채용 플랫폼 AI·시스템 연동 확대…개인정보 보호 기능 강화 필수

핵심 요약

- 채용 플랫폼들이 AI 기반 지원자 관리·분석·면접 질문 생성 등 기능 확대 - 시스템 간 연동(MCP 등)을 통한 채용 데이터 공유 및 통합 관리 추세 - 민감한 채용정보 처리 증가에 따른 개인정보 보호 기능 강화 계획 발표

주요 내용

채용 플랫폼 업계가 인공지능 기술과 시스템 연동 기능을 적극 도입하면서 지원자 개인정보 보호 체계 강화에 나서고 있다. 사람인은 채용 공고 수정, 채용 상태 전환, 지원자 등록 및 관리, 지원자 비교 분석, AI 기반 면접 질문 생성, 평가표 작성 등 전방위적인 채용 관리 기능을 제공하며, 개인정보 보호 기능도 강화할 계획이라고 밝혔다.

나인하이어는 MCP(Multi-Channel Publishing) 연동 기능을 통해 복수의 채용 채널 간 데이터 통합 관리를 지원하고 있으며, YBM인강은 해외 취업 프로그램을 운영하며 국내외 채용 정보를 처리하고 있다. 이러한 기능 확대는 채용 효율성을 높이는 동시에 다수의 지원자 개인정보가 자동화된 시스템을 통해 처리·분석·이동되는 상황을 초래하고 있다.

특히 AI 기반 지원자 비교 분석 및 면접 질문 생성 기능은 이력서, 자기소개서 등에 포함된 민감정보를 자동으로 처리하게 되며, 시스템 간 연동은 개인정보의 제3자 제공 및 위탁 관계를 복잡하게 만들 수 있다. 사람인이 네이버카페 '전국대학컨설턴트모임'과의 협력을 통해 서비스를 확장하는 것 역시 개인정보 처리 범위와 주체 간 책임 관계를 명확히 해야 하는 사안이다.

채용 플랫폼들이 개인정보 보호 기능 강화를 계획하고 있다는 점은 긍정적이나, 단순한 기능 추가가 아닌 ISMS-P 인증기준에 부합하는 체계적인 보호대책 수립이 요구된다.

전문가 시각

채용 플랫폼에서 처리하는 개인정보는 성명, 연락처, 학력, 경력뿐만 아니라 건강정보, 병역사항 등 민감정보를 포함하고 있어 특히 엄격한 보호가 필요하다. AI 기반 분석 기능은 자동화된 의사결정에 해당할 수 있으며, 이 경우 정보주체의 권리 보장을 위한 별도 조치가 필요하다. 시스템 간 연동 시에는 API 보안, 전송 구간 암호화, 접근 통제, 로그 관리 등이 필수적으로 구현되어야 한다.

기업들은 개인정보 처리 방침에 AI 활용 목적과 범위, 제3자 제공 내역, 위탁업체 정보를 명확히 공개하고, 지원자에게 열람·정정·삭제 요구권을 실질적으로 보장해야 한다. 특히 채용 종료 후 개인정보 파기 정책을 명확히 수립하고, 시스템 연동 과정에서 불필요한 개인정보가 과도하게 수집·보유되지 않도록 최소 수집 원칙을 준수해야 한다.

ISMS-P 심사원 체크포인트

1. 개인정보 처리 단계별 보호조치 (ISMS-P 2.8.1~2.8.5) - AI 기반 지원자 분석 시 자동화된 의사결정 여부 및 정보주체 고지 이행 확인 - 시스템 간 연동(MCP 등) 시 전송 구간 암호화(TLS 1.2 이상) 적용 여부 - 개인정보 처리방침에 제3자 제공·위탁 관계 명시 및 동의 획득 여부 - 관련 법 조항: 개인정보보호법 제15조(수집·이용), 제17조(제공), 제26조(위탁)

2. 개인정보 파기 및 최소 수집 원칙 (ISMS-P 2.8.6, 2.7.1) - 채용 종료 후 개인정보 보유기간 설정 및 자동 파기 체계 구축 여부 - 면접 평가표, 지원자 비교 분석 자료 등 파생 데이터 파기 정책 수립 여부 - 필수 수집 항목과 선택 항목 구분 및 과도한 민감정보 수집 여부 점검 - 관련 법 조항: 개인정보보호법 제21조(파기), 제16조(최소 수집)

3. 시스템 접근통제 및 로그 관리 (ISMS-P 2.5.3, 2.6.3) - 채용 담당자별 지원자 정보 접근 권한 분리 및 최소 권한 부여 여부 - API 연동 시 인증·인가 체계(OAuth 2.0 등) 구현 및 이상 접근 탐지 기능 - 개인정보 조회·수정·삭제·다운로드 로그 기록 및 6개월 이상 보관 여부

CPPG·ISMS-P 연계 포인트

자동화된 의사결정 (개인정보보호법 제37조의2) AI가 지원자 평가·분석에 활용될 경우 완전 자동화된 의사결정에 해당하는지 검토 필요. 해당 시 정보주체에게 그 사실을 알리고, 이의제기 및 설명 요구권을 보장해야 하며, CPPG 시험에서는 자동화 결정의 요건과 정보주체 권리 보장 방안이 출제될 수 있음.

개인정보 처리 위탁 관리 (개인정보보호법 제26조) MCP 연동 등 시스템 간 데이터 공유는 위탁 또는 제3자 제공에 해당할 수 있으므로, 법적 관계를 명확히 하고 위탁계약서 작성, 수탁자 관리·감독, 재위탁 제한 등을 이행해야 함. ISMS-P 심사에서는 위탁 현황 목록, 계약서, 수탁자 보안점검 기록 등을 필수적으로 확인함.