직원 개인정보 처리: 단계별 법적 근거와 CCTV 설치 제한

이 글은 한국에서 직원의 개인정보를 다루는 사업주와 인사 담당자를 위한 안내입니다. 「개인정보 보호법」에 따라 직원 정보를 쓸 때마다 법적 근거가 있어야 하고, 필요한 만큼만 모아야 합니다. 내용은 2026년 9월 11일 시행 「개인정보 보호법」과 개인정보보호위원회의 「분야별 개인정보 보호 안내서」(2024년 12월) 인사·노무 편을 따릅니다.

네 단계, 한 가지 원칙

개인정보보호위원회 안내서는 인사·노무 업무를 채용 준비, 채용 결정, 고용 유지, 고용 종료의 네 단계로 나눕니다. 모든 단계에서 「개인정보 보호법」 제15조제1항의 처리 근거 가운데 하나가 있어야 합니다. 인사 업무의 주된 근거는 다음과 같습니다.

• 법률에 특별한 규정이 있거나 법령상 의무를 지키는 데 불가피한 경우
• 근로계약을 체결하거나 이행하는 데 필요한 경우
• 사용자의 정당한 이익을 위해 필요하고 그 이익이 근로자의 권리보다 명백히 우선하는 경우. 정당한 이익과 상당한 관련이 있고 합리적인 범위를 넘지 않아야 합니다.
• 근로자가 동의한 경우

최소한만 수집하십시오. 최소한의 개인정보를 수집했다는 입증책임은 사용자에게 있습니다(제16조제1항).

동의 없이 쓸 수 있는 정보

• 법령상 의무. 근로자 명부와 임금대장입니다. 임금대장에는 가족수당 계산의 기초가 되는 사항도 적습니다(「근로기준법」 제48조). 4대보험 관련 법령에 따라 필요한 주민등록번호도 여기에 해당합니다.
• 근로계약 이행. 전보, 파견, 휴직, 인사평가, 복리후생입니다.
• 가족수당과 가족 복지를 위한 가족 정보. 근로자나 가족의 동의가 필요 없습니다. 다만 가족의 민감정보나 고유식별정보는 그 가족의 별도 동의를 받아야 합니다. 주민등록번호는 법령에 구체적인 근거가 있어야 합니다. 가족관계 증명서를 낼 때는 가족 주민등록번호 뒷자리를 지우고 발급받게 하십시오.

다음 두 종류는 언제나 더 엄격합니다.

• 민감정보: 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활, 유전정보, 범죄경력자료, 특정 개인을 알아볼 목적의 생체인식정보, 인종·민족 정보(제23조, 시행령 제18조). 안내서는 직원의 출산계획도 민감정보에 해당할 수 있다고 봅니다.
• 고유식별정보: 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호(제24조, 시행령 제19조)

두 정보 모두 법령 근거나 근로자의 별도 동의가 있어야 합니다. 주민등록번호는 법령에 구체적인 근거가 있어야 하고 동의만으로는 처리할 수 없습니다(제24조의2).

전보나 승진 사실을 회사 밖에 공개하려면 근로자의 동의가 필요합니다. 안내서는 징계와 해고 내용을 원칙적으로 공개하지 않는 것이 바람직하다고 봅니다.

CCTV, 위치 추적 장치, 지문 인식기

직원이 늘 일하는 공간에 디지털 장치를 들이기 전에 직원 의견을 들으십시오. 출입 통제 구역의 근태 관리용 CCTV, 운전 직원의 근무 위치를 관리하는 장치, 출입 관리용 지문 인식기가 그 예입니다. 상시 30명 이상 사업장은 노사협의회를 두어야 하고(「근로자참여 및 협력증진에 관한 법률」 제4조), 사업장 내 근로자 감시 설비의 설치는 노사협의회의 협의 사항입니다(제20조제1항). 장치의 설치 목적, 사양, 운영 범위, 처리하는 개인정보와 보유기간을 분명히 설명하십시오.

장치 운영 원칙은 다음과 같습니다.

• 위 처리 근거 안에서만 쓰십시오. 근거가 분명하지 않으면 동의를 받되, 직원이 거절하기 어렵다는 점을 고려하십시오.
• 특정 개인을 알아볼 목적의 생체인식정보는 민감정보이므로 별도 동의가 필요합니다. 지문 인식기 대신 출입증을 쓰는 것처럼 대체 수단을 마련하십시오. 생체인식정보 등 인증정보는 저장하거나 전송할 때 암호화해야 합니다(「개인정보의 안전성 확보조치 기준」 제7조제1항).
• 불특정 다수가 이용하는 목욕실, 화장실, 발한실, 탈의실의 내부를 볼 수 있도록 CCTV를 설치할 수 없습니다(「개인정보 보호법」 제25조제2항). 녹음 기능도 쓸 수 없습니다(제25조제5항). CCTV를 운영하면 안내판을 설치하십시오.
• 촬영 범위는 목적에 맞게 조정하고, 필요 없을 때는 장치를 끄십시오. 업무용 앱과 모바일 기기 관리(MDM) 프로그램은 재택근무용을 포함해 업무에 필요한 정보만 수집해야 합니다.
• 적법한 사유 없이 설치 목적과 달리 근태 관리나 징계에 쓰면 안 됩니다.
• 타인 간의 대화를 녹음하거나 청취하는 것은 금지됩니다(「통신비밀보호법」 제3조). 정보통신망에 있는 타인의 비밀을 침해하는 것도 금지됩니다(「정보통신망법」 제49조).

직원의 권리

직원은 자기 개인정보의 열람, 정정·삭제, 처리정지를 요구할 수 있습니다(「개인정보 보호법」 제35조~제37조). 10일 이내에 답해야 합니다(시행령 제41조·제43조·제44조).

• 객관적인 성과·실적 정보는 특별한 사유가 없으면 공개해야 합니다. 인사고과와 연봉 산출근거는 공개하면 회사나 다른 직원의 이익을 부당하게 침해할 우려가 있을 때 열람을 제한하거나 거절할 수 있습니다(제35조제4항).
• CCTV 영상을 보여 줄 때는 다른 사람이 보이지 않게 모자이크 처리하십시오.
• 직원 본인이 아닌 곳에서 받은 정보라면, 요구가 있을 때 수집 출처, 처리 목적, 처리정지를 요구할 권리가 있다는 사실을 알려야 합니다(제20조제1항).

보존 기간

필요 없어진 개인정보는 복구하거나 재생할 수 없도록 지체 없이 파기해야 합니다(제21조). 개인정보보호위원회의 「표준 개인정보 보호지침」은 정당한 사유가 없으면 5일 이내에 파기하고 파기에 관한 사항을 기록하도록 합니다(제10조). 다른 법령에 따라 보존해야 하는 정보는 다른 개인정보와 분리해 보관해야 합니다(「개인정보 보호법」 제21조제3항).

유출 대응과 피해 구제

개인정보 처리방침에 개인정보 보호책임자의 성명이나 고충 처리 부서의 명칭과 전화번호 등 연락처를 공개해야 합니다(제30조제1항).

직원 정보가 유출되면 다음을 하십시오.

• 72시간 이내에 서면 등으로 해당 직원에게 유출 항목, 시점과 경위, 직원이 할 수 있는 조치 등을 알리십시오(제34조제1항, 시행령 제39조). 2026년 9월 11일부터는 대통령령으로 정한 유출 가능성을 알게 된 경우에도 알려야 합니다.
• 1,000명 이상의 정보가 유출된 경우, 민감정보나 고유식별정보가 유출된 경우, 외부의 불법 접근으로 유출된 경우에는 72시간 이내에 개인정보보호위원회나 한국인터넷진흥원에 신고하십시오(시행령 제40조).

직원이 쓸 수 있는 구제 수단은 다음과 같습니다.

• 개인정보침해 신고센터(국번 없이 118)에 침해 사실을 신고할 수 있습니다.
• 사용자의 부당노동행위 등은 지방고용노동관서에 신고할 수 있습니다(고용노동부 고객상담센터 1350).
• 개인정보 분쟁조정위원회에 온라인이나 서면으로 조정을 신청할 수 있습니다. 누리집은 www.kopico.go.kr, 전화는 1833-6972(평일 9:00~18:00)입니다.
• 손해배상을 청구할 수 있습니다. 사용자는 고의나 과실이 없음을 입증하지 못하면 책임을 집니다(제39조제1항). 고의나 중대한 과실로 유출되면 법원은 손해액의 5배까지 배상액을 정할 수 있습니다(제39조제3항). 손해액을 입증하기 어려우면 3,000,000원 이하의 법정손해배상을 청구할 수 있습니다(제39조의2).

유출 대응 절차는 개인정보 유출: 통지와 신고는 따로, 둘 다 72시간 이내를 참고하십시오.