1-1 채용 지원자 개인정보 보호 기준 (v.2.1)

① 개요

▸ 수집·이용 금지가 원칙인 개인정보:

고유식별정보, 주민등록번호, 민감정보, 직무 수행에 필요하지 않은 정보는 채용 지원자로부터 수집·이용할 수 없다.

▸ 동의 없이 수집·이용할 수 있는 개인정보:

채용 전형 단계별로 ‘필요한 최소한의 개인정보’는 지원자의 동의를 받지 않고 수집·이용할 수 있다.

▸ 동의를 받아야 수집·이용할 수 있는 개인정보:

채용 전형 단계별로 ‘필요한 최소한의 개인정보’를 제외한 나머지 개인정보는 지원자의 동의를 받아야 수집·이용이 가능하다.

▸ 개인정보 파기 의무와 예외:

채용 과정에서 개인정보가 불필요하게 되었을 때에는 지체 없이 파기해야 한다. 그러나, 다른 법령에 따라 보존해야 하는 경우나 탈락자의 동의를 받은 경우에는 보존할 수 있다.

 

② 개인정보의 예시

< 개인정보의 예시 > (개인정보보호법 2조1호·1의2호 관련)
유형 구분	개인정보 항목
일반정보	이름, 주민등록번호, 운전면허번호, 주소, 전화번호, 생년월일, 출생지, 본적지, 성별, 국적 등
가족정보	가족구성원 이름·출생지·생년월일·주민등록번호·직업·전화번호 등
교육·훈련정보	학교출석사항, 최종학력, 학교성적, 기술 자격증 및 전문 면허증, 이수한 훈련 프로그램, 동아리활동, 상벌사항, 외국어 성적, 연구실적, 경력 등
병역정보	군번 및 계급, 제대유형, 주특기, 근무부대 등
부동산정보	소유주택, 토지, 자동차, 기타소유차량, 상점 및 건물 등
소득정보	현재 봉급액, 봉급경력, 보너스 및 수수료, 기타소득의 원천, 이자소득 등
신용정보	대부잔액 및 지불상황, 저당, 신용카드, 지불연기 및 미납의 수, 임금압류 기록 등
고용정보	직무수행평가, 출석기록, 상벌기록, 취업·퇴직일 등 근속기간, 휴가·휴직기록, 근무시간 기록 등
습관·취미정보	흡연, 음주량, 선호하는 스포츠 및 오락, 여가활동 등
의료정보	의료기록, 정신질환기록, 신체장애, 혈액형, IQ, 약물테스트 등 각종 신체테스트 정보 등
조직정보	노조가입, 종교단체가입, 정당가입, 클럽회원 등
통신정보	전자우편(E-mail), 전화통화내용, 로그파일(Log file), 쿠키(Cookies) 등
위치정보	GPS나 휴대폰 등에 의한 개인의 위치정보
신체정보	지문, 홍채, DNA, 신장, 가슴둘레 등
(자료: 개인정보보호위원회. 2023. 개인정보보호 가이드라인(인사노무편))

③ 채용 지원자 개인정보를 수집·이용할 때의 기준

  1. 수집·이용 금지가 원칙인 개인정보

      가. 고유식별정보

1) 수집·이용 금지

지원자의 고유식별정보는 수집·이용할 수 없는 게 원칙이다(개인정보보호법 24조1항·개인정보보호법시행령 19조. 징역5벌금5000·과징금매출3%. 모든 사업).

 

2) 고유식별정보의 정의와 범위

법령에 따라 개인을 고유하게 구별하기 위해 부여된 식별정보로서, 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호를 말한다(개인정보보호법 24조1항·개인정보보호법시행령 19조).

 

3) 예외적으로 수집·이용이 허용되는 경우

  ⓐ 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우(개인정보보호법 24조1항2호)

  ⓑ 정보주체(지원자)에게 다음 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우(개인정보보호법 24조1항1호·15조2항·17조2항)

      a. 개인정보의 수집·이용 목적

      b. 수집하려는 개인정보의 항목

      c. 개인정보의 보유 및 이용 기간

      d. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

      e. (개인정보를 제3자에게 제공하는 경우) 개인정보를 제공받는 자

      f. (개인정보를 제3자에게 제공하는 경우) 개인정보를 제공받는 자의 개인정보 이용 목적

      g. (개인정보를 제3자에게 제공하는 경우) 제공하는 개인정보의 항목

      h. (개인정보를 제3자에게 제공하는 경우) 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간

      i. (개인정보를 제3자에게 제공하는 경우) 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

 

4) 예외적으로 수집·이용이 허용되는 경우에 안전성 확보 조치를 할 의무

예외적으로 수집·이용이 허용되는 경우에 해당하여 고유식별정보를 처리하는 경우에는 그 고유식별정보가 분실·도난·유출·위조·변조·훼손되지 않도록 개인정보보호법시행령 제21조에서 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 해야 한다(개인정보보호법 24조3항·개인정보보호법시행령 21조. 과태료3000. 모든 사업).

 

      나. 주민등록번호

1) 수집·이용 금지

주민등록번호는 다음 경우를 제외하고는 수집·이용할 수 없다(개인정보보호법 24조의2·1항. 과태료3000. 모든 사업).

  ⓐ 법률·대통령령·국회규칙·대법원규칙·헌법재판소규칙·중앙선거관리위원회규칙·감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우

  ⓑ 지원자(정보주체) 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우

  ⓒ ⓐ 및 ⓑ에 준하여 주민등록번호 처리가 불가피한 경우로서 개인정보보호위원회가 고시로 정하는 경우

 

2) 예외적으로 주민등록번호의 수집·이용이 허용되는 경우에 안전성 확보 조치를 할 의무

예외적으로 주민등록번호의 수집·이용이 허용되는 경우에 해당하여 주민등록번호를 처리하는 경우에는 주민등록번호가가 분실·도난·유출·위조·변조·훼손되지 않도록 암호화 조치를 통하여 안전하게 보관해야 한다(개인정보보호법 24조의2·2항·개인정보보호법시행령 21조의2·개인정보의안전성확보조치기준. 과태료3000. 모든 사업).

 

      다. 민감정보

1) 민감정보의 정의와 범위

정보주체(지원자)의 사생활을 현저히 침해할 우려가 있는 개인정보로서, 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활, 유전정보, 범죄경력, 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 신체적·생리적·행동적 특징에 관한 정보, 인종, 민족에 관한 정보를 말한다(개인정보보호법 23조1항·개인정보보호법시행령 18조).

 

2) 수집·이용의 금지

민감정보는 다음 경우를 제외하고는 수집·이용해서는 안 된다(개인정보보호법 23조1항. 징역5벌금5000·과징금매출3%. 모든 사업).

  ⓐ 법령에서 민감정보의 처리를 요구하거나 허용하는 경우(개인정보보호법 23조1항2호)

      a. 관련 법령(예시): 아동·청소년 관련기관등은 취업자등에 대하여 성범죄의 경력을 확인하여야 하며, 이 경우 본인의 동의를 받아 관계 기관의 장에게 성범죄의 경력 조회를 요청하여야 한다(청소년성보호법 56조5항).

      b. 관련 기관(예시): 어린이집, 유치원, 각급 학교 등 30여 개 기관(청소년성보호법 56조1항)

  ⓑ 정보주체(지원자)에게 다음 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우(개인정보보호법 23조1항1호·15조2항·17조2항)

      a. 개인정보의 수집·이용 목적

      b. 수집하려는 개인정보의 항목

      c. 개인정보의 보유 및 이용 기간

      d. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

      e. (개인정보를 제3자에게 제공하는 경우) 개인정보를 제공받는 자

      f. (개인정보를 제3자에게 제공하는 경우) 개인정보를 제공받는 자의 개인정보 이용 목적

      g. (개인정보를 제3자에게 제공하는 경우) 제공하는 개인정보의 항목

      h. (개인정보를 제3자에게 제공하는 경우) 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간

      i. (개인정보를 제3자에게 제공하는 경우) 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

 

3) 예외적으로 수집·이용이 허용되는 경우에 안전성 확보 조치를 할 의무

예외적으로 수집·이용이 허용되는 경우에 해당하여 민감정보를 처리하는 경우에는 그 민감정보가 분실·도난·유출·위조·변조·훼손되지 않도록 다음 안전성 확보에 필요한 조치를 해야 한다(개인정보보호법 23조2항·29조·개인정보보호법시행령 30조1항. 과태료3000. 모든 사업).

  ⓐ 개인정보의 안전한 처리를 위한 내부 관리계획의 수립·시행

  ⓑ 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치

  ⓒ 개인정보를 안전하게 저장·전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치

  ⓓ 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조·변조 방지를 위한 조치

  ⓔ 개인정보에 대한 보안프로그램의 설치 및 갱신

  ⓕ 개인정보의 안전한 보관을 위한 보관시설의 마련 또는 잠금장치의 설치 등 물리적 조치

 

      라. 직무 수행에 필요하지 않은 정보

구직자(지원자)에 대하여 그 직무의 수행에 필요하지 않은 다음 정보를 기초심사자료(응시원서, 이력서, 자기소개서)에 기재하도록 요구하거나 입증자료로 수집해서는 안 된다(채용절차법 4조의3·2조3호. 과태료500. 상시 근로자 30명 이상 사업).

1) 구직자(지원자) 본인의 용모·키·체중 등의 신체적 조건

2) 구직자(지원자) 본인의 출신지역·혼인여부*·재산 (*혼인여부는 기혼, 미혼뿐만 아니라 자녀의 유무·연령·수, 시부모 유무, 출산계획, 자녀계획 등 혼인상황을 유추할 수 있는 모든 정보를 포함한다(고용노동부홍보리플렛).)

3) 구직자(지원자) 본인의 직계 존비속 및 형제자매의 학력·직업·재산

 

2. 지원자의 동의 없이 수집·이용할 수 있는 개인정보

채용 전형 단계별로 ‘필요한 최소한의 개인정보’는 지원자의 동의를 받지 않고 수집할 수 있고 수집 목적의 범위에서 이용할 수 있다(개인정보보호위원회 가이드라인 참조·개인정보보호법 15조1항4호. 과징금매출액3%. 모든 사업). ‘필요한 최소한의 개인정보’인지는 회사가 입증책임을 진다.

< 채용 전형 단계별로 필요한 최소한의 개인정보 예시 > (개인정보보호법 15조1항4호 관련)
전형 단계	개인정보
전단계 공통	이름, 전화번호, 주소 등
서류전형	학점, 외국어 성적, 자격증 보유 여부, 연구 실적, 경력 등
필기시험	필기시험 과목별 성적 등
면접	인성, 기타 경험, 경력 및 학업 내용, 포부 등
신체검사	직무수행 가능 여부 판단에 필요한 최소한의 건강정보 등
(자료: 개인정보보호위원회. 2023. 개인정보보호 가이드라인(인사노무편))

 

 

  3. 지원자의 동의를 받아야 수집·이용이 가능한 개인정보

채용 전형 단계별로 ‘필요한 최소한의 개인정보’를 제외한 나머지 개인정보는 원칙적으로 지원자의 동의를 받아야 수집·이용이 가능하다(개인정보보호법 15조1항1호. 과태료5000·과징금매출3%. 모든 사업).

 

④ 채용 지원자 개인정보를 파기·보존할 때의 기준

  1. 지원자 개인정보 파기의 기준

    가. 파기 의무

보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이(5일 이내가 원칙) 그 개인정보를 파기해야 한다(개인정보보호법 21조1항·개인정보보호지침 11조1항. 과태료3000. 모든 사업).

 

    나. 파기 방법

(개인정보보호법 21조2항·개인정보보호법시행령 16조·개인정보의안전성확보조치기준 13조1항. 벌칙 없음. 모든 사업)

 

1) 전자적 파일 형태인 경우: 복원이 불가능한 방법으로 영구 삭제

  ⓐ 전용 소자장비(자기장을 이용해 저장장치의 데이터를 삭제하는 장비)를 이용하여 삭제

  ⓑ 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행

 

2) 전자적 파일 형태가 아닌 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각

 

  2. 지원자 개인정보 보존의 기준

다음 경우에는 예외적으로 지원자 개인정보를 파기하지 않고 보존할 수 있다.

 

    가. 다른 법령에 따라 보존해야 하는 경우

 

1) 법령 존재

다른 법령에 따라 보존해야 하는 경우에는 개인정보를 파기하지 않고 보존할 수 있다(개인정보보호법 21조1항. 과태료3000. 모든 사업).

 

2) 저장·관리 방법

다른 법령에 따라 보존해야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리해서 저장·관리해야 한다(개인정보보호법 21조3항. 과태료1000. 모든 사업).

 

    나. 탈락자의 동의를 받고 보존하는 경우

합격자 중 입사 포기자, 조기 퇴사자 등이 발생할 때의 채용 등에 활용하기 위해 탈락자의 개인정보를 계속 보존할 경우에는 입사지원서 접수 시 지원자에게 보존기간 및 목적을 알리고 별도의 동의를 받아야 한다(행정자치부·고용노동부가이드라인 참조·개인정보보호법 15조1항1호. 동의 없이 보존·활용하면 과태료5000·21조1항. 동의 없이 파기 안 하면 과태료3000. 모든 사업).

 

 

*이 정보는 2024. 6. 17. 현재의 법률을 기준으로 작성하였습니다.