직원의 데이터를 처리하려면 직원의 동의가 필요한가요?

대체로 필요하지 않으며, 동의에 의존하는 것은 오히려 더 취약한 선택인 경우가 많습니다. 대부분의 인사 관련 처리는 다른 적법 근거에 기반합니다: 근로계약의 이행, 세금·사회보장·노동 관련 기록 등 법적 의무의 준수, 그리고 보안과 같은 정당한 이익입니다. 근로자가 고용주에게 하는 동의는 완전히 자유로운 동의로 인정되기 어렵고, 철회될 수 있습니다. 동의는 진정으로 선택적인 처리에만 남겨 두십시오.

지문이나 얼굴 스캔 방식의 근태 기록기를 사용해도 되나요?

생체정보는 민감정보로, 명시적 동의나 특정한 법적 예외가 필요합니다. 많은 고용주가 명시적 동의를 받고 생체 인식 근태 시스템을 사용하며, 거부하는 직원을 위해 카드와 같은 대체 수단을 제공합니다. 어떤 방식을 택하든 시스템, 그 목적, 보존 기간은 직원 개인정보 고지문에 명시해야 합니다.

직장에 CCTV를 설치할 수 있나요?

일반적으로 보안과 안전을 목적으로 가능하며, 눈에 띄는 안내문, 명확한 목적, 녹화물에 대한 접근 제한, 보존 기간을 갖추어야 합니다. 화장실이나 탈의실 같은 사적인 공간에 카메라를 설치하는 것은 허용되지 않습니다. 고지된 목적을 넘어 성과 관리 등에 CCTV 영상을 사용하는 경우에는 사전에 신중하게 검토해야 합니다.

해외에 있는 모회사가 직원 데이터에 접근할 수 있나요?

가능하지만 국외 이전 규정이 적용됩니다. 이전에는 적법 근거와 그룹 내 구속력 있는 규칙이나 계약상 안전장치와 같은 적절한 메커니즘이 필요하며, 직원에게 개인정보 고지문을 통해 알려야 합니다. 해외에 호스팅되는 공동 인사 시스템도 이전에 해당합니다.

직원 데이터와 관련된 데이터 유출 사고가 발생하면 무엇을 해야 하나요?

즉시 위험도를 평가하십시오. 유출이 개인의 권리에 영향을 미칠 가능성이 있는 경우, 가능한 한 인지한 때로부터 지체 없이 72시간 이내에 감독기관에 통지해야 하며, 위험이 높은 경우에는 영향을 받은 직원에게 구제 조치와 함께 알려야 합니다. 통지하지 않은 경우를 포함해 모든 유출 기록을 보관하십시오.

태국 인사(HR)를 위한 PDPA: 직원 데이터, CCTV, 입사 지원자 및 직장 내 모니터링

인사(HR) 부문에 PDPA 리스크가 집중되는 이유

기업의 고객 데이터베이스가 PDPA와 관련해 가장 많은 주목을 받습니다. 그러나 직원 관련 파일이 종종 더 위험합니다. 여기에는 신분증명서, 은행 계좌 정보, 가족 정보, 건강 기록, 성과 평가, 징계 이력, 그리고 최근에는 출퇴근 기록기에서 수집된 생체 데이터까지 포함됩니다.

또한 이 데이터는 분쟁에서 요청될 가능성이 가장 높은 데이터이기도 합니다. 해고 소송을 제기한 직원은 회사가 자신에 대해 어떤 정보를 보유하고 있으며, 그것이 어떻게 사용되었는지를 요청할 수 있습니다.

1. 적법 근거: 동의는 대개 답이 아닙니다

대부분의 인사 처리는 동의 이외의 근거에 기반합니다:

처리	통상적 적법 근거
급여, 계약, 휴가	근로계약 이행
세금, 사회보장, 노무 기록	법적 의무
보안, CCTV, IT 모니터링	정당한 이익, 근로자의 권리와 형량
선택적 프로그램, 마케팅용 사진	동의

근로자가 사용자에게 하는 동의는 완전히 자유로운 것으로 보기 어렵고, 철회될 수 있습니다. 회사가 실제로 필요로 하는 처리에 동의에 의존하면, 근로자가 동의를 철회하는 날 문제가 생깁니다.

2. 민감한 데이터

일부 범주는 명시적 동의 또는 특정한 법적 예외가 필요합니다:

건강 데이터 — 진단서, 채용 전 건강검진, 병가 내역
생체인식 데이터 — 지문 또는 얼굴 스캔 출퇴근 기록기, 출입 통제
범죄 기록 — 신원 조회
종교, 민족, 장애

각 항목마다 근거를 확인하고, 열람할 수 있는 사람을 제한하며, 보관 기간을 설정하세요. 동의가 근거인 경우에는 대안을 마련하세요 — 예를 들어 생체인식 출퇴근을 거부하는 직원을 위한 카드 제공 등입니다.

3. 직원 개인정보 처리방침 안내문

직원들에게는 다음 사항을 설명하는 안내문이 필요합니다:

어떤 데이터가 수집되며 어디서 수집되는지
왜 수집되며, 어떤 적법 근거에 따라 처리되는지
누구와 공유되는지 — 급여 대행업체, 보험사, 모회사
국외로 이전되는지 여부
얼마나 오래 보관되는지
직원이 자신의 권리를 어떻게 행사할 수 있는지

이는 웹사이트의 고객 개인정보 처리방침과는 별개입니다. 보다 포괄적인 프로그램은 PDPA 준수 체크리스트를 참조하십시오.

4. 입사 지원자

지원자는 근로자가 되기 전에는 정보주체입니다:

지원 과정에서 자신의 데이터가 어떻게 사용되는지 지원자에게 알려야 합니다
선발에 필요한 정보만 수집해야 합니다
관련성이 생기기 전에는 신원조회나 건강검진을 실시해서는 안 됩니다
불합격 지원자의 이력서는 명시된 기간 동안만 보관하거나, 인재 풀을 위한 동의를 받아 보관해야 합니다

5. CCTV 및 직장 내 모니터링

CCTV는 보안과 안전을 목적으로 일반적으로 허용되며, 이때 다음이 필요합니다.

출입구와 감시 구역에 잘 보이는 안내문 부착
목적과 보존 기간의 명확화
녹화물에 대한 접근 제한
사적 공간에는 카메라를 설치하지 않음

이메일, 기기 및 인터넷 사용 모니터링에는 서면 정책, 명확한 목적, 비례성이 필요합니다. 직원들에게 알리지 않은 채 모든 것을 상시적으로 모니터링하는 방식은 실패합니다.

CCTV나 모니터링 데이터를 고지된 목적을 넘어 사용하는 것 — 예컨대 성과 관리 — 은 사전에 결정되어 안내문에 반영되어야 합니다.

6. 모회사 및 공급업체와의 공유

모회사 접근 및 해외에 호스팅된 HR 시스템은 국경 간 이전에 해당하며, 적법한 근거와 충분한 안전조치가 필요합니다
급여 지급 대행업체, HR 소프트웨어, 보험사 및 채용업체는 처리자 또는 별도의 컨트롤러에 해당하므로, 이들과의 계약에 데이터 처리 조건을 명시해야 합니다
직원 데이터를 누가, 왜 받는지 기록해 두십시오

7. 직원 요청 및 분쟁

직원은 자신의 데이터에 대한 열람, 정정, 경우에 따라 삭제를 요청할 수 있습니다. 이러한 요청은 분쟁 중에 접수되는 경우가 많습니다. 절차를 마련해 두십시오. 신원을 확인하고, 여러 시스템에 걸쳐 데이터를 찾아내고, 법이 허용하는 기간 내에 응답하고, 요청이 청구와 중복되는 경우에는 자문을 구하십시오.

8. 위반

위험을 즉시 평가하십시오
해당 위반이 개인의 권리에 영향을 미칠 가능성이 있는 경우, 인지한 시점부터 지체 없이, 가능한 한 72시간 이내에 규제 기관에 통지하십시오
위험이 높은 경우, 영향을 받는 직원에게 취해지고 있는 조치를 알리십시오
통지 여부와 관계없이 모든 위반에 대한 기록을 보관하십시오

9. 보존

각 범주별로 보존 기간을 정하고 그대로 적용하십시오. 노동법과 세법은 일부 기록의 보관을 요구하며, 그 밖에 "혹시 몰라서" 보관하는 데이터는 목적 없는 위험일 뿐입니다.

HR 체크리스트

보유한 직원 데이터, 그 데이터가 위치한 곳, 그리고 접근 권한이 있는 사람을 파악한다
각 처리 활동에 적법한 근거를 지정한다
민감 데이터와 그 근거를 식별하고, 동의를 사용하는 경우에는 대안을 제시한다
직원 개인정보 고지서와 지원자 고지서를 발행한다
문서화된 정책에 비추어 CCTV 및 모니터링을 검토한다
공급업체 및 그룹 내 약정에 데이터 처리 조항을 포함시킨다
보존 기간과 요청 처리 절차를 설정한다
유출 대응 계획을 마련한다