니라 그 사람에 대한 의견, 평가 등 제3자에 의해 생성되는 간접 정보도 개인정보에 해당한다.

최근 몇 년새 개인정보보호법이 자주 개정되면서 많은 기업주들이 직원들의 개인정보 관리에 어려움을 호소하고 있다. 채용, 고용유지, 퇴직 단계별로 어떻게 개인정보를 관리해야 하는지 살펴보자.

◇채용단계=회사가 입사지원자의 개인정보를 수집하기 위해서는 개인정보의 수집 목적, 보유기간에 대해 사전에 알리고 동의를 받아야 한다. 꼭 필요한 정보가 아닌데도 지금까지 해 왔다는 이유로 수집해서는 안 된다. 필요 이상의 개인정보를 취득하는 것은 개인정보보호법 15조를 위반하는 행위로 5000만원 이하의 과태료가 부과될 수 있다.

이력서에 포함돼 있는 경력, 학력 정보도 마찬가지다. 전문직을 채용할 때와 단순노무직을 채용할 때 요구하는 개인정보가 달라야 한다는 얘기다. 채용하고자 하는 직군에 경력, 학력이 반드시 필요한 경우에는 요구할 수 있으나 단순노무 직원을 뽑는데 학력 정보를 수집하는 것은 개인정보보호법에 저촉될 수 있다. 업무를 수행하는데 필수적인 정보가 아니기 때문이다. 이처럼 개인정보는 ‘최소 수집’이 원칙이다.

채용과정이 종료되면 탈락자의 개인정보는 5일 이내에 삭제해야 한다. 단 상시채용 데이터베이스를 구축하려는 경우 개인정보가 필요한 기간을 명시하고 정보주체의 동의를 받은 다음 보관할 수 있다. 동의를 받았다 할지라도 정보 주체가 삭제를 요구할 경우 지체 없이 삭제하는 것이 원칙이다. 만약 이를 어길 경우 개인정보보호법 21조(개인정보의 파기) 위반에 해당, 3000만원 이하의 과태료가 부과된다.

◇고용유지 단계=지난해 8월부터 주민등록번호 수집은 금지됐다. 이전에는 사전에 동의를 받은 경우에 한해 수집할 수 있었으나 이제는 법령으로 허용한 경우가 아니라면 수집할 수 없게 됐다. 직원들이 사내 인사시스템에 접속할 때 주민등록번호 뒷자리로 인증하는 방식도 금지된다.

이미 기업에서 수집한 주민등록번호는 개정 개인정보보호법 시행으로부터 2년 후인 2016년 8월6일까지 파기해야 한다. 컴퓨터에 저장된 파일일 경우 복원이 불가능한 상태로 영구 삭제시키고, 기록물일 경우에는 파쇄 또는 소각해야 한다.

개인정보를 수집한 기업은 이를 안전하게 관리하기 위한 조치를 취해야 할 의무가 생긴다. 비밀번호, 지문 등의 바이오 정보는 반드시 암호화해 저장해야 하며 사용자는 개인정보를 보관하는 별도의 장소에 대한 출입통제 계획도 마련해야 한다. 업무용 컴퓨터에 개인정보를 보관하는 경우 PC에 비밀번호를 설정해놓아야 하며 침입차단 기능, 백신프로그램 등을 설치해 개인정보를 안전하게 보호해야 한다. 안전조치 의무를 다하지 않았을 경우 개인정보보호법 29조 위반으로 3000만원 이하의 과태료가 부과된다.

연말정산 등을 이유로 직원의 개인정보를 제3자나 기관에게 위탁할 경우에도 주의가 필요하다. 이 경우 △위탁업무 수행 목적 외 개인정보 처리금지 △개인정보의 기술적·관리적 보호조치 △위탁업무의 목적과 범위, 재위탁 제한 △수탁자의 준수의무 위반 시 손해배상 등 책임에 관한 사항을 문서로 남겨야 한다. 또, 근로자의 개인정보를 제3자에 위탁했을 경우에는 수탁자가 누구인지를 회사 내부 게시판 등에 공개해 직원들이 반드시 알 수 있도록 해야 한다.

◇퇴직 단계=퇴직 근로자에 대한 개인정보는 퇴직 후 경력증명 및 근로계약에 관한 정보를 제외하면 모두 삭제하는 것이 원칙이다. 경력증명에 관한 정보는 직원이 퇴직한 뒤 3년까지 별도로 보관할 수 있으며, 기간이 종료된 다음에는 복구할 수 없게 파기해야 한다. 만약 3년이 지난 후에도 경력증명 정보를 보관하고자 한다면 퇴직 시점에서 해당 근로자의 동의를 얻어야 한다.