익명4
개인정보·퇴직연금
퇴직연금 교육 대상자 명단 외부 전송 시
개인정보 보호 체크리스트
퇴직연금 교육을 외부에 맡길 때 대상자 명단은 교육 운영에 필요한 최소 정보만 전달해야 합니다. 먼저 해당 전달이 교육 업무의 위탁인지, 외부 기관이 자체 목적으로 이용하는 제3자 제공인지 구분하고, 수신자·항목·보유기간·삭제 방식까지 확인한 뒤 전송하는 것이 핵심입니다.
명단을 보내기 전에
‘왜 필요한가·누가 쓰는가·언제 지우는가’를 먼저 확인하세요.
‘왜 필요한가·누가 쓰는가·언제 지우는가’를 먼저 확인하세요.
📌 먼저 확인할 핵심
확정급여형(DB형) 또는 확정기여형(DC형) 퇴직연금제도를 설정한 사용자는 가입자에게 매년 1회 이상 교육해야 합니다. 이 교육을 퇴직연금사업자나 전문기관에 맡기더라도 회사가 보유한 직원 명단을 아무 범위로나 전달해도 된다는 뜻은 아닙니다. 실제 교육 진행에 필요한 사람과 항목만 골라야 합니다.
가장 먼저 확인할 것은 외부 기관의 역할입니다. 회사의 지시에 따라 교육 안내, 수강 관리, 이수 결과 회신만 수행한다면 개인정보 처리 업무의 위탁에 해당하는지 검토합니다. 반대로 외부 기관이 명단을 자체 마케팅, 상품 권유 또는 별도의 고객관리 목적으로 사용한다면 동일한 교육 업무로 묶지 말고 제3자 제공 여부와 별도 처리 근거를 확인해야 합니다.
따라서 실무 순서는 ‘파일부터 만들기’가 아니라 ① 교육 대상 확정 ② 외부 기관의 역할 확인 ③ 필요한 항목 결정 ④ 계약과 안내 확인 ⑤ 안전한 전송 ⑥ 결과 회수와 삭제 확인입니다.
🧭 1단계: 위탁인지 제3자 제공인지 구분하기
같은 퇴직연금사업자에게 보내는 명단이라도 이용 목적에 따라 판단이 달라질 수 있습니다. 교육 운영을 대신 수행하는 범위와 금융상품 안내·영업에 활용하는 범위를 한 파일과 한 동의로 섞지 않는 것이 중요합니다. 계약서의 명칭보다 실제로 누가 목적과 처리 방법을 결정하는지를 확인하세요.
| 확인 상황 | 검토 방향 | HR 확인사항 |
|---|---|---|
| 회사가 정한 대상자에게 교육 안내·수강 관리만 수행 | 개인정보 처리 업무 위탁 여부 검토 | 위탁 목적·범위·보호조치·재위탁·감독 조건 |
| 기관이 명단을 자체 상품 안내나 영업에 이용 | 제3자 제공 또는 별도 수집·이용 여부 검토 | 법적 근거, 고지·동의 필요 여부, 거부 시 영향 |
| 기존 가입자 정보로 기관이 직접 교육 | 기존 계약과 처리 목적 범위 확인 | 회사에서 새 명단을 보낼 필요와 중복 여부 |
| 교육 플랫폼 운영사가 다시 문자 발송업체를 이용 | 재위탁 구조 확인 | 재수탁자, 처리 항목, 국외 처리 여부, 종료 후 삭제 |
판단이 모호하면 파일 전송을 먼저 진행하지 말고 개인정보 보호책임자 또는 사내 법무·개인정보 담당자와 계약 및 실제 처리 흐름을 확인하는 편이 안전합니다.
🗂️ 2단계: 교육에 필요한 최소 항목만 정하기
개인정보 보호법은 목적에 필요한 최소한의 개인정보를 수집하도록 정하고 있습니다. 외부 전송 파일도 같은 관점에서 점검해야 합니다. ‘회사에 이미 있는 정보’와 ‘외부 교육 운영에 필요한 정보’는 같지 않습니다. 인사 원장 전체를 복사하지 말고 교육 대상자 파일을 별도로 만들어야 합니다.
| 항목 | 포함 판단 | 확인 포인트 |
|---|---|---|
| 성명 또는 사번 | 대상 식별에 필요한 하나의 기준 우선 | 동명이인 구분이 필요한지 확인 |
| 회사 이메일 또는 업무용 연락처 | 기관이 직접 안내할 때만 검토 | 회사 내부에서 안내하면 제외 가능 |
| 소속·가입 제도(DB/DC) | 교육 배정 또는 자료 구분에 필요할 때 포함 | 세부 직급·평가등급은 제외 |
| 가입일·교육 상태 | 보충교육·신규 가입자 구분에 필요한지 확인 | 정확한 날짜 대신 대상 구분값으로 충분한지 검토 |
| 주민등록번호·급여·계좌번호·적립금 | 교육 대상자 파일에서는 원칙적으로 제외 | 교육 이수 확인과 직접 관련되는지 재검토 |
외부 기관이 이미 가입자 정보를 보유하고 있다면 회사가 같은 명단을 다시 보내야 하는지도 확인합니다. 사업자별 대상자 수만 먼저 전달하고, 기관이 보유한 가입자 목록과 회사의 기준일 명단을 안전한 방식으로 대조하는 등 불필요한 중복 전송을 줄일 수 있습니다.
📝 3단계: 계약서와 개인정보 처리방침 확인하기
교육 운영을 개인정보 처리 업무로 위탁한다면 문서에 목적 외 처리 금지, 안전성 확보조치, 재위탁 제한, 관리·감독과 책임 등 필요한 사항이 반영되어 있는지 확인합니다. 계약서에 ‘개인정보 보호 준수’ 한 줄만 있는지보다 실제 처리 항목과 흐름을 식별할 수 있는지가 중요합니다.
🔎 계약서에서 찾아볼 항목
교육 대상자 명단의 이용 목적과 항목 · 열람 가능한 담당자 · 보관 장소와 기간 · 재위탁 여부 · 접근권한 관리 · 전송 및 저장 시 보호조치 · 사고 통지 절차 · 계약 종료 또는 목적 달성 후 반환·파기 · 회사의 점검 방법
회사는 개인정보 처리방침에 공개해야 할 위탁 업무와 수탁자 정보가 현재 계약 구조와 일치하는지도 확인합니다. 교육 플랫폼, 문자 발송, 이메일 발송처럼 재수탁이 있는 경우에는 최초 계약 상대방만 확인하고 끝내지 않습니다.
🔐 4단계: 파일 전송 전에 보호조치 적용하기
명단을 엑셀 첨부파일로 보내는 방식은 편리하지만 오수신, 재전달, 개인 기기 저장이 발생하기 쉽습니다. 가능하면 회사가 승인한 협업공간이나 교육관리시스템에서 수신자별 접근권한과 만료일을 설정하고, 누가 내려받았는지 확인할 수 있는 방법을 사용합니다.
| 전송 전 | 전송할 때 | 전송 후 |
|---|---|---|
| 퇴사자·비가입자·중복 행 제거 | 수신 주소와 담당자 재확인 | 수신·열람 가능 여부 확인 |
| 불필요한 열·숨김 시트·메모 삭제 | 승인된 보안 링크 또는 암호화 방식 사용 | 오수신 시 즉시 권한 회수 |
| 파일명에 민감한 표현 최소화 | 목적·재전달 금지·사용기한 안내 | 이수 결과 수령 후 원본 잔존 여부 점검 |
암호를 설정했다면 같은 메일 본문에 암호를 함께 쓰는 관행에 의존하지 말고 회사가 정한 별도 전달 절차를 적용합니다. 담당자의 개인 이메일, 개인 메신저, 공개 링크로 보내지 않으며, 여러 퇴직연금사업자에게 전달한다면 사업자별 대상자를 분리합니다.
✉️ 5단계: 수신자 안내문을 함께 보내기
파일만 보내면 외부 담당자가 사용 범위와 삭제 시점을 다르게 이해할 수 있습니다. 짧은 안내문에 교육명, 대상 기준일, 이용 목적, 허용된 처리 범위, 결과 회신일, 삭제 또는 반환 시점을 함께 적습니다.
💬 바로 사용할 수 있는 전달 문구
첨부 자료는 2026년 퇴직연금 가입자 교육의 대상 배정과 이수 확인을 위해 전달드립니다. 명단은 해당 교육 운영과 결과 회신 범위에서만 사용해 주시고, 다른 상품 안내나 별도 홍보 목적으로 이용하거나 권한 없는 담당자에게 재전달하지 말아 주세요. 9월 18일까지 교육 배정 오류를 확인해 주시고, 교육 종료 후에는 계약에서 정한 절차에 따라 명단을 반환 또는 파기한 뒤 처리 결과를 회신해 주세요. 대상자 정정이 필요한 경우 기존 파일을 별도로 보관하지 말고 지정된 보안 채널에서 최신 파일을 확인해 주세요.
날짜와 처리 범위는 실제 계약과 교육 일정에 맞게 바꾸어 사용하세요.
🔄 6단계: 정정·재전송은 ‘최신본 한 개’로 관리하기
입사, 퇴사, 휴직, 복직, 퇴직연금 가입 또는 제도 전환으로 명단이 달라지면 파일이 여러 번 오갈 수 있습니다. 이때 ‘최종’, ‘최종2’, ‘진짜최종’처럼 파일을 쌓아두면 과거 대상자가 계속 노출되고 어느 버전으로 교육했는지 확인하기 어렵습니다.
기준일과 버전번호를 정하고, 새 명단을 올릴 때 이전 공유 링크를 종료하거나 기존 파일을 교체합니다. 삭제된 사람, 새로 추가된 사람, 제도 유형이 바뀐 사람만 표시한 변경내역을 별도 보관하되, 외부 기관에는 업무에 필요한 최신 상태만 보여주는 방식이 실무적입니다.
권장 파일명 예시
2026_퇴직연금교육_대상자_기준일20260908_v1.xlsx
2026_퇴직연금교육_대상자_기준일20260908_v1.xlsx
🧾 7단계: 이수 결과와 삭제 확인을 분리하기
교육 종료 후에는 이수 결과를 받아 회사의 교육 기록을 갱신합니다. 이수자 명단, 미이수 사유, 수료일, 재교육 필요 여부처럼 회사가 확인해야 하는 자료와 외부 기관에 남아 있는 원본 대상자 파일의 처리 상태를 구분해 확인합니다.
‘교육이 끝났다’는 회신이 곧 명단 삭제를 의미하지는 않습니다. 계약에서 정한 보유기간과 파기 방식에 따라 운영계정, 담당자 PC, 내려받은 파일, 백업과 재수탁자 보유분이 어떻게 처리되는지 확인합니다. 법령이나 계약에 따라 보존이 필요한 기록이 있다면 그 근거·항목·기간을 구분하고, 그 밖의 불필요한 자료는 지체 없이 파기하도록 관리합니다.
✅ 종료 확인 항목
| 구분 | 확인 내용 | 체크 |
|---|---|---|
| 결과 수령 | 이수자·미이수자·오류 대상과 기준일 확인 | □ |
| 권한 종료 | 외부 담당자와 임시 계정 접근권한 회수 | □ |
| 파일 처리 | 원본·정정본·내려받은 파일 반환 또는 파기 확인 | □ |
| 재수탁 확인 | 문자·메일 발송 등 재수탁자 보유분 처리 확인 | □ |
🚨 잘못 보냈다면 이렇게 대응하세요
오수신을 발견하면 먼저 공유 링크를 중지하거나 계정을 잠그고, 수신자에게 열람·다운로드·재전달 여부와 삭제 사실을 확인합니다. 단순히 ‘메일 삭제 요청’을 보내고 끝내지 말고 포함된 항목, 대상 인원, 수신자, 접근 가능 시간과 실제 열람 여부를 파악합니다.
그 다음 사내 개인정보 침해사고 대응 절차에 따라 개인정보 보호책임자에게 보고하고, 유출 해당 여부와 필요한 후속조치를 검토합니다. 사고 수습과 별개로 자동완성 주소, 공유링크 기본권한, 파일 내 숨김 시트, 수신자 이중확인 절차 등 원인을 고쳐 같은 일이 반복되지 않게 합니다.
✅ 발송 전 최종 체크리스트
□ 이번 교육의 실제 대상자와 기준일을 확정했다.
□ 외부 기관의 역할이 위탁인지 제3자 제공인지 검토했다.
□ 계약서·개인정보 처리방침·재위탁 구조가 실제 운영과 일치한다.
□ 교육 운영에 필요하지 않은 열과 숨김 데이터까지 삭제했다.
□ 사업자별 대상자를 분리하고 수신 주소를 다시 확인했다.
□ 회사가 승인한 보안 전송 방식과 접근 만료일을 설정했다.
□ 목적·재전달 금지·정정 방식·결과 회신일을 함께 안내했다.
□ 교육 종료 후 권한 회수와 반환·파기 확인 담당자를 정했다.
□ 외부 기관의 역할이 위탁인지 제3자 제공인지 검토했다.
□ 계약서·개인정보 처리방침·재위탁 구조가 실제 운영과 일치한다.
□ 교육 운영에 필요하지 않은 열과 숨김 데이터까지 삭제했다.
□ 사업자별 대상자를 분리하고 수신 주소를 다시 확인했다.
□ 회사가 승인한 보안 전송 방식과 접근 만료일을 설정했다.
□ 목적·재전달 금지·정정 방식·결과 회신일을 함께 안내했다.
□ 교육 종료 후 권한 회수와 반환·파기 확인 담당자를 정했다.
🔗 함께 확인하면 좋은 글
❓ 자주 묻는 질문
Q1. 퇴직연금사업자에게 보내는 명단은 모두 제3자 제공인가요?
기관명만으로 일률적으로 판단하기 어렵습니다. 회사가 맡긴 교육 업무 범위에서 명단을 처리하는지, 기관이 자신의 별도 목적에도 이용하는지 실제 역할과 계약 구조를 먼저 확인해야 합니다.
Q2. 교육 안내를 위해 개인 휴대전화 번호를 보내도 되나요?
외부 기관이 문자 안내를 해야만 하는지부터 확인합니다. 회사 이메일이나 사내 공지로 충분하다면 개인 번호를 제외할 수 있습니다. 필요하다면 처리 근거와 계약, 수신자 범위, 이용 종료 시점을 함께 점검해야 합니다.
Q3. 암호가 걸린 엑셀 파일이면 이메일로 보내도 안전한가요?
암호 설정만으로 충분하다고 보기 어렵습니다. 수신 주소, 최소 항목, 암호 전달 경로, 다운로드 후 보관, 접근 종료와 오수신 대응까지 함께 관리해야 합니다. 가능하면 회사가 승인한 보안 공유공간을 우선 검토하세요.
Q4. 교육이 끝나면 외부 기관의 이수 기록도 모두 삭제해야 하나요?
법령이나 계약에 따라 보존해야 할 기록과 교육 배정을 위해 임시로 받은 원본 명단을 구분해야 합니다. 보유 근거·항목·기간을 확인하고, 목적이 끝난 불필요한 자료는 계약에서 정한 방법으로 반환 또는 파기하도록 관리합니다.
Q5. 명단을 잘못 보냈는데 상대방이 열지 않았다고 하면 끝인가요?
접근권한부터 차단하고 실제 열람·다운로드·재전달 가능성을 확인해야 합니다. 포함 정보와 인원, 수신자, 노출 시간을 정리해 사내 개인정보 사고 대응 절차에 따라 보고하고 필요한 조치를 검토하세요.
교육 운영과 개인정보 보호를 한 흐름으로 점검하세요
대상자 선정부터 외부 위탁, 안내, 이수 확인과 자료 정리까지 연결해야 반복 전송과 누락을 함께 줄일 수 있습니다.
👉 넛지EAP 도입 상담 바로가기 →📚 출처 및 안내
본 콘텐츠는 일반적인 퇴직연금 교육 운영 및 개인정보 보호 정보를 제공합니다. 외부 기관과의 개인정보 처리 관계, 처리 근거, 공개·고지·동의, 보유기간과 안전조치 수준은 실제 계약 구조와 처리 목적, 최신 법령 및 회사의 내부 기준에 따라 달라질 수 있습니다. 구체적인 사안은 개인정보 보호책임자, 관계기관 또는 전문가의 검토가 필요할 수 있습니다. 기준 확인일: 2026년 9월 8일.
댓글5
넛지EAP(관리자)- 익명3
- 익명2
- 익명1