사실관계
제지 회사의 직원들이 튀르키예 개인정보보호청(KVKK)에 민원을 제기했다. 민원에 따르면 공장 출퇴근이 얼굴인식 시스템으로 관리되고, 직원들에게 포괄적인 고지·동의서에 서명하게 했다는 내용이었다. 직원들은 화장실 이용 시간을 재기 위해 세면대 주변에 카메라가 설치되었다고도 주장했다. 회사는 자사가 위험 업종에 속하며, 카메라와 출입 통제가 산업안전보건 의무와 근로자 감독 의무를 이행하는 데 필요하다고 항변하면서 노동법과 산업안전보건법을 근거로 들었다.
쟁점
출퇴근 관리를 위한 얼굴인식 생체정보 처리가, 근로관계에서 포괄적 서식으로 받은 명시적 동의나 산업안전보건 법령상 의무에 근거할 수 있는지가 쟁점이었다. 개인정보보호법(법률 제6698호) 제6조는 생체정보를 민감정보로 규정한다. 위원회는 덜 침해적인 방법이 있는데도 생체정보를 쓰는 것이 제4조의 ‘처리 목적과 관련되고, 제한적이며, 비례적일 것’이라는 원칙에 부합하는지도 검토했다.
판단
위원회는 회사가 받은 동의가 특정성, 사전 고지, 자유로운 의사라는 요건을 갖추지 못했다고 판단했다. 노동법령과 산업안전보건 법령에 생체정보 처리를 명시한 규정이 없으므로 ‘법률에 규정된 경우’라는 요건도 충족되지 않았다. 위원회는 유효한 동의가 있더라도 마그네틱 카드, RFID 태그, SMS 인증 같은 대안이 있는 상황에서 얼굴인식을 쓰는 것은 비례원칙에 반한다고 덧붙였다. 제12조 제1항 위반을 이유로 제18조에 따라 50만 리라의 과징금을 부과하고, 30일 안에 생체정보 처리 중단, 수집 정보 파기, 카메라 위치 조정, 고지문 수정을 이행하도록 명했다.
의의
이 결정은 직장에서 생체정보를 이용한 근태 관리를 동의로 정당화할 수 없다는 위원회 입장을 구체적으로 적용한 사례다. 위원회는 동의의 유효성과 비례성을 구분하고, 비례성을 독립된 장애 사유로 다루었다. 산업안전보건과 같은 일반적 의무는 민감정보 처리의 충분한 법률상 근거가 되지 않는다고 본 점도 의미가 있다. 같은 논리는 2026년 모든 개인정보처리자를 구속하는 원칙결정으로 이어졌다.
관련 절차
근태 관리 목적의 생체정보 처리에 관한 2026년 4월 29일 원칙결정(2026/921) 항목 참조.