⚠️ 이 자료는 조문의 위치를 짚는 실무 점검표입니다. 법률 자문이 아닙니다. 개별 사안의 적용 여부는 관할 등록관청(국내 유료직업소개사업은 특별자치도지사·시장·군수·구청장)과 개인정보보호위원회, 변호사·공인노무사 등 전문가에게 확인하십시오.

결론 셋

1. 주민등록번호는 동의를 받아도 처리 근거가 되지 않습니다. 개인정보 보호법 제24조의2제1항은 주민등록번호를 처리할 수 있는 경우를 세 가지로 한정하고, 그 세 가지 안에 「정보주체의 동의」가 들어 있지 않습니다.
2. 여권번호·운전면허번호·외국인등록번호는 기준이 다릅니다. 이들은 고유식별정보로서 같은 법 제24조제1항제1호의 별도 동의 또는 제2호의 법령 근거로 처리할 수 있습니다.
3. 승인을 받지 않고 변경해 쓰는 장부의 필수항목에 주민등록번호는 없습니다. 직업안정법 시행규칙 제26조제2항 단서가 정한 구직접수 및 직업소개대장의 필수항목은 「생년월일」입니다. 원본 서식 자체의 기재란은 서식 원문으로 확인하십시오.

1. 이력서 칸을 네 묶음으로 가릅니다

같은 이력서 안에서도 칸마다 적용 조문이 다릅니다. 먼저 쓰시는 양식의 칸을 아래 네 묶음으로 나누십시오.

민감정보의 범위는 법 제23조제1항 본문이 「사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보」로 정하고, 같은 법 시행령 제18조가 ①유전자검사 등의 결과로 얻어진 유전정보 ②「형의 실효 등에 관한 법률」 제2조제5호에 따른 범죄경력자료에 해당하는 정보 ③개인의 신체적·생리적·행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보 ④인종이나 민족에 관한 정보를 더합니다.

「현저히」·「범죄경력자료에 해당하는」·「특정 개인을 알아볼 목적으로」는 모두 조문의 한정어입니다. 어떤 칸이 민감정보인지는 이 한정어를 함께 두고 봐야 가려집니다. 넓게 읽어 전부 민감정보로 처리하면 하지 않아도 되는 일이 늘고, 좁게 읽으면 별도 동의를 빠뜨립니다.

2. 주민등록번호 — 세 가지 경우뿐입니다

법 제24조의2제1항은 「제24조제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다」고 정하고, 각 호를 이렇게 둡니다.

1. 법률·대통령령·국회규칙·대법원규칙·헌법재판소규칙·중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우
2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우
3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 보호위원회가 고시로 정하는 경우

제1호의 한정어는 「구체적으로」입니다. 어떤 법령에 그 업무가 적혀 있다는 것만으로는 부족하고, 주민등록번호의 처리를 구체적으로 요구하거나 허용해야 합니다. 제24조제1항제1호(별도 동의)가 고유식별정보 전반에 열려 있는 것과 달리, 주민등록번호는 이 세 호 밖에서 동의를 근거로 삼을 수 없습니다.

함께 걸리는 두 항이 더 있습니다.

• 제24조의2제2항 — 주민등록번호가 유출등이 되지 아니하도록 암호화 조치를 통하여 안전하게 보관해야 합니다. 시행령 제21조의2제1항은 암호화 적용 대상을 「주민등록번호를 전자적인 방법으로 보관하는 개인정보처리자」로 정합니다. 종이로만 두는 경우와 파일·엑셀·메신저에 두는 경우가 갈립니다. 적용 시기는 같은 조 제2항이 보관하는 정보주체 수를 기준으로 정해 두었으니 그 조항에서 확인하십시오.
• 제24조의2제3항 — 사업소가 인터넷 홈페이지로 회원가입을 받는다면, 제1항 각 호에 따라 주민등록번호를 처리하는 경우에도 회원으로 가입하는 단계에서는 주민등록번호를 사용하지 아니하고도 가입할 수 있는 방법을 제공해야 합니다.

실무 판정선 — 「받아도 되는가」가 아니라 「어느 법령의 어느 조문이 이 처리를 요구하거나 허용하는지 한 줄로 적을 수 있는가」입니다. 적을 수 없다면 해당 여부가 확인되지 않은 것입니다. 그 상태로 처리하지 말고, 제1항 각 호에 해당하는지를 먼저 확인하십시오.

3. 법정 장부가 요구하는 항목을 먼저 보십시오

직업안정법 제19조제6항은 유료직업소개사업자와 그 종사자의 준수사항을 세 호로 둡니다. 제1호는 구인자가 구인신청 당시 「근로기준법」 제43조의2에 따라 명단이 공개 중인 체불사업주인 경우 구직자에게 그 사실을 고지할 것, 제2호는 구인자의 사업이 행정관청의 허가·신고·등록 등이 필요한 사업인 경우 그 허가·신고·등록 등의 여부를 확인할 것, 제3호는 그 밖에 대통령령으로 정하는 사항입니다.

즉 제19조제6항 자체는 개인정보 처리에 관한 사항을 직접 정하지 않습니다. 개인정보 처리 의무는 개인정보 보호법이 정합니다. 직업안정법 쪽에서는 제3호의 위임을 받은 같은 법 시행령 제25조의 준수사항과 시행규칙 별표 1의2(부착물·주민등록증)가 적용되고, 장부는 이와 별도로 법 제39조와 시행규칙 제26조가 정합니다.

시행규칙 제26조제1항은 법 제39조에 따라 갖추어 두어야 할 장부·서류와 기간(각 호 모두 2년)을 정하고, 일용근로자의 직업소개에 대해서는 제2호(구인신청서)·제4호(구직신청서)·제6호(소개요금약정서)의 서류를 작성하여 갖추어 두지 아니할 수 있다는 단서를 둡니다.

같은 조 제2항 단서는 구인접수대장(제17호·제17호의2서식)과 구직접수 및 직업소개대장(제18호·제18호의2서식) 에 한하여, 아래 필수항목을 포함하면 승인을 받지 않고 서식을 변경해 사용할 수 있도록 합니다.

구직자 쪽 필수항목은 생년월일이고, 주민등록번호가 아닙니다. 다만 이 목록은 「승인을 받지 않고 서식을 변경해 쓸 때 포함해야 하는 항목」이므로, 원본 서식 자체의 기재란은 서식 원문으로 확인하십시오. 제1항제3호·제5호 밖의 서식(제15호 종사자명부·제20호 소개요금약정서 등)은 이 단서 밖에 있습니다.

이 장부는 파기와도 이어집니다. 법 제21조제1항은 보유기간 경과·처리 목적 달성 등으로 개인정보가 불필요하게 되었을 때 지체 없이 파기하도록 하면서, 단서로 「다른 법령에 따라 보존하여야 하는 경우」 를 빼 둡니다. 같은 조 제3항은 그렇게 보존하는 개인정보를 다른 개인정보와 분리하여 저장·관리하도록 합니다. 즉 장부로 남겨야 하는 개인정보는 분리해 저장·관리하고, 그 밖에 불필요하게 된 개인정보는 지체 없이 파기하는 것이 이 두 항이 요구하는 상태입니다. 파기해야 할 개인정보를 분리해 보관하면 된다는 뜻이 아닙니다.

4. 주민등록증은 보관하거나 압류할 수 없습니다

직업안정법 시행규칙 별표 1의2(유료직업소개사업자 및 종사자의 준수 사항, 제18조의2제2항 관련) 제5호 는 구직자의 주민등록증 및 물건을 보관하거나 압류할 수 없도록 하고, 주민등록증을 제외한 물건은 구직자가 희망하는 경우에 한하여 보관할 수 있도록 합니다. 「구직자가 희망하는 경우」라는 한정어가 붙은 것은 물건이고, 주민등록증은 희망 여부와 무관하게 보관 대상이 아닙니다. 별표 각 호의 전문은 국가법령정보센터의 별표에서 확인하십시오.

주민등록증 사본을 이력서에 붙여 받는 운용은 이 호와 별개로 §2의 문제로 돌아갑니다 — 사본에 주민등록번호가 보이는 한 그것은 제24조의2제1항이 말하는 「처리」입니다.

5. 보관·전달에서 확인할 조치

법 제29조는 개인정보가 유출등이 되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적·물리적 조치를 하도록 합니다. 시행령 제30조제1항이 그 여덟 가지를 정합니다 — ①내부 관리계획의 수립·시행 및 점검 ②접근 권한 제한 ③접근 통제 ④안전한 저장·전송(인증정보의 암호화 저장, 보호위원회가 고시하는 정보의 암호화 저장 등) ⑤접속기록의 보관 및 위조·변조 방지 ⑥악성프로그램의 침투 여부를 항시 점검·치료할 수 있도록 하는 등의 기능이 포함된 프로그램의 설치·운영과 주기적 갱신·점검 ⑦보관시설 마련 또는 잠금장치 설치 등 물리적 조치 ⑧그 밖에 필요한 조치.

각 호에 붙은 한정어를 빼고 읽지 마십시오. 제3호 나목의 인터넷망 차단은 「보호위원회가 정하여 고시하는 기준에 해당하는 컴퓨터 등」을 대상으로 하고, 조문 단서에서 전년도 말 기준 직전 3개월간 그 개인정보가 저장·관리되고 있는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 따른 이용자 수가 일일평균 100만명 이상인 개인정보처리자만 해당하도록 한정합니다. 기준시점·산정기간과 이용자 수를 세는 범위가 함께 붙어 있으므로, 적용 여부는 현행 시행령으로 확인하십시오. 제4호 나목의 암호화 대상도 「주민등록번호 등 보호위원회가 정하여 고시하는 정보」입니다. 세부 기준은 같은 조 제3항에 따라 보호위원회 고시로 정해지므로, 사업소에 실제로 적용되는 범위는 현행 고시로 확인하십시오.

채용관리 프로그램·클라우드 사업자나 제3자인 상담업체에 개인정보의 처리 업무를 위탁한다면 법 제26조가 걸립니다. 제1항은 위탁업무 수행 목적 외 개인정보 처리 금지, 기술적·관리적 보호조치 등 각 호의 내용이 포함된 문서로 하도록 하고, 제2항은 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개하도록 하며, 제4항은 수탁자를 교육하고 처리 현황 점검 등으로 감독하도록 합니다. 다만 임직원·파견근로자·시간제근로자처럼 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 사람은 법 제28조제1항의 개인정보취급자이고 수탁자가 아닙니다. 외부에서 온 인력인지가 아니라 지휘·감독을 받는지가 갈림점이므로, 어느 쪽인지를 먼저 가린 뒤 적용할 조문을 고르십시오.