컴플라이언스 · July 18, 2026 · 6분 읽기

채용을 위한 GDPR: 지원자 데이터, 동의 그리고 삭제권

채용 과정에서는 민감한 개인정보가 수집됩니다. 적법한 처리 근거, 동의, 데이터 최소화와 관련하여 GDPR이 요구하는 사항과, 감사 추적을 훼손하지 않으면서 삭제 요청을 이행하는 방법을 살펴봅니다.

← Hiring AI is high-risk AI: building for NYC LL144 and the EU AI Act from day one의 일부

컴플라이언스 우선 채용 AI 가이드에서 다루는 심층 분석: 데이터 보호.

채용에서 실질적으로 문제가 되는 의무

• 처리를 위한 적법한 근거와 지원자에 대한 명확한 고지
• 데이터 최소화 — 의사결정에 필요한 만큼만 수집하고 그 이상은 수집하지 않습니다
• 감독(proctoring)과 같이 침해성이 높은 단계에 대한 별도의 명시적 동의
• 지원자의 권리: 요청에 따라 처리되는 열람, 정정 및 삭제

가장 크게 작용하는 두 가지 조항

Article 22는 지원자에게 법적 효과 또는 그에 준하는 중대한 영향을 발생시키는, 전적으로 자동화된 처리에만 기반한 의사결정의 대상이 되지 않을 권리를 부여합니다 — 이것이 바로 중대한 채용 의사결정에서 사람이 개입하는(human-in-the-loop) 검토가 선택 사항이 아닌 이유입니다. 그리고 감독과 같은 침해적 조치를 도입하는 경우, 데이터 보호 영향 평가(DPIA)는 있으면 좋은 정도가 아니라 당연히 수행해야 하는 절차입니다 — 이는 단 한 프레임의 데이터를 수집하기 전에 침해를 정당화하고 안전장치를 문서화하도록 강제합니다.

망각 없는 삭제

GDPR Article 17은 지원자에게 삭제권을 부여합니다. 관건은 채용 의사결정이 공정하게 이루어졌다는 기록을 지우지 않으면서 이를 이행하는 것입니다. 그 해답은 익명화된 무결성 해시를 유지하면서 개인 콘텐츠를 제거하는 것입니다 — 삭제는 실제로 이루어지고, 감사 추적은 보존되며, 두 가지 의무가 더 이상 상충하지 않게 됩니다.