회사 감사팀, 제3자 개인정보 요구 대처법

S요약

• 회사 감사팀이 증거수집 목적이라 하더라도 제3자 개인정보를 본인 동의나 별도 고지 없이 수집한 행위는 개인정보보호법 및 신용정보법 위반 소지가 높습니다
• 이용자님이 회사 요청에 따라 단순 사적 정보를 제공했더라도 개인정보처리자 지위에는 해당하지 않을 가능성이 큽니다
• 회사 또는 감사팀의 과도한 자료 요구와 동의 없는 정보 수집에 대해 명확한 문제 제기가 가능하며, 권익을 위한 시정 요청 또는 신고 가능성이 있습니다

F사건 경위

이용자님이 회사의 내부 비리조사 과정에서 휴대폰 연락처와 계좌 내역 등 개인 자료를 제출했고, 이 자료에는 제3자인 지인 및 가족의 개인정보와 신용 관련 정보도 포함된 상태로 회사 감사팀에 일괄 제공되었습니다. 해당 정보 제공 과정에서 제3자들에게 동의를 받지 않았습니다.

L법률 쟁점

제3자 개인정보를 본인 동의 없이 수집 및 처리하는 것이 허용되는지 여부와, 신용정보에 해당하는 계좌 내역 등에 대해 별도의 법률적 근거나 예외 적용이 가능한지 여부가 핵심입니다.

• 개인정보 보호법 제15조에 따르면 개인정보 수집 및 이용 시 정보주체의 동의를 받아야 하며, 동의 없이 수집할 수 있는 예외는 매우 제한적으로 규정되어 있습니다
• 신용정보의 이용 및 보호에 관한 법률(신용정보법) 제32조 역시 신용정보주체의 동의 없이 신용정보를 수집 사용 제공하는 것을 엄격히 제한합니다
• 사내 부정행위 조사는 정당한 목적으로 인정될 수 있지만, 최소한의 범위 내에서 정보 수집이 이뤄져야 하며 불필요하게 제3자의 명단이나 구체적 정보까지 일괄적으로 수집하는 것은 위법 소지가 있습니다

P핵심 포인트

증거자료 요청이더라도 제3자 정보에 대해서는 제한적으로 접근해야 하며, 무분별한 개인정보 및 신용정보 수집은 법률적으로 문제가 될 수 있습니다.

• 본인이 직접적인 불이익을 입지 않는 한, 제3자 정보에 대해선 회사가 별도 동의를 받아야 하거나, 해당 내역에서 개인정보를 마스킹 처리하는 등의 최소한의 보호 조치가 필요합니다
• 계좌 내역상의 입금자 이름, 거래내역 등을 수집하는 것은 신용정보법이 적용될 여지가 있으므로, 동의 없는 일괄 수집은 위법 가능성이 높습니다
• 회사 내부 규정과 더불어, 위 개인정보보호법·신용정보법 위반시 과태료 부과 등 제재가 있을 수 있으며, 정보주체(지인 또는 가족)가 신고할 경우 감독 당국이 조사를 진행할 수 있습니다

A대응 방안

이용자님이 준비할 수 있는 사전·사후 조치와 회사에 요구할 수 있는 절차, 예상되는 대응 방법입니다.

• 회사가 수집한 자료 내역과 사용 목적, 보관 및 폐기 절차 등에 대한 공식적인 설명 및 확인서를 회사 감사팀에 요청하는 것이 중요합니다
• 향후 자료 제출 시, 제3자 개인정보 및 신용정보가 포함될 경우 해당 부분을 마스킹 처리하거나, 사전에 동의를 받을 것을 회사 측에 요구하는 것이 권장됩니다
• 이미 수집된 정보와 관련해 회사 내 개인정보보호책임자 혹은 준법지원인에게 동의 없는 정보수집에 대한 시정 요청이나 공식 문제 제기를 할 수 있습니다
• 필요하다면 개인정보보호위원회 또는 금융감독원 신용정보법 위반 신고 절차를 활용할 수 있습니다
• 추가적으로, 회사의 내부규정이나 개인정보 관리 매뉴얼에 재발 방지 조치 신설 및 준수를 요청하는 것도 실질적 대응이 됩니다