1. 공통 대응 방안

본 절에서는 감시설비의 유형별 대응 방안에 앞서서 공통적인 대응 방안을 설명한다. 아래에 설명하는 내용은 감시설비의 유형과 상관없이 적용할 수 있는 것들이다.

① 우선 노동자의 인격권, 개인정보자기결정권, 사생활의 권리 등 기본권은 사업장 내에서도, 그리고 근무 시간 내에서도 침해될 수 없는 기본권임을 인식할 필요가 있다. 물론 사용자가 회사 재산에 대한 시설관리권이나 노동자에 대한 일정한 노무지휘권을 가지고 있는 것이 사실이지만, 그것이 근무 시간 중에는 사생활이 존재할 수 없음을 의미하는 것은 아니다. 현실적으로 업무와 사생활을 완벽하게 분리하는 것은 불가능하며, 사업장 내에서도 노동자의 기본권이 본질적으로 침해되어서는 안 된다. 따라서 모든 감시설비는 노동자의 기본권을 침해하는 것이고, 감시설비의 도입은 원칙적으로 금지되어야 한다.

유럽인권재판소 역시 근무시간 중 회사 인터넷을 사적 용도로 사용한 것에 대해 사용자가 사칙 위반으로 근로자를 해고한 사안에서, 회사 내 근로자의 사적인 생활을 ‘0’으로 줄이는 것은 불가능하다고 지적하며 근로자의 사생활에 대한 권리가 부당하게 침해되었다고 결정하였다(ECtHR, Bărbulescu v. Romania 〔GC〕, No. 61496/08, 5 September 2017, para 121).
– [양승엽, 「사업장 전자감시 규제에 관한 이론적 고찰」, 사업장 전자감시의 문제점과 제도 개선 방안 토론회(2021.9.15) 자료집, p.6.]

② 감시설비는 그 설치 목적이 정당하고 노동자의 기본권 제한을 최소화할 수 있는 한도에서 예외적으로 도입될 수 있고, 이 경우 정당하고 적법한 절차를 거쳐야 한다. 어떠한 감시설비도 비밀리에 도입돼서는 안 되며, 고지나 동의 없이 개인정보를 수집하는 것은 개인정보보호법 위반이다. 비밀리에 전송 중인 이메일이나 SNS 대화 내용을 모니터링하는 것은 통신비밀보호법 위반이 될 수 있다. 은밀한 감시 및 개인정보 수집은 기본권 침해일 뿐만 아니라 현행법 위반이므로, 형사 고발을 포함하여 강력한 문제제기가 필요하다.

③ 어떠한 감시설비를 도입했는지 포괄적으로 고지하는 것으로는 충분하지 않다. ▲ 해당 감시설비의 설치목적 ▲ 감시설비의 구체적인 사양과 기능 ▲ 감시설비의 운영 범위, 기간, 방법 ▲ 감시설비를 통해 수집되는 개인정보의 종류, 보유 및 이용기간 등에 대한 상세한 정보를 투명하게 공개할 것을 사용자에게 요구해야 한다.

④ 특히 감시설비의 설치 목적, 감시설비를 통해 수집되는 개인정보의 처리 목적을 명확히 할 필요가 있다. 목적이 명확해야 해당 시스템이 목적 달성을 위한 최적의 수단인지, 덜 침해적인 대체 수단은 없는지, 목적 달성과 무관하게 작동하는 기능은 없는지 등을 판단할 수 있다. 감시설비, 그리고 감시설비를 통해 수집되는 개인정보는 애초 설정된 목적 외로 활용되어서는 안 된다. 이는 개인정보보호법 위반이 될 수 있다.

⑤ 노동자 개인정보 처리방침이 존재하는지 확인해야 한다. 대부분의 기업들이 소비자의 개인정보 처리방침을 홈페이지를 통해 공개하고 있지만, 노동자 개인정보 처리방침은 두고 있지 않은 경우가 많다. 노동자 개인정보 처리방침을 두지 않는 것도 개인정보보호법 위반이며, 1천만 원 이하의 과태료 부과 대상이 된다. 감시설비를 통해 수집되는 개인정보에 대해서도 ▲ 처리 목적 ▲ 처리 및 보유기간 ▲ 제3자 제공 및 위탁에 관한 사항 ▲ 정보주체의 권리 ▲ 개인정보보호책임자의 성명과 연락처 ▲ 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설치・운영 및 그 거부에 관한 사항 등이 개인정보 처리방침에 포함되어야 하며 그 내용이 변경될 경우에도 마찬가지이다.

⑥ 감시설비의 도입을 정당화할 수 있는 법적인 근거가 무엇인지 확인할 필요가 있다. (2021년 현재) 근로기준법에는 감시설비와 관련된 규정이 없다. 근로자 참여법에서는 30인 이상 근로자를 사용하는 사업장에 노사협의회를 설치하여야 한다고 정하고 있고, 노사협의회의 협의 사항으로 ‘사업장 내 근로자 감시설비의 설치’를 정하고 있다. 따라서 감시설비 도입에 대해 노사협의회에서 협의했다면, 근로자 참여법에 따른 것으로 볼 수 있다.

⑦ 감시설비를 통한 개인정보의 수집과 관련해서는 개인정보보호법 제15조 제1항 어디에 해당하는지 확인해야 한다. 즉 정보주체(노동자)의 동의를 받은 것인지(1호), 아니면 법률에서 감시설비를 설치할 수 있도록 허용하고 있는지(2호), 근로계약의 이행을 위한 것인지(4호), 혹은 개인정보처리자(사용자)의 정당한 이익 달성(6호)을 명분으로 설치하는 것인지 등을 확인한다. 어떤 경우든 최소한의 개인정보를 적법하고 정당하게 수집해야 하는 등 개인정보 보호 원칙을 준수해야 한다. 만일 감시설비 설치와 관련한 명확한 법적 근거가 없다면 불법적인 것이므로 철거를 요구해야 한다.

⑧ 근로자 참여법에 따른 협의와 개인정보보호법에 따른 정보주체의 동의가 어떠한 관계에 있는지(예를 들어, 근로자 참여법에 따라 노사협의회에서의 협의를 통해 감시설비를 도입했지만, 노동자는 동의하지 않는 경우 어떻게 할 것인지) 모호하지만, 개인정보보호위원회는 근로자 참여법에 따른 노사협의회에서의 협의가 우선하는 것으로 해석하고 있다. 만일 근로자 참여법에 따라 노사협의회에서 감시설비 도입과 관련한 협의한 바가 없었다면 개인정보보호법에 근거를 둘 수밖에 없다.

⑨ 사용자가 감시설비 설치에 대해 노동자의 동의를 요구할 경우, 그 동의가 진정으로 자유로운 동의가 되기 위해서는 노동자가 이를 거부할 수 있어야 한다(또한 언제든지 철회할 수 있어야 한다). 현실적으로 대부분의 경우 노동자가 동의를 거부하는 것은 쉽지 않을 것이다. 국내 여건에서 법원이 노동자의 의사를 반영하지 않은 형식적인 동의서가 진정한 ‘동의’가 아니라고 판단해 줄 것인지는 모호하다. 그러나 강압적이고 형식적인 동의를 통해 감시설비를 도입했다면, 설사 동의를 했더라도 그것이 진정한 동의가 아니었음에 대해 언제라도 문제제기할 필요가 있다. 또한 상당수의 사용자들은 포괄적 동의서를 징구하고 있는데 이는 처리 목적을 명확하게 해야 한다든가, 목적에 필요한 최소한의 정보만을 수집해야 한다는 등의 개인정보 보호원칙에 반한다. 원칙적으로 포괄 동의는 인정되지 않는다. 여기서 포괄적 동의란 다수의 목적에 대해 일괄해서 한 장의 문서로 동의를 받는다든가, 구체적이지 않은 목적에 대해 막연하게 동의받는 것을 의미한다.

⑩ 감시설비를 통해 민감정보가 수집될 경우, 반드시 노동자의 ‘별도의 동의’를 받아야 한다. 즉 동의 없이 민감정보를 수집하거나 다른 개인정보에 대한 동의에 통합하여 동의를 받는 것은 개인정보보호법 위반이다. 예를 들어 노동자의 건강정보, 노동조합・정당의 가입・탈퇴, 지문・홍채・정맥・얼굴 등 생체인식정보, 유전정보, 범죄경력자료에 해당하는 정보, 인종이나 민족에 관한 정보 등을 사용자가 수집하고자 할 경우 노동자의 별도 동의를 받아야 한다. 그러나 노사관계 내에서 동의가 노동자의 자유로운 동의가 되기 힘들다는 점을 고려하면, 법령에 수집 근거가 있거나 민감정보 수집을 정당화할 수 있는 강력한 이유가 없는 한 적법한 민감정보 수집이 되기 힘들다. 노동자는 민감정보 수집을 요구받을 때 이러한 점을 고려하여 가능한 민감정보를 제공하지 않도록 해야 한다.

⑪ 법률에서 특정한 감시설비의 설치를 규정하거나 혹은 법령상 의무를 준수하기 위하여 불가피하게 감시설비를 도입할 수도 있다. 예를 들어, 어린이집 CCTV의 경우, 보육교사에 대한 노동감시가 될 수 있지만 CCTV의 설치를 의무화하였기 때문에 설치할 수밖에 없다. 혹은 개인정보보호법은 개인정보의 안전한 보호를 위한 조치의 하나로 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관・관리하도록 하고 있는데, 이 경우 개인정보 취급 업무를 담당하는 노동자의 활동이 자동으로 기록될 수 있다. 이처럼 법령에 따라 감시설비를 설치한 경우에도 법령에서 정하고 있는 안전조치를 제대로 취하도록 해야 하며, 수집된 개인정보가 설치 목적 외로 활용되지 않도록 해야 한다. 예를 들어 ‘아동학대 방지 등 영유아의 안전과 어린이집의 보안을 위하여’ 설치된 어린이집 CCTV 영상자료를 보육교사의 근태관리 목적으로 활용해서는 안 된다.

⑫ 사용자가 노동자의 동의 혹은 법률적 근거 없이 감시설비를 도입하고, 개인정보보호법 제15조 제1항 제6호에 따른 ‘개인정보처리자의 정당한 이익’을 주장할 수도 있다. 예를 들면 시설 보호나 영업비밀 보호 등을 위해 필요하다는 것이다. 그러나 사용자의 정당한 이익이 있다고 감시설비 도입이 무조건 정당화되는 것은 아니다. 사용자의 정당한 이익이 정보주체인 노동자의 권리보다 “명백하게 우선”해야 하고, 감시설비를 통한 개인정보 수집이 사용자의 “정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 않”음을 사용자가 입증해야 한다. 반대로 노동자는 수집되는 개인정보가 해당 목적을 위해 필수적이지 않거나 다른 대체수단이 존재함을 주장할 수 있다. 혹은 감시설비 도입으로 인해 침해되는 노동자의 권리가 정당한 이익에 비해 지나치게 클 경우도 문제제기할 수 있다. 노동자의 동의도 받지 않고 침해되는 노동자의 권리에 비해 사용자의 정당한 이익이 크지 않다면, 감시설비 도입의 적법성을 부정할 수 있다.

⑬ 노동자 역시 정보주체이며 개인정보보호법이 보장하는 정보주체의 권리, 즉 자기정보에 대한 열람권, 정정・삭제권, 처리정지권 등을 보장받아야 한다. 사용자가 자신의 개인정보를 실제로 어떻게 보유하고 있는지 궁금하다면 개인정보 열람요구를 할 수 있다. 이때 단지 개인정보의 항목이 아니라, 보유하고 있는 개인정보 자체를 제공받을 수 있다. 그래야 잘못된 정보가 있을 경우 정정 요청을 할 수 있기 때문이다(기업들은 소비자의 개인정보 열람신청에 대해서도 항목만을 제공하는 경우가 많다) 만일 보유기간이 지난 개인정보가 있다면 삭제 요청을 할 필요가 있다.

⑭ 감시설비 도입시 노동조합 혹은 노동자 대표와 협의할 것을 요구해야 한다. 노동관계법에서 감시설비 도입과 관련한 사항을 단체협상의 대상으로 구체적으로 규정하고 있는 것은 아니다. 그러나 감시설비의 도입은 근로조건에 관한 사항이라고 볼 수 있다. 근로자 참여법에서도 노사협의회의 협의 사항으로 규정하고 있다. 노사 간의 권력이 불균형한 특수성을 고려할 때 노동자 개인 차원에서 대응하는 것보다는 집단적인 대응이 필요하다. 특히 사용자의 정당한 이익과 노동자의 권리 사이의 균형을 고려할 때, 사용자 관점에서만 판단하는 것은 공정하지 못하기에 노동자의 집단적인 의사가 반영되기 위해서라도 노동조합과의 협의가 필요하다. 더불어 감시설비의 도입이 노동자 개인에게도 인권침해와 스트레스를 유발할 수 있지만, 노동조합의 설립이나 운영을 위축시킴으로써 노동자의 단결권, 단체행동권, 단체교섭권을 위협할 수 있기 때문에, 이러한 측면에서도 노동조합 차원에서 개입할 당위성이 존재한다.
또한 감시설비를 도입할 때 단지 도입 여부를 다투거나, 감시설비를 도입하게 되더라도 그 운영의 범위나 방법, 수집되는 개인정보의 종류 및 보관기간, 개인정보 보호를 위한 안전조치의 방법 등 구체적인 이행방법은 매우 다양할 수 있으므로, 노사 간의 협의를 통해 구체적인 방안을 도출해 내는 것이 합리적이다.

⑮ 감시설비 도입과 관련하여 노동조합 혹은 노동자 대표와 협의한다고 하더라도, 협의의 결과가 개별 노동자의 의사와 다를 수 있다. 이 경우 가능하다면 개별 노동자가 다른 선택을 할 수 있는 권리를 보장해야 한다. 예를 들어 노동조합과의 협의를 통해 출퇴근 확인 목적의 지문인식기를 도입하기로 결정했더라도, 지문인식을 원하지 않는 노동자에게는 대체 수단을 제공할 수 있을 것이다. 물론 CCTV처럼 개별적인 선택권을 부여하기 힘든 경우도 있지만, 가능할 경우 개별 노동자의 선택권을 존중해야 할 것이다.

⑯ 노동자의 권리를 심각하게 침해할 우려가 있거나 그 영향력을 판단하기 힘든, 인공지능과 같은 새로운 기술의 경우 개인정보 영향평가를 수행할 것을 요구해야 한다. 개인정보 영향평가는 개인정보 침해의 위험성이 큰 개인정보 처리와 관련하여 사전에 그 위험요인을 평가하고 위험성을 최소화하는 조치를 마련하도록 하기 위한 제도이다. 국내 개인정보보호법은 공공기관에 대해서는 영향평가를 의무화하고 있고, 민간의 개인정보처리자에게도 개인정보 침해가 우려되는 경우 영향평가를 하도록 권장하고 있다.

제33조(개인정보 영향평가) ① 공공기관의 장은 대통령령으로 정하는 기준에 해당하는 개인정보파일의 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 그 위험요인의 분석과 개선 사항 도출을 위한 평가(이하 “영향평가”라 한다)를 하고 그 결과를 보호위원회에 제출하여야 한다. 이 경우 공공기관의 장은 영향평가를 보호위원회가 지정하는 기관(이하 “평가기관”이라 한다) 중에서 의뢰하여야 한다.
⑧ 공공기관 외의 개인정보처리자는 개인정보파일 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 영향평가를 하기 위하여 적극 노력하여야 한다.
⑰ 노동자와 노동조합은 노동감시와 관련한 법과 제도 마련을 위한 투쟁에 적극 나서야 한다. 노동감시는 개별 노동자에게는 인권을 침해할 우려가 있고, 노동조합에게는 노동조합 활동을 위축시킬 수 있기 때문이다. 현행 법제를 통해서도 과도한 개인정보 수집과 감시설비 도입에 문제제기할 수 있지만, 보다 명확하게 감시설비 도입의 원칙과 노동조합과의 협의를 의무화할 필요가 있다. 또한 개인정보 감독기구인 개인정보보호위원회뿐만 아니라, 노동현장에서의 문제를 관할하는 고용노동부에 부당한 감시설비의 도입을 감독할 수 있는 권한을 명확하게 부여할 수 있도록 법률 개정을 요구해야 한다.