사실관계
개인정보보호청에 접수된 신고와 민원 가운데 가장 흔한 사안 중 하나는 사용자가 근태 관리를 위해 지문, 얼굴인식, 홍채·망막 스캔 같은 생체인식 시스템을 도입하는 문제였다. 실무에서는 대개 직원의 명시적 동의를 근거로 삼았다. 개인정보보호위원회는 2026년 4월 29일 원칙결정(2026/921)을 채택했고, 이 결정은 2026년 6월 2일 관보에 게재되었다. 개인정보보호청은 개인정보처리자들의 질의에 따라 2026년 8월 27일 결정의 적용 범위를 설명하는 두 번째 공지를 냈다.
쟁점
근태 관리 목적의 생체정보 처리가 개인정보보호법 제6조 제3항의 처리 요건 가운데 어느 것에 근거할 수 있는지가 쟁점이었다. 특히 사용자와 근로자 사이의 힘의 불균형을 고려할 때 근로자의 명시적 동의가 유효하고 충분한 법적 근거가 될 수 있는지가 문제되었다. 위원회는 유효한 동의가 있더라도 덜 침해적인 방법이 있는 상황에서 생체정보 처리가 제4조의 비례원칙을 충족하는지도 검토했다.
판단
위원회는 근로시간 기록에 관한 법령에 생체정보 사용을 규정한 명시적 조항이 없으므로 제6조 제3항 (b)~(g)호는 적용될 수 없다고 보았다. 힘의 불균형과 동의 철회 가능성 때문에 명시적 동의만으로는 충분한 법적 근거가 되지 못한다고 했다. 위원회는 유효한 동의가 있더라도 처리가 비례원칙을 충족하지 못하며, 근태 관리는 암호화 카드, PIN, 종이 출근부, RFID/NFC 카드, 관리자 입회하의 수기 입력 등으로 해야 한다고 결정했다. 위반 시에는 제18조에 따라 처분한다. 2026년 8월 27일 공지는 결정이 근태 관리에만 적용되며, 데이터를 수학적 코드로 변환해도 생체정보의 성격은 바뀌지 않는다고 밝혔다.
의의
이 원칙결정은 이전 개별 사건에서 제시된 논리를 모든 사용자에게 적용되는 일반 규칙으로 만들었다. 근로관계에서는 동의만으로 충분하지 않고 비례성이 독립된 장애 사유라는 점을 분명히 했다. 공지에는 유예기간이 언급되지 않았다. 핵심 보안 구역의 생체인식 출입 통제는 적용 범위에서 제외되어 사안별로 판단된다.
관련 절차
얼굴인식 근태 관리에 50만 리라 과징금을 부과한 2022년 8월 4일 결정(2022/797) 항목 참조.