레퍼런스 체크 중 개인정보 무단 제공, 명예훼손·개인정보보호법 위반 판결

핵심 요약

- 2026년 기준 채용 레퍼런스 체크 과정에서 이직자의 횡령 의혹 소문을 전달한 행위가 명예훼손, 근로기준법 위반, 개인정보보호법 위반으로 판결 - 평판조회 시 사실 확인 없는 소문 전파는 전파 가능성 인식 여부와 무관하게 법적 책임 발생 - 개인정보보호법상 민감정보 및 근로자 개인정보 처리 시 명확한 법적 근거와 본인 동의 필수

주요 내용

2026년 8월 현재, IT 업계와 AI 스타트업을 중심으로 관행화된 레퍼런스 체크(평판조회) 과정에서 개인정보보호법 위반 사례가 법원 판결로 확인됐다. 이직 예정자에 대한 전 직장 동료의 평판 정보 제공 과정에서 확인되지 않은 '법인카드 횡령 의혹' 소문을 전달한 행위가 명예훼손, 근로기준법 제36조(금품 청산) 위반, 개인정보보호법 위반으로 인정된 것이다.

판결의 핵심은 레퍼런스 체크 요청자가 정보를 광범위하게 전파할 가능성을 인식했는지 여부와 무관하게, 사실 확인 없이 부정적 소문을 제공한 행위 자체가 위법하다는 점이다. 특히 개인정보보호법 관점에서는 ① 근로자의 업무 평가 및 인사 정보가 '개인정보'에 해당하며 ② 횡령 의혹은 '범죄경력정보'에 준하는 민감정보로 분류될 수 있고 ③ 정보주체(이직자)의 명시적 동의 없이 제3자(신규 채용기업)에게 제공한 행위가 제17조(개인정보 제공) 및 제23조(민감정보 처리 제한) 위반에 해당한다.

2026년 현재 AI 업계에서는 생성형 AI 기업들의 급성장과 인력 이동이 활발해지면서 비공식 네트워크를 통한 레퍼런스 체크가 일반화되어 있다. 그러나 이번 판결은 채용 관행으로 정당화될 수 없는 개인정보 처리의 법적 한계를 명확히 했다. 특히 개인정보보호법 제15조(개인정보 수집·이용)와 제17조(개인정보 제3자 제공) 요건인 '법령상 근거' 또는 '정보주체 동의'가 모두 충족되지 않은 상태에서의 정보 제공은 형사처벌 대상(제71조, 5년 이하 징역 또는 5천만원 이하 벌금)이 될 수 있음을 경고한다.

근로기준법 제36조는 퇴직 근로자가 사용 기간, 업무 종류, 지위와 임금, 그 밖에 필요한 사항에 대한 증명서를 청구하면 사용자는 즉시 교부해야 하며, 근로자가 요구하지 않은 사항을 기재해서는 안 된다고 규정한다. 이는 퇴직자의 재취업 기회를 보호하기 위한 조항으로, 본인이 요청하지 않은 부정적 평판 정보를 제공하는 행위는 이 조항의 취지에도 반한다.

전문가 시각

ISMS-P 선임심사원 관점에서 이번 판결은 채용 프로세스에서의 개인정보 처리 통제가 심사 중요 항목임을 재확인시킨다. 기업은 레퍼런스 체크를 진행할 경우 ① 채용 대상자로부터 평판조회 동의서를 명시적으로 받고 ② 조회 범위(특정 전 직장, 특정 항목)를 구체화하며 ③ 정보 제공자에게도 본인 동의 사실을 확인시키고 ④ 제공받은 정보의 사실 여부 검증 절차를 마련해야 한다. 특히 AI 스타트업처럼 비공식 네트워크가 강한 업계일수록 HR 담당자 개인 차원의 정보 수집이 조직의 법적 책임으로 귀속될 수 있음을 인지해야 한다.

실무적으로는 채용 단계별 개인정보 처리 대장을 작성하고, 레퍼런스 체크를 '제3자 제공'으로 분류하여 개인정보 처리방침에 명시해야 한다. 또한 평판조회 제공자에게 '사실에 기반한 정보만 제공', '소문이나 추측 배제', '명예훼손 금지' 등을 안내하는 가이드라인을 전달하고, 이를 문서화하여 보관하는 것이 기업의 선관주의 의무 이행 증빙이 된다. 2026년 현재 개인정보보호위원회는 채용 과정 개인정보 처리 가이드라인 개정을 추진 중으로, 레퍼런스 체크 관련 세부 기준이 강화될 것으로 예상된다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 제3자 제공 요건 (개인정보보호법 제17조)
개인정보처리자는 정보주체의 동의를 받거나 법령에 특별한 규정이 있는 경우에만 개인정보를 제3자에게 제공할 수 있다. 레퍼런스 체크는 '채용 대상자(정보주체)' → '전 직장(제공자)' → '신규 채용기업(수령자)'의 제3자 제공 구조로, 정보주체의 명시적 동의와 제공 범위 특정이 필수다.

2. 개인정보 처리 단계별 보호조치 (ISMS-P 2.8.2)
채용·인사 프로세스는 개인정보 생명주기 전 단계(수집→이용→제공→파기)를 포함하므로, 각 단계별 법적 근거 확보, 최소 수집 원칙, 목적 외 이용 금지, 안전한 파기 절차가 인증 심사 시 중점 확인된다. 특히 민감정보(범죄경력, 징계 이력 등)는 별도 동의와 암호화 저장이 요구된다.