얼마 전 한 국내 대기업 인사팀과 전화 상담을 한 일이 있다. 내용인 즉 직장 내 근로자에 대한 정보 보호 법령 내용과 운영 기준에 대한 것이었다. 고객 정보 유출 사건이 빈발하면서 이에 대한 보호 정책을 강화하는 동시에 직원에 대한 정보도 보호하려는 의도였던 것. 기업 내부 정보 보호와 관련한 기준에는 어떤 게 있을까.

전산 개발에 몸담고 있던 시절에는 거의 대용량 데이터를 다루는 일을 맡아왔다. 경우에 따라선 매출이나 매입 데이터를 처리하기도 했지만 업무 상당 시간은 고객 데이터를 관리하고 기존 자료를 활용하는 마이닝 작업으로 보냈다.

업무 초기에는 고객정보보호에 대한 사회적 인식이나 개념도 부족했다. 요즘 법령을 생각해보면 탈법의 경계선을 넘나들기도 했다. 개인 정보도 개발자에게는 사실상 공개된 상태이기 일쑤였다.

하지만 인터넷과 전자정보화 시대에 접어들면서 상황은 큰 변화를 보이고 있다. 최근 들어 각종 정보유출사고가 연이어 터졌다. 민원도 그야말로 봇물 터지듯 쏟아진다. 정부도 개인 정보를 안전하게 관리하기 위한 법령을 재개정했고 이에 따라 업체는 사업장에서 발생할 수 있는 근로자 정보 유출에 대해서도 법적 의무를 지게 됐다.

기본적으론 정보 보호에 대해선 개인정보보호법을 통해 기준과 제한을 규정한다. 하지만 입법기관인 국회와 행정부는 근로자의 특수성과 개별성을 감안해 ‘고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률’이나 ‘고용보험법’, ‘고용정책기본법’ 등 다양한 법령으로 보호원칙을 추가하고 있다.

정리하자면 이렇다. 큰 원칙은 5가지다. 첫째 꼭 필요한 정보만 수집해야 한다는 것. 근로자에게 반드시 필요한 정보만 요구해야 한다. 고유 식별 정보나 민감한 정보는 반드시 필요한 경우가 있다면 동의를 받고 수집해야 한다. 법령에 근거가 없다면 원칙적으로는 주민번호와 민감 정보를 수집하는 건 안 된다. 물론 법령에 따라 임금대장 작성 등을 위해서는 동의가 없더라도 주민번호 수집이 가능하다.

둘째 수집한 개인정보는 안전하게 보관해야 한다는 것이다. 직원 정보가 있는 PC에는 비밀번호를 설정해야 하고 백신과 방화벽 기능을 적용해야 한다.

셋째 법령 근거를 확인하거나 근로자 동의를 얻어야 제3자 제공이 가능하다는 것이다. 퇴직근로자 경력을 제3자에게 제공한다고 해도 동의를 받는 건 필수다. 경력 조회가 필요한 사람이라면 반드시 정보 주체에게 동의를 받아서 해당 기관에 제출하라는 얘기다.

넷째 인사와 급여 지급 등을 위한 근로자 개인 정보 처리 위탁을 한다면 이건 개인 정보 처리 위탁 방법에 따라서 실시해야 한다는 것. 개인 정보 처리를 위탁한다면 근로자가 위탁 업체 처리 내용을 손쉽게 확인할 수 있도록 내부 게시판 등에 공개해야 한다. 업무 위탁과 관리 감독에 대해서 반드시 계약서를 마련하는 등 관리를 해야 한다.

마지막은 보존 목적이 사라진 개인 정보는 지체 없이 파기해야 한다. 입사지원자 개인정보는 채용 전형이 끝나면 지체 없이 파기해야 한다. 만일 상시 채용을 위해 보관한다면 동의를 받고 보관해야 한다. 또 퇴직 근로자의 경력 증명을 위해서는 3년 동안 보존하는 게 원칙이다. 3년 이후 경력증명서 발급을 위한 자료 보관이라면 동의를 얻어야 한다.

박용호 칼럼니스트  cpla.baak@gmail.com

<저작권자 © 테크홀릭, 무단 전재 및 재배포 금지>