[개인정보보호 이슈] 퇴사자의 개인정보 파기했다고 끝이 아닙니다.

안녕하세요. 황컴플라이언스 입니다.

[개인정보보호 이슈] 퇴사자의 개인정보 파기했다고 끝이 아닙니다.

최근 근로에 대한 인식이 변화하며 이직·퇴사를 하는 직원들이 많아지고 있는 추세입니다. 기업에서는 퇴직자가 발생할 때마다 관련된 정보를 처리해야 합니다. 기업 입장에서는 안전하게 개인정보를 처리했다고 생각하지만, 관련하여 문제가 일어나기도 합니다. 따라서 안전하게 퇴직자의 개인정보를 처리하는 방법에 대해 알아보도록 하겠습니다.

Check

• 채용 준비부터 고용 유지 단계까지, 수집하는 최소한의 개인정보
• 고용 종료 단계에서 처리해야 하는 개인정보
• 퇴직자의 개인정보만 담긴 문서·파일만 처리하면 되나요?
• 마치며

1. 채용 준비부터 고용 유지 단계까지, 수집하는 최소한의 개인정보

• 퇴사 시 처리해야 하는 개인정보를 알기 위해서는, 채용 준비 시기부터 고용 시까지 기업에서 수집하는 임직원의 개인정보를 먼저 알고 있어야겠죠.
• 기업에서 수집하고 있는 최소한의 개인정보와 수집해서는 안되는 개인정보에 대해 먼저 알아보도록 하겠습니다.

---

[채용 준비 단계]

• 채용 준비 단계에서는 채용 계획 수립·채용 전형 진행·합격자 통보가 이루어집니다. 특히 채용 전형 진행 시 지원자 확인 및 연락에 필요한 개인정보를 수집하게 됩니다.
• 채용을 위해서는 기본적으로 지원자의 이름·전화번호·주소를 필수적으로 수집하게 됩니다. 이와 같이 채용을 위해 반드시 필요하다고 인정된 개인정보의 경우, 지원자의 동의 없이 수집·이용이 가능합니다.
• 추가적으로 전형별로 수집하는 개인정보를 살펴보면 서류 전형에서는 학점·외국어 성적·자격증 부여 여부·관련 경력 등을 , 필기시험 전형에서는 필기시험 성적을, 면접 전형에서는 인성·기타 경험·포부 등을 수집하게 됩니다.
• 이 때 주민등록번호와 같은 고유식별정보와 종료, 정치적 견해 등의 민감정보는 수집해서는 안됩니다. 다만, 장애인·국가유공자·고령자 등의 우대를 위해서는 별도 동의 없이 처리할 수 있다고 합니다.
• 마지막으로 최종 합격자에 한해 진행하는 신체검사의 경우, 필요한 범위에서 최소한의 건강정보만을 수집하여야 하며, 지원자의 동의를 필수로 받아 실시해야 합니다.

---

[채용 결정 단계]

• 채용 결정 단계에서는 법령 준수, 근로계약의 체결·이행, 업무 수행을 위해 개인정보를 수집·이용하거나 처리하게 됩니다.
• 해당 단계에서는 주로 성명·생년월일·주소·전화번호·부양가족·근로계약조건·근로일수·근로시간수 등의 개인정보를 수집하게 됩니다.
• 이처럼 법령 준수를 위해 개인정보를 수집·이용할 경우(예 : 근로계약서, 근로자 명부, 임금대장 작성 등) 근로자의 동의 없이 처리할 수 있다고 합니다.
• 마찬가지로 소득세법에 따른 연말정산과 같은 법령상 의무를 준수하기 위해 고유식별정보를 수집·이용하는 경우에도 근로자와 근로자의 가족의 동의 없이도 처리할 수 있습니다.
• 또한, 고용 중 근무성적평가·연봉계약·인사발령·교육훈련·복리후생 등 근로계약 이행 및 가족에 대한 복리후생 제공을 위해 수집하는 개인정보는 근로자와 그 가족의 동의 없이 수집·이용할 수 있습니다. 다만, 해당 사업에 필요한 최소한의 개인정보만을 수집하여야 합니다.

---

고용 유지 단계

• 고용 유지 단계에서는 인력배치 및 이동·인사평가·보수 및 후생복지·교육훈련을 위해 수집한 개인정보를 이용·처리하는 경우가 많습니다.
• 승진 등의 인사발령이 일어났을 때 외부 공개가 필요한 경우 근로계약 체결 시 개인정보처리에 관한 동의를 받아야 합니다.
• 또한 급여, 성과급, 복지포인트도 개인정보에 해당하므로 노동조합이나 공공기관 등에 제공할 경우 제3자 제공에 대한 동의를 받아야 합니다. 
• 유사하게 직원 상품할인이나 공동구매 등을 위해 다른 회사나 계열사에 근로자의 정보를 제공하는 경우에도 동의를 받아야 합니다.

---

2. 고용 종료 단계에서 처리해야 하는 개인정보

그렇다면, 퇴직 근로자가 발생했을 때 고용 종료 단계에서 처리해야 하는 개인정보에는 무엇이 있을까요?

• 퇴직 근로자가 발생했다면, 경력증명 및 근로계약에 관한 정보를 제외하고는 수집한 개인정보를 모두 지체 없이 삭제해야 합니다. 만약, 퇴사한 직원의 개인정보를 보관하고 있을 예정이라면 직원에게 동의를 받아야 합니다.
• 한편 퇴직자의 경력 증명에 관한 정보는 퇴직자의 요청 시 사실대로 적은 증명서를 제공해 주어야 하므로, 퇴직 후 3년간 근로 중인 직원의 정보와 별도 보관해야 하며 보관 기간이 종료된 후 5일 이내에 파기해야 합니다.
• 만약 3년 이상 보관하고자 하는 경우, 퇴직 시점에 근로자의 동의를 받아야 하며, 동의서에 명시된 기간만큼 보관할 수 있습니다.

---

3. 퇴직자의 개인정보만 담긴 문서·파일만 처리하면 되나요?

• 많은 기업에서는 퇴직자의 개인정보를 파기하기만 하면 직원과 안전하게 이별할 수 있다고 생각할 수 있지만, 사실은 그렇지 않다는 것 알고 계신가요?
• 퇴직자의 개인정보 파기와 함께 사내에서 사용하는 계정 삭제, 이용하던 업무 툴이나 서버에 접근이 가능한 계정의 권한 회수도 함께 이루어져야 합니다. 이 때, 퇴직자가 관리자 권한을 보유하고 있었다면 업무 툴의 권한을 타 직원에게 이관한 후, 계정 권한을 회수하는 것이 좋습니다.
• 혹시, 퇴직자의 메일 수신 누락에 따른 대응이 걱정되시나요? 그렇다면 퇴직자에게 업무 관련 대상자의 메일 리스트를 받아두는 것이 좋습니다. 메일 Redirection 기능을 이용하여 관련자들에게 메일을 전달하도록 할 수도 있습니다.
• 추가적으로 회사에서 지급한 장비 등 퇴직자가 회사를 통해 보유하고 있던 자산을 반납하도록 해야 합니다. 또한 회수한 장비들은 포맷 절차를 거쳐 남아있는 문서나 파일이 없도록 하는 것이 좋습니다. 마지막으로 사내 영업비밀 및 정보보호를 위해 비밀유지 서약서를 받아두어, 회사의 피해에 대응하는 것도 중요합니다.

---

4. 물리적인 방법을 통해서도 회사의 기밀을 보호할 수 있습니다.

• 지급한 출입증을 회수하거나, 소규모 사업장의 경우 사업장의 출입문 비밀번호를 변경하여 더 이상 퇴직자가 사내에 접근할 수 없도록 조치를 취해야 합니다.
• 위와 같은 프로세스를 통해 회사의 영업비밀이나 기밀정보를 보호할 수 있으니 참고하시기 바랍니다.