직원의 개인정보를 거래처 같은 제3자에게 넘기려면 원칙적으로 직원 본인의 동의를 받아야 합니다. 법이 정한 예외에 해당하지 않는데도 동의 없이 넘겼다면 개인정보 보호법 위반으로 형사처벌 대상이 될 수 있고, 직원들은 신고와 손해배상 청구를 할 수 있습니다. 개인정보 보호법 제2조 제1호는 성명 등 살아 있는 개인을 알아볼 수 있는 정보를 개인정보로 정합니다. 같은 법 제17조 제1항은 개인정보처리자가 정보주체의 개인정보를 제3자에게 제공할 수 있는 경우를 정보주체의 동의를 받은 경우(제1호)와 제15조 제1항 제2호, 제3호 및 제5호부터 제7호까지에 따라 수집한 목적 범위에서 제공하는 경우(제2호)로 한정합니다. 그 사유는 법률에 특별한 규정이 있거나 법령상 의무를 지키기 위해 불가피한 경우, 공공기관의 소관 업무, 급박한 생명·신체·재산의 이익, 명백하게 정보주체의 권리보다 우선하는 정당한 이익, 공중위생 등 긴급한 경우입니다. 제17조 제2항은 동의를 받을 때 제공받는 자, 이용 목적, 항목, 보유 기간, 거부할 권리를 알리도록 합니다. 이름, 휴대전화 번호, 생년월일은 직원을 알아볼 수 있는 개인정보이고, 거래처는 회사 밖의 제3자입니다. 동의를 받은 적이 없다면 회사는 위 예외 사유 중 어느 것에 해당하는지를 밝힐 수 있어야 합니다. 근로계약을 이행하는 데 필요하다는 사유(제15조 제1항 제4호)는 수집·이용의 근거일 뿐, 제17조 제1항 제2호가 정한 제3자 제공 사유에는 들어 있지 않습니다. 거래처가 요청했다는 사정만으로는 이 예외에 해당한다고 보기 어렵습니다. 같은 조 제4항은 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체의 불이익 여부와 안전성 확보 조치 등을 고려해 대통령령으로 정하는 바에 따라 동의 없이 제공할 수 있는 길도 두고 있으므로, 회사가 이를 근거로 든다면 어떤 목적과 관련이 있는지 구체적으로 확인해야 합니다. 같은 법 제71조 제1호는 제17조 제1항 제2호에 해당하지 않음에도 동의 없이 개인정보를 제3자에게 제공한 자와 그 사정을 알면서 제공받은 자를 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다고 정합니다. 제39조 제1항은 정보주체가 이 법 위반으로 손해를 입으면 손해배상을 청구할 수 있고, 개인정보처리자는 고의 또는 과실이 없음을 입증하지 못하면 책임을 면할 수 없다고 정합니다. 제62조 제1항은 권리를 침해받은 사람이 개인정보보호위원회에 침해 사실을 신고할 수 있다고 정합니다. 먼저 회사에 어떤 근거로 어떤 정보를 누구에게 넘겼는지 서면으로 설명을 요구해 보세요. 넘어간 사실을 보여 주는 자료, 모르는 업체에서 온 연락 기록을 보관해 두시고, 필요하면 동료들과 함께 신고를 검토하시기 바랍니다. 구체적인 사안은 노무사와 상담하시기 바랍니다. ※ 2026년 10월 현행 법령을 기준으로 정리한 일반 정보입니다. 개별 사안은 전문가와 상담하세요.