웍스피어, 채용 포털 최초 ISMS-P 국제표준 인증 획득…개인정보 보호 체계 고도화

핵심 요약

- 웍스피어, 채용 포털 업계 최초로 ISMS-P(정보보호 및 개인정보보호 관리체계) 국제표준 인증 획득 - 2024년 개인정보보호위원회와 민간협력 자율규제 참여로 실효성 있는 보호 방안 마련 - 인재 검색, 공고 게시, 채용 대행·시스템 등 채용 프로세스 전 단계에 개인정보 보호 체계 적용

주요 내용

웍스피어가 2026년 채용 포털 업계에서 최초로 ISMS-P 국제표준 인증을 획득하며 개인정보 보호 분야의 선도 기업으로 자리매김했다. ISMS-P는 정보보호 및 개인정보보호 관리체계에 대한 국내 법정 인증 제도로, 한국인터넷진흥원(KISA)이 심사하는 공신력 있는 인증이다.

특히 웍스피어는 2024년 개인정보보호위원회(개보위)와 공동으로 추진한 '민간협력 자율규제' 프로그램에 참여하며 체계적인 개인정보 보호 기반을 다졌다. 민간협력 자율규제는 정부 주도의 규제가 아닌 기업의 자발적 참여를 통해 업계 특성에 맞는 실효성 있는 보호 방안을 만드는 제도로, 채용 업계의 특수성을 반영한 맞춤형 보호 체계를 구축하는 데 중요한 역할을 했다.

이를 통해 개발된 보호 방안은 인재 검색, 공고 게시, 채용 대행 서비스, 채용 관리 시스템 등 채용 프로세스의 전 단계에 걸쳐 적용되고 있다. 채용 서비스는 구직자의 민감한 개인정보(학력, 경력, 자격증, 이력서 등)를 대량으로 처리하는 만큼, 정보 수집·이용·제공·파기의 전 생애주기에 대한 엄격한 관리가 필수적이다.

채용 포털의 ISMS-P 인증은 단순한 기술적 보안을 넘어 조직·물리·기술적 보호조치를 통합적으로 운영하고 있음을 의미한다. 이는 기업 고객과 구직자 모두에게 신뢰할 수 있는 서비스 환경을 제공하는 핵심 경쟁력으로 작용할 전망이다.

전문가 시각

채용 플랫폼은 개인정보보호법상 '개인정보처리자'이자 경우에 따라 '개인정보 처리 수탁자' 역할을 동시에 수행하는 복합적 구조를 가진다. 특히 인재 검색 서비스는 기업 고객에게 구직자 정보를 제공하는 과정에서 '제3자 제공' 또는 '위탁' 관계가 성립할 수 있어, 법적 근거와 동의 범위에 대한 명확한 설계가 필수적이다. 웍스피어의 이번 인증은 이러한 복잡한 법률 관계를 체계적으로 정리하고 준수 체계를 구축했다는 점에서 의미가 크다.

실무적으로 채용 대행 서비스는 개인정보 수집·이용 목적이 달성된 후 지체 없이 파기해야 하지만, 구직자의 재지원 가능성이나 기업의 인재풀 관리 필요성과 충돌하는 경우가 많다. 따라서 목적 달성 후 별도 동의를 받아 보유 기간을 명확히 하거나, 가명처리를 통해 통계 목적으로 활용하는 등의 정교한 운영 방안이 요구된다. 민간협력 자율규제를 통해 이러한 업계 특수성을 반영한 가이드라인을 마련한 것은 향후 다른 채용 플랫폼의 모범 사례가 될 것이다.

ISMS-P 심사원 체크포인트

1. 개인정보 생애주기별 보호조치 (ISMS-P 인증기준 3.1 개인정보 수집 시 보호조치)
- 채용 서비스의 경우 이력서, 자기소개서 등에 포함된 민감정보(건강정보, 사상·신념 등) 및 주민등록번호 수집 최소화 원칙 준수 여부를 중점 심사
- 개인정보보호법 제15조(수집·이용), 제17조(제3자 제공), 제23조(민감정보 처리 제한)에 따른 적법한 동의 획득 절차 및 고지 사항의 명확성 점검
- 특히 인재 검색 서비스에서 기업 고객에게 구직자 정보 제공 시, 제3자 제공 동의의 구체성(제공받는 자, 제공 목적, 제공 항목, 보유 기간 명시) 확인 필수

2. 개인정보 처리 위탁 관리 (ISMS-P 인증기준 3.6 개인정보 처리 위탁에 대한 관리)
- 채용 대행 서비스에서 발생하는 위탁 관계에 대한 문서화된 계약 체결 및 개인정보보호법 제26조 준수 여부 심사
- 위탁업체에 대한 관리·감독 체계(정기 점검, 재위탁 제한, 위탁 종료 시 정보 반환·파기 절차) 구축 여부 확인
- 홈페이지 등을 통한 위탁 사실 공개(수탁자, 위탁 업무 내용) 이행 상태 점검

3. 개인정보 파기 (ISMS-P 인증기준 3.5 개인정보 파기)
- 채용 목적 달성 후 보유 기간 경과 시 지체 없는 파기 절차 수립 및 이행 여부(개인정보보호법 제21조)
- 구직 활동 종료, 채용 프로세스 완료 등 파기 사유 발생 시점 기준 명확화 및 자동 파기 시스템 구현 여부
- 별도 동의를 받아 인재풀로 보관하는 경우, 보유 기간·목적 재고지 및 정기적 열람·삭제 요구권 보장 체계 확인

CPPG·ISMS-P 연계 포인트

민간협력 자율규제 제도
개인정보보호법 제12조의2에 근거한 제도로, 개인정보보호위원회가 개인정보처리자 단체의 자율규제 프로그램을 승인·지원하는 정책적 수단이다. 사업자가 자율적으로 개인정보 보호 기준을 마련하고 이행하면 과징금 감경 등 인센티브를 부여받을 수 있어, 규제 준수 비용을 낮추면서도 실효성 있는 보호 체계를 구축할 수 있다.

개인정보의 제3자 제공과 위탁의 구별
제3자 제공(제17조)은 제공받는 자가 자신의 목적으로 개인정보를 이용하는 경우이며, 위탁(제26조)은 위탁자의 목적 범위 내에서 수탁자가 업무를 대행하는 경우다. 채용 플랫폼이 기업에게 구직자 정보를 제공하는 경우, 기업이 자체 채용 목적으로 활용하면 '제3자 제공', 플랫폼의 채용 대행 업무 수행을 위해 제공하면 '위탁'으로 분류되며 법적 요건이 상이하므로 정확한 판단이 필요하다.