채용 지원자 개인정보, 어디까지 받을 수 있나 — 수집 동의·보관 기간·파기 HR 4가지 의무

이력서에 '가족의 직업란'을 만들었다가 500만원 과태료 처분을 받은 회사가 있다. 단순한 서식 관행처럼 보이지만, 채용절차법 제4조의3은 직무와 무관한 개인정보를 지원자에게 요구하는 행위 자체를 금지한다. 2023년 개인정보보호법 전면 개정 이후 채용 과정의 개인정보 규제가 한층 세졌다. 채용 지원자 개인정보 처리의 핵심 의무 4가지는 수집 동의 범위, 수집 금지 항목, 보관 기간, 파기 절차다.

채용 단계에서 교차 적용되는 3개 법령

채용 시 개인정보를 규율하는 법령은 세 축으로 구성된다. 개인정보보호법이 일반원칙을 규정하고, 채용절차법이 수집 금지 항목과 서류 반환·파기 의무를 구체화하며, 남녀고용평등법이 합격자 서류 보존 기간을 정한다. 세 법령은 중첩 적용된다. 개인정보보호법에서 허용하더라도 채용절차법이 금지한 항목은 수집할 수 없고, 채용절차법 적용 대상이 아닌 30인 미만 사업장도 개인정보보호법의 최소수집 원칙은 동일하게 따라야 한다.

의무 1 — 수집 동의: 언제 받아야 하나

채용 전형에 필요한 최소한의 일반 개인정보는 별도 동의 없이 수집할 수 있다. 개인정보보호법 제15조 제1항 제4호는 정보주체와의 계약 체결을 위해 불가피한 경우 동의 없이 수집할 수 있도록 한다. 지원자 이름·연락처·학력·경력 등은 근로계약 체결 여부 판단에 반드시 필요한 정보로 취급되므로 별도 동의서 없이 수집 가능하다. 단, 최소수집 원칙의 입증책임은 회사가 진다(고용노동부 「개인정보보호 가이드라인(인사노무편)」, 2023.1).

다음 두 유형은 예외 없이 별도 동의가 필요하다.

• 민감정보(개인정보보호법 제23조) — 사상·신념, 노동조합 가입·탈퇴, 건강·성생활, 유전자정보, 범죄경력, 인종·민족 등. 직무 수행에 불가피하다고 입증되는 경우에 한해 별도 동의를 받아야 수집할 수 있다.
• 고유식별정보(제24조, 제24조의2) — 주민등록번호, 여권번호, 운전면허번호 등. 특히 주민등록번호는 정보주체의 동의가 있어도 법령에 구체적 근거가 없으면 수집 자체가 불가하다. 4대보험 가입은 채용 결정 이후 별도 단계에서 법령 근거를 안내하고 처리해야 한다.

의무 2 — 수집 금지 항목: 동의 받아도 안 된다

채용절차법 제4조의3은 지원자 동의 여부와 무관하게 수집 자체를 금지한 항목을 열거한다. 직접 기재 요구는 물론 증빙자료로 간접 수집하는 행위도 금지된다. 위반 시 500만원 이하의 과태료(채용절차법 제27조)가 부과된다.

소방관 채용 체력검정, 조종사 신체검사처럼 직무 수행에 신체 조건이 필수적인 경우는 예외다. 이 경우에도 채용공고에 수집 사유를 명시해야 한다. 채용절차법은 상시 30인 이상 사업장에 적용되지만(제3조), 30인 미만이라도 개인정보보호법의 최소수집 원칙은 동일하게 적용된다.

의무 3 — 보관 기간: 합격자와 불합격자가 다르다

채용서류 보관 기간은 채용 결과에 따라 완전히 달라진다. 이 구분이 잘못되면 조기 파기(분쟁 증거 소멸 위험) 또는 장기 보관(개인정보보호법 위반)이라는 두 가지 리스크가 동시에 발생한다.

의무 4 — 파기 절차: 반환 먼저, 요청 없으면 파기

채용절차법 제11조는 반환과 파기를 구분하여 다음 절차를 정한다.

• 반환 우선 원칙: 불합격 확정 후 지원자의 반환 요청이 있으면, 본인 확인을 거쳐 요청일로부터 14일 이내 반환
• 반환 요청이 없는 경우: 구인자가 정한 반환 청구기간(14일~180일) 경과 후 즉시 파기
• 온라인 제출 서류: 반환 대상이 아님. 채용이 불필요해진 때부터 지체 없이 파기 (이메일 서버·로컬 드라이브·클라우드 저장본 모두 포함)
• 구인자가 요구하지 않은 임의제출 서류: 반환 대상 아님. 불필요 시 즉시 파기

파기는 복구 불가능한 방법으로 해야 한다. 종이 서류는 파쇄 또는 소각, 전자파일은 영구 삭제 프로그램 사용이 요구된다.

행정해석·가이드라인 실무 기준

고용노동부 「개인정보보호 가이드라인(인사노무편)」(2023.1 최신 개정)은 채용 단계별로 세 가지 실무 원칙을 강조한다.

1. 전형 단계별로 필요한 최소한의 개인정보만 수집하되, 최소수집 입증책임은 회사가 진다. 어떤 전형 단계에서 왜 이 정보가 필요한지 회사가 설명할 수 있어야 한다.
2. 인터넷 공개 정보(논문, 인물DB, SNS 공개 프로필 등)는 사회통념상 동의 의사가 인정되는 범위 내에서만 활용할 수 있다(표준 개인정보 보호지침 제6조). 공개 범위를 벗어나는 방식으로 수집·이용하면 위반이다.
3. AI·자동화 전형 도입 시 지원자의 재검토 요청에 응할 절차를 마련해야 한다. 지원자가 요청하면 담당자가 개입해 결정의 타당성을 재검토하고 설명해야 한다.

채용대행사를 이용하는 경우, 개인정보보호법 제26조에 따라 위탁 계약을 반드시 서면으로 체결하고 수탁사의 개인정보 처리 현황을 주기적으로 점검해야 한다. 수탁사의 위반에 대한 손해배상책임은 위탁사 소속 직원의 행위와 동일하게 간주된다(동조 제6항).

자주 하는 실수 5가지

• 주민등록번호 입력란을 입사지원서에 포함 — 법령 근거 없이 수집 불가. 지원자 동의가 있어도 불법이다. 4대보험 가입은 채용 결정 이후 별도 단계에서 처리해야 한다.
• 가족 정보(부모 직업, 형제자매 학교) 기재 요구 — 채용절차법 제4조의3 위반. 지원자 동의가 있어도 과태료 500만원 이하가 부과된다.
• 불합격자 서류를 파기 기한 없이 장기 보관 — 채용절차법상 파기 의무 위반. 반환 청구기간(14일~180일)을 채용공고에 명시하고 해당 기간 후 즉시 파기해야 한다.
• 클라우드 HR 툴에 지원서 방치 — 온라인 제출 서류는 채용 종료 즉시 파기 의무가 있다. 클라우드 저장본, 이메일 수신함이 사각지대가 되는 경우가 많다.
• 채용대행사에 파기 책임을 구두로만 위임 — 수탁사가 파기하지 않으면 원사업주도 책임을 진다. 계약서에 파기 조항을 명문화하고 이행확인서를 수령해야 한다.

HR 실무 체크리스트

• 입사지원서 서식에 용모·키·체중·출신지역·혼인여부·가족 직업·재산 란이 없는가
• 주민등록번호 수집란이 입사지원서에서 제외되어 있는가
• 채용공고에 불합격자 서류 반환 청구기간(14일~180일 중 지정)이 명시되어 있는가
• 채용 종료 후 온라인 제출 서류를 5일 이내 파기하는 절차가 수립되어 있는가
• 최종 합격자 서류(지원서·면접평가서 포함)를 3년 보존하는 대장이 있는가
• 채용대행사 계약서에 개인정보 파기 조항과 이행확인서 제출 의무가 포함되어 있는가
• 면접관에게 수집 금지 개인정보 항목을 묻지 않도록 사전 교육을 실시했는가
• AI·자동화 전형 도입 시 지원자의 재검토 요청에 응할 절차가 마련되어 있는가

자주 묻는 질문

Q. 지원자가 자발적으로 가족 정보를 적어 제출했다면 회사 책임이 없나요?

회사가 요구하지 않았다면 채용절차법 제4조의3 위반은 아닙니다. 그러나 수집된 정보를 전형에 활용하면 개인정보보호법 위반이 될 수 있으므로, 접수 즉시 해당 정보를 파기하고 전형에 반영하지 않아야 합니다.

Q. 불합격자 서류 반환 청구기간은 어디에 명시해야 하나요?

채용공고문 또는 입사지원서에 반환 청구기간(예: 채용 여부 확정일로부터 30일)을 명시해야 합니다. 기간 미기재 시 최소 14일 이상으로 해석되지만, 분쟁 예방을 위해 채용공고에 명확히 기재하는 것이 유리합니다.

Q. 이메일로 받은 자기소개서는 언제 삭제해야 하나요?

채용이 불필요해진 시점(불합격 확정 등)부터 지체 없이, 통상 5일 이내 삭제해야 합니다. 이메일 서버, 로컬 드라이브, 클라우드 저장본 모두 해당합니다.

Q. 합격자 서류를 3년 보존해야 하는 이유가 뭔가요?

남녀고용평등법 제33조 및 시행령 제19조가 사업주에게 채용에 관한 서류를 3년간 보존하도록 의무화하고 있습니다. 채용 과정의 차별 여부 등 고용 관련 분쟁에서 증거자료로 활용될 수 있기 때문입니다.

Q. 30인 미만 사업장은 채용절차법 의무가 없나요?

채용절차법 제3조에 따라 상시 30인 미만 사업장에는 채용절차법이 적용되지 않습니다. 그러나 개인정보보호법의 최소수집 원칙, 민감정보·고유식별정보 수집 제한은 사업장 규모와 무관하게 모든 사업주에게 동일하게 적용됩니다.