2026년 9월 11일부터 개정 개인정보 보호법이 시행되면서, 개인정보를 심각하게, 또는 반복적으로 잘못 관리한 기업은 전체 매출액의 최대 10%까지 과징금을 부과받을 수 있어요. 임직원의 채용부터 퇴사까지, 개인정보를 가장 폭넓게 다루는 부서인 인사팀이라면 주의가 필요하죠.

또 최근 대기업을 비롯한 여러 기업에서 임직원 개인정보가 유출되는 등 보안 사고가 잇따르고 있어요. 이러한 사고를 예방하려면 보안 시스템과 모니터링을 강화하고, 평소 개인정보 관리 체계도 꼼꼼하게 점검해야 해요.

오늘은 위펀이 인사 담당자라면 꼭 알아야 할 개인정보 보호법의 주요 변경 사항부터, 인사 서류별 보관 기간과 올바른 파기 방법까지 차근차근 정리해 드릴게요. 실무에서 바로 활용할 수 있는 체크리스트도 준비했으니, 끝까지 함께해 주세요!

📌 오늘의 콘텐츠 미리보기

1. 개인정보 보호법, 무엇이 달라졌을까?

2. 근로계약서는 3년, 세무 증빙은 5년! 인사 서류별 보관 기간

3. 퇴사했다고 끝이 아니다! 퇴사자 개인정보 파기하는 법

4. 우리 회사는 괜찮을까? 인사팀 개인정보 점검 체크리스트

개인정보 보호법, 무엇이 달라졌을까?

출처 : 개인정보보호위원회

개정 개인정보 보호법의 핵심은 크게 세 가지예요. 과징금 상한이 높아졌고, 유출이 확정되지 않아도 72시간 안에 알려야 하는 경우가 생겼으며, 대표자와 개인정보 보호책임자(CPO)의 책임이 한층 무거워졌죠.

과징금 10%, 모든 사고에 적용될까요?

그렇지는 않아요. 기본 과징금 상한인 매출액 3%는 그대로 유지되고, 아래 중 하나에 해당할 때 최대 10%까지 부과될 수 있어요.

• 고의·중대한 과실로 최근 3년 안에 위반을 반복한 경우

• 고의·중대한 과실로 1,000만 명 이상에게 피해를 일으킨 경우

• 시정명령을 이행하지 않아 유출 사고가 발생한 경우

유출 '가능성'만으로도 72시간 안에 알려야 해요

유출이 확정되지 않았더라도 시행령에서 정한 두 가지 경우에 해당하면, 그 사실을 알게 된 때부터 72시간 안에 정보 주체에게 알려야 해요.

• 시스템에 불법 접근이 발생해 유출이 의심되지만, 피해자를 특정하기 어려운 경우

• 일부 정보가 불법 거래되는 등 유출이 확인됐고, 다른 사람의 정보도 유출됐을 수 있는 경우

단순한 의심만으로 곧바로 통지 의무가 생기는 건 아니에요. 하지만 인사팀 담당자 PC에서 악성코드가 발견되는 등 이상 징후가 보인다면, 혼자 판단하기보다 바로 보안 담당자와 CPO에게 공유하는 게 좋아요.

대표자와 CPO의 책임도 무거워졌어요

개정법은 개인정보 보호에 대한 최종 책임이 대표자에게 있다는 점을 명확히 했어요. CPO(개인정보 보호 책임자)가 전문 인력을 관리하고 필요한 예산을 확보할 수 있도록 권한도 강화했죠.

또한 연 매출 1,800억 원을 초과하면서 100만 명 이상의 개인정보 또는 5만 명 이상의 민감·고유 식별정보를 처리하는 민간기업은 CPO를 지정하거나 변경·해제할 때 이사회 의결을 거치고, 관련 내용을 신고해야 해요. 다만 해당 의무는 2027년 12월 31일까지 계도기간이 적용돼 과태료가 부과되지 않아요. 그렇더라도 이후 의무 이행에 차질이 없도록 미리 준비해 두는 것이 좋겠죠?

근로계약서는 3년, 세무 증빙은 5년! 인사 서류별 보관 기간

인사 서류의 보관 기간은 여러 법에 흩어져 있어요. 채용 서류는 채용절차법, 근로계약 관련 서류는 근로기준법, 급여와 세금 관련 증빙은 세법을 따르죠. 그래서 서류마다 '얼마나' 보관하는지뿐 아니라 '언제부터' 기간을 세는지도 달라요.

혹시 모를 분쟁에 대비해 '일단 다 보관해 두자'고 생각하기 쉽지만, 오래 보관할수록 유출될 수 있는 정보만 늘어나요. 퇴사자와 교육생의 개인정보를 법정 보유 기간이 지난 후에도 파기하지 않아 과징금 처분을 받은 사례도 있었거든요. 반대로 법정 기간이 끝나기 전에 서류를 없애면 근로기준법 위반으로 500만 원 이하의 과태료가 부과될 수 있어요. 결국 서류별 기간을 정확히 알고, 그 기간만큼만 보관하는 것이 핵심이에요.

표를 볼 때 놓치기 쉬운 포인트 Check!

• 서류마다 보관 기간을 계산하는 시작일이 달라요. 근로계약서는 근로관계가 끝난 날부터, 임금대장은 마지막으로 작성한 날부터 3년을 보관해야 해요. 퇴사자 서류를 한꺼번에 파기하지 말고, 서류별 보관 만료일을 따로 관리해 주세요.

• 여러 법률이 적용된다면 더 긴 기간을 따라요. 급여 관련 서류처럼 근로기준법(3년)과 세법(5년)에 동시에 해당하는 서류는 실무적으로 더 긴 5년을 기준으로 관리하는 경우가 많아요.

• 채용 서류 반환 의무는 상시근로자 30명 이상 사업장에 적용돼요. 지원자가 서류 반환을 요청하면 14일 이내에 돌려줘야 해요. 30명 미만 사업장도 채용이 끝나 불필요해진 지원자 개인정보는 파기해야 해요.

• 세무 관련 서류는 파기 전 한 번 더 확인하세요. 세무조사나 불복 절차가 진행 중이라면 법정 보관 기간이 지났더라도 추가 보관이 필요할 수 있어요. 파기 전 세무 담당자와 확인하는 것이 좋아요.

퇴사했다고 끝이 아니다! 퇴사자 개인정보 파기하는 법

법정 보관 기간이 끝나 더 이상 필요하지 않은 개인정보는 '지체 없이' 파기해야 해요. 개인정보 보호법 제21조는 파기한 정보가 복구·재생되지 않도록 조치하고, 다른 법령에 따라 보존하는 정보는 다른 개인정보와 분리해 관리하도록 정하고 있어요.

퇴사자 개인정보 파기 5단계

1. 보관 중인 서류와 파일을 확인해요.
   : 퇴사자별 개인정보가 인사 시스템, 공유 폴더 등에 어디까지 보관되어 있는지 확인해요.

2. 서류별 보관 만료일을 확인해요.
   : 서류마다 보관 기간과 계산 기준일이 다르므로 각각의 파기 시점을 확인해요.

3. 파기를 미뤄야 하는 사유가 있는지 살펴봐요.
   : 진행 중인 분쟁이나 세무조사 등 추가 보관이 필요한 사유가 있는지 확인해요.

4. 보관된 개인정보를 빠짐없이 파기해요.
   : 인사 시스템뿐 아니라 공유 폴더, 이메일 첨부파일, 출력물, 백업 파일도 함께 확인해요.

5. 파기 결과를 확인하고 기록해요.
   : CPO 또는 개인정보 보호 담당자가 파기 여부를 점검하고 파기 대장에 기록해요.

개인정보 파기의 핵심은 '다시 복구할 수 없게' 없애는 거예요. 인사 시스템이나 PC에 저장된 전자 파일은 휴지통으로 옮기는 데서 끝내지 말고, 복원할 수 없는 방법으로 영구 삭제해야 해요. 종이로 된 근로계약서나 이력서는 파쇄하거나 소각하면 되고요.

파기 대장에는 '무엇을, 언제, 왜, 어떻게, 누가' 파기했는지 남기면 돼요. 공공기관은 표준 개인정보 보호지침에 따라 파기 관리 대장을 작성하고, ISMS-P(정보보호 및 개인정보보호 관리 체계) 인증 기준에서도 파기 기록을 보관·관리하도록 요구하고 있어요. 일반 기업도 파기 기록을 남겨 두면 점검이나 분쟁이 생겼을 때 대응하기 훨씬 수월해요.

아래 작성 예시를 참고해 보세요.

우리 회사는 괜찮을까? 인사팀 개인정보 점검 체크리스트📋

아래 8가지 항목만 확인해도 인사팀의 개인정보 관리 현황을 꼼꼼히 점검할 수 있어요. 이미지를 저장해 사내 개인정보 보호 점검 자료로 활용해 보세요!

개인정보 유출은 꼭 해킹처럼 복잡한 보안 사고로만 발생하는 건 아니에요. 개인정보보호위원회와 한국인터넷진흥원이 발간한 ‘2025년 개인정보 유출 신고 동향 및 조사·처분 사례’ 에 따르면, 개인정보 유출 신고 447건 중 약 25%인 110건은 해킹이 아닌 업무 과실로 발생했어요.

2024년 업무 과실 사례를 살펴보면 게시판이나 단체 채팅방에 개인정보 파일을 게시한 경우(27건), 여러 사람에게 이메일을 한꺼번에 발송한 경우(10건), 파일을 잘못 첨부한 경우(7건)가 대표적이었어요. 급여 자료 공유, 연말정산 서류 취합, 임직원 대상 단체 공지처럼 인사팀에서 매일 반복하는 업무도 자칫 개인정보 유출로 이어질 수 있다는 뜻이죠.

주의해야 할 곳은 회사 내부만이 아니에요. 교육 플랫폼, 급여 대행사, 채용 솔루션 등 외부 업체에 인사 업무를 위탁하면 임직원 개인정보가 오가는 경로와 관리 범위도 넓어지기 때문이에요. 실제로 글로벌 보안 보고서인 ‘버라이즌 DBIR 2025’에 따르면 제3자가 관련된 데이터 유출 비중은 전년 15%에서 30%로 두 배 증가했어요.

이처럼 개인정보 유출은 예상치 못한 업무 실수나 외부 위탁 과정에서도 발생할 수 있어요. 인사 담당자라면, 오늘 위펀이 정리한 내용을 바탕으로 우리 회사의 개인정보 관리 체계를 점검해 보세요. 작은 관리 습관 하나가 불필요한 정보 유출과 법적 리스크를 예방하는 첫걸음이 될 수 있으니까요.

변화하는 HR 정책과 실무에 꼭 필요한 정보, 앞으로도 위펀이 빠르게 전해드릴게요. 계속 지켜봐 주세요!

※ 본 콘텐츠는 2026년 11월 기준의 법령 및 공개 자료를 바탕으로 작성한 일반적인 정보 제공 목적의 콘텐츠이며, 개별 기업에 대한 법률·노무 자문을 대체하지 않습니다. 법령 개정 및 기업의 구체적인 상황에 따라 적용 기준과 의무가 달라질 수 있으므로, 실제 개인정보의 수집·이용·보관·파기 업무에 적용하기 전에는 반드시 관련 법령과 최신 행정 지침을 확인해 주세요. 구체적인 법적 판단이나 대응이 필요한 경우에는 변호사, 노무사 등 관련 전문가의 검토를 받으시기 바랍니다.

Editor: 위펀 커뮤니케이션 심지연