韩国员工个人信息：每项用途都需法律依据，监控设置受严格限制

本指南面向在韩国处理员工个人信息的雇主和人事负责人。根据《个人信息保护法》（개인정보 보호법），每次使用员工信息都需要法律依据，而且只能收集所需的部分。本文依据2026年9月11日起施行的《个人信息保护法》，以及个人信息保护委员会（개인정보보호위원회）《分领域个人信息保护指南》（분야별 개인정보 보호 안내서，2024年12月）的人事劳务篇。

四个阶段，一个原则

个人信息保护委员会的指南把人事劳务工作分为四个阶段：招聘准备、招聘决定、雇用维持和雇用终止。每个阶段都必须具备《个人信息保护法》第15条第1款规定的处理依据之一。人事工作中主要的依据如下：

• 法律有特别规定，或为遵守法定义务而不可避免；
• 为订立或履行劳动合同所必需；
• 为实现雇主的正当利益所必需，且该利益明显优先于劳动者的权利，并与正当利益有相当关联、不超过合理范围；
• 劳动者同意。

只收集最少的信息。证明只收集了最少个人信息的责任由雇主承担（第16条第1款）。

无需同意即可使用的信息

• 法定义务。 劳动者名册和工资台账。工资台账中还要记载作为家庭津贴计算基础的事项（《劳动基准法》（근로기준법）第48条）。依四大保险相关法令所需的居民登录号码也属于此类。
• 履行劳动合同。 调动、派遣、停职、人事考核和福利。
• 为家庭津贴和家庭福利所需的家属信息。 不需要劳动者或家属的同意。但家属的敏感信息或唯一识别信息需要该家属本人的单独同意，居民登录号码则必须有具体的法令依据。提交家庭关系证明时，应让员工开具隐去家属居民登录号码后几位的版本。

以下两类信息始终要求更严格：

• 敏感信息（민감정보）： 思想信念、加入或退出工会和政党、政治见解、健康、性生活、遗传信息、犯罪记录、为识别特定个人而生成的生物识别信息，以及种族或民族信息（第23条、施行令第18条）。指南认为员工的生育计划也可能属于敏感信息。
• 唯一识别信息（고유식별정보）： 居民登录号码、护照号码、驾驶证号码和外国人登录号码（第24条、施行令第19条）。

这两类信息都需要法令依据或劳动者的单独同意。居民登录号码必须有具体的法令依据，仅凭同意不能处理（第24条之2）。

对外公开调动或晋升事实需要劳动者同意。指南认为，惩戒和解雇的内容原则上最好不公开。

监控摄像头、定位装置和指纹识别器

在员工日常工作的场所引入数字设备之前，应先听取员工意见。例如在限制出入区域用于考勤管理的监控摄像头、管理驾驶员工作位置的定位装置，以及用于出入管理的指纹识别器。常时使用30名以上劳动者的事业场必须设立劳资协议会（노사협의회）（《劳动者参与及合作促进法》（근로자참여 및 협력증진에 관한 법률）第4条），而事业场内劳动者监视设备的安装属于劳资协议会的协商事项（第20条第1款）。应清楚说明设备的安装目的、规格、运行范围、处理的个人信息及保存期限。

设备运行规则如下：

• 只能在上述处理依据范围内使用。依据不明确时应取得同意，但要考虑到员工很难拒绝。
• 为识别特定个人而使用的生物识别信息属于敏感信息，需要单独同意。应提供替代手段，例如用门禁卡代替指纹识别器。生物识别信息等认证信息在存储或传输时必须加密（《个人信息安全性确保措施标准》（개인정보의 안전성 확보조치 기준）第7条第1款）。
• 不得安装可以看到不特定多数人使用的浴室、卫生间、汗蒸室、更衣室内部的监控摄像头（《个人信息保护法》第25条第2款），也不得使用录音功能（第25条第5款）。运行监控摄像头时应设置告示牌。
• 拍摄范围应与目的相符，不需要时应关闭设备。业务应用程序和移动设备管理（MDM）软件，包括远程办公使用的，只能收集工作所需的信息。
• 没有合法理由，不得违背安装目的将设备用于考勤管理或惩戒。
• 禁止录制或窃听他人之间的对话（《通信秘密保护法》（통신비밀보호법）第3条），也禁止侵害信息通信网上他人的秘密（《信息通信网法》（정보통신망법）第49条）。

员工的权利

员工可以要求查阅、更正、删除自己的个人信息，或要求停止处理（《个人信息保护法》第35条至第37条）。雇主应在10天内答复（施行令第41条、第43条、第44条）。

• 客观的业绩和成果信息，如无特殊理由应予公开。人事考评和年薪计算依据，如公开可能不当损害公司或其他员工的利益，可以限制或拒绝查阅（第35条第4款）。
• 提供监控录像供查看时，应对其他人进行马赛克处理。
• 如果信息是从员工本人以外的渠道收集的，应在本人要求时告知收集来源、处理目的以及其有权要求停止处理（第20条第1款）。

保存期限

不再需要的个人信息应立即以无法恢复或再生的方式销毁（第21条）。个人信息保护委员会的《标准个人信息保护指针》（표준 개인정보 보호지침）规定，如无正当理由应在5天内销毁，并记录销毁情况（第10条）。依其他法令必须保存的信息，应与其他个人信息分开保管（《个人信息保护法》第21条第3款）。

泄露应对与救济

个人信息处理方针中必须公开个人信息保护负责人的姓名，或处理投诉部门的名称及电话等联系方式（第30条第1款）。

员工信息泄露时应采取以下措施：

• 在72小时内以书面等方式告知相关员工泄露的项目、时间和经过，以及员工可以采取的措施等（第34条第1款、施行令第39条）。自2026年9月11日起，得知总统令规定的泄露可能性时也必须告知。
• 1,000人以上的信息泄露、敏感信息或唯一识别信息泄露，或因外部非法访问造成泄露时，应在72小时内向个人信息保护委员会或韩国互联网振兴院（한국인터넷진흥원，KISA）申报（施行令第40条）。

员工可以利用以下救济途径：

• 向个人信息侵害举报中心（개인정보침해 신고센터，直拨118）举报侵害事实。
• 雇主的不当劳动行为等可以向地方雇用劳动官署举报（雇用劳动部客户咨询中心1350）。
• 可以在线或以书面形式向个人信息纠纷调解委员会（개인정보 분쟁조정위원회）申请调解。网站为www.kopico.go.kr，电话1833-6972（工作日9:00~18:00）。
• 可以请求损害赔偿。雇主不能证明自己没有故意或过失的，须承担责任（第39条第1款）。因故意或重大过失导致泄露的，法院可以在损失额5倍以内确定赔偿额（第39条第3款）。损失额难以证明时，可以请求3,000,000韩元以下的法定损害赔偿（第39条之2）。

泄露应对的具体步骤请参阅个人信息泄露：通知与申报分开进行，均须在72小时内完成。