• HOME > 법률

  • 등록 : 2017-11-30 16:02:58

    수정 : 2017-11-30 16:37:10

노동법과 정보보호 - 임직원 모니터링시 유의점

2017-11-30 16:02:58



노동법과 정보보호 - 임직원 모니터링시 유의점
[2017년 12월호 vol.319]
  • PDF
  • 장바구니에 담기
  • 프린트
  • 작은글씨
  • 큰글씨
  • 요즘 신문만 펼쳤다 하면 정보 얘기다. 빅데이터나 AI, 블록체인은 단골 기삿거리로 자리잡은 지 오래고, 개인정보 유출 소식도 심심찮게 들려온다. 노동법과 정보 이슈는 일견 큰 관련이 없어 보인다. 그러나 사람에 관한 정보가 곧 개인정보이고 정보를 다루는 것이 곧 사람인데, 양자가 겹치지 않으려야 않을 수 없다. 그 교차영역 중 하나인 임직원 모니터링에 관해서도 자문 요청이 폭발적으로 늘고 있는 실정이다. 이에, 아래의 이야기를 통해 일상 속에 숨겨진 임직원 모니터링의 현황과 그에 따른 유의점을 짚어보고자 한다.  

    신 대리와 은 과장의 이야기

    입사 5년차 신기술 대리는 대형 제조업체 A사 생산관리팀에서 일한다. 오늘도 신 대리는 출입카드를 목에 걸고 당당히 회사 로비에 들어선다. 그러나 커피 한 잔을 채 다 마시기도 전에 전화벨이 울린다. 하청업체에서 새로 공급받은 부품 사양이 맞지 않는다는 공장 쪽 연락이다. 신 대리는 황급히 부장님에게서 회사차 키를 받아 2시간 거리를 달려가지만, 막상 가보니 서류상 오류에 불과했다. 허탈한 마음으로 다시 차에 오르려는데, 문득 근처의 다른 대기업에 다니는 대학 동기 녀석 생각이 난다. 연락해보니 마침 약속이 없다며 근처에서 점심이나 같이 먹자고 한다. 즐겁게 식사를 마치고 회사로 들어왔더니, 이번엔 여자친구에게서 메시지가 온다. 신 대리는 여자친구가 생일 선물로 준 셔츠를 입고 출근했다고 자랑스럽게 말했지만, 당장 셀카를 보내줄 수 없는 점이 못내 아쉽다.
    B은행 마케팅팀에 근무하는 은행원 과장은 출근과 동시에 부랴부랴 PC 로그인부터 한다. 부팅하는 동안에 9시를 넘길까 초조한 은 과장은 천장 CCTV를 흘깃 쳐다본다. 사내 메신저 쪽지함에는 며칠 전 IT팀에 요청해둔 자료가 도착해있다. SNS 이벤트 진행을 위해 '최근 3년간 B은행 계열사 신용카드 사용 이력이 있는 20-30대 여성 고객' 데이터를 요청해둔 것이다. 일부를 프린트해서 살펴본 결과 별다른 문제가 없는 것 같다. 이벤트가 내일 시작이니 오늘 오전 중으로 리스트를 전송대행업체에 보내주어야 한다. 그런데 아뿔싸, 외부 이메일 승인권자인 팀장님이 오늘 연차란 걸 깜빡 했다. 원격 승인을 받으려고 팀장님에게 전화하니, 뜻밖에도 "누구세요?"하며 낯설게 받으신다. "저예요, 은 과장." 팀장님 막내 아들이 뭘 잘못 눌렀는지 휴대전화가 아예 먹통이 되었다고 했다. 이 급한 와중에 울리는 전화벨, 이번엔 개인정보팀이다. 무슨 용도로 20만명이나 되는 고객 정보를 조회했냐고 따져 묻는다. 오전 업무를 서둘러 끝내야 점심시간에 외출해 남편 명의의 대출을 연장할 텐데, 은 과장의 마음은 더욱 조급해진다.

    하나, 회사에서 일어나는 임직원 모니터링을 빠짐없이 파악한다

    노동법과 정보보호의 교차영역이라는 주제를 걸어놓고 뜬금없이 신기술 대리와 은행원 과장의 일상을 적어내려 간 데에는 그만한 이유가 있다. 인-노사 업무에 익숙하더라도 정보보호 실무에 직접적인 노출이 없다면, 양자 간 교차영역이 정확히 어디에서 발생하는지 체감하기 어려워서다. 개인정보보호 교육이니 동의서니 하는 말이야 늘 듣고 살지만, 자신이 속한 기업이 임직원의 일거수일투족까지 모니터링하고 있다고 믿는 사람은 흔치 않다. 말이 좋아 '모니터링'이지 그게 곧 검열이자 감시인데, 설마 우리 회사가 그렇게까지 하고 있단 말인가.
    그러나 신 대리와 은 과장의 일상은 필자가 접하는 기업들의 실제 이야기다. 임직원 모니터링은 생각보다 많은 기업과 단체에서, 생각보다 많은 임직원들을 대상으로, 생각보다 일상적으로 이뤄지고 있다.
    신 대리가 다니는 A회사에서 근로자 행동반경 파악은 근태 관리뿐 아니라 영업비밀 보호 목적으로도 중요하다. 회사 출입카드 시스템은 주 출입구뿐만 아니라, 근로자가 드나드는 모든 영역에서 행적과 출입권한을 대조하고 기록한다. 한편, 법인 차량은 GPS 신호를 지속적으로 보내어 회사에 위치정보를 송신한다. 신 대리의 대학 동기가 A사의 경쟁사라면 미리 접촉 보고서를 제출하지 않은 점에 대해 후일 소명이 필요할지도 모른다. 요새는 회사가 지급한 업무용이든 개인 소유든, 임직원이 소지하는 모든 휴대전화를 등록 대상으로 하는 기업이 많아졌다. 예전에는 카메라 렌즈 부분에 보안스티커를 부착하는 것이 일반적이었지만, 요새는 흔히 MDM(Mobile Device Management)이라고 부르는 보안 솔루션을 적용해 회사 근처 일정 반경에 들어오면 자동으로 앱이 켜지면서 사진 촬영이 되지 않도록 하는 경우도 늘고 있다.
    은 과장이 다니는 B은행처럼 출근 기준 시점을 PC로그인 시각으로 하는 기업도 상당수 있다. 임직원이 PC를 이용하는 업무 대부분이 로그의 형태로 모니터링됨은 물론이다. 천장 CCTV는 사람이 아닌 출입구를 비추고 있어야 하지만, 은 과장의 자리가 출입구 바로 옆이라면 CCTV에 찍히고 있을 수도 있다. B은행은 금융회사로서 망 분리 대상기업에 해당하기 때문에, 은 과장은 내부 보안망용 PC와 인터넷용 PC 두 대를 사용하고 있을 가능성이 높다. 업무용 메신저는 보안망 PC에서만 이용할 수 있고, 그 대화내용은 모두 실시간 혹은 사후 모니터링 되고 있다. 인터넷용 PC라 해도 상용 웹메일과 메신저는 차단되어 있지만, 동일한 보안 프로그램이 적용되므로 모니터링 대상이기는 마찬가지다. 모든 외부 이메일은 사전 승인 대상이거나 실시간 또는 사후 모니터링 되고 있다. 이메일 원격 승인은 가능하지만, MDM이 설치된 휴대전화는 일정 횟수 이상 비밀번호를 틀릴 경우 모든 정보가 삭제되고 공장 초기화되며, 설정에 따라 전화조차 걸 수 없는 먹통이 되기도 한다.
    은 과장이 개인정보팀에서 전화를 받은 것도 IT팀 데이터베이스 관리자를 통해 고객정보 20만 건을 조회한 순간 시스템에 실시간 알림이 뜨기 때문이다. 특정 직원이 조회하는 데이터의 양은 철저하게 모니터링 되고, 실제 대부분 기업에서 알림 대상으로 설정해두는 임계치는 수십만 건보다 훨씬 낮다. 데이터베이스 접근제어와 개인정보검색 솔루션을 통해서도 고객정보 이용상황이 중첩 모니터링 되고 있다. 은 과장이 고객 리스트를 프린트한 점도 사후 모니터링 대상이 된다. 주기에는 차이가 있지만, 보안 복합기를 사용하는 많은 기업이 출력 로그를 검사하고 있다. 금융회사의 경우 은 과장 남편의 대출과 같은 배우자 신용정보 또한 모니터링 대상이 된다.
    문제는 이처럼 다양한 임직원 모니터링이 일상적으로 일어나는데도 그 내용이 인노사 준법 담당자와 공유되지 않을 때 발생한다. 이를테면 출입 기록과 법인차량 GPS로그는 총무팀이, 사내 메신저 대화내용은 감사팀이, 이메일은 담당 부서장이, 데이터조회량은 개인정보팀이, 배우자 신용정보는 준법감시팀이, 보안 솔루션 설정은 IT보안팀이 각자 모니터링하는 식이다. 실제로 모니터링을 하는 부서는 모니터링에 어떤 적법 절차가 필요한지 모르고, 적법 절차를 챙겨야 할 준법 담당자는 모니터링 사실 자체를 모른다. 따라서 임직원의 동의나 고지, 개인정보처리방침 현행화, 취업규칙 정비, 단체협약 반영 등 필요한 절차를 확립하고 준수하려면, 과연 회사가 어떠한 모니터링을 하고 있는지 파악부터 하는 게 급선무인 것이다.      

    둘, 파악된 모니터링 별로 필요한 준법 체계를 마련한다

    임직원 모니터링은 통신 비밀과 개인정보권 등에 일정한 제약을 가함으로써 임직원의 표현의 자유, 재산권, 인격권 등을 침해하므로, 정당한 목적을 위해 합리적인 수단과 적법한 절차에 따라 해야 한다.
    특정 모니터링에 어떠한 적법 절차가 필요한지를 결정하는 것은 모니터링 대상이 되는 정보다. 우리나라 정보보호 법령 체계 하에서는 수범자가 아니라 처리 대상 정보의 종류에 따라 적용 법령이 결정되기 때문이다. 예컨대, 임직원의 개인정보와 그 국외이전에는 개인정보 보호법 및 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 '정보통신망법'), 개인신용정보에는 신용정보의 이용 및 보호에 관한 법률(이하 '신용정보법'), 위치정보에는 위치정보의 보호 및 이용 등에 관한 법률(이하 '위치정보법'), 이메일이나 메신저, 웹팩스 같은 통신 내용에는 통신비밀보호법, 회사 영업 비밀과 관련해서는 부정경쟁방지 및 영업비밀보호에 관한 법률 등이 적용될 수 있는데, 대부분 위반 시 징역 혹은 벌금의 형사처벌이나 과징금 및 과태료 규정을 두고 있다. 행정안전부나 방송통신위원회, 금융감독원 등 정보보호 당국에서 운영하는 행정규칙과 산업별 협회의 내부통제 가이드라인 및 모범규준도 무수히 많다.
    적용 법령만 파악되면, 대부분의 경우 준법 체계 자체는 그렇게 복잡하지 않다. 동의 여부에 관계 없이 법령에 명확한 근거가 있어야만 처리할 수 있는 주민등록번호를 제외하면, 대부분의 개인정보 및 업무상 통신내용은 정보 주체가 모니터링 사실을 명확하게 인지하고 명시적으로 동의한 경우 수집 목적을 벗어나지 않는 범위 내에서 처리가 가능하기 때문이다. 따라서 임직원 모니터링을 위한 적법 절차의 핵심은 동의서를 얼마나 세밀하게 구성하느냐에 있다고 해도 과언이 아니다. 개별 임직원용 개인정보 수집-이용에 관한 동의서가 완벽하게 구성되면, 그 내용에 맞춰 근로-위임계약서의 해당 조항, 정보보호 서약서, 회사의 단체협약 및 취업규칙, 개인정보처리방침 등도 수정해야 한다.

    셋, 사후 대응보다는 사전 준비가 훨씬 쉽다

    물론, 정보 주체의 동의가 없거나 포괄적-추상적 동의만 있더라도 다른 법률에 특별한 규정이 있는 등의 경우는 적법한 모니터링일 수 있다. 예컨대, 일정한 CCTV의 설치는 노사협의회 협의 내지 의결을 통해 근로자 동의 없이 설치가 가능하고, 금융권 자체감사 시에도 임직원의 금융거래정보를 일정한 범위 내에서 조회할 수 있다. 또한, 근로자에게 구체적이고 합리적인 범죄의 의심이 있는 경우라면 상당성 있는 수단에 의한 근로자 개인정보 및 통신 내용 수집이 가능하다고 볼 여지가 있다.
    그럼에도 불구하고 사전적 적법 절차 확립을 강조하는 이유는 법이나 판례에 따라 동의 없이 모니터링 가능한 범위가 어디까지인지 모호하다 보니 그에 따른 법률적 리스크가 크고 사후 대응에 많은 비용이 소모되기 때문이다. 개인정보 문제는 일단 발생하면 담당자-임원-법인에 대한 형사처벌 및 징계와 민사상 배상 책임으로 이어지게 되고 과태료와 과징금도 상당한 규모일 뿐 아니라, 비난 여론으로 인해 회사 평판에도 타격이 있을 수 있다.
    필자는 최근에도, 동의 없이 대출 기록을 조회했다며 법적 절차를 밟은 직원, CCTV를 통한 노조원 사찰 의혹을 제기하며 단체협상을 거부하는 노조, 비위 혐의가 구체적이지 않은 단계에서 덜컥 직원 개인 노트북을 가져가 디지털 포렌식부터 해서 문제된 경우 등, 일견 사소한 절차 미비가 노사 간 분쟁의 단초를 제공한 사건을 자주 목격하고 있다. 그렇지 않아도 사소한 법령 위반이 분쟁으로 이어질 있는 것이 노동법의 영역인데, 최근에 와서는 개인정보 문제를 빌미로 삼는 경우도 늘고 있는 것이다. 문제 발생 전에 미리 임직원 모니터링 현황을 파악하고 필요한 적법 절차 마련에 관심을 가져야 할 이유가 바로 여기에 있다.

    • 회원가입 및 로그인을 하시면 노동법률이 제공하는 더 많은 정보를 보실 수 있습니다.

    • 로그인

    김희연

     법무법인 율촌 변호사

    목록보기 버튼

    이 기사 어떻게 생각하세요?

    LIST

    제보 및 기사문의

    - 이동희 기자
    • 광고, 제보
    • (02)2231-2463, 이메일:dhlee@elabor.co.kr
    • 구독
    • (02)2231-7293