HR 담당자가 꼭 알아야 할 개인정보보호법 실무 체크리스트

HR 개인정보보호법 실무는 채용 지원서 접수부터 재직 중 인사 기록 관리, 퇴직 후 파기까지 전 단계에 걸쳐 적용됩니다. 최소수집·목적 외 이용 금지·파기 의무를 어떤 시점에 어떤 서류로 이행할지 단계별 체크리스트와 위반 시 과태료·처벌 기준을 정리합니다.

HR 업무에서 개인정보보호법이 적용되는 범위

인사팀이 다루는 임직원 정보 대부분은 개인정보보호법상 개인정보에 해당합니다. 성명·주민등록번호·연락처·주소는 물론이고 학력·경력·평가 이력·급여 정보·건강검진 결과·가족관계까지 모두 정보주체를 식별할 수 있는 정보이므로 수집·이용·보관·파기 전 과정에 법령 요건이 적용됩니다.

실무에서 자주 놓치는 지점은 회사 내부용 데이터와 개인정보의 경계입니다. 급여대장·인사기록카드·근태 로그·평가 자료는 인사 관리 목적이라는 이유로 별도 관리 규정 없이 운영되는 경우가 많지만, 임직원을 식별할 수 있는 이상 개인정보보호법 제15조의 수집·이용 근거와 같은 법 제29조의 안전조치 의무가 그대로 적용됩니다. 출처: 개인정보보호법.

HR 업무에서 특히 주의해야 할 세 가지 법률 축은 다음과 같이 정리됩니다. 첫째, 개인정보보호법은 수집·이용·제공·파기 전 과정의 원칙과 처벌을 규정합니다. 둘째, 근로기준법 제42조는 근로계약서·임금대장·해고·퇴직 관련 서류를 3년간 보존하도록 규정해 개인정보 파기 시점을 결정합니다. 셋째, 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」은 접근권한 관리·암호화·접속기록 보관 같은 기술적·관리적 조치의 구체 요건을 정합니다. 세 축이 서로 맞물려 있어 HR 시스템 설계 시 어느 하나만 준수해서는 부족합니다.

재직 중 임직원 정보가 어떤 항목에서 얼마나 자주 갱신되어야 하는지, 갱신 이력을 어떻게 남겨야 감독기관 점검에서 근거로 제출할 수 있는지는 재직자 개인정보 갱신 주기와 관리 실무 가이드에서 항목별 표준 절차로 정리했습니다. 본 체크리스트는 채용부터 퇴직까지 전 주기를 다루는 상위 프레임에 해당합니다.

채용 단계 개인정보 수집·처리 기준

채용 단계는 개인정보보호법 위반 리스크가 가장 자주 발생하는 지점입니다. 지원자와 회사 간 근로계약 관계가 아직 성립되지 않은 상태에서 대량의 개인정보가 수집되기 때문에, 수집 근거·항목·보유기간을 명확히 하지 않으면 사후에 이의 제기나 감독기관 신고로 이어질 수 있습니다.

수집 전에 갖춰야 할 실무 요건은 다음 네 가지입니다.

• 수집 동의서: 개인정보보호법 제15조 제1항 제1호에 따라 채용 목적, 수집 항목, 보유기간, 제3자 제공 여부를 명시한 서면 또는 전자 동의서 확보
• 민감정보·고유식별정보 별도 동의: 건강정보·병역·가족관계 상세·주민등록번호는 제23조·제24조에 따라 일반 개인정보와 분리된 별도 동의 필요
• 최소수집 원칙: 채용 판단에 필요한 최소 항목만 수집(제16조). 취미·종교·정치성향·가족 소득 등 채용과 무관한 항목은 수집 근거 없음
• 보유기간·파기 시점 명시: 불합격자 정보는 채용 절차 종료 후 즉시 파기 또는 지원자 동의를 받은 인재풀 기간(통상 1년) 경과 후 파기

지원서 양식에 포함되는 항목별 필수·선택 표시와 별도 동의 항목 구분은 개인정보 수집 동의서 양식 — 채용부터 계약까지 필수 항목과 전자문서 관리 가이드에서 채용·근로계약 단계별 체크리스트로 확인할 수 있습니다.

불합격자 정보 처리는 별도 관리가 필요합니다. 개인정보보호위원회의 점검에서 자주 지적되는 항목은 불합격자 지원서·이력서를 파기하지 않고 채용 관리 시스템에 방치하는 사례입니다. 채용 절차 종료 후 파기 시점을 지원자에게 사전 고지하고, 인재풀 활용을 원하는 경우 별도 동의를 받아 보유기간을 명시하는 절차가 필요합니다.

재직 중 근로자 개인정보 관리 의무 — 보관·접근권한·제3자 제공

재직 기간 중 개인정보 관리는 세 가지 축으로 정리됩니다. 첫째, 정보 갱신·보관 축입니다. 주소·연락처·계좌 같은 이벤트 기반 항목과 가족사항·비상연락처 같은 정기 확인 항목을 분리해 관리 주기를 다르게 운영합니다. 둘째, 접근권한 축입니다. 인사팀·부서장·본인·감사팀이 각각 다른 범위의 정보에 접근할 수 있도록 역할 기반 권한을 설계해야 합니다. 셋째, 제3자 제공·처리 위탁 축입니다. 4대보험·급여이체·건강검진·복리후생 서비스 등 외부 기관으로 정보가 이전되는 사례를 사전 동의와 위탁 계약으로 관리합니다.

접근권한 관리는 개인정보 안전성 확보조치 기준 제5조에 규정된 필수 항목입니다. 최소 다음 세 가지 기준을 갖춰야 감독기관 점검에서 근거로 제출할 수 있습니다.

• 업무별 접근권한 분리: 급여 담당은 급여 정보, 채용 담당은 지원자 정보에만 접근하도록 시스템 권한 분리
• 퇴직·부서이동 시 접근권한 즉시 회수: 인사이동 발생 후 지연 없이 시스템·물리적 접근권한 재조정
• 접속기록 최소 1년 보관: 개인정보 처리시스템 접속기록을 1년 이상 보관·점검(안전성 확보조치 기준 제8조)

제3자 제공·처리 위탁은 구분이 실무에서 자주 혼동됩니다. 제3자 제공은 개인정보를 외부에 넘겨 상대방이 자기 목적으로 사용하는 경우(예: 4대보험 신고 시 공단에 전달)이고, 처리 위탁은 우리 회사 업무를 외부에 맡기는 경우(예: 급여 계산 대행, 클라우드 인사 시스템)입니다. 제3자 제공은 정보주체 별도 동의가 필요하고(제17조), 처리 위탁은 위탁 사실 공개와 위탁 계약 체결이 필요합니다(제26조).

임팩트플로우는 B2B SaaS 매칭 플랫폼으로, 기업에 최적화된 HR 컴플라이언스 솔루션을 연결합니다. 접근권한 관리·접속기록 보관·자동 파기 기능이 갖춰진 시스템을 도입하면 안전조치 의무 이행 부담이 크게 줄어드는 경우가 많습니다.

퇴직 후 개인정보 파기 절차와 기한

퇴직 후 개인정보 파기는 서류 종류별로 다른 기한이 적용됩니다. 개인정보보호법 제21조는 보유 목적 달성 또는 보존기간 경과 시 지체 없이 파기하도록 규정하지만, 근로 관련 서류는 별도 법정 보존기간이 있어 두 규정을 함께 적용해야 합니다.

서류별 법정 보존기간과 파기 시점은 다음과 같이 정리됩니다.

파기 방법은 개인정보보호법 시행령 제16조에 따라 복원 불가능한 방법으로 처리해야 합니다. 전자 파일은 전용 삭제 도구로 영구 삭제하고, 종이 문서는 파쇄기 파쇄 또는 소각으로 처리합니다. 데이터베이스 필드는 개별 레코드 삭제 또는 복원 불가능한 마스킹 처리 방식을 사용합니다.

파기 이력은 별도 대장으로 관리합니다. 파기 일시·대상 항목·건수·파기 방법·근거(보존기간 만료·목적 달성)·담당자를 최소 항목으로 기록하고, 파기 완료 사진 또는 파쇄 인증서를 첨부해 두면 감독기관 점검이나 정보주체 열람 청구 시 근거 서류로 제출할 수 있습니다. 파기 대장이 없거나 부실할 경우 안전조치 의무 위반과 함께 지적되는 사례가 자주 발생합니다.

위반 시 처벌 기준 — 과태료·과징금·형사처벌

개인정보보호법 위반은 위반 유형에 따라 과태료·과징금·형사처벌이 각기 다른 조항으로 규정됩니다. 실무자가 알아둬야 할 주요 처벌 조항은 다음과 같이 정리됩니다.

2023년 9월 개정 이후 과징금 산정 기준이 종전 위반행위 관련 매출액에서 전체 매출액의 3% 이하로 상향되어(개인정보보호법 제64조의2) 위반 시 재무적 부담이 크게 늘어났습니다. 유출 사고가 발생할 경우 정보주체 통지 의무(제34조)도 함께 성립하므로, 통지 지연이나 미이행이 별도 과태료로 가산되는 구조입니다. 출처: 개인정보보호위원회.

실무에서는 여러 위반이 동시에 성립하는 경우가 많습니다. 파기 미이행 상태에서 접근권한 관리가 부실해 유출이 발생하면 파기 의무 위반(제21조)·안전조치 미이행(제29조)·유출 통지 미이행(제34조)이 각각 성립합니다. 각 조항의 과태료가 병과되어 총 부담이 수억 원 단위로 커질 수 있습니다.

HR 시스템 도입 시 개인정보 안전조치 체크리스트

HR 시스템을 도입하거나 교체할 때는 개인정보 안전성 확보조치 기준 고시가 요구하는 기술적·관리적 조치를 시스템 기능으로 이행할 수 있는지 사전 검토가 필요합니다. 시스템 도입 후 별도 도구로 이행하려 하면 이중 관리 부담이 커지고 감독기관 점검 시 근거 제출도 어려워집니다.

도입 검토 시 다음 여섯 가지 항목을 시스템 사양서와 대조해 확인합니다.

• 접근권한 관리: 역할 기반 권한(RBAC) 설정 지원, 부서이동·퇴직 시 권한 자동 회수 기능, 권한 변경 이력 자동 기록
• 접속기록 보관: 시스템 접속·조회·수정 이력을 최소 1년(정보통신서비스 제공자는 2년) 자동 저장(개인정보의 안전성 확보조치 기준 고시), 관리자 열람 로그 별도 관리
• 암호화 처리: 주민등록번호·계좌번호 등 고유식별정보 저장 시 암호화, 전송 구간(HTTPS) 암호화, 백업 파일 암호화
• 자동 파기 스케줄: 보존기간 도래 항목 자동 알림, 서류별 파기 대상 목록 자동 생성, 파기 이력 자동 로그 기록
• 개인정보 처리방침 관리: 처리방침 개정 이력 관리, 정보주체 열람·삭제·정정 요청 처리 기능, 동의 철회 관리
• 정보주체 권리 대응: 임직원 본인의 개인정보 열람·수정·삭제 요청을 시스템 내에서 처리하고 처리 결과 자동 통지

다사업장·대기업의 경우 사업장별 개인정보처리방침을 별도로 관리해야 하는 경우가 많습니다. 사업장마다 인사 담당자가 달라 접근권한 범위가 다르고, 지역별 개인정보보호법 적용 범위(예: 해외 지사 근로자 정보)가 달라지기 때문입니다. 통합 인사 시스템 안에서 사업장별 처리방침·접근권한을 분리 관리할 수 있는지 사전 확인이 필요합니다.

외국인 근로자를 고용하는 사업장은 개인정보 국외 이전 요건(제28조의8)이 추가로 적용됩니다. 근로자 본국으로 개인정보가 전송되는 사례(예: 급여 정보를 본국 은행으로 이체)에서 별도 동의와 안전조치가 필요하며, 영문 개인정보 처리방침·동의서 준비도 요구됩니다.

자주 묻는 질문

채용 판단에 필요한 최소 항목만 수집하는 것이 개인정보보호법 제16조의 원칙입니다. 성명·연락처·학력·경력·자격은 채용 판단에 직접 관련되므로 수집 근거가 명확하지만, 취미·종교·정치성향·가족 소득·본적지 같은 항목은 채용 판단과 무관하여 수집 근거가 없습니다. 주민등록번호는 고유식별정보로 원칙적으로 별도 동의가 필요하며, 채용 과정에서는 필요성을 소명하기 어려운 경우가 대부분입니다. 지원서 양식에서 필수·선택 항목을 명확히 구분하고, 선택 항목 미기재로 인한 불이익이 없음을 명시해야 합니다.

퇴사 후 근로 관련 서류(근로계약서·임금대장 등)는 근로기준법 제42조에 따라 3년간 보존 의무가 있으나, 이는 법령상 보존 의무이지 활용 근거는 아닙니다. 재입사 대비 인재풀로 활용하려면 별도 동의가 필요하고 보유기간을 명시해야 합니다. 정보주체가 삭제를 요청하면 개인정보보호법 제36조에 따라 지체 없이 삭제 처리해야 하며, 법정 보존기간이 남은 서류는 접근권한을 제한한 상태로 보관하고 활용은 중단합니다.

개인정보보호법 제34조는 유출 사실을 안 시점부터 72시간 이내에 정보주체에게 통지하고, 1,000명 이상 유출 시 개인정보보호위원회에도 신고하도록 규정합니다. 통지·신고 시 유출된 개인정보 항목, 유출 시점과 경위, 피해 최소화 방법, 대응 조치와 피해 구제 절차, 담당 부서·연락처를 포함해야 합니다. 사고 발생 시점을 특정할 수 없어 대응이 지연되는 사례가 많으므로, 접속기록·이상 접근 탐지 로그를 상시 점검할 수 있는 시스템 체계가 필요합니다.

처리 위탁은 회사의 개인정보 처리 업무 자체를 외부에 맡기는 경우이고, 제3자 제공은 외부 기관이 자기 목적으로 개인정보를 사용하도록 제공하는 경우입니다. 급여 계산 대행업체·클라우드 인사 시스템은 처리 위탁에 해당해 위탁 계약과 위탁 사실 공개(제26조)로 충분하지만, 4대보험 공단·건강검진 기관은 제3자 제공에 해당해 정보주체 별도 동의(제17조)가 필요합니다. 실무에서는 위탁 계약서에 위탁 범위·재위탁 금지·안전조치 의무를 명시하고, 위탁받은 사업자의 안전조치 이행 상태를 정기적으로 점검하는 절차가 요구됩니다.

사업장 규모와 관계없이 개인정보를 처리하는 모든 개인정보처리자에게 개인정보보호법 제29조의 안전조치 의무가 적용됩니다. 다만 개인정보 안전성 확보조치 기준 고시는 처리하는 개인정보 규모와 유형에 따라 요구 수준이 일반적으로 3개 단계(유형1·유형2·유형3)로 구분되어 소규모 사업장이 이행해야 할 항목을 조정하는 것으로 알려져 있습니다. 일반적으로 100인 미만이면서 민감정보를 대량 처리하지 않는 사업장은 유형1 기준이 적용되어 접근권한 관리·접속기록 보관·백업 등 핵심 항목만 이행하면 되는 수준으로 알려져 있습니다. 규모가 커지거나 민감정보 처리 비중이 늘어나면 유형2·유형3 기준으로 이행 항목이 늘어나므로 사전 확인이 필요합니다.

HR 개인정보보호법 실무는 채용·재직·퇴직 단계마다 다른 서류와 다른 기한이 얽혀 있어 수작업으로는 관리 정확도를 유지하기 어렵습니다. 접근권한 관리·접속기록 보관·자동 파기 스케줄이 시스템 기능으로 갖춰진 HR 솔루션을 도입하면 안전조치 의무 이행 부담과 감독기관 점검 대응 부담이 함께 줄어드는 경우가 많습니다. 임팩트플로우는 B2B SaaS 매칭 플랫폼으로, 기업에 최적화된 HR 컴플라이언스 솔루션을 연결합니다.