인사담당자가 꼭 알아야할 평판조회 개인정보보호 법률이슈
인사담당자들은 경력자를 채용하면서 레퍼런스 체크/평판조회를 하는 경우가 많을 것입니다.
잘 넘어가는 경우에는 상관이 없지만, 정식으로 법률적으로 문제를 삼으려면 생각보다 문제가 될 부분이 없지 않습니다.
오늘은 그 점에 대해서 한 번 논해보고자 합니다.
결론부터 시작하고 갑니다.
1. 레퍼런스 체크 상대방 본인에 대한 개인정보 수집 동의를 녹취로라도 받아두라.
2. 민감정보가 필요한 경우, 민감정보 수집에 대한 채용지원자의 동의를 사전에 받아두라. 만약 레퍼런스 체크 중 민감정보가 포함되었다고 판단될 경우 사후적으로라도 동의를 받아야 한다.
3. 레퍼런스 체크 대상자는 채용 지원자로부터 수집하라. 회사 자체적으로 레퍼런스 체크를 한 상대방이 채용 지원자 회사에 이직시도를 소문낼 경우 손해배상이 다투어질 수 있다.
1. 레퍼런스 체크 상대방 본인에 대한 개인정보 수집 동의를 녹취로라도 받아두라.
제일 먼저...
'뭘 평판조회하는데 그 사람의 개인정보수집 동의까지 받아야 하나? 귀찮게....'라고 생각하실지 모르겠습니다.
물론 그냥 하셔도 됩니다.
다만, 개중에 개인정보보호법을 잘 알고 있으며 투철한 준법정신(?)을 가지신 분들이 정식으로 법률적 문제를 제기할 경우 개인정보보호법 제75조제1항제1호에 따라 5천만원 이내의 과태료 처분의 위험성을 감수하면 됩니다.
ㅇ 인사담당자는 개인정보보호처리자이다.
개인정보보호법의 수범자는 일전의 글에서도 지적한 바와 같이 개인정보보호처리자(개인정보보호법 제2조제2호)입니다.
개인정보보호처리자는 업무로 개인정보를 다루는 자로서, 인사담당자가 채용 지원자의 평판조회를 위해서 평판조회 대상의 이름, 직위, 전화번호, 채용 지원자와의 관계를 수집하는 것을 업무가 아니라고 할 수는 없을 것입니다.
ㅇ 개인정보보호법상 동의는 사전동의를 가리킵니다.
개인정보보호법(이하에서부터는 '법'으로만 지칭하겠습니다)에 따른 개인정보 수집의 대표적인 방법은 "본인의 동의"입니다.
본인의 동의를 받지 않고 개인정보를 수집하는 방법도 없지는 않습니다만, 레퍼런스 체크의 경우에는 해당될 가능성이 거의 없습니다.
채용에 있어서 채용 지원자의 평판을 조회하기 위한 개인정보 수집을 법령상 의무로 정하고 있을 가능성은 매우 낮고(법 제15조제1항제2호), 평판조회를 받는 사람은 채용지원자가 아니므로 계약을 체결하기 위한 경우도 아니고(법 제15조제1항제4호), 동의를 받을 수 없을 정도로 의사표시를 할 수 없는 상태(법 제15조제1항제5호)일 가능성도 거의 없을 것이기 때문입니다.
특히 법 제15조제1항제5호는 사전동의를 받을 수 없는 경우를 구체적으로 적시하고 있습니다.
"정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우"
과연 평판조회를 받는 것이 이 정도의 사유라고 할 수 있을까요? ㅎㅎ
제 생각엔 아닐 것 같습니다.
ㅇ "이미 연락처를 받아 연락한 상황에서 법 위반 아닌가요?"란 의문이 들 수 있습니다.
이 부분은 이렇게 이해를 하시면 됩니다.
평판조회 대상에 대한 정보는 채용지원자가 제공한 것으로 일종의 제3자 제공이라고 볼 수 있습니다.
제3자에 대한 개인정보의 제공의 적법성은 그 정보를 제공받은 자가 다툴 것이 아닙니다.
법 위반이 문제된다면 해당 개인정보주체의 동의도 없이 제3자(채용하려는 회사)에 제공한 채용 지원자가 질 일이지, 우선 채용하려는 회사가 문제될 것은 아닙니다.
그리고 동의는 각 사안에 대해 행해져야 하므로 연락된 뒤에 평판조회를.부탁하기 위해 연락한 것임을 밝히고 필요한 최소한의 범위 내에서 개인정보를 수집함에 동의를.받아두어야 합니다.
왜냐하면 제 연락처를 이미 알고 있는 지인이 제3자에게 제 연락처를 공유하는건 지인의 판단이지만(문제가 되어도 저와 지인 사이의 일이죠), 제3자의 업무상 목적(평판조회) 달성을 위해 제 개인정보 수집에 동의할 권리는 오로지 저에게 있으며 지인에게 있는 것이 아니기 때문입니다.
ㅇ 동의는 어떻게 받아야 하나요?
법 제22조는 동의를 받는 방법을 규율하고 있는데 서면으로만 동의를 받아야 한다고 제한하고 있지 아니합니다.
법 제22조제2항은 "서면으로 받을때에는"이라고 하여 서면으로 받는 경우를 규정하였을 뿐, 서면 외의 방법으로 동의를 받으면 안 된다고 제한하고 있지는 아니하기 때문입니다.
또한 개인정보와 유사한 개인신용정보를 다루는 신용정보의 이용 및 보호에 관한 법률의 경우에도, 개인신용정보를 제3자에게 제공하는 경우의 동의를 얻는 방법을 서면, 전자서면, 유무선통신에 의한 비밀번호 입력, 녹취 등의 방법을 제한(신용정보법 제32조제1항 각 호)하고 있을 뿐입니다.
물론 서면으로 받으면 가장 깔끔하고 좋습니다.
그게 가능하면 그렇게 당연히 하시면 됩니다.
다만, 저도 실무자로서 그게 또 현실에서 쉽지는 않으므로 최소한 녹취의 방법으로라도 동의를 받아야 한다는 것입니다.
그래야 나중에 동의가 있었다는 점을 다툴 수 있습니다.
마지막으로 법 제20조는 정보주체의 요구가 있을 때, 정보주체 이외로부터 수집한 사실을 알리게 되어 있지만, 가능하면 그냥 바로 알려주십시오.
누구를 통해 당신의 연락처를 수집했는지와, 연락한 목적이 무엇이며, 평판조회를 위한 당신의 개인정보 수집, 이용에 동의를 해주시겠느냐고 다 물어보시는 것이 안전합니다.
ㅇ 마지막으로 평판조회 대상자의 주민등록번호는 수집하시면 안 됩니다.
2014년 법이 개정되면서 법령상의 명확한 근거나 요구가 없는 한 주민등록번호를 수집할 수 없게 되었습니다.
이 부분은 강제사항이므로 상대방의 동의가 있다 하더라도 문제가 될 수 있으므로, 절대 주민번호를 수집하시면 안됩니다.
말씀드린 것처럼 별도의 법률적 근거가 있어서 레퍼런스 체크 대상자의 주민등록번호를 수집할 수 있는 예외적인 경우가 아닌한, 주민등록번호를 수집하시면 별도의 법 제24조의2 위반으로 처벌받으실 수 있습니다.
2. 민감정보의 경우 수집하려면 동의를 받아야 합니다.
법 제23조제1항에 따르면 개인정보처리자는 별도로 동의를 받지 않는 한, 개인정보주체로부터 사상, 신념, 노동조합이나 정당의 가입/탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보나 그 밖의 사생활을 현저히 침해할 우려가 있는 개인정보를 처리해서는 안 됩니다.
기본적으로 이런 것은 아예 안 한다고 생각하시는 것이 마음 편하실겁니다.
“종교단체에서 목사나 직원을 뽑을 때는 민감정보가 아니죠? 수집을 안 받아도 상관없는거죠?”라고 생각하시면 안됩니다.
종교는 가장 강한 신념이나 사상의 한 종류일 수 있기 때문에 당연히 민감정보에 해당할 가능성이 높으므로 해당 내용을 확인하고 싶으신 경우 법에 나온 것처럼 별도의 민감정보 제공을 따로 동의를 받으셔야 합니다.
그리고 교회에서 일반행정이 아닌 목사, 전도사 같은 종교 관련 직위 채용을 위해 종교정보를 동의 하에 수집하는 것은 그나마 일정한 합리성과 필요성이 인정될 수도 있으나, 종교와 전혀 무관한 일반기업은 동의를 받아서라도 굳이 이런 민감정보를 수집하지 않으시는 것이 안전할 것입니다.
왜냐하면 법 제16조는 목적에 필요한 최소한의 개인정보를 수집하여야 함을 정하고 있는데 교회가 아닌 일반기업에서 종교정보를 수집해야 할 까닭이 없기 때문입니다.
따라서 레퍼런스 체크, 평판조회를 하시더라도 민감정보는 애초에 물어보지도 마시고 부득이 필요한 경우라면 사전에 별도의 동의를 채용지원자로부터 꼭 받으셔야 합니다.
3. 임의 레퍼런스 체크에 따른 손해배상 가능성
민법상의 손해배상은 고의가 아닌 과실로도 가능하며, 손해에는 정신적인 손해도 포함됩니다.
만약 채용지원자의 동의 없이, 회사가 자체적으로 채용지원자 회사의 제3자를 통해 레퍼런스 체크를 하고 채용지원자의 이직시도가 그 제3자를 통해 알려져 채용지원자에게 어떠한 불이익이 있을 경우, 자칫 손해배상 책임을 질 수도 있으니 주의해야 합니다.
물론 기본적인 손해배상 법리상 피해에 관한 주장과 입증은 피해자의 몫입니다.
따라서 채용지원자가 실제로 불이익을 받는다고 하더라도 그것이 회사가 임의로 본인 동의 없는 제3자를 통한 레퍼런스 체크로 인한 것이란 사실을 입증해야 하는데, 그게 그렇게 쉽지만은 않을 것입니다.
하지만 세상에 절대란 없는 것이고, 만약 그 부분들을 다 입증하고 어차피 갈때까지 간 것 나만 죽지 않겠다란 마음으로 인사담당자에게 타격을 입히겠다고 나올 수는 있습니다.
그리고 지금까지 계속 언급한 것처럼 단순히 민법상의 손해배상 책임만이 아니고 회사가 자체적으로 행한 레퍼런스 체크 대상자가 본인의 개인정보 수집과 이용에 동의한 적이 없다면 개인정보보호법.위반 문제가 제기될 수도 있습니다.
실제 현실에서는 사실관계 하나하나가 이렇게 가느냐, 저렇게 가느냐에 따라서 제가 말씀드린 것을 모두 준수하더라도 패소하는 일도 얼마든지 있을 수 있습니다.
다만, 제가 말씀드린 것을 모두 지키면 문제발생의 위험성을 보다 낮출 수는 있을 것이며 최악의 상황에 대응할 수 있는 기본자료가 확보될 것입니다.
모처럼 회사생활에서 필요한 법률에 대하여 정리를 했는데 모쪼록 이 글이 인사담당자 분들께 도움이 되었으면 좋겠습니다.
감사합니다.
