🎯 채용 지원자 개인정보, 어떻게 받고 언제 지워야 하나 — 개인정보보호법 HR 실무 가이드

지난해 하반기, 상시 근로자 200명 규모의 중견 제조업체가 개인정보보호위원회로부터 시정명령을 받았다. 이유는 단순했다 — 불합격 지원자 이력서 380건을 채용 확정 후 230일이 지나도록 삭제하지 않은 것. 인사 시스템 폴더에 그대로 쌓여 있던 이력서들이 문제였다. 인사 담당자는 “나중에 인재풀로 활용하려 했다”고 해명했지만, 별도 동의를 받지 않았다는 이유로 결국 시정명령이 내려졌다.

채용 개인정보는 두 개의 법률이 동시에 작동한다. 채용 서류의 반환·파기는 채용절차법(고용노동부 소관)이, 수집·보관·이용·파기의 전 과정은 개인정보보호법(개인정보보호위원회 소관)이 각각 별도로 규율한다. 어느 하나만 지킨다고 끝이 아니다. 두 법이 어떻게 맞물리는지, HR 담당자가 단계별로 무엇을 해야 하는지 정리했다.

두 법이 동시에 적용된다 — 채용절차법 vs 개인정보보호법

실무 핵심은 이것이다. 채용절차법의 180일은 “파기 청구 기간의 상한”이지, 무조건 180일까지 보관해도 된다는 의미가 아니다. 개인정보보호법은 “목적이 달성되면 즉시 파기”를 원칙으로 삼는다. 불합격이 확정된 순간 수집 목적은 소멸한다. 두 법의 교집합을 지키려면, 채용절차법상 파기 청구 기간이 끝나는 즉시 파기하는 것이 정석이다.

법은 뭐라고 하나

수집 단계 — 동의 불요 원칙과 예외

개인정보보호법 제16조 제1항은 “개인정보처리자는 필요 최소한의 개인정보만 수집하여야 한다”고 규정하며, 최소수집 원칙의 입증 책임은 회사에 있다. 지원서에 항목이 많다고 자동으로 문제가 되는 게 아니라, 그 항목이 왜 필요한지 회사가 설명하지 못하면 위반이다.

채용 전형에 필요한 최소한의 개인정보(이름·연락처·학력·경력 등)는 정보주체의 동의 없이도 수집 가능하다. 개인정보보호법 제15조 제1항 제4호가 “정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우”를 동의 불요 사유로 규정하기 때문이다(2023년 3월 개정 현행 조문). 고용노동부 「개인정보보호 가이드라인(인사노무편)」(2023.1)도 “채용 전형에 필요한 최소한의 개인정보 수집은 입사 지원자의 동의 불필요”라고 명시하고 있다.

단, 민감정보(개인정보보호법 제23조)는 별도 동의 또는 법령 근거 없이 원칙적으로 수집이 금지된다. 사상·신념, 노동조합 가입 여부, 건강·성생활 정보, 유전정보, 범죄경력이 민감정보에 해당한다. 건강정보는 “직무 수행 가능 여부 판단에 필요한 최소한”의 범위에서 해당 지원자로부터 별도의 서면 동의를 받은 경우에만 수집할 수 있다. 다만, 아동·청소년 관련 기관에서 성범죄 경력을 확인하는 경우처럼 법령(청소년성보호법 제56조)이 수집을 요구하는 경우에는 해당 법령을 따른다.

주민등록번호는 법령에 구체적 근거가 없으면 수집이 불가능하다. 지원자가 동의해도 수집 근거가 없으면 위반이다. 채용 전형 단계에서는 법령상 수집 근거가 없으므로, 입사지원서에 주민등록번호 기재란을 두어서는 안 된다. 최종 합격 후 4대보험 취득 신고 등을 위해서는 법령 근거가 생기므로 그 시점에 수집하면 된다.

수집 금지 항목 — 채용절차법 제4조의3

채용절차법 제4조의3은 직무 수행에 필요하지 않은 ① 용모·키·체중 등 신체적 조건, ② 출신지역·혼인여부·재산, ③ 직계 존비속 및 형제자매의 학력·직업·재산을 기초심사자료에 기재하도록 요구하거나 수집하는 것을 금지한다. 위반 시 500만 원 이하 과태료다. 아직도 입사지원서에 부모님 직업란·결혼 여부 체크란을 두는 사업장이 있는데, 이는 명백한 위반이다.

보관 및 파기 — 채용절차법 제11조와 개인정보보호법 제21조

채용절차법 제11조는 ① 채용 여부 확정 후 구직자가 서류 반환을 청구하면 14일 이내 반환, ② 반환 청구가 없으면 회사가 정한 파기 청구 기간(채용 확정일로부터 14일~180일 사이) 경과 후 지체 없이 파기를 의무화한다. 이 파기 청구 기간은 반드시 채용공고에 명시해야 한다. 홈페이지·이메일로 제출된 서류는 반환 대상이 아니지만, 불합격 확정 시 지체 없이(통상 5일 이내) 파기해야 한다.

개인정보보호법 제21조 제1항은 “개인정보처리자는 보유 기간의 경과, 개인정보의 처리 목적 달성 등의 사유로 그 개인정보가 불필요하게 되었을 때에는 지체 없이 파기하여야 한다”고 규정한다.

한편 최종 합격자의 채용서류는 남녀고용평등법 제33조 및 같은 법 시행령 제19조에 따라 3년간 보존이 의무다. 채용 절차의 공정성 입증을 위한 근거다.

인재풀 운영 — 반드시 별도 동의

불합격자 정보를 파기하지 않고 인재풀로 운영하려면 채용 전형과는 별도의 동의를 받아야 한다. 개인정보보호위원회 「채용·인사 분야 개인정보 처리 안내서」(2023)는 인재풀 보관을 위한 별도 동의를 명시적으로 요구하면서, 동의 거부 시 불이익이 없음을 고지할 것을 강조한다. “지원서를 제출한다는 것 자체가 인재풀 등록에 동의한 것”이라는 해석은 법적으로 성립하지 않는다. 불합격 통보와 함께 인재풀 별도 동의서를 보내는 것이 실무상 가장 깔끔한 방법이다.

단계별 HR 실무 체크리스트

Step 1 — 채용 기획 단계 (공고 전)

• 전형 단계별 최소 수집 정보 목록 확정 (입증 책임 대비)
• 입사지원서에 금지 항목(부모 직업·혼인여부·신체조건) 제거 확인
• 주민등록번호란 삭제 확인
• 파기 청구 기간 결정 (14일~180일 사이) 후 채용공고에 명시
• 채용대행사 이용 시 개인정보 처리 위탁 계약서 체결 (개인정보보호법 제26조)
• 위탁사·수탁사 정보 회사 홈페이지 공개

Step 2 — 서류 전형 단계

• 채용 전형에 필요한 최소 정보만 수집 (동의서 별도 징구 불필요)
• 민감정보 수집 불가피 시 → 별도 서면 동의서 징구 (동의 거부 불이익 없음 고지)
• 지원서 접수 담당자 최소화 (취급자 지정 관리)
• 제3자 제공 절대 금지 (계열사 공유도 사전 동의 또는 법령 근거 필요)

Step 3 — 면접·합격 결정 단계

• AI 자동화 채용 도구 사용 시 → 정보주체 요청 시 검토·설명 절차 마련
• 합격 통보는 본인에게 직접 (홈페이지 공지 시 비밀번호 본인 확인)
• 인재풀 보관 희망 불합격자 → 별도 동의 취득 후 보관 기간·파기 시점 고지

Step 4 — 불합격 확정 후 파기

• 파기 청구 기간 경과 후 5일 이내 파기 (개인정보보호법상 지체 없이)
• 전자 파일은 복구 불가능한 방법(완전 삭제·덮어쓰기)으로 파기
• 파기 일자·방법·담당자를 기록으로 보관
• 채용대행사에도 위탁 개인정보 파기 요청 및 확인

Step 5 — 최종 합격자 서류 관리

• 최종 합격자 채용서류 → 남녀고용평등법 제33조에 따라 3년 보존
• 입사 후 추가 수집 정보(주민등록번호·가족관계 등)는 별도 목적·근거 명시
• 재직자 전환 시 채용 목적 개인정보를 인사관리 목적으로 계속 이용한다는 사실 고지

자주 하는 실수 3가지

실수 ①: “180일까지는 보관해도 된다”는 오해
채용절차법의 180일은 파기 청구 기간의 상한이다. 불합격 확정 후 별도 목적이 없으면 개인정보보호법상 즉시 파기가 원칙이다. “채용절차법상 180일이 남았으니까”라는 이유로 보관하다가 개보법 위반이 되는 사례가 적지 않다. 파기 청구 기간은 지원자가 서류 반환을 요청할 수 있는 기간을 보장하기 위한 것이지, 사용자가 보관할 수 있는 기간을 부여하는 것이 아니다.

실수 ②: 인재풀 = 암묵적 동의
인재풀 보관을 위해서는 채용 전형과 별도의 명시적 동의가 필요하다. “지원서를 제출했으니 향후 채용에도 활용 동의한 것”이라는 해석은 성립하지 않는다. 별도 동의 없이 인재풀에 이력서를 축적해두고 있다면, 지금 당장 정리가 필요하다.

실수 ③: 지원서에 주민등록번호·사진 요구
주민등록번호는 법령 근거 없이 수집이 불가능하며, 지원자가 동의해도 수집 근거가 없으면 위반이다. 사진은 직무 수행과 무관한 신체적 조건으로 볼 수 있어, 직무 관련성이 없는 직종에서 요구하는 것은 채용절차법 제4조의3 위반으로 볼 수 있다.

자주 묻는 질문

Q. 입사지원서에 사진을 요구해도 되나요?

직무 수행과 무관한 경우 채용절차법 제4조의3상 금지 항목(신체적 조건)에 해당할 수 있습니다. 직무 관련성이 없는 일반 사무직 등에서는 사진 요구를 피하고, 필요하다면 그 이유를 공고에 명시하는 것이 안전합니다.

Q. 불합격자에게 채용서류 반환을 요청받았습니다. 언제까지 반환해야 하나요?

채용절차법 제11조에 따라 반환 요청일로부터 14일 이내에 반환해야 합니다. 이메일·홈페이지로 제출한 서류는 반환 대상이 아니며, 해당 서류는 즉시 파기하면 됩니다.

Q. 합격자 이력서는 얼마나 보관해야 하나요?

남녀고용평등법 제33조에 따라 최종 채용된 자의 서류는 3년 보존이 의무입니다. 채용 절차의 공정성 입증 근거로 활용됩니다.

Q. 채용 당시 동의 없이 수집한 이력서를 인재풀로 운영해도 되나요?

안 됩니다. 인재풀 운영은 채용 전형 목적과 별개이므로 별도의 명시적 동의가 필요합니다. 기존에 동의 없이 보관 중이라면 즉시 파기하거나, 정보주체에게 사후 동의를 취득해야 합니다.

Q. 채용대행사에 이력서를 전달하는 것도 법적 요건이 있나요?

채용대행사에 대한 개인정보 전달은 “처리 위탁”에 해당합니다. 개인정보보호법 제26조에 따라 위탁 계약서를 체결하고, 수탁사 정보를 회사 홈페이지에 공개해야 하며, 수탁사가 위반하면 위탁사도 연대 책임을 집니다.