CONTENTS Ⅰ 가이드라인 개요 6 Ⅱ 기본원칙 10 Ⅲ 개인정보 처리단계별 원칙 개인(신용)정보 수집 개인(신용)정보 이용 개인(신용)정보 제공 고유식별정보 및 민감정보의 처리 개인(신용)정보 처리 업무 위탁

Transcription

1

2

3 CONTENTS Ⅰ 가이드라인 개요 6 Ⅱ 기본원칙 10 Ⅲ 개인정보 처리단계별 원칙 개인(신용)정보 수집 개인(신용)정보 이용 개인(신용)정보 제공 고유식별정보 및 민감정보의 처리 개인(신용)정보 처리 업무 위탁 영업양도 양수에 따른 개인(신용)정보 이전 개인(신용)정보의 안전한 관리 개인정보 처리방침 수립 공개 개인정보 보호책임자 지정 개인(신용)정보의 파기 정보주체의 권리보장 개인(신용)정보 유출시 조치방법 53

4 금융분야 개인정보보호 가이드라인 Ⅳ 업종별 개인정보 처리 사례 공통 은행 보험 증권 71 참고 1. 개인정보보호 관계 법령 2. 관련 서식

5 Ⅰ 가이드라인 개요 >> 금융분야 개인정보보호 가이드라인

6 I 가이드라인 개요 금융분야 개인정보보호 가이드라인 1. 발간 배경 2. 발간 목적 3. 가이드라인 구성 4. 가이드라인 활용 및 저작권 표시

7 Ⅰ 가이드라인 개요 >> 금융분야 개인정보보호 가이드라인 1. 발간 배경 개인정보 보호에 대한 사회적 요구 증가 개인정보의 오 남용이나 해킹 등을 통한 유출 사건이 발생함에 따라 개인 정보 보호 강화를 위한 제도적 장치 마련 필요성 증가 일 국가사회 전반의 개인정보 처리에 대한 일반적 원칙과 기준을 규율하는 개인정보 보호법 제정( 일 시행) 금융기관의 개인정보 보호를 위한 명확한 기준 제시 필요 금융분야는 원활한 금융거래를 위한 정보보호 제도의 필요성을 인지하여 일찍 부터 신용정보법( 95), 금융실명법( 97), 전자금융거래법( 07) 등 금융관련 법령을 통해 개인정보보호에 관한 제도를 운영해 왔음 그러나, 11.9월부터 국가사회 전반의 개인정보 보호 원칙을 규율하는 개인 정보보호법이 시행됨에 따라 기존 금융관련 법령과 중첩되는 내용이나 새롭게 적용되는 내용 등과 관련하여 금융업 담당자들의 실무상 혼란을 방지할 수 있도록 명확한 기준을 제시할 필요 2. 발간 목적 금융업무 담당자의 개인정보처리 지원 관계 법령의 제정 취지 및 내용, 업종별 특수성 등을 종합적으로 고려, 금융업 담당자가 실무에 참고할 수 있는 개인정보 처리 기준 제시 6

8 e?e??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??e e?e??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??e h? h? h? h? h? h???ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??e??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??ee??e 개인정보보호법 조기 정착 은행, 보험, 증권 등 금융 분야의 단계별 개인정보 처리 기준 및 유의사항을 관련 질의응답 사례 등을 통해 이해하기 쉽게 설명 3. 가이드라인 구성 금융분야의 개인정보를 안전하게 관리하도록 하기 위하여 본 가이드라인에서 소개하는 주요 내용은 다음과 같음 Ⅰ 가 이 드 라 인 개 요 - 개인정보의 개념 및 보호원칙 - 개인정보 처리단계별 관리 : 수집, 이용, 제3자 제공, 위탁, 보관, 파기 등 - 금융분야 업종별 개인정보 처리 사례 : 공통, 은행, 보험, 증권, 기타 등 또한 금융권의 개인정보 처리방침 수립 및 이행을 위한 참고자료로 관련 서식 (예시) 및 개인정보 보호 관계 법령 소개 4. 가이드라인 활용 및 저작권 표시 본 가이드라인의 저작권은 안전행정부, 금융위원회, 금융감독원에 있음 누구나 개인정보보호 교육 및 안내 등의 목적으로 이 가이드라인을 활용 (인용 편집 포함) 할 수 있으며 - 이러한 경우 아래와 같이 출처 및 저작권 표시 출처: 금융분야 개인정보보호 가이드라인 (2013.7) g g g g g g???????? 금융분야 개인정보보호 가이드라인 7

9 Ⅰ 가이드라인 개요 >> 금융분야 개인정보보호 가이드라인

10 II 기본원칙 금융분야 개인정보보호 가이드라인 1. 법적용원칙 2. 개념정리및법적용관계 3. 개인정보보호 일반원칙

11 Ⅱ 기본원칙 >> 금융분야 개인정보보호 가이드라인 1. 법 적용 원칙 개인정보보호법은 국가사회 전반의 개인정보 보호와 관련한 일반적 원칙과 기준을 규정하고 있으며 다른 법령에서 특별히 규정하는 사항이 있으면 이에 따르도록 하고 있음 개인정보보호법 제6조 (다른 법률과의 관계) 개인정보 보호에 관하여는 정보통신망 이용촉진 및 정보보호 등에 관한 법률 (이하 정보 통신망법 이라 함), 신용정보의 이용 및 보호에 관한 법률 (이하 신용정보법 이라 함) 등 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따른다. 2. 개념 정리 및 법 적용 관계 1) 개념 구분 개인정보 란 살아있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보를 말함 - 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼수있는것을포함 위 그림은 개인정보보호법과 신용정보법에 따른 정보의 개념을 도식화한 것으로서 기타 금융 관계 법령 (전자금융거래법, 금융실명법 등)에서 별도로 규정하는 사항은 포함되지 않았음 10

12 개인신용정보 란 신용정보 중 개인의 신용도와 신용거래능력 등을 판단할 때 필요한 정보로서 기업 및 법인에 관한 정보를 제외한 개인에 관한 신용 정보를 말함 신용정보 는 금융거래 등 상거래에 있어서 거래 상대방의 신용을 판단할 때 필요한 정보. 다만, 신용 정보법 시행령 제2조제1항 단서에 따라 신용정보에 해당되지 않는 정보는 제외 개인신용정보의 종류 1. 특정 신용정보주체를 식별할 수 있는 정보 - 개인의 성명, 주소, 주민등록번호, 외국인등록번호, 여권번호, 성별, 국적 및 직업 등에 관한 사항(2호~5호까지의 어느 하나에 해당하는 정보와 결합되는 경우만 해당) Ⅱ 기 본 원 칙 2. 신용정보주체의 거래내용을 판단할 수 있는 정보 - 개인의 대출, 보증, 담보제공, 당좌거래(가계당좌거래 포함), 신용카드, 할부금융, 시설대여와 금융거래 등 상거래와 관련하여 그 거래의 종류, 기간, 금액 및 한도 등 에관한사항 3. 신용정보주체의 신용도를 판단할 수 있는 정보 - 금융거래 등 상거래와 관련하여 발생한 개인의 연체, 부도, 대위변제, 대지급과 거짓, 속임수, 그 밖의 부정한 방법에 의한 신용질서 문란 행위와 관련된 금액 및 발생 해소의 시기 등에 관한 사항 4. 신용정보주체의 신용거래 능력을 판단할 수 있는 정보 - 금융거래 등 상거래에서 신용거래능력을 판단할 수 있는 개인의 재산 채무 소득 의 총액 및 납세실적 5. 1호부터 제4호까지와 유사한 정보 - 개인과 관련한 법원의 심판 결정정보, 조세 또는 공공요금 등의 체납정보, 주민등 록에 관한 정보, 행정처분에 관한 정보 중 금융거래 등 상거래와 관련한 정보 및 기타 신용정보주체의 신용등급 등에 관한 사항으로서 금융위원회가 고시하는 정보 법인에 관한 정보가 개인정보에 해당하는지? - 법인등록번호 등 법인에 관한 정보는 개인정보보호법 적용대상이 아니지만, 임원, 직원 등의 정보는 개인정보에 해당하므로 필요한 조치를 하여야 함 - 다만, 법인등기부등본, 사업자등록증 그 자체는 개인에 대한 정보가 아니라 법인 이나 사업체 정보로 볼 수 있으므로, 비록 대표자의 성명 등 개인정보가 일부 포함되어 있더라도 개인정보보호법상 개인정보로 볼 수 없음 금융분야 개인정보보호 가이드라인 11

13 2) 적용 법률 개인신용정보 - 신용정보법을 우선 적용하고 신용정보법에 규정되어 있지 않은 사항은 개인정보 보호법을 적용하되, 전자금융거래법, 금융실명법 등 개별법에서 특별히 정하는 사항에 대해서는 해당 법률 적용 개인신용정보를 제외한 개인정보 (이하 그 밖의 개인정보 라 한다) - 금융실명법, 은행법 등 개별 법률에서 특별히 정하는 사항*을 우선 적용하고, 특별히 정하지 않은 사항에 대하여는 개인정보보호법 적용 * (예시) 금융실명법( 3), 은행법( 35의5), 자본시장법( 189), 금융지주회사법( 48의2) 등 신용정보 중 기업 법인에 관한 정보 (이하 그 밖의 신용정보 라한다) - 신용정보법을 우선 적용하되, 신용정보법 미적용 업종은 개별 법률 적용 신용정보법은 신용정보제공이용자, 신용정보집중기관 및 신용정보회사에 대하여 적용 개인신용정보 수집 이용 제공 고유식별정보처리 민감정보처리 위탁 이전 안전성 조치 개인정보처리방침 개인정보책임자 파기 정보주체의 권리보장 유출신고 및 통지 적용 법률 신용정보법 15, 16 개인정보보호법 15 신용정보법 323 4, 33, 34 신용정보법 32, 34 (수집시)신용정보법 15, 개인정보보호법 24 (이용 제공시)신용정보법 32~ 34 (수집시)신용정보법 16, 개인정보보호법 23 (이용 제공시)신용정보법 32~ 34 신용정보법 17 신용정보법 32 신용정보법 19 개인정보보호법 243 신용정보법 201 신용정보법 202 신용정보법 182 개인정보보호법 21 신용정보법 37, 38 개인정보보호법 34 12

14 3. 개인정보보호 일반원칙 개인정보 처리시에는 개인정보보호법에 따라 정보주체의 개인정보 자기 결정권 을 보장할 수 있도록 처리해야 함 - 이를 위해 개인정보의 수집 이용 제공 등이 정보주체의 동의 등 정당한 절차에 의하여 이루어지고 - 개인정보가 내부자의 고의나 관리 부주의 또는 외부의 공격으로 인해 유출 변조 훼손되지 않도록 안전하게 관리되어야 함 개인정보 자기결정권 Ⅱ 기 본 원 칙 - 자신에 관한 정보가 어떤 목적으로, 언제, 어느 범위까지 타인에게 전달되고 이용될 수 있는지를 해당 정보주체가 스스로 결정할 수 있는 권리로서 - 자신의 개인정보 수집 출처, 처리 목적에 대해 고지 받을 권리와 개인정보의 정정 및 삭제, 이의제기등을할수있는권리를포함함 OECD 권고를 반영하여 개인정보보호법 제3조에서는 개인정보보호 일반원칙을 아래와 같이 규정 개인정보보호 원칙 개인정보보호법 목적에 필요한 최소한 범위안에서 적법하고 정당하게 수집 처리목적 범위 안에서 정확성 안전성 최신성 보장 처리목적의 명확화 필요 목적 범위 안에서 적법하게 처리, 목적 외 활용 금지 정보주체의 권리침해 위험성 등을 고려, 안전성 확보 개인정보 처리사항 공개 열람청구권 등 정보주체의 권리보장 개인정보처리자의 책임준수 실천, 신뢰성 확보 노력 OECD 가이드라인 수집 제한의 원칙 정보 정확성의 원칙 목적 명확화 원칙 이용 제한의 원칙 안전 보호의 원칙 공개의 원칙 개인 참여의 원칙 책임의 원칙 금융분야 개인정보보호 가이드라인 13

15 Ⅰ 가이드라인 개요 >> 금융분야 개인정보보호 가이드라인

16 III 개인(신용)정보 처리단계별 원칙 금융분야 개인정보보호 가이드라인 1. 개인(신용)정보 수집 2. 개인(신용)정보 이용 3. 개인(신용)정보 제공 4. 고유식별정보 및 민감정보의 처리 5. 개인(신용)정보 처리 업무 위탁 6. 영업양도 양수에 따른 개인(신용)정보 이전 7. 개인(신용)정보의 안전한 관리 8. 개인정보 처리방침 수립 공개 9. 개인정보 보호책임자 지정 10. 개인(신용)정보의 파기 11. 정보주체의 권리보장 12. 개인(신용)정보 유출시 조치방법

17 Ⅲ 개인(신용)정보처리단계별원칙 >> 금융분야 개인정보보호 가이드라인 1 적용 원칙 개인(신용)정보의 수집에 대하여는 신용정보법 제15조 및 제16조, 개인정보보호법 제15조에 따라야 함 민감정보(건강에 관한 정보, 범죄경력정보 등)와 고유식별정보(주민등록번호, 여권번호 등)의 수집에 대하여는 본 가이드라인 25~27쪽 참조 개인(신용)정보 수집 원칙 개인(신용)정보 중 정보주체와의 계약 체결 및 이행에 불가피한 정보와 거래 상대방의 신용도와 신용거래능력 등을 판단할 때 필요한 정보는 정보주체의 동의를 받지 않아도 수집 가능 - 단, 관계 법령 및 정관에서 정한 업무 범위에서 수집 조사의 목적을 명확하게 하고 그 목적 달성에 필요한 범위에서 합리적이고 공정한 수단을 사용하여야 함 위 내용은 정보주체로부터 개인(신용)정보를 직접 수집하는 경우에 한하며 제3자로부터 개인(신용) 정보를 수집하는 경우에는 본 가이드라인 19쪽 참조 위와 같이 개인(신용)정보 수집시 동의를 요하지 않는 경우를 제외하고 원칙적 으로 개인(신용)정보는 정보주체의 동의를 받아 수집 - 정보주체에게 1수집 이용의 목적, 2수집 항목, 3보유 및 이용기간, 4동의 거부권이 있다는 사실 및 동의 거부 시의 불이익이 있다면 그 내용을 모두 알리고 동의를 받아야 함 만14세 미만의 정보주체로부터 동의를 받고자 할 경우 개인정보보호법에 따라 법정대리인에게 고지 사항을 모두 알리고 동의를 받아야 함 금융기관이 정보주체로부터 직접 수집한 정보 외에 업무수행 과정에서 생성한 정보(금융거래 내역 등)도 개인(신용)정보의 수집 행위에 해당 16

18 - 따라서, 정보주체와의 계약 또는 거래에 불필요한 정보를 생성하고자 하는 경우에는 해당 정보주체의 동의를 받아야 함 개인정보 수집시 정보주체의 동의를 요하지 않는 경우는? 1 법률에 특별한 규정이 있거나 법령상 의무 준수를 위해 불가피한 경우 은행법 제52조의2에 따른 불공정영업행위 금지에 관한 사항을 준수하기 위해 연락처, 계좌번호 등 개인정보를 수집하는 경우 등 2 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우 계좌이체거래를 위해서 수신자의 계좌번호를 수집하는 경우, 보험계약체결을 위하여 고객의 성명, 연락처 등 개인정보를 수집하는 경우, 계약의 특성상 거래 상대방의 신용도와 신용거래능력 등 판단이 필요한 금융거래의 경우 등 Ⅲ 개 3 의사불능, 주소불명 등으로 사전 동의를 받을 수 없는 경우로, 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우 의식불명, 재난상태에 따른 고립, 주소불명, 연락처 불분명 등 불가피한 사유로 사전에 동의를 받을 수 없는 경우 해당 다만 사전동의를 받을 수 있는 경우나 급박하지 않은 경우는 해당하지 않음 4 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우 금융기관이 향후 소송이나 분쟁이 예상되는 민원에 대하여 민원제기 내역 및 대처기록 등의 자료를 기록 보관 인( 신 용) 정 보 처 리 단 계 별 원 칙 개인정보 수집에 대하여 정보주체의 동의를 받을 때는? - 수집 제공, 목적외 이용 제공, 고유식별정보 처리, 민감정보 처리, 마케팅이용 등 각각 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의 - 정보주체의 동의 없이 처리할 수 있는 개인정보와 정보주체의 동의가 필요한 개인정보를 구분하여야 함 - 홍보하거나 판매를 권유하기 위하여 동의를 받으려는 때에는 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 함 - 개인정보처리자는 정보주체가 선택적으로 동의할 수 있는 사항을 동의를 하지 않았다는 이유로 정보주체에게 기본적인 서비스의 제공을 거부할 수 없음 금융분야 개인정보보호 가이드라인 17

19 수집시 주의 사항 개인(신용)정보를 수집할 때에는 목적을 명확히 하고, 그 목적 달성에 필요한 최소한의 정보를 합리적으로 공정한 수단을 통해 수집하여야 함 - 필요 최소한의 정보인지 여부에 대한 입증 책임은 금융기관이 부담 - 필요 최소한의 정보 외의 개인(신용)정보 수집에 동의하지 않는다는 이유로 고객 에게 기본적 재화 및 서비스 제한 등의 불이익을 주어서는 안 됨 신용정보회사등은 신용정보와 관계없는 사생활에 관한 정보, 확실하지 않은 개인신용정보, 다른 법률에 따라 수집이 금지된 정보 등 신용정보법 제16조에 따라 수집이 금지되는 정보를 수집할 수 없음 필수정보와 선택정보? - 계약의 체결 및 이행을 위하여 불가피하게 필요한 정보에 해당하여 정보주체 동의 없이 수집 이용할 수 있는 필수정보의 범위는 해당 계약의 구체적 목적과 내용에 따라 개인정보처리자의 입증 책임 하에 개별적으로 판단하여야 함 - 다만, 해당 계약의 체결 이행과 직접적인 관계가 없는 부가적인 서비스 제공 또는 상품 소개 구매 권유 등의 목적으로 수집하는 정보는 필수정보로 볼 수 없으므로 해당 정보주체의 동의 없이 이를 수집 이용할 수 없음 (예시) 필수정보 및 선택정보 필수정보 - 가입제한이 없는 거래 : 성명, 연락처(집 또는 직장주소, 유무선 전화번호, 이메일 중 선택 가능) - 가입제한이 있는 거래 : 가입자격을 증명할 수 있는 정보(특정 직종 종사자나 특정 자격 요건에 해당하는 자를 가입 대상으로 하는 금융상품의 경우는 해당 가입자격을 증명할 수 있는 정보) 금융실명법에 따라 실명확인 의무가 있는 금융거래의 경우에는 주민등록번호도 필수정보에 포함 선택정보 - 부가서비스 제공을 위한 정보 : 금리혜택, 수수료면제, 자산관리 - 마케팅 홍보를 위한 정보 : 다른 상품에 대한 홍보 및 구매권유 18

20 정보주체가 아닌 제3자로부터 수집하는 경우 금융기관이 정보주체가 아닌 다른 사람 또는 기관을 통해 개인(신용)정보를 수집하거나 제공받는 경우에는 해당 정보가 적법하고 적정한 수단에 의해 수집된 정보인지를 확인하는 것이 바람직 - 의심되는 정황이 있는 경우 개인(신용)정보 제공자에게 동의 사실을 증명할 수 있는 자료 제출을 요구하거나 정보주체의 동의 여부 확인을 요청 부정한 수단이나 방법으로 그 개인정보를 수집한 사정을 알면서도 제공받은 경우에는 개인정보보호법 제71조제5호 위반에 따른 처벌이 적용될 수 있음 개인(신용)정보의 부정수집에 가담하거나 부정 수집된 개인(신용)정보인 것을 알면서도 취득해서는 안 됨 Ⅲ 개 인( 신 (예시) 금융회사의 개인정보 수집서식 정비 우수 사례 필수정보와 선택정보를 구분하여 표시 별도의 칸, 색상, 문자 형태 등으로 구분하여 표시 수집 목적을 명확히 하고 불필요한 개인정보의 수집을 최소화 개인정보의 수집 이용 목적을 구체적으로 적시하고, 당해 목적 수행에 불필요한 개인정보 수집 항목은 삭제 제3자 제공에 관한 고지사항을 구체적으로 표시 개인정보를 제공받는 자, 제공받는 자의 이용목적, 제공하는 항목, 보유 및 이용기간 등을 명확히 표시 예시) 관련 제휴사 등 과 같이 포괄적으로 표시하지 않고 구체적으로 해당 업체명을 기재, 특히 마케팅 목적 제공에 대하여는 고객이 명확히 인지할 수 있도록 구체적으로 표시 용) 정 보 처 리 단 계 별 원 칙 보유기간 및 이용기간을 명확히 표시 제휴회사의 마케팅 활용 목적이 포함된 개인정보 제공 동의서에 당해 제휴 회사가 그 개인정보를 보유 이용할 수 있는 기간을 특정하여 명확히 기재 예시) 계약 체결 후 3년, 개인정보 수집일로부터 1년 등 금융분야 개인정보보호 가이드라인 19

21 2 적용 원칙 개인신용정보는 신용정보법 제32조 제33조 제34조에 따라 이용할 수 있으며, 그 밖의 개인 정보는 개인정보보호법 제15조 및 제18조에 따라 이용 가능 개인신용정보의 이용 및 제한 개인신용정보는 해당 신용정보주체가 신청한 금융거래 등 상거래관계의 설정 및 유지 여부 등을 판단하기 위한 목적으로만 이용하여야 함 다만, 다음의 어느 하나의 경우에는 목적외 이용 가능(신용정보법 제33조) 1. 개인이 제32조제1항 각 호의 방식으로 이 조 각 호 외의 부분 본문에서 정한 목적 외의 다른 목적에의 이용에 동의한 경우 2. 개인이 직접 제공한 개인신용정보(그 개인과의 상거래에서 생긴 신용정보를 포함한다) 를 제공받은 목적으로 이용하는 경우(상품과 서비스를 소개하거나 그 구매를 권유할 목적으로 이용하는 경우는 제외한다) 3. 제32조제4항 각 호의 경우 <본 가이드라인 23쪽. 신용정보법 제32조제4항 각 호 참조> 개인신용정보의 조회 신용조회회사 또는 신용정보집중기관으로부터 개인신용정보를 조회 하려는 자는 다음의 사항들을 알리고 서면 등의 방법으로 동의를 받아야 함 (신용정보법 제32조제2항 및 제3항) 1 제공하는 자, 2 제공받는 자의 이용 목적, 3 제공받는 개인신용정보의 항목, 4 제공받는 것에 대한 동의의 효력기간 신용조회회사 및 신용정보집중기관은 해당 개인신용정보를 제공받으려는 기관이 동의를 받았는지 확인해야 함 20

22 그 밖의 개인정보 의이용및제한 개인정보를 이용하는 경우 개인정보는 당초 수집한 목적 범위 내에서 이용 가능(개인정보보호법 제15조) 본 가이드라인 16쪽 1. 개인(신용)정보 수집 참조 당초 수집 목적 외로 이용하는 경우 정보주체의 별도 동의를 받아야 함 - 다만, 다음의 어느 하나에 해당하는 경우 정보주체의 별도 동의가 없어도 개인 정보를 목적 외로 이용 가능(개인정보보호법 제18조) Ⅲ 1. 다른 법률에 특별한 규정이 있는 경우 2. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우 3. 통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공하는 경우 4. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의 의결을 거친 경우 5. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우 6. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우 7. 법원의 재판업무 수행을 위하여 필요한 경우 8. 형( 刑 ) 및 감호, 보호처분의 집행을 위하여 필요한 경우 4호~8호까지는 공공기관인 금융기관에서 개인정보를 이용하는 경우만 적용 개 인( 신 용) 정 보 처 리 단 계 별 원 칙 - 이 경우 목적 외로 이용하는 경우라도 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 없어야 함 금융분야 개인정보보호 가이드라인 21

23 3 적용 원칙 개인신용정보는 신용정보법 제32조 및 제34조에 따라 제공할 수 있으며, 그 밖의 개인정보는 개인정보보호법 제17조 및 제18조에 따라 제공 가능 개인신용정보의 제공 신용정보제공 이용자는 개인신용정보를 타인에게 제공하려는 경우 원칙적 으로 신용정보법 제32조제1항에 따라 정보주체에게 미리 동의를 받아야 함 - 동의를 받는 경우 다음 사항을 모두 알리고 동의를 받아야 함 1 제공받는 자, 2 제공받는 자의 이용목적, 3 제공하는 개인신용정보 내용, 4 제공받는 자의 개인신용정보 보유 및 이용기간 동의를 얻는 수단은? 1. 서면 2. 공인전자서명이 있는 전자문서 3. 개인신용정보의 제공 내용 및 제공 목적 등을 고려하여 정보 제공 동의의 안정성과 신뢰성이 확보될 수 있는 유무선 통신으로 개인비밀번호를 입력하는 방식 4. 유무선 통신으로 동의 내용을 해당 개인에게 알리고 동의를 받는 방법. 이 경우 본인 여부 및 동의 내용, 그에 대한 해당 개인의 답변을 음성녹음하는 등 증거 자료를 확보 유지하고 사후 고지 (신용정보법 제32조제1항) 유무선 통신에는 PDA, 스마트 폰 등 유무선 통신기기 활용 등 포함 동의 방식의 특성상 동의 내용을 전부 표시하거나 알리기 어려운 경우에는 해당 기관의 인터넷 홈페이지 주소나 사업장 전화번호 등 동의 내용을 확인할 수 있는 방법을 안내하고 동의를 받을 수 있다.(신용정보법 시행령 제28조제2항) - 개인신용정보를 제공한 신용정보제공 이용자는 미리 동의를 받았는지에 대한 다툼이 있는 경우 이를 증명하여야 함 22

24 다만, 신용정보법 제32조제4항에서 정하고 있는 바에 따라 동의 없이 제공 가능 1. 신용정보회사가 다른 신용정보회사 또는 신용정보집중기관과 서로 집중관리 활용하기 위하여 제공하는 경우 2. 계약의 이행에 필요한 경우로서 제17조제2항에 따라 신용정보의 처리를 위탁하기 위하여 제공하는 경우 3. 영업양도 분할 합병 등의 이유로 권리 의무의 전부 또는 일부를 이전하면서 그와 관련된 개인신용정보를 제공하는 경우 4. 채권추심(추심채권을 추심하는 경우만 해당한다), 인가 허가의 목적, 기업의 신용도 판단, 유가증권의 양수 등 대통령령으로 정하는 목적으로 사용하는 자에게 제공하는 경우 5. 법원의 제출명령 또는 법관이 발부한 영장에 따라 제공하는 경우 6. 범죄 때문에 피해자의 생명이나 신체에 심각한 위험 발생이 예상되는 등 긴급한 상황에서 제5호에 따른 법관의 영장을 발부받을 시간적 여유가 없는 경우로서 검사 또는 사법 경찰관의 요구에 따라 제공하는 경우. 이 경우 개인신용정보를 제공받은 검사는 지체 없이 법관에게 영장을 청구하여야 하고, 사법경찰관은 검사에게 신청하여 검사의 청구로 영장을 청구하여야 하며, 개인신용정보를 제공받은 때부터 36시간 이내에 영장을 발부 받지 못하면 지체 없이 제공받은 개인신용정보를 폐기하여야 한다. 7. 조세에 관한 법률에 따른 질문 검사 또는 조사를 위하여 관할 관서의 장이 서면으로 요구하거나 조세에 관한 법률에 따라 제출의무가 있는 과세자료의 제공을 요구함에 따라 제공하는 경우 8. 국제협약 등에 따라 외국의 금융감독기구에 금융회사가 가지고 있는 개인신용정보를 제공하는 경우 9. 그 밖에 다른 법률에 따라 제공하는 경우 Ⅲ 개 인( 신 용) 정 보 처 리 단 계 별 원 칙 - 이 경우 개인신용정보의 제공사실 및 이유 등을 신용정보법 시행령 제28조제9항에 따라 서면, 전화(휴대전화 문자메시지를 포함), 전자우편 또는 금융위원회가 정하여 고시하는 방법으로 해당 정보주체에게 알려야 함 - 다음 어느 하나에 해당하는 경우 인터넷 홈페이지나 게시판에의 게재 또는 사무실 점포 등에서의 비치 열람 등의 방법으로 대신할 수 있음 1. 신용정보회사등의 고의 또는 과실 없이 신용정보주체의 주소 또는 거소 등을 알 수 없는 경우 2. 신용정보의 특성, 제공 대상자, 제공 경위 및 제공 목적 등을 고려하여 공시하는 것이 적정하다고 금융위원회가 인정하여 고시하는 경우(법 제32조제4항제1호부터 제3호까지 및 제7호에 따른 정보만 해당한다) 금융분야 개인정보보호 가이드라인 23

25 그 밖의 개인정보의 제공 개인정보를 제공하는 경우에도 원칙적으로 동의(목적외 제공은 별도 동의)를 받아야 하나, - 다음의 어느 하나에 따라 수집된 개인정보는 당초 수집 목적 범위 내에서 정보 주체의 동의 없이 제공 가능(개인정보보호법 제17조) 1. 법률의 특별한 규정 또는 법령에서 정하는 의무준수를 위해 불가피한 경우 2. 공공기관이 법령 등에서 정하는 소관업무 수행을 위해 불가피한 경우 3. 정보주체 또는 제3자의 급박한 생명 신체 재산의 이익을 위하여 필요한 경우로서 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우 본 가이드라인 16쪽 1. 개인(신용)정보 수집 참조> 다음의 어느 하나에 해당하는 경우 정보주체의 별도 동의가 없더라도 개인 정보를 목적 외로 제공 가능(개인정보보호법 제18조) 1. 다른 법률에 특별한 규정이 있는 경우 2. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우 3. 통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공하는 경우 4. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에 서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의 의결을 거친 경우 5. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우 6. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우 7. 법원의 재판업무 수행을 위하여 필요한 경우 8. 형( 刑 ) 및 감호, 보호처분의 집행을 위하여 필요한 경우 4호~8호까지는 공공기관인 금융기관에서 개인정보를 제공하는 경우만 적용 - 위 경우에 해당하여 개인정보를 목적 외로 제3자에게 제공하는 경우라도 정보 주체 또는 제3자의 이익을 부당하게 침해할 우려가 없어야 함 24

26 4 적용 원칙 고유식별정보의 수집은 신용정보법 제15조 및 개인정보보호법 제24조 적용, 민감정보 수집은 신용정보법 제16조 및 개인정보보호법 제23조 적용 고유식별정보 및 민감정보의 이용 제공에 대하여 신용정보법 제32조부터 제34조 적용 고유식별정보의 처리 개인정보보호법에 따른 고유식별정보에는 주민등록번호, 외국인등록번호, 여권번호, 운전면허번호가 있음(개인정보보호법 제24조제1항) - 고유식별정보는 신용정보법에 따른 개인신용정보 중 개인식별정보에 포함됨(신용 정보법 제2조제2호 및 제34조제1항, 시행령 제29조) 개인정보보호법과 신용정보법상의 고유식별정보, 개인식별정보란? 개인정보보호법에 따른 고유식별정보 주민등록번호, 운전면허번호, 여권번호, 외국인등록번호 신용정보법에 따른 개인식별정보 개인의 성명, 주소, 주민등록번호, 외국인등록번호, 국내거소신고번호, 여권번호, 성별, 국적 등 개인을 식별할 수 있는 정보 Ⅲ 개 인( 신 용) 정 보 처 리 단 계 별 원 칙 신용정보법 제15조는 신용정보(고유식별정보 등 포함)의 수집 조사 원칙을 규정하고 있으나, 구체적 수집 절차에 대한 명시적 규정은 없으므로 고유 식별정보 수집에 대하여는 개인정보보호법 제24조제1항을 적용 - 금융실명법 등 관계 법령에서 구체적으로 요구 허용하는 경우 외에는 정보주체 로부터 다른 개인정보 처리에 대한 동의와 별도로 동의를 받아야 함 고유식별정보의 처리를 법령에서 구체적으로 요구 허용하는 경우의 예 금융실명거래를 위한 고유식별정보 수집 이용(금융실명거래 및 비밀보장에 관한 법률 제3조) - 금융회사등이 거래자의 실지명의(실명)으로 금융거래를 하기 위하여 주민등록표 또는 등록외국인기록표 등에 기재된 주민등록번호나 외국인등록번호를 수집 이용하는 경우에는 정보주체의 동의를 필요로 하지 않음 금융분야 개인정보보호 가이드라인 25

27 신용정보법 제32조부터 제34조까지의 규정에 따라 고유식별정보가 포함된 개인신용정보(또는 개인식별정보)를 이용 제공하는 경우에는 신용정보법의 해당 규정에 따라 이용 제공 원칙적으로 해당 개인의 동의를 받아야 하며, 해당 조항이 정하고 있는 예외 사유에 포함되는 경우에는 동의 없이 제공 가능 (13쪽 3. 개인신용정보 제공 참조) 고유식별정보를 당초 수집 목적과 다른 용도로 이용하는 경우(상품소개 및 구매권유, 홍보 등)에는 개인정보보호법 제24조에 따라 다른 법령에서 구체적 으로 허용하거나 정보주체의 별도 동의를 받은 경우에만 처리 가능 민감정보의 처리 민감정보는 개인정보 보호법 제23조에 따라 정보주체의 별도의 동의를 얻거나 법령에서 민감정보의 처리를 요구하거나 허용하는 경우에 한해 처리 가능 - 개인정보보호법에 따른 민감정보는 사상 신념, 노동조합 정당의 가입탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 유전정보, 범죄경력자료에 해당하는 정보가 있음(개인정보보호법 제23조) 다만, 신용정보회사등은 신용정보법 제16조에 따라 개인의 정치적 사상, 종교적 신념, 그 밖에 신용정보와 관계없는 사생활에 관한 정보의 수집 조사 금지되는 바, 이에 해당하는 정보는 정보주체의 동의를 받더라도 수집해서는 안됨 - 신용정보법에 예시되어 있지 않으나 노동조합 정당의 가입탈퇴, 성생활정보 등도 신용정보와 관계없는 사생활 정보로 볼 수 있으므로 수집 금지 정보에 해당 직업 등을 수집하면서 정당인 종교인임을 알게되거나, 세금우대통장 개설을 통해 장애인 고엽제 피해자 5/18민주화운동 부상자 등임을 알게 되는 등 간접적으로 사생활 정보를 알게 된 경우까지 처벌하는 것은 아님 개인의 질병에 관한 정보는 신용정보법 제16조에 따라 보험회사가 그 정보가 필요한 보험의 계약 및 보험금 지급 업무와 관련하여 본인 동의하에 수집 이용 가능 벌금 등의 체납 관련 정보는 신용정보법 시행령 제2조제1항에 따라 일반 개인신용정보의 범위에 포함되므로 본인 동의 하에 수집 이용 가능 26

28 개인정보보호법과 신용정보법상의 민감정보란? 개인정보보호법에 따른 민감정보 사상 신념, 노동조 정당의 가입탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 유전정보, 범죄경력자료 신용정보법에 따른 수집 조사 및 처리제한 정보 정치적 사상, 종교적 신념, 그 밖에 신용정보와 관계 없는 사생활에 관한 정보 신용정보법 제32조부터 제34조까지의 규정에 따라 민감정보가 포함된 개인 신용정보(또는 개인식별정보)를 이용 제공하는 경우에는 신용정보법의 해당 규정에서 정하는 바에 따라 이용 제공 원칙적으로 해당 개인의 동의를 받아야 하며, 해당 규정이 정하고 있는 예외 사유에 포함되는 경우에는 동의 없이 제공 가능<본 가이드라인 13쪽 3. 개인신용정보 제공 참조> Ⅲ 개 보험업에서의 질병에 관한 개인정보 부당이용 금지 - 보험계약과 관련하여 보험계약자 등으로부터 제공받은 질병에 관한 개인정보를 이용하여 순보험료의 산출 적용업무에 종사하는 자는 그 업무상 알게 된 개인 정보를 누설, 타인 제공 등 부당한 목적으로 사용할 수 없음(보험업법 제177조) 보험업에서의 건강정보(진료기록) 제공 - 보험회사등은 의료기관으로부터 자동차보험진료수가를 청구받은 경우 그 의료 기관에 대해 관계 진료기록의 열람을 청구할 수 있고 의료기관은 정당한 사유가 없는 한 이에 응해야 하며, 이때 정보주체의 동의는 필요하지 않음 (자동차손해배상 보장법 제14조제1항) 인( 신 용) 정 보 처 리 단 계 별 원 칙 궁금해요! 본인확인을 위해 신분증을 제출받아 주민번호를 단순 확인 또는 열람하는 경우도 동의를 얻어야 하는지? A 고객의 본인확인을 위하여 해당고객으로부터 직접 신분증을 받아 확인 후 돌려주거나 고객DB를 조회하여 단순히 본인인지 여부를 확인후 다시 돌려주는 행위는 정보주체의 동의 없이 가능함 또한 방문객이 사무실 출입을 위해 신분증을 맡기고 안내데스크에서 이를 단순 보관하는 행위도 개인정보의 수집행위는 아니므로 별도 동의없이 가능함 금융분야 개인정보보호 가이드라인 27

29 5 적용 원칙 개인신용정보 처리 업무 위탁은 신용정보법 제17조가 적용되고, 그 밖의 개인정보 처리 업무 위탁은 개인정보보호법 제26조가 적용 기타 금융관계 법령에서 업무위탁 관련 사항을 별도 규정하고 있는 경우 해당 법령을 적용함 신용정보(개인신용정보 포함) 처리에 대한 업무 위탁 신용정보회사등은 신용정보법에 따라 그 업무 범위에서 의뢰인의 동의를 받아 다른 신용정보회사등에 신용정보의 수집 조사를 위탁 가능 - 위 동의는 위탁자체에 대한 동의를 말하며, 이를 위하여 개인정보를 수탁자에게 제공하는 것은 동의 없이 제공 가능 신용정보회사등은 수집된 신용정보의 처리를 자본금이 1억원 이상인 기업 으로서 금융위원회가 정하여 고시하는 기준에 따라 신용정보의 처리를 적정 하게 수행할 수 있는 인력 및 물적 시설과 보안대책을 갖춘 자 에게 위탁할 수있음 - 신용정보법 시행령 제14조제2항에서 정하는 자가 수집된 신용정보의 처리를 법 제17조제2항에 따라 위탁하고자 하는 경우에는 신용정보업감독규정 제15조에 따라 그 사실을 위탁계약체결 예정일로부터 7영업일 이전에 동규정 별지 제9호 서식에 따라 다음 각 호의 서류를 첨부하여 금융감독원에 보고하여야 함 1. 신용정보 처리 위탁관련 계약서(법 제19조제2항에 따른 신용정보 보안관리 대책을 포함 하여야 한다.) 사본 2. 위탁대상회사의 인력 및 물적시설에 대한 사항 3. 신용정보 처리 위탁의 기준 4. 신용정보 처리 위탁의 필요성 및 기대효과 28

30 신용정보의 처리 위탁에 따라 신용정보를 제공하는 경우에는 법 제19조제2항 및 신용정보업감독규정 제21조에 따라 신용정보제공계약에 포함될 다음의 신용정보 보안관리 대책을 포함하여야 함 - 제공되는 신용정보의 범위 및 제공 이용 목적 - 제공된 신용정보의 업무목적외 사용 및 제3자 제공 금지에 관한 사항 - 제공된 신용정보의 이용자 제한 및 전담 관리자 지정에 관한 사항 - 신용정보제공 이용자간 신용정보 송수신시 정보유출 방지에 관한 사항 - 신용정보의 사용 보관 기간 및 동 기간 경과 후 신용정보의 폐기 반납에 관한 사항 - 가목부터 마목까지를 위반한 경우의 책임소재 및 제재에 관한 사항 - 수탁자에 대한 관리 감독에 관한 사항 - 신용정보주체의 신용정보 보호 및 비밀유지에 관한 사항 - 신용정보 처리 재위탁의 제한에 관한 사항 - 그 밖에 신용정보 보호를 위하여 필요한 사항 신용정보 처리를 위탁하는 경우에는 신용정보법 시행령 제27조에 따라 그 업무의 내용 및 수탁자 등을 아래의 방법으로 공시하여야 함 1. 점포 사무소 안의 보기 쉬운 장소에 갖춰 두고 열람하게 하는 방법 2. 해당 기관의 인터넷 홈페이지를 통하여 해당 신용정보주체가 열람할 수 있게 하는 방법 Ⅲ 개 인( 신 용) 정 보 처 리 단 계 별 원 칙 신용정보법상의 처리 와 개인정보보호법상의 처리 의 구분 신용정보법 개인정보보호법 법적근거 신용정보법 제2조제13호 개인정보보호법 제2조제2호 가. 컴퓨터를 이용하여 신용정보를 입력 저장 가공 편집 검색 삭제 또는 출력하는 행위 나. 신용정보를 배달 우송 또는 전송 등의 방법으로 타인에게 제공하는 행위 다. 그 밖에 가목 또는 나목과 비슷한 행위 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정( 訂 正 ), 복구, 이용, 제공, 공개, 파기( 破 棄 ), 그 밖에 이와 유사한 행위 금융분야 개인정보보호 가이드라인 29

31 그 밖의 개인정보 처리에 대한 업무 위탁 개인정보 처리 업무 위탁 방법 1 위탁에 관한 사항 공개 위탁업무 내용과 개인정보 처리업무 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 홈페이지 등을 통해 공개 2 개인정보처리업무를 위탁하는 경우 아래 사항이 포함된 문서에 의하여야 함 다음의 사항을 계약서에 포함하는 것도 가능 안전행정부에서 발간한 표준위탁계약서 참조(참고 2) - 위탁업무 수행 목적 외 개인정보의 처리금지에 관한 사항 - 개인정보의 기술적 관리적 보호조치에 관한 사항 - 위탁업무의 목적과 범위 및 재위탁 제한에 관한 사항 - 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항 - 위탁업무와 관련하여 보유하고 있는 개인정보의 관리현황 점검 등 감독에 관한 사항 - 수탁자 준수의무 위반 시 손해배상 등 책임에 관한 사항 수탁자에 대한 감독 및 손해배상 책임 개인정보 보호와 관련하여 수탁업체에 대한 교육 및 감독을 강화 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에 개인정보 보호법을 위반하여 발생한 손해배상 책임에 대하여는 수탁자를 위탁자의 소속직원으로 간주 따라서 수탁업체에서 개인정보 침해사고가 발생한 경우 위탁 금융기관이 책임을 지며, 손해배상 부담은 내부적으로 구상 가능 30

32 수탁자가 부담하는 의무 개인(신용)정보 처리업무 수탁자는 개인(신용)정보 처리업무에 관하여 수집 이용, 제공, 보관 등과 관련하여 개인정보처리자에게 부과되는 의무를 준수하여야 함 개인정보 처리위탁 과 제3자 제공 의 구분 개인정보 처리위탁 및 제3자 제공 은 개인정보를 외부의 제3자에게 이전 제공 또는 공유한다는 점에서 동일하나, 다음과 같은 차이점이 존재 금융기관은 해당 업무가 어디에 해당하는지 구분하고, 그에 따른 법적 조치 및 관리 감독 책임을 인지할 필요가 있음 Ⅲ 개 성격 관리감독 책임 처리위탁 금융기관 자신의 목적 이익을 위해 개인정보를 제3자에 제공 금융기관 자신(위탁자)이 관리감독 책임 부담 제3자 제공 개인정보를 제공받는 자의 목적 이익을 위해 개인정보를 제3자에 제공 개인정보를 제공받는 자(제3자)가 관리감독 책임 부담 예시 배송업무, TM업무 아웃소싱 등 사업 업무 제휴* 등 근거조항 신용정보법 제17조 개인정보보호법 제26조 신용정보법 제32조, 제34조 개인정보보호법 제18조 인( 신 용) 정 보 처 리 단 계 별 원 칙 * 사업 업무 제휴 에서의 위탁과 제3자 제공 구분 : 제휴사가 단순히 금융기관을 대신해 개인정보를 처리할 뿐 제공받은 자의 이익을 위해 이용하지 않는 경우 처리위탁에 해당하며, 수집된 개인정보를 제공받은 자의 이익을 위해 이용하는 경우 제3자 제공에 해당함 금융분야 개인정보보호 가이드라인 31

33 6 적용 원칙 개인신용정보는 신용정보법 제32조에 따라 이전 가능하며, 그 밖의 개인정보는 개인정보보호 법 제27조에 따라 이전 가능 영업양도 양수시 개인신용정보 이전 금융기관간 영업양도 분할 합병 등의 이유로 권리 의무의 전부 또는 일부를 이전하면서 그와 관련된 개인신용정보를 이전하는 경우에는 신용 정보법에 따라 정보주체의 동의 없이 이전 가능 신용정보법 제32조제3항 내지 제5항에 따라 영업양도 분할 합병 등의 이유로 개인신용정보를 제공하는 경우에는 제공하려는 자 또는 제공받는 자가 제공 사실 및 이유 등을 해당 신용정보주체에게 알려야 함 - 또는 신용정보법 시행령 제28조제10항에 따라 인터넷 홈페이지 또는 게시판 게재, 사무실 점포 등의 비치 열람 방식으로 공시하여야 함 신용정보법에 따른 영업양도 분할 합병 등 개인정보 처리(제32조) 제32조(개인신용정보의 제공 활용에 대한 동의) 1 ~3 <생략> 4 신용정보회사등이 개인신용정보를 제공하는 경우로서 다음 각 호의 어느 하나에 해당하는 경우에는 제1항부터 제3항까지(정보주체 동의)를 적용하지 아니한다. 3. 영업양도 분할 합병 등의 이유로 권리 의무의 전부 또는 일부를 이전하면서 그와 관련된 개인신용정보를 제공하는 경우 5 제4항 각 호에 따라 개인신용정보를 타인에게 제공하려는 자 또는 제공받은 자는 대통령령으로 정하는 바에 따라 개인신용정보의 제공 사실 및 이유 등을 해당 신용 정보주체에게 알려야 한다. 다만, 대통령령으로 정하는 경우에는 인터넷 홈페이지 게재 등 이와 유사한 방법을 통하여 공시할 수 있다. <개정 > 32

34 아래에 해당하는 기관은 제공하는 개인신용정보의 범위, 제공받는 자의 신용정보 관리 보호에 관하여 금융위원회의 승인을 받아야 함 1. 은행법 에 따라 인가를 받아 설립된 은행 (같은 법 제59조에 따라 은행으로 보는 자 포함) 2. 금융지주회사 3. 한국산업은행 4. 한국수출입은행 5. 한국정책금융공사 6. 중소기업은행 7. 한국주택금융공사 8. 자본시장과 금융투자업에 관한 법률 에 따른 투자매매업자 투자중개업자 신탁업 자 집합투자업자 증권금융회사 종합금융 회사 자금중개회사 및 명의개서대행회사 9. 상호저축은행과 그 중앙회 10. 농업협동조합과 그 중앙회 11. 수산업협동조합과 그 중앙회 12. 산림조합과 그 중앙회 영업양도 양수시 그 밖의 개인정보 이전 13. 신용협동조합과 그 중앙회 14. 새마을금고와 그 연합회 15. 보험업법 에 따른 보험회사 16. 여신전문금융업법 에 따른 여신전문금융 회사( 여신전문금융업법 제3조제3항제1 호에 따라 허가를 받거나 등록을 한 자 포함) 17. 기술신용보증기금 18. 신용보증기금 19. 신용보증재단과 그 중앙회 20. 한국무역보험공사 21. 예금보험공사 및 정리금융기관 22. 외국에서 제1호부터 제20호까지의 금융 기관과 유사한 금융업을 경영하는 금융기관 23. 외국 법령에 따라 설립되어 외국에서 신용조회업, 신용조사업, 채권추심업 중 어느 하나에 해당하는 업무를 수행하는 자 영업 양도 등에 따라 그 밖의 개인정보 를 이전하는 경우에는 서면, 전자우편, 팩스, 전화 등을 통해 이전 사실을 미리 알리고 이전 가능 Ⅲ 개 인( 신 용) 정 보 처 리 단 계 별 원 칙 - 과실없이 서면 등의 방법으로 이전 사실을 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이지에 30일 이상 게재(홈페이지 미운영시 사업장등 보기 쉬운 장소에 게시) 해당 정보주체에게 알려야 하는 사항 1 개인정보를 이전하려는 사실, 2 이전받는 자의 성명, 주소, 전화번호 및 그 밖의 연락처, 3 이전을 원하지 않는 경우 조치 방법 절차 양도자가 이전 사실을 미리 알리지 않은 경우 양수자가 이전 받은 사실을 지체 없이 알려야 함 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제3자에게 제공 가능 금융분야 개인정보보호 가이드라인 33

35 7 적용 원칙 개인신용정보의 안전성 확보 조치에 대하여는 신용정보보호법 제19조 및 전자금융거래법 제21조에서 정하는 바에 따라야 하며, 그 밖의 개인정보의 안전성 확보 조치는 전자금융거래법 제21조 및 개인정보보호법 제29조에 따라야 함 다만, 고유식별정보의 암호화는 법률(개인정보보호법 제24조제3항)에서 특별히 정하는 의무 사항이므로 금융기관은 이를 준수하여야 함 개인(신용)정보 안전성 확보 조치 원칙적으로, 개인신용정보의 안전성 확보 조치에 대하여는 신용정보법 및 관련 고시에 따라, 그 밖의 개인정보의 안전성 확보 조치에 대하여는 개인정보 보호법 및 관련 고시에 따라 필요한 조치를 하여야 함 - 다만, 고유식별정보의 암호화는 개인정보보호법 제24조제3항에서 특별히 정하는 의무사항이므로 금융기관이 업무상 수집 관리하는 모든 개인(신용)정보 전반에 대하여 적용됨 아울러, 금융기관이 보유한 개인(신용)정보의 안전성 확보에 대하여는 전자 금융거래법 및 관련 고시에 따른 사항 또한 준수하여야 함 개인(신용)정보의 안전성 확보 조치 적용 법령 개인신용정보 : 신용정보법 및 전자금융거래법 적용(단, 고유식별정보 암호화는 개인정보보호법 적용) 그 밖의 개인정보 : 전자금융거래법 및 개인정보보호법 적용 금융실무상 개인신용정보와 그 밖의 개인정보를 하나의 전산시스템을 통해 통합 관리하면서 신용도 판단, 마케팅, 전자금융거래 등 다양한 용도로 이용 34

36 하는 경우에는 각 정보를 구분하여 법률을 적용할 수 없으므로 - 이러한 경우에는 신용정보법, 개인정보보호법, 전자금융거래법에서 규정하는 안전성 확보 조치를 모두 준수하여야 함 다만, 각 법률에서 규정하는 안전성 확보 조치 중 제정 취지나 내용이 사실상 일치하는 규정의 경우에는 하나의 법률에서 정하는 사항을 준수하여도 각 법률의 규정을 모두 준수한 것으로 간주될 수 있음 (예시) 금융기관이 신용정보법에 따른 내부관리규정 작성시 개인정보보호법상 내부관리계획에 상응하는 내용을 포함해 작성한 후 수정 이력을 관리하는 경우, 금융기관이 신용정보법 및 개인정보보호법에 따라 전산시스템 접속권한 부여 변경 말소 등의 내역을 기록하고 그 기록을 3년 이상 보관하는 경우 등 참고 금융기관은 다음 사항이 포함된 개인신용정보 내부관리규정을 마련하여야 함 (신용정보법 제20조제1항, 신용정보업감독규정 제22조) 개인신용정보 제공 및 이용에 관한 사항 등 신용정보의 수립, 처리 및 이용에 관한 세부절차 신용정보집중기관의 경우 집중관리, 활용의 대상이 되는 신용정보의 종류 및 범위 기술적 물리적 관리적 보안대책의 수립 및 실행 신용정보의 열람 및 정정청구업무 처리절차 자신이 제공하는 신용정보를 이용하는 자에 대하여 동 신용정보의 이용이 법, 영, 규칙 이 규정에 적합한지 여부의 점검절차와 위반시 제재 신용정보관리 보호인의 지정 및 수행하는 업무 신용정보 제공사실 통보업무 처리 절차 상거래 거절 근거 신용정보 고지업무 처리절차 동의철회권 등의 업무 처리절차 신용정보의 정확하고 신속한 등록 및 보유한 정보의 정확성을 상시 점검할 수 있는 시스템 신용정보처리 위탁의 기준 그 밖에 법, 영, 규칙 및 이 규정에서 정한 사항의 세부적인 실행절차 Ⅲ 개 인( 신 용) 정 보 처 리 단 계 별 원 칙 금융분야 개인정보보호 가이드라인 35

37 구분* 개인정보 보호법 (개인정보의 안전성 확보조치 기준 고시) 신용정보법 (신용정보법 및 신용정보업감독규정) 내부관리 계획 내부관리계획 수립 시행( 31 ) 내부관리계획 수정이력 관리( 33 ) 내부관리규정 마련(법 201, 규정 22) 접근권한 관리 비밀번호 관리 접근통제 시스템 개인정보 암호화 접속기록 보안 프로그램 개인정보처리시스템 접근권한을 필요최소한 범위로 차등 부여( 41 ) 신용정보처리시스템 접근권한을 필요최소한 인원에 부여(Ⅱ-1-1 ) 인사이동시 지체없이 접근권한 변경말소, 내역기록, 3년간 보관( 42,3 ) 인사이동시 지체없이 접근권한 변경말소, 내역 기록, 3년간 보관(Ⅱ-1-2,3 ) 개인정보취급자별 한개의 사용자계정 발급 및 공유금지( 44 ) 비밀번호 작성규칙 수립( 5) 접근통제시스템 설치 운영(침입차단시스템, 침입탐지 시스템 포함)( 61 ) 외부 접속시 가상사설망(VPN), 전용선 등 안전한 접속 수단 적용( 62 ) 개인정보가 열람권한 없는 자에게 공개 유출되지 않도록 시스템 및 컴퓨터 조치( 63 ) 업무용컴퓨터만 이용하여 개인정보 처리시 접근통제 시스템 적용제외( 64 ) 암호화 대상 : 고유식별정보, 비밀번호, 바이오정보( 71 ) 암호화 기준 - 정보통신망 송수신시 암호화( 72 ) - 비밀번호, 바이오정보 저장시 암호화(비밀번호는 일방향 암호화)( 73 ) - 고유식별정보는 인터넷구간, DMZ구간 저장시 암호화, 내부망 구간 저장시 위험도 분석결과에 따라 암호화 여부 및 범위결정( 74 5 ) - 안전한 암호화 알고리즘 적용( 76 ) 개인정보처리시스템 접속기록 최소 6개월 이상 보관관리 ( 81 ) 접속기록이 위변조, 도난, 분실되지 않도록 안전하게 보관 ( 82 ) 백신소프트웨어 등 보안프로그램 설치, 자동 또는 일 1회 이상 업데이트, 보안업데이트 공지시 즉시 업데이트 실시 ( 9) 패스워드 작성규칙 수립(Ⅱ-1-5 ) 개인신용정보처리시스템에 침입차단시스템 및 침입탐지시스템 설치(Ⅱ-1-4 ) 개인신용정보가 열람권한 없는 자에게 공개되지 않도록 시스템 및 PC 설정(Ⅱ-1-6 ) 암호화 대상 : 본인 인증정보, 개인신용정보 (규정 별표3 Ⅱ-3) 암호화 기준 - 개인신용정보 및 인증정보 송수신시 보안서버 등 통해 암호화(Ⅱ-3-2 ) - 패스워드, 생체정보 등 본인인증정보 저장 시 일방향암호화(Ⅱ-3-1 ) - 개인신용정보 PC 저장시 암호화(Ⅱ-3-3 ) 개인신용정보처리시스템 접속기록 저장, 월 1회 이상 확인감독(Ⅱ-2-1 ) 개인신용정보 조회자의 신원, 조회일시, 대상정 보, 목적, 용도 등을 기록 관리(Ⅱ-5-2 ) 접속기록 위변조되지 않도록 별도 저장장치에 백업보관(Ⅱ-2-2 ) 백신소프트웨어 설치(Ⅱ-4-1 ) 월 1회 이상 주기적 갱신 점검, 바이러스 경보 발령 또는 업데이트 공지시 즉시 갱신 점검 (Ⅱ-4-2 ) 물리적 보호조치 개인정보 물리적 보관장소에 대한 출입통제절차( 101 ) 서류, 보조저장매체 등은 잠금장치 있는 안전한 장소에 보관( 102 ) 외부침입방지, 출입자관리통제 등 대책강구(별 표1 정보처리 정보통신설비요건, 별표 2 전산 설비 및 자료관리체제기준 참조) 36

38 전자금융거래법 (전자금융거래법 및 전자금융감독규정) 정보보호최고책임자는 전자금융거래 안전성 확보 등 계획 수립(법 21의23 ) 금융기관 또는 전자금융업자는 정보기술부문 계획을 매년 수립 운용( 19) 전산자료, 시스템, 해킹 및 악성코드 방지 등 분야별 보호대책 수립( 8, 13~ 18) 업무담당자 이외의 자가 단말기를 무단 조작 못하도록 단말기별 취급자 및 비밀번호 지정, 사용자계정과 비밀번호 개인별 부여, 전산자료는 사용자 업무별로 접근권한 통제( 12~ 13) 전출 퇴직 등 인사조치시 지체없이 해당 사용자 계정삭제 계정사용 중지 공동사용계정 변경 등 접근통제( 13조) 사용자 계정 공동사용이 불가피한 경우 개인별 사용내역 관리 비밀번호 작성규칙 및 입력오류시 조치 방법 명시( 32) 비교 (개인정보보호법 기준) 주요 내용 사실상 일치 (단, 내부관리계획 수정이력 관리는 다소 상이) 주요 내용 사실상 일치 (단, 사용자 계정 공동사용을 예외적으로 허용하는 것은 다소 상이) 주요 내용 사실상 일치 Ⅲ 개 해킹 등 전자적 침해행위로 인한 사고를 방지하기 위한 정보보호시스템 설치 운영, 정보 보호시스템을 우회한 외부통신망 접속 금지( 151 ) 정보보호시스템에는 침입차단시스템 및 침입방지시스템 포함(규정 별표 2-다 정보보호 시스템 분류표) 암호화 대상 : 전자금융거래, 비밀번호, 거래로그(DMZ 저장시) ( 17, 32, 33, 34) 암호화 기준 - 정보보호제품은 국가기관의 평가 인증을 받은 장비를 사용( 15) - 거래로그를 DMZ 구간내에 저장하는 경우 암호화하여 저장( 17) - 비밀번호는 암호화 보관하며, 조회할 수 없도록 조치( 33) - 전자금융거래는 암호화 통신 적용( 34) 주요 내용 사실상 일치 일부 내용 상이(단, 암호화 대상, 보조저장매체 전달시 암호화 비밀번호 일방향 암호화 적용은 다소 상이) 고유식별정보 내부망 저장시 암호화는 개인정보보호법 준수 필요 인( 신 용) 정 보 처 리 단 계 별 원 칙 단말기를 통한 이용자 정보조회시 사용자, 사용일시, 변경 조회내용, 접속방법이 정보 처리시스템에 자동적 기록 및 1년 이상 보존( 13) 정보처리시스템 가동기록은 1년 이상 보존 정보처리시스템 가동기록 : 접속일시, 접속자, 접근자 및 접근을 확인할 수 있는 기록, 전산자료 사용일시, 사용자 및 자료 내용 확인기록, 사용자 로그인, 엑세스 로그 등) 주요 내용 사실상 일치 악성코드 감염 방지 대책 수립 운용( 16) - 악성코드 검색 치료프로그램은 최신상태로 유지, 중요 단말기는 악성코드 감염여부 매일 점검 등 전산실 위치 건물에 대해 경비원에 의한 통제 및 출입통제 보안대책 수립( 10) 전산실 상시출입은 사전 등록자에 한해 허용하고, 그 밖의 출입자는 책임자 승인을 받아 출입하고 관리기록부 기록 보관, 상시출입자 이외의 출입자에 대해 무인감시카메라 또는 출입자동기록시스템 설치 등 적절한 조치( 11) 주요 내용 사실상 일치 주요 내용 사실상 일치 (단, 개인정보가 수록된 서류, USB 등을 잠금장치있는 안전한 장소에 보관하여야 한다는 내용은 다소 상이) 금융분야 개인정보보호 가이드라인 37

39 개인(신용)정보의 암호화 개인정보보호법 제24조제3항 및 제29조에 따라 제정된 개인정보의 안전성 확보조치 기준 제7조는 고유식별정보, 비밀번호, 바이오 정보를 암호화 대상 정보로 규정하고 있으며, 신용정보법 제19조에 따라 제정된 신용정보업 감독규정 [별표3]은 패스워드, 생체정보를 암호화 대상으로 규정 고유식별정보 : 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 바이오정보 : 지문, 얼굴, 홍채 등 개인을 식별할 수 있는 신체적 행동적 특징 정보 고유식별정보의 암호화는 개인정보보호법에서 별도로 규정하고 있으므로, 개인(신용)정보에 포함된 고유식별정보는 개인정보보호법에서 정하는 바에 따라 암호화를 적용하여야 함 - 패스워드, 생체정보(바이오 정보를 포함)는 신용정보법에 따른 암호화 적용 구 분 암호화 적용 기준 비고 고유식별정보, 비밀번호, 바이오 정보 비밀번호, 바이오 정보 고유식별정보 정보통신망을 통하여 송수신하거나 보조저장 매체를 통하여 전달하는 경우 암호화 저장시 암호화(단, 비밀번호는 복호화 되지 아니 하도록 일방향 암호화하여 저장) 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ)에 저장시 암호화 내부망에 고유식별정보 저장시 암호화 (단, 개인정보 위험도 분석기준에 모두 적합한 경우에는 암호화에 상응하는 조치를 한 것으로 간주하여 암호화 미적용 가능) 업무용 컴퓨터에 저장 관리하는 경우 상용 암호화 소프트웨어 또는 안전한 암호화 알고 리즘을 사용하여 암호화 저장 개인정보의 안전성 확보조치 기준 (안전행정부 고시) 제7조 (참고) 개인정보의 안전성 확보조치 기준 (안전행정부 고시 제 호) 개인정보 위험도 분석기준 및 해설서 (안전행정부 공고 제 호) 개인정보 암호화 조치 안내서 ( - 자료실) 38

40 1 (기관 기준) 점검 항목 개인정보 파일이 포함되어 있는 개인정보처리시스템 환경에 관한 내용으로 기관 전체를 대상으로 함 구분 점검항목 1. 개인정보 보호를 위한 책임자를 지정하여 운영하고 있습니까? 2. 개인정보 보호를 위한 정책 또는 관리계획(침해사고 대응계획 포함)을 수립 운영하고 있습니까? Ⅲ 개 정책기반 3. 외주인력 보안관리를 위해 보안서약서 집행, 비밀번호 노출 예방 등 조치를 하고 있습니까? 4. DB 서버에 접속하는 장비(PC, 노트북 등)에서 불법 또는 비인가된 S/W 사용을 방지하고 정품 S/W만 사용하도록 하는 정책을 수립 운영하고 있습니까? 5. DB서버에 접근 가능한 자(내부직원, 위탁인력, 개발자 등) 대상으로 개인정보 보호 관련 교육을 연2회 이상 실시하고 있습니까? 인( 신 용) 정 보 처 리 단 계 별 원 칙 네트워크 기반 6. 상시적으로 비인가 IP주소의 접근을 통제하고 있습니까? 7. 상시적으로 불필요한 서비스 포트 사용을 통제하고 있습니까? 8. 상시적으로 불법적인 해킹시도를 방지하고, 이에 대해 모니터링을 실시하고 있습니까? 9. 상시적으로 바이러스, 웜 등의 네트워크 유입을 차단하고 있습니까? 10. 주기적으로 네트워크 접속에 대한 로그를 관리하고, 분석하고 있습니까? 11. 네트워크 장비 및 정보보호시스템의 보안패치 발생시 지체없이 업데이트를 수행하고 있습니까? 금융분야 개인정보보호 가이드라인 39

41 2 (개인정보처리시스템 기준) 점검 항목 개인정보파일이 운용되는 개인정보처리시스템의 보호조치에 관한 내용입니다. 구분 점검항목 12. 상시적으로 네트워크를 통한 비인가자의 DB 접근을 통제하고 있습니까? 13. DB서버내에 불필요한 서비스 포트를 차단하고 있습니까? 14. 상시적으로 DB 접속자 및 개인정보취급자의 접속기록을 남기고 있습니까? 15. DB 접속기록을 주기적으로 모니터링하여 통제하고 있습니까? 16. DB서버에 접속하는 관리자 PC가 인터넷 접속되는 내부망의 네트워크와 분리되어 있습니까? 17. 개인정보취급자의 역할에 따라 DB 접근권한을 차등화하여 부여하고 있습 니까? DB 및 Application 기반 18. 개인정보취급자의 전보, 이직, 퇴사 등 인사 이동 발생시 지체없이 DB 접근권한을 변경하고 있습니까? 19. DB접속자 및 개인정보취급자의 DB 로그인 비밀번호를 최소 3개월마다 변경하고 있습니까? 20. DB접속자 및 개인정보취급자의 비밀번호 입력시 5회 이상 연속 입력오류가 발생한 경우 계정잠금 등 접근을 제한하고 있습니까? 21. DB 및 DB접속 어플리케이션 서버에 대한 물리적 접근을 인가된 자로 한정 하고 있습니까? 22. DB 및 DB접속 어플리케이션 서버에서 보조기억매체(USB 등) 사용시 관리자 승인 후 사용하고 있습니까? 23. DB서버 및 DB접속 어플리케이션 서버에 접속하는 모든 개인정보취급자의 단말기(PC, 노트북 등)의 운영체제 보안패치를 제조사 공지 후 지체없이 수행하고 있습니까? 24. HDD등 DB 저장매체의 불용처리시(폐기, 양여, 교체 등) 저장매체에 저장 된 개인정보는 모두 파기하고 있습니까? 웹(Web) 기반 웹사이트를 운영하는 경우에만 해당 25. 신규 웹 취약점 및 알려진 주요 웹(Web) 취약점 진단/보완을 년1회 이상 실시하거나, 상시적으로 비인가자에 의한 웹서버 접근, 홈페이지 위 변조 등을 자동으로 차단할 수 있는 보호 조치를 하고 있습니까? 26. 웹서버 프로그램과 운영체제 보안패치를 제조사 공지 후 지체없이 수행하고 있습니까? 40

42 8 적용 원칙 개인신용정보는 신용정보법 제31조에 따른 신용정보활용체제를 수립 공개해야 하며, 그 밖의 개인정보는 개인정보보호법 제30조에 따른 개인정보 처리방침을 수립 공개하여야 함. 다만, 신용정보활용체제 등에 개인정보 처리방침에 상응하는 내용을 포함하여 수립 공개 가능 개인신용정보에 대한 신용정보 활용체제 수립및공개 신용정보법 제31조에 따라 신용정보회사 등은 신용정보의 처리에 관하여 신용정보활용체제 를 작성하고, 이를 인터넷 홈페이지 등에 게재하여야 함 - 신용정보회사, 신용정보집중기관 및 대통령령으로 정하는 신용정보제공 이용자 (신용정보법 제5조제1항 각 호의 자를 말함)에 적용 신용정보활용체제는 아래의 사항이 포함되어야 함 - 관리하는 신용정보의 종류 및 이용 목적 - 신용정보를 제3자에게 제공하는 경우 제공하는 신용정보의 종류, 제공 대상, 제공 받는 자의 이용 목적 Ⅲ 개 인( 신 용) 정 보 처 리 단 계 별 원 칙 - 신용정보의 보유 기간 및 이용 기간이 있는 경우 해당 기간, 신용정보 파기의 절차 및방법 - 신용정보의 처리를 위탁하는 경우 그 업무의 내용 및 수탁자 - 신용정보주체의 권리와 그 행사방법 - 신용정보관리 보호인이나 신용정보 관리 보호 관련 고충을 처리하는 사람의 성명, 부서 및 연락처 - 신용등급 산정에 반영되는 신용정보의 종류, 반영비중 및 반영기간(신용조회회사만 해당) 금융분야 개인정보보호 가이드라인 41

43 신용정보회사 등은 수립한 신용정보활용체제를 인터넷 홈페이지 등을 통해 공개해야 함 - 글자크기, 색깔을 다르게 하거나 진하게 표시하여 정보주체가 쉽게 알아볼 수 있도록 해야 함 그 밖의 개인정보에 대한 개인정보 처리방침의 수립 및 공개 금융기관은 정보주체가 해당 기관의 개인정보 처리에 관한 사항을 쉽게 알 수 있도록 개인정보 처리방침을 작성하여 공개(개인정보보호법 제30조) - 신용정보활용체제 또는 내부 규정 등에 개인정보 처리방침에 기재되어야 하는 사항을 포함하여 인터넷 홈페이지 등에 게재하는 것도 가능 개인정보 처리방침에는 아래의 사항이 포함되어야 함 - 개인정보의 처리 목적 - 개인정보의 처리 및 보유 기간 - 개인정보의 제3자 제공에 관한 사항 - 개인정보 처리의 위탁에 관한 사항 - 정보주체의 권리 의무 및 그 행사방법에 관한 사항 - 처리하는 개인정보의 항목 - 개인정보의 파기에 관한 사항 - 개인정보 보호책임자에 관한 사항 - 개인정보의 안전성 확보 조치에 관한 사항 금융기관은 수립한 개인정보 처리방침을 인터넷 홈페이지 등을 통해 공개 - 글자크기, 색깔을 다르게 하거나 진하게 표시하여 정보주체가 쉽게 알아볼 수 있도록 해야 함 개인정보 처리방침 예시는 개인정보 처리방침 자동생성기능 이용 가능 42

44 개인정보 처리방침 신용정보활용체제 개인정보의 처리 목적 관리하는 신용정보의 이용목적 개인정보의 처리 및 보유 기간 개인정보의 제3자 제공에 관한 사항 신용정보의 보유 기간 및 이용 기간 신용정보 제3자 제공에 관한 사항 Ⅲ 개인정보 처리의 위탁에 관한 사항 신용정보 처리의 위탁에 관한 사항 개 정보주체의 권리 의무 및 그 행사방법에 관한 사항 처리하는 개인정보의 항목 개인정보의 파기에 관한 사항 개인정보의 안전성 확보 조치에 관한 사항 신용정보주체의 권리와 행사방법 관리하는 신용정보의 종류 신용정보의 파기 절차 및 방법 인( 신 용) 정 보 처 리 단 계 별 원 칙 개인정보 보호책임자에 관한 사항 신용정보관리 보호인에 관한 사항 개인정보의 열람청구를 접수 처리하는 부서 신용정보관리 보호 관련 고충을 처리하는 사람의 성명, 부서 및 연락처 신용등급 산정에 반영되는 신용정보의 종류, 반영비중 및 반영기간(신용정보조회 회사만 해당) 개인정보 처리방침 공개 의무와 관련, 개인정보의 안전성 확보 조치에 관한 내용을 신용정보활용체제에 포함 하여 공개하는 것으로 갈음할 수 있음 금융분야 개인정보보호 가이드라인 43

45 9 적용 원칙 금융기관은 신용정보법 제20조 및 개인정보보호법 제31조에 따라 신용정보관리 보호인 및 개인정보 보호책임자를 지정하여야 하며, 개인정보 보호책임자는 다른 업무를 겸임할 수 있음 신용정보에 대한 신용정보관리 보호인 지정 신용정보회사 등은 신용정보법 제20조에 따른 신용정보관리 보호인을 지정하여야 함 - 신용정보회사, 신용정보집중기관 및 대통령령으로 정하는 신용정보제공 이용자 (신용정보법 시행령 제5조제1항제1호부터 제21호까지 및 제21조제2항제9호에 해당하는 자를 말함) 신용정보관리 보호인은 아래와 같은 의무를 수행하여야 함 - 신용정보 관리 보호 관련 내부관리규정의 제정 개정 - 신용정보 관리 보호 관련 고충의 처리 - 임직원이 신용정보 관리 보호 관련 법령 및 내부관리규정 등을 준수하고 있는지에 대한 점검 - 법에 따른 신용정보주체의 정당한 권리 행사에 성실하게 대응하고 있는지에 대한 점검 - 임직원을 대상으로 하는 신용정보 관리 보호 관련 교육의 실시 - 그 밖에 신용정보 관리 보호에 필요한 사항으로서 금융위원회가 정하여 고시하는 사항 신용정보 관리 보호인의 자격 - 임원 44

46 - 신용정보의 제공 활용 보호 및 관리 등을 총괄하는 위치에 있는 사람 다른 법령에 따라 준법감시인을 두는 경우 그를 신용정보관리 보호인으로 지정 가능(해당 법령에 따른 내부통제기준에 신용정보관리 보호인의 업무를 반영하여야 함) 그 밖의 개인정보에 대한 개인정보 보호책임자 지정 개인정보의 처리에 관한 업무를 총괄하여 책임질 개인정보 보호책임자를 지정하여야 함 - 다만, 금융기관의 인력 상황에 따라 신용정보관리 보호인이 겸임 가능 개인정보 보호책임자는 아래와 같은 의무를 수행하여야 함 - 개인정보 보호 계획의 수립 및 시행 - 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선 - 개인정보 처리와 관련한 불만의 처리 및 피해 구제 - 개인정보 유출 및 오용 남용 방지를 위한 내부통제시스템의 구축 - 개인정보 보호 교육 계획의 수립 및 시행 - 개인정보파일의 보호 및 관리 감독 Ⅲ 개 인( 신 용) 정 보 처 리 단 계 별 원 칙 - 개인정보 처리방침의 수립 변경 및 시행 - 개인정보 보호 관련 자료의 관리 - 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기 개인정보 보호책임자의 자격 및 권한 - 자격 : 전사적인 차원에서 회사 내의 개인정보 보호 업무를 실질적으로 총괄할 수 있는 부서의 장 또는 임원 단순히 개인정보를 많이 취급하는 부서의 장으로 정하는 것은 바람직하지 않음 - 권한 : 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있음 금융분야 개인정보보호 가이드라인 45

47 10 적용 원칙 개인(신용)정보의 파기에 대하여는 신용정보법 제18조제2항 및 개인정보보호법 제21조에 따라야 함 개인(신용)정보의 보존기한 및 파기시점 산정 기준 원칙적으로 개인(신용)정보는 보유기간의 경과, 개인정보 처리목적 달성 등 으로 불필요하게 되었을 때는 지체 없이(5일 이내) 파기하여야 함 따라서, 개인(신용)정보 보존기한은 관계 법령상 규정, 정보주체의 동의 의사, 처리목적 달성 여부 등을 고려하여 아래 기준에 따라 산정 - 첫째, 법령상 보존기한이 명시된 경우 해당 법령에 따라 파기 - 둘째, 법령상 보존기한이 불분명한 경우 정보주체의 동의에 따라 파기 - 셋째, 법령상 보존기한이 불분명하거나 정보주체의 동의가 없는 경우 그 개인정보의 처리목적이 완전히 달성된 시점에 파기 법령상 보존기한이 명시된 경우 금융 관계법령(해당 법령의 위임을 받아 제정된 행정규칙을 포함한다)이 정하는 보존기한이 경과된 후에는 지체없이 파기 - 계약 완료 등으로 인하여 개인(신용)정보가 불필요하게 되었으나 법령상 잔여 보유기간이 있는 경우에는 다른 개인정보와 분리하여 저장 관리 법령상 보존기한이 명시된 경우의 예시 (신용정보법 제18조) 신용정보주체에게 불이익을 줄 수 있는 신용정보는 그 불이익을 초래하게 된 사유가 해소된 날부터 최장 5년이내에 등록 관리 대상에서 삭제 (신용정보법 제21조 및 신용정보업감독규정 제23조) 신용정보회사 또는 신용정보집중기관의 폐업시 금융감독원 직원 입회하에 신용정보 수록 파일등 소거 폐기 46

48 법령상 보존기한이 불분명하고 정보주체의 동의가 있는 경우 금융 관계법령상 보존기한이 명확히 규정되어 있지 않으나 개인정보의 보유 기간에 대하여 정보주체의 명시적인 동의를 받은 경우에는, 당초 정보주체가 동의한 보유기간이 경과된 후 지체없이 파기 - 금융 관계법령에서 별도의 보유기간을 규정하고 있으나 해당 기간 이상 보유를 금지하는 내용이 없는 경우에는 보존기한이 불분명한 경우에 해당 법령상 보존기한이 불분명한 경우의 예시 (신용정보법 제20조) 신용정보회사등은 의뢰자의 성명, 의뢰받은 업무 처리 내용, 제공한 신용정보의 내용 등을 3년간 보존하여야 함 (자본시장과 금융투자업에 관한 법률 시행령 제62조) 금융투자업자는 각 호의 자료를 해당 기간동안 기록 유지(투자권유 관련자료 10년, 주문기록 등 거래 관련자료 10년, 업무위탁 관련 자료 5년, 고유재산 운용 관련 자료 3년 등) (보험업법 시행령 제42조의3) 보험회사 및 보험의 모집에 종사하는 자는 보험계약자 연령 등을 확인받은 내용을 보험계약 종료일부터 2년간 유지 (상법 제33조) 상인은 10년간 상업장부와 영업에 관한 중요서류를 보존 다만, 전표 또는 이와 유사한 서류는 5년간 이를 보존 정보주체의 명시적인 동의는 받았으나 개인정보 보존기한을 일정한 기간으로 정하지 않고 특정한 조건으로(예 : 회원 탈퇴시 파기, 수집 목적 달성시 파기 등) 정한 경우는 해당 보 유 목적이 완전히 달성된 후 지체없이 파기 - 일정한 기간 뿐만 아니라 특정조건에 대한 동의도 명시적인 동의에 해당 Ⅲ 개 인( 신 용) 정 보 처 리 단 계 별 원 칙 법령상 보존기한이 불분명하고 정보주체가 동의가 없는 경우 당초 개인정보를 수집한 목적이 완전히 달성된 경우에는 지체없이 파기 다만, 수집한 목적이 달성되었으나 향후의 분쟁 대응이나 금융소비자 보호, 금융감독 당국의 검사 감독 수감을 위해 개인(신용)정보의 지속적인 보존이 불가피한 경우에는 - 이러한 정보를 다른 개인(신용)정보와 별도로 분리하여 보관한 후 정보주체 또는 금융감독 당국이 직접 요청하는 경우에 한하여 이용할 수 있도록 개인정보 처리 금융분야 개인정보보호 가이드라인 47

49 방침에 반영하여 관리할 수 있음 별도로 분리 보관 중인 개인(신용)정보는 상품의 소개나 구매를 권유하는 등 다른 업무상 목적으로는 이용할 수 없음 보존 매체에 따른 파기 방법 개인정보를 파기하는 경우에는 보존매체의 특성을 고려하여 복구 또는 재생 되지 아니하도록 파기하여야 함 - 전자적 파일 : 현재 기술 수준에서 적절한 비용이 소요되는 방법으로서 복원이 불가능하도록 영구 삭제 - 인쇄물, 서면, 그 밖의 기록매체 : 파쇄 또는 소각 개인신용정보의 구체적인 파기 절차 및 방법은? - 신용정보법 시행령 제27조에 따라 신용정보회사 등은 신용정보 파기의 절차 및 방법을 마련하여 공시하도록 되어 있으며, 구체적인 내용에 대하여는 자율적으로 정하여 시행토록 하고 있음 - 따라서 개인신용정보의 구체적 파기 절차 및 방법은 해당 보존매체의 특성을 고 려하여 영구삭제, 파쇄, 소각 등의 방법을 통해 복구 또는 재생되지 아니하도록 당해 신용정보회사 등이 자율적으로 정하여 시행 종이문서철에 포함된 개인정보의 파기는? - 원칙적으로 개인정보의 파기는 전체 개인정보파일 단위가 아니라 개별 개인정보 단위로 이루어 져야 하나, 전산화된 형태로 관리되는 개인정보파일과 달리 종이 문서철을 통해 보관 중인 개인정보는 특정 개인정보의 처리목적이 달성된 경우라 하더라도, 각각의 개인정보를 선택적으로 파기하는 것이 현저히 곤란함 - 따라서, 종이문서철의 경우에는 분기 또는 반기 단위로 별도의 점검 및 파기절차 를 마련한 후 이를 개인정보 처리방침 및 내부관리계획에 반영하여 시행할 수 있음 48

50 11 적용 원칙 개인신용정보에 대한 열람 정정, 제공 이용 동의 철회 등에 대해서는 신용정보법 제37조 제38조가 적용되고, 그 밖의 개인정보에 대해서는 개인정보보호법 제35조부터 제38조까지의 규정 적용 개인신용정보에 대한 정보주체의 권리보장 1 개인신용정보 열람 정정 청구권 정보주체는 금융기관에 대하여 자신의 개인신용정보를 열람하거나 제공해 줄 것을 청구할 수 있으며, 자신의 개인신용정보가 사실과 다를 경우 정정을 청구할 수 있음 - 이 경우 정보주체는 본인임을 확인받아야 함 정보주체의 본인확인 방법 (신용정보법 시행령 제33조) 1 전자서명법에 따른 공인전자서명이 있는 전자문서 2 동의의 안정성과 신뢰성이 확보될 수 있는 유무선 통신으로 개인비밀번호 입력 3 본인의 신분을 나타내는 증표 제시 4전화 5 인터넷 홈페이지 Ⅲ 개 인( 신 용) 정 보 처 리 단 계 별 원 칙 금융기관은 정보주체의 열람 정정 청구의 내용이 사실인지 조사하고, 사실과 다르거나 확인불가한 개인신용정보는 삭제 또는 정정 조치 - 금융기관은 삭제 정정한 개인신용정보를 최근 6개월 내 제공받은 자 및 해당 정보주체가 요구하는 자에게 그 내용을 통보 정보주체의 열람 정정청구에 대한 처리결과는 7일 이내 조치 통보 금융분야 개인정보보호 가이드라인 49

51 2 개인신용정보 제공 이용 동의 철회권 정보주체는 신용정보제공 이용자(금융기관)에게 개인의 신용도 등을 평가 하기 위한 목적 외의 목적으로 행한 개인신용정보 제공 동의를 철회 가능 정보주체는 신용정보제공 이용자에 대하여 상품이나 용역을 소개하거나 구매를 권유할 목적으로 본인에게 연락하는 것을 중지하도록 청구 가능 3 개인신용정보 처리정지권 처리정지권에 대해서는 신용정보법에 명문의 규정은 없으나, 개인의 신용도 등을 평가하기 위한 목적 으로 제공 이용되고 있는 개인신용정보에 대해서 는 입법취지상 처리정지를 요구할 수 없다고 해석 그 밖의 개인정보에 대한 정보주체의 권리 보장 1 개인정보 열람 정보주체가 자신의 개인정보에 대한 열람을 요구할 경우에는 10일 이내에 조치하여야 함 - 정당한 사유가 있으면 그 사유를 알리고 열람을 연기할 수 있으며, 사유가 소멸하면 지체 없이 열람하게 하여야 함 다만, 다음의 어느 하나에 해당하는 경우 정보주체에 그 사유를 알리고 열람 거절 가능 1. 법률에 따라 열람이 금지되거나 제한되는 경우 2. 다른 사람의 생명 신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우 3. 금융기관인 공공기관이 다음 각 목의 어느 하나에 해당하는 업무를 수행할 때 중대한 지장을 초래하는 경우 50

52 가. 조세의 부과 징수 또는 환급에 관한 업무 나. 초 중등교육법 및 고등교육법 에따른각급학교, 평생교육법 에 따른 평생교육시설, 그 밖의 다른 법률에 따라 설치된 고등교육기관에서의 성적 평가 또는 입학자 선발에 관한 업무 다. 학력 기능 및 채용에 관한 시험, 자격 심사에 관한 업무 라. 보상금 급부금 산정 등에 대하여 진행 중인 평가 또는 판단에 관한 업무 마. 다른 법률에 따라 진행 중인 감사 및 조사에 관한 업무 3 개인정보 정정 삭제 정보주체가 자신의 개인정보에 대해 정정 삭제를 요구할 경우 10일 이내에 조치하고 그 결과를 통지하여야 함 - 법령에 따라 수집 이용하는 개인정보에 대해서는 정보주체가 개인정보 정정 삭제 처리정지 등을 요구할 수 없으므로 정보주체에게 지체 없이 그 내용을 알려야 함 열람 거부사유는 정정 삭제 사유에도 동일하게 적용 4 개인정보 처리정지 정보주체가 자신의 개인정보 처리정지를 요구할 경우 10일 이내에 개인정보 처리의 전부 또는 일부를 정지하여야 함 Ⅲ 개 인( 신 용) 정 보 처 리 단 계 별 원 칙 - 정보주체의 요구에 따라 처리가 정지된 개인정보에 대하여 지체 없이 해당 개인 정보의 파기 등 필요한 조치를 해야 함 다음과 같은 경우에는 처리정지 요구를 거절할 수 있음 - 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위해 불가피한 경우 - 다른 사람의 생명 신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우 - 이 경우 정보주체에게 지체 없이 그 사유를 알려야 함 금융분야 개인정보보호 가이드라인 51

53 궁금해요! 개인정보의 열람, 정정, 삭제 등의 요청을 받았을 때 간단한 사항이라도 반드시 개인정보보호법에서 정한 신청서와 통지서에 맞추어 조치해야 하는지? 아니면 구두로 조치해도 되는지? A 개인정보의 열람등 신청에 대하여는 신용정보법의 규정을 우선하여 적용 하며, 신용정보법에는 열람등 신청에 대하여 별도의 서식을 마련하고 있지는 않으므로, 열람요청 내용이 간소히 처리될 수 있는 성격으로서 별도의 신청서를 받거나 통지서를 제공하는 것이 오히려 불편을 초래한다고 판단되는 경우에는 신청인과 해당 기관이 상호 합의하여 구두로 조치할 수있음 52

54 12 적용 원칙 개인(신용)정보의 유출시 통지 신고에 대하여는 개인정보보호법 제34조 적용 유출 내용에 따라 금융기관검사및제재에관한규정 제41조(금융사고) 및 전자금융감독규정 제73조(정보 기술부문 및 전자금융 사고보고) 또한 적용될 수 있음 개인(신용)정보 유출시 통지 개인(신용)정보가 유출된 경우에는 정당한 사유가 없는 한 5일 이내에 정보 주체에게 다음의 사실을 서면, 전자우편, 팩스 전화, 문자전송 등의 방법을 통해 통지해야 함 개인정보 유출시 통지사항 1) 유출된 개인정보항목 2) 유출 시점 및 경위 3) 유출로 인해 발생할 수 있는 피해 최소화를 위해 정보주체가 할 수 있는 방법 등에 관한 정보 4) 개인정보처리자의 대응조치 및 피해구제절차 5) 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처 Ⅲ 개 인( 신 용) 정 보 처 리 단 계 별 원 칙 만약 정보주체의 연락처 정보를 보유하고 있지 않거나 알 수 없는 경우 인터넷 홈페이지 등을 통해 고지하는 것이 바람직 또한 개인(신용)정보가 유출된 경우 그 피해를 최소화하기 위한 대책을 마련 하고 필요한 조치를 해야함 1만건 이상의 개인신용정보가 유출된 경우 정보주체 통지와 더불어, 안전 행정부 또는 한국인터넷진흥원에 상기 통지사항 및 피해최소화 조치결과를 5일 이내 신고 금융분야 개인정보보호 가이드라인 53

55 개인(신용)정보 유출시 신고 만약 1만명 이상의 개인(신용)정보가 유출된 경우에는 5일 이내에 안전행정부 또는 한국인터넷진흥원(KISA)에 신고해야 함 - 이 경우, 관련 사실을 금융감독원 개인정보보호 담당부서에도 함께 알려야 함 또한, 개별 통지와 함께 인터넷 홈페이지에 유출통지 내용을 7일 이상 게시 해야 함(홈페이지 미운영시 사업장 등 알아 보기 쉬운 장소에 게시) 아울러, 당해 유출 사고가 금융기관검사및제재에관한규정 제41조(금융 사고), 전자금융감독규정 제73조(정보기술부문 및 전자금융 사고보고)에 해당되는 경우에는 해당 규정에 따른 금융위원회 또는 금융감독원 보고 병행 필요 개인정보 유출시 조치사항 정리 정보주체 통지 안전행정부 등 신고 홈페이지 등게시 1만건미만유출 O (5일 이내) (유출규모 등이 명확치 않은 때는 신고도 병행함이 바람직) (유출규모 등이 명확치 않은 때는 게시도 병행함이 바람직) 1만건이상유출 O (5일 이내) O (5일 이내) O (7일 이상) 54

56 구분 세부내용 법적근거 유출통지 방법 통지방법 개인정보 처리자는 개인정보 유출이 발생했을 경우 지체 없이 정보주체에게 개인정보 유출 관련 사항을 통지 1. 서면, 전자우편, 모사전송, 전화, 휴대전화 문자전송 또는 이와 유사한 방법 2. 1번의 통지방법과 동시에 홈페이지 등을 통하여도 공개 - 단, 통지 및 조치 후에도 1만명 이상의 개인정보가 유출된 경우에는 서면 등의 방법과 함께 인터넷 홈페이지에 정보주체가 알기 쉽도록 7일 이상 통지내용을 게재 - 인터넷 홈페이지를 운영하지 않는 개인정보처리자의 경우 사업장 등의 보기 쉬운 장소에 통지내용을 게시 법제34조 지침 제26조 시행령제40조 지침 제28조, 지침 제29조 통지내용 1 유출된 개인정보의 항목, 2 유출된 시점과 그 경위 법제34조1항 3 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 시행령 제40조 있는 방법 등에 관한 정보 3항, 4 개인정보처리자의 대응조치 및 피해구제절차 지침 제27조 5 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 제1항 연락처 통지시기 5일 이내(*유출사고 최초발생 시점과 확인된 시점 사이에 시간적 차이가 있는 경우 이에 대한 과실유무를 입증해야 함) 지침 제27조 1. 개인정보 유출확산방지를 위해 조치가 필요한 경우 유출통지를 연기 1 개인정보가 유출되었을 것으로 의심되는 개인정보처리시스템의 접속권한 삭제 변경 또는 폐쇄 조치 2 네트워크, 방화벽 등 대 내외 시스템 보안점검 및 취약점 보완 조치 3 향후 수사에 필요한 외부의 접속기록 등 증거 보존 조치 통지연기 4 정보주체에게 유출 관련 사실을 통지하기 위한 유출확인 웹페이지 제작 등의 시행령제40조 통지방법 마련 조치 5 기타 개인정보의 유출확산 방지를 위해 필요한 기술적 관리적 조치 2. 개인정보처리자는 1번 각 항목의 조치를 취한 이후, 정보주체에게 다음 각 항목의 사실만 일차적으로 알리고, 추후 확인되는 즉시 알릴 수 있음 1 정보주체에게 유출이 발생한 사실, 2 통지내용 중 확인된 사항 유출통지 신고방법 신고대상 1만명 이상의 정보주체에 관한 개인정보가 유출된 경우 법제34조 3항 및 지침제29조 신고기관 신고시기 신고방법 5일 이내(정보주체에 대한 통지 및 조치결과 신고) 1 전자우편, 팩스, 인터넷 사이트를 통해 유출사고 신고 및 신고서 제출 2 시간적 여유가 없거나 특별한 사정이 있는 경우 : 전화를 통하여 통지내용을 신고한 후, 유출신고서를 제출할 수 있음. 시행령 제39조 제2항, 지침 제29조 신고내용 기관명, 통지여부, 유출된 개인정보 항목 규모, 유출 시점 경위, 유출피해 최소화 대책 조치 및 결과, 정보주체가 할 수 있는 피해 최소화 방법 및 구제절차, 담당 별지제1호서식 부서 담당자 연락처 등 신고접수기록 안전행정부장관 또는 전문기관은 신고접수사실 확인(신고자 전자우편, 팩스) 내규 제4조 기술지원 지원요청 결과보고 피해 확산방지, 피해복구 등을 위한 기술지원 - 전문기관과 공동으로 조사.지원팀 구성 유출신고 처리결과 보고서를 유출신고 업무종결한 날로부터 10일이내 안행부 장관에게 제출 법제34조 제3항,내규제6조 내규제8조 벌칙조항 개인정보 유출신고(5일이내) 위반시 과태료 3천만원이하 제75조 2항 7호 Ⅲ 개 인( 신 용) 정 보 처 리 단 계 별 원 칙 금융분야 개인정보보호 가이드라인 55

57 Ⅰ 가이드라인 개요 >> 금융분야 개인정보보호 가이드라인

58 IV 업종별 개인정보처리사례 금융분야 개인정보보호 가이드라인 1. 공 통 2. 은 행 3. 보 험 4. 증 권

59 Ⅳ 업종별 개인정보처리사례 수집 개인정보 수집 이용에 대하여 기 동의한 고객이 전화를 걸어왔을 때, 전화기에 표시되는 발신번호가 기존 등록된 정보와 상이한 경우 추가적인 동의절차 없이 이 번호로 현행화 가능한지 A 개인정보보호법(제3조)에 따라 개인정보처리자는 처리 목적에 필요한 범위에서 개인정보의 정확성 완전성 최신성이 보장되도록 하여야 함 따라서, 당초 전화번호 등의 처리에 대하여 동의한 고객이라면 개인정보처리자가 발신자번호 표시 기능을 통해 새로 알게 된 전화번호로 고객 전화번호를 현행화 하여 관리하는 것은 가능함 다만, 전화기에 표시되는 발신자번호가 실제 고객이 사용하는 전화번호가 아닐 수 있으므로 해당 고객에게 전화번호의 최신성 여부를 확인한 후 향후 이 번호로 현행화하겠다는 내용을 알려야 할 것임 1-2 수집 유관기관 업무담당자의 연락처를 수집하여 관리하는 경우도 해당 담당자의 개별적인 동의가 필요한지? A 유관기관의 업무담당자 연락처 정보를 수집하여 관리하는 것은 사회통념상 명함 등을 주고받는 행위와 동일한 경우로 볼 수 있으므로 해당기관의 업무와 관련하여 합리적인 범위 내에서 동의 없이 수집 이용 할 수 있음 합리적 범위 라 함은 유관기관 업무담당자의 성명, 소속, 전화번호, 등 연락처 정보를 수집하여 업무관계자간 상호 연락을 위해 공유하는 것을 말함 58

60 1-3 수집 고객을 대상으로 사은품 배송을 하기 위해 고객의 성명, 주소, 전화번호를 택배회사에 전달하는 경우 개인정보 처리에 대한 동의를 받아야 하는지 여부 A 금융기관이 고객에게 사은품을 배송하기 위하여 택배회사에 해당 고객의 성명, 주소, 연락처를 알려주는 것은 배송을 위해 불가피하게 필요한 경우로 볼 수 있어 고객의 동의 없이 처리 가능(쇼핑몰에서 고객사은품을 구매한 후 배송 목적지를 알려주는 경우 포함) 1-4 수집 또한, 금융기관이 DM업체에게 사은품 구매 또는 배송 업무를 일괄 위탁한 후 고객의 성명, 주소, 연락처를 제공하는 경우에도 개인정보 처리 업무의 위탁에 해당하므로 해당 고객의 동의를 받을 필요는 없음 다만, 개인정보 처리 업무를 위탁하는 경우에는 위탁하는 업무 내용과 위탁받는 자를 홈페이지에 공개하여야 하며 수탁자가 개인정보를 안전하게 처리하는지를 감독하는 등 개인정보보호법 제26조에서 정하는 조치를 하여야 함 단발성 또는 일회성 위탁에 대한 조치사항은 Q1-10 참조 계약자로부터 제출받는 법정서류(가족관계증명서, 주민등록등본 등)에 계약자 이외의 가족 개인정보가 포함되어 있는 경우, 이들에 대하여 모두 동의를 받아야 하는지 Ⅳ 업 종 별 개 인 정 보 처 리 사 례 A 실명확인에 필요한 서류(주민등록등본, 가족관계증명서)를 금융기관이 수집 보관하는 것은 개인정보 처리에 해당하므로, 이러한 서류를 수집하여 보관하고자 하는 경우에는 계약자 본인 이외의 가족 정보 중 수집 근거가 없는 개인정보는 삭제하여 제출받거나 보관하여야 함 (예시) 금융기관이 계약자 본인 이외 가족의 주민등록번호가 표기된 주민등록등본을 제출 받은 경우로서 해당 가족의 주민등록번호 수집 근거 및 동의가 없는 경우에는 주민등록 번호 뒷자리를 검게 칠하여 알아볼 수 없도록 한 후 보관 금융분야 개인정보보호 가이드라인 59

61 Ⅳ 업종별 개인정보처리사례 1-5 제공 개인정보를 제공받는 제3자가 변경된 경우 이 내용을 홈페이지에 게재하여 정보주체에게 알리는 것만으로 별도의 동의를 받지 않을 수 있는지 여부 A 개인정보보호법 제18조제3항은 개인정보 제공에 대하여 동의를 받은 이후에도 개인정보를 제공받는 자 등 당초 동의 내용이 변경된 경우에는 이를 다시 알리고 동의를 받아야 한다고 규정하고 있으나 신용정보업감독규정(금융위 고시) 제34조는 당초 동의 내용에 변경이 있는 경우 이를 홈페이지를 통하여 알려야 한다고 규정하고 있음 따라서, 법률의 규정은 행정규칙의 규정보다 우선적인 지위에 있다고 볼 수 있으므로 원칙적으로 개인정보를 제공받는 자가 변경된 경우에는 해당 정보 주체에게 이를 알리고 다시 동의를 받아야 함 다만, 신용정보업감독규정 제34조의 제정취지와 금융분야의 특수성을 고려하여 당초 정보주체가 동의한 개인정보의 수집 목적 내 범위에서 제공하는 경우로 볼 수 있는 포인트 마일리지의 적립 사용처 또는 할인 등 부가 혜택 제공처의 일부 변동이나 기업의 양수 합병으로 인한 제휴업체 변경에 한하여는 정보 주체의 별도 동의를 받지 않아도 해당 변경내용을 인터넷 홈페이지 게재를 통해 알리는 것이 가능함 1-6 동의 전화 응대를 통하여 당해 계약의 체결 및 이행에 불가피한 개인정보만 수집하는 경우에도 정보주체에게 각각의 개인정보 수집 항목 및 이용 목적 등을 알리고 동의를 받아야 하는지 여부 A 계약의 체결 및 이행을 위하여 반드시 필요한 필수정보(민감정보 및 고유식별 정보 제외)만 수집하는 경우에는 정보주체에게 반드시 동의를 받아야 하는 경우가 아니므로 정보주체의 동의 없이 개인정보를 처리할 수 있다는 점과 그 사유를 알리는 것으로 충분함 다만, 이러한 경우에는 필요 최소한의 개인정보 수집이라는 입증책임을 개인 정보처리자가 부담하여야 하며 이러한 내용을 개인정보 처리방침에 반영하고 공개하여야 함 60

62 1-7 동의 고객이 대리인을 통하여 금융관련 업무를 하는 경우, 대리인의 개인정보처리에 대한 동의서 징구가 별도로 필요한지 A 금융기관 등이 적법한 대리권 여부를 확인하기 위하여 대리인의 개인정보를 처리(수집 보관 등)하고자 하는 경우에는 원칙적으로 당해 대리인으로부터 개인정보 처리에 대한 동의를 받아야 함 다만, 당해 계약의 체결 및 이행을 위하여 필수적인 정보(대리인의 성명, 연락처 등)에 대하여는 대리인의 동의 없이 처리 가능하며, 실명확인의무가 있는 금융 거래의 경우에는 주민등록번호까지도 동의 없이 처리 가능 Ⅳ 1-8 동의 법 시행전 계좌를 개설한 고객에 대하여 법 시행후 금융거래시 동의서 징구를 별도로 해야 하는지 여부 업 종 별 개 인 정 보 처 리 사 례 A 법 시행전에 금융관계 법령에 따라 적법하게 처리된 개인정보를 법 시행 이후 기존의 수집 목적 범위 내에서 이용한다면 추가로 동의를 받을 필요는 없음 따라서 법 시행전에 개설한 계좌로 법 시행 후 금융거래를 하는 경우 동의서를 징구할 필요 없음 또한 법 시행전에 본인 동의하에 개인정보의 제공을 포함한 계좌를 개설한 경우에도 법 시행 이후 기존 목적 범위 내에서 당초 동의 받은 제공처에 제공 가능 (예시) 포인트, 마일리지, 할인혜택 등 금융분야 개인정보보호 가이드라인 61

63 Ⅳ 업종별 개인정보처리사례 1-9 동의 금융기관에 대하여 고객이 개인정보에 대한 열람, 정정, 삭제 등을 요구할 경우 어느 법률에 따라야 하는지? A 신용정보의 열람 및 정정청구 등에 대하여는 신용정보법 제38조에 규정하고 있으며, 개인정보의 열람, 정정 삭제, 처리정지에 대하여는 개인정보보호법 제 35조 내지 제38조에 규정하고 있음 따라서, 본 가이드라인 제10~12쪽 내용을 참조하여 신용정보 에 해당하는 정보의 열람 등에 대하여는 신용정보법을 적용하고 그 밖의 개인정보 에 해당하는 정보의 열람 등에 대하여는 개인정보보호법을 적용하여야 하며, 아울러 신용정 보법 과 개인정보보호법 외 다른 금융관계 법률에서 개인정보의 열람 정정 삭제에 대한 절차를 별도로 정하는 경우에는 해당 법률이 정하는 바를 우선 적용하여야 함 (예시) 대여금고 이용 정보, CCTV 촬영 영상 등의 열람은 개인정보보호법 적용 1-10 위탁 위탁기간이 매우 짧은 단발적인 위탁의 경우에도 홈페이지 공개나 수탁업체 교육을 반드시 하여야 하는지? A 단발적인 배송 위탁등 위탁기간이 매우 짧아 위탁기간내 홈페이지 공개나 수탁 업체 교육이 불가능한 경우에는, 위탁계약 체결시 수탁업체가 지켜야 할 사항을 계약서류 등을 통해 명확히 고지하고 수탁업체가 관련 직원에게 전달하여 교육 할 수 있도록 요청할 수 있음 62

64 1-11 위탁 하나의 수탁기관이 동일한 업무에 대하여 다수 업체의 위탁을 받은 경우 각각의 위탁기관으로부터 임직원 교육 등의 관리 감독을 받아야 하는지 여부 A 원칙적으로 수탁자는 수탁받은 업무와 관련한 개인정보 처리에 대하여 위탁자의 지휘 감독을 받아야 하나, 해당 수탁업무의 특성상 하나의 수탁기관이 동일한 업무에 대하여 다수 업체로부터 위탁을 받은 경우에는, 상호 합의하에 수탁기관 이 기술적 관리적 물리적 보호조치에 대한 사항이나 임직원 교육 현황 등을 주기적으로 공지하는 등의 방법을 마련하고 이를 계약서에 반영 이행함으로서 위탁업체의 관리 감독 책임을 수행할 수 있음 Ⅳ 업 종 별 개 인 정 보 처 리 사 례 금융분야 개인정보보호 가이드라인 63

65 Ⅳ 업종별 개인정보처리사례 동의 만 14세 미만 아동이 직접 계좌개설을 요청하거나 학교장이 일괄 계좌개설 요청시 동의서 징구 여부 A 만 14세 미만 아동이 금융기관에 계좌를 개설하고자 하는 경우에는 금융위원회 및 금융감독원 지도( 13.2월)에 따라 법정 대리인의 승낙이 있어야 하며, 개인 정보 처리에 대한 동의가 필요한 경우(선택정보에 대한 동의 등)에는 개인정보 보호법 제22조에 따라 해당 법정 대리인의 동의를 받아야 함 다만, 당해 계약의 체결 및 이행에 필수적인 개인정보에 한하여 수집 이용하는 경우로서 금융실명법에 따른 실명확인 의무가 있는 계좌개설시에는 연령과 무관하게 개인정보(주민등록번호 포함) 처리에 대하여 정보주체의 동의가 필요한 경우가 아니므로, 동의서를 징구할 필요 없음 2-2 동의 명의인이 대리인을 통해 금융거래를 하는 경우, 해당 명의인으로부터 개인정보 처리 동의서를 받아야 하는지 여부 A 원칙적으로 금융기관 등이 대리인을 통해 명의인의 개인정보를 처리하는 경우 에는 해당 정보주체(명의인)의 개인정보 처리 동의를 받아야 함 다만, 명의인이 위임장 등을 통하여 자신의 금융거래 처리 업무를 대리인에게 명시적으로 위임하였다면 해당 대리인은 당해 금융거래에 필수적인 개인정보 처리에 대한 권한을 위임받은 자로 볼 수 있으므로, 이러한 경우 명의인의 동의 서를 추가로 받을 필요는 없음 대리인이 선택적 개인정보 처리까지 동의 가능한지에 대하여는 Q2-3 참조 64

66 2-3 동의 가족대리 또는 위임장 대리시 선택적 정보까지 동의 가능 여부 A 본인이 대리인에게 명시적으로 선택적 정보 동의까지 위임하는 경우에는 가능 하다고 볼 수 있으나 일반적으로 금융거래업무 등을 포괄적으로 위임한 경우에는 해당 업무의 본질적 부분에 대한 위임에 한정된 것으로 보아야 하므로, 선택적 정보의 처리까지 동의하는 것으로 볼 수는 없음 Ⅳ 2-4 동의 금융기관이 만 14세 이상 미성년자의 개인정보를 처리하고자 하는 경우 해당 미성년자의 동의를 받아야 하는지 아니면 그 미성년자의 법정대리인 동의를 받아야 하는지 업 종 별 개 인 정 보 처 리 사 례 A 개인정보보호법 제22조제5항에 따라 만 14세 미만 아동의 개인정보 처리에 대하여는 그 법정대리인의 동의를 받아야 한다고 규정하고 있으므로, 만 14세 이상 미성년자에 대하여는 해당 미성년자의 동의를 받는 것이 원칙임. 다만, 민법 제4조에 따라 만 20세( 일 부터는 19세) 미만의 미성년자의 법률행위 는 법정대리인의 동의(권리만을 얻거나 의무만을 면하는 행위는 제외)를 받도록 규정하고 있으므로 개인정보처리자가 만 14세 이상 미성년자의 개인정보를 처리하고자 하는 경우에는 해당 미성년자의 동의를 받거나 그 법정대리인의 동의를 받는 것도 가능함 금융분야 개인정보보호 가이드라인 65

67 Ⅳ 업종별 개인정보처리사례 2-5 동의 사업주가 제출한 개인정보 처리 동의서의 은행 확인 의무 A 사업주가 자신의 업무를 목적으로 고객 또는 직원의 개인정보를 처리하고 있다면 해당 사업주는 정보주체로부터 개인정보를 직접 수집하여 처리하는 개인정보 처리자에 해당하는 바, 적법한 동의를 받아 개인정보를 처리하여야 하는 법적 책임을 부담하여야 함 아울러, 금융기관이 정보주체가 아닌 사업주로부터 해당 정보주체의 개인정보를 제공받는 경우에는 해당 정보가 적법하게 수집된 정보인지 여부를 명확히 할 필요가 있으므로, 개인정보를 제공하는 사업주에게 동의가 있었다는 사실을 증명할 수 있는 자료의 제출이나 해당 정보주체의 동의 확인을 요청할 수 있음. 아울러 불법적으로 수집된 개인정보임을 알게 된 경우에는 이를 취득하여서는 안됨 2-6 동의 채권양도에 따른 고객정보 이전 A 신용정보법 제32조제4항은 영업양도 양수 및 합병 등을 이유로 권리 의무의 전부 또는 일부를 이전하면서 그와 관련된 개인신용정보를 제공하는 경우 동의 없이 제공 가능하다고 규정하고 있으며, 개인정보보호법 제27조는 양도자 또는 양수자가 영업양도에 따른 개인정보 이전에 대한 사실을 서면 등의 방법으로 정보주체에게 알리도록 하고 있음 따라서 영업상 이유로 채권 등의 재산적 권리가 양도되는 경우에도 원칙적으로 이에 준하여 정보주체의 동의를 요하지 않으며, 지명채권의 양도시에는 채무자 에게 통지하여야 함.(무기명채권의 경우에는 통지의무가 없음) 66

68 3 3-1 제공 보험사에 개인정보를 제공하는 제휴업체(카드사, 공동마케팅사 등)를 위탁 관계로 볼 수 있는지 A 3-2 제공 제휴업체는 통상적으로 각자의 업무 목적을 위해 개인정보를 처리하는 자에 해당하므로 보험사와 위탁관계가 아니라 제3자 제공으로 보아야 함 개인정보보호법 제26조에 따른 개인정보 처리 업무의 위탁은 기관 내부의 업무를 외부의 제3자에게 위탁하여 이를 대신 처리토록 하는 일종의 아웃소싱(Outsourcing)을 말하는 것임 Ⅳ 업 종 별 개 인 정 보 처 리 사 례 제공받는 정보가 정당한 동의를 받은 것인지 확인할 의무가 있는지 A 제휴업체 등이 정보주체의 동의를 얻어 보험사에 개인정보를 제공하는 경우에 는 해당 제휴업체가 개인정보를 제공하는 자로서 법적 책임을 가지며, 아울러 보험사는 제휴업체로부터 제공받는 개인정보가 적법하게 수집된 정보인지를 명확히 할 필요가 있으므로 해당 제휴업체에게 동의가 있었다는 사실을 증명할 수 있는 자료의 제출이나 해당 정보주체의 동의 확인을 요청할 수 있음. 아울러 불법적으로 수집된 개인정보임을 알게 된 경우에는 이를 취득하여서는 안됨 금융분야 개인정보보호 가이드라인 67

69 Ⅳ 업종별 개인정보처리사례 3-3 동의 개인정보처리자간 개인정보를 상호 제공하는 경우 쌍방의 개인정보처리자 모두 각각 동의를 받아야 하는지 여부 A 개인정보보호법이 적용되는 그 밖의 개인정보 를 개인정보처리자간 상호 제공 하는 경우에는 원칙적으로 개인정보를 제공하는 각각의 개인정보처리자가 정보 주체로부터 개별적인 동의를 받아야 함 다만, 개인정보를 제공하거나 제공받고자 하는 개인정보처리자 쌍방이 상호 합의하여 개인정보의 제공 또는 공유에 대한 사항을 일방의 동의서에 명확히 반영한 후 정보주체의 동의를 받는 경우에는 해당 동의 내용에 이미 개인정보의 상호 제공 또는 공유가 포함된 것으로 볼 수 있으므로 정보주체가 이미 동의한 내용에 대하여 다른 개인정보처리자가 추가적인 동의를 받을 필요는 없음 3-4 동의 개인정보를 제공받고자 하는 자가 정보주체의 동의를 받아 해당 정보주체의 개인정보를 보유하고 있는 자에게 제공 요청을 할 수 있는 지 여부 A 신용정보법 제32조제2항 등 다른 법률에서 특별히 동의를 받아야 하는 자를 규정하고 있는 경우를 제외하고, 원칙적으로 개인정보를 제공하는 자가 정보주 체의 동의를 받아야 함 신용정보법 제32조제2항은 신용조회회사 또는 신용정보집중기관으로부터 대통령령으로 정하는 개인신용정보를 제공받으려는 자는 대통령령으로 정하는 바에 따라 해당 개인 으로부터 동의를 받아야 한다고 규정 다만, 해당 개인정보를 제공하는 자와 제공받고자 하는 자가 상호 협의한 경우 에는 개인정보를 제공받고자 하는 자가 개인정보를 제공하는 자에게 정보주체의 동의 의사를 대신 제출한 후 개인정보를 제공받는 것은 가능함 68

70 3-5 동의 불특정 다수가 하나의 동의서에 서명하는 다수 계약자용 동의 서식 사용이 가능한지 여부 A 하나의 동의서에 불특정 다수가 서명하는 형태의 동의 서식은 당해 동의 서식에 기재된 다른 사람의 개인정보가 불특정 다수에게 노출될 수 있으므로, 하나의 동의서에는 한 사람의 동의 내용만을 기재하거나 다른 사람의 개인정보가 쉽게 노출되지 않는 형태의 동의 서식을 사용하는 것이 바람직 불특정 다수 라 함은 상호 이해관계가 없는 불특정인을 말하며 계약 관계자나 가족 구성원, 특정 단체보험 가입자는 불특정 다수로 볼 수 없는 바, 하나의 동의 서식을 이용 하는 것이 가능함 Ⅳ 3-6 동의 보험 계약시 개인정보 처리에 동의한 계약자, 피보험자, 수익자 등이 보험금을 청구하는 경우 추가적으로 동의를 받아야 하는지 업 종 별 개 인 정 보 처 리 사 례 A 개인정보보호법 제15조에 따라 개인정보는 당초 수집 목적의 범위 내에서 이용 할 수 있으므로 당초 보험계약시 보험금 청구와 관련한 개인정보 처리에 대하여 이미 동의를 한 자의 경우에는 향후 보험금 청구시 추가적으로 동의를 받아야 할 필요는 없음 금융분야 개인정보보호 가이드라인 69

71 Ⅳ 업종별 개인정보처리사례 3-7 동의 보험금 수익자를 지정 또는 변경하거나, 제3자 배상책임을 이행하기 위한 경우, 동의없이 개인정보를 처리할 수 있는지 A 개인정보보호법에 따라 정보주체와의 계약의 체결 및 이행을 위하여 불가피한 경우 개인정보(민감정보 및 고유식별정보 제외)를 수집 이용할 수 있으므로 이에 해당하는 경우 동의없이 수집 이용 가능 또한, 보험회사가 보험업법 시행령 제102조제5항에 따른 3자 배상책임 이행 및 보험수익자 지정 변경에 관한 사무를 수행하는 경우에는 해당 사무 수행에 필요한 범위로 한정하여 제3자의 건강정보 및 고유식별정보(제3자 배상책임 이행시), 보험수익자의 고유식별정보(수익자 지정 또는 변경시)를 동의 없이 처리할수있음 3-8 안전성 보험회사가 개인정보의 안전한 관리를 위하여 설계사의 개인 PC, 업무수첩 등에 기재된 개인정보까지 관리하여야 하는지 여부 A 보험회사가 자신의 고용인 또는 수탁자가 처리하는 개인정보를 관리 감독하는 범위 및 내용에 대하여는 해당 보험회사 또는 금융감독 당국이 사생활 침해 우려 등을 고려해서 자체적으로 정할 수 있음 (예시) 설계사 개인 PC는 개인정보 자가진단 툴을 이용하여 정기 점검, 수시 또는 정기 교육 등을 통해 고객 개인정보를 안전하게 관리하도록 인식제고 등 70

72 4 4-1 제공 증권회사가 법인등기부등본에 기재된 법인대표자나 대리인의 개인정보를 수집 이용하는 경우에도 동의서를 징구하여야 하는지 여부 A 법인등기부등본 상에 기재된 법인 대표자 및 대리인의 정보(성명, 직위, 생년월일, 사업장 소재지 등)는 개인에 대한 정보가 아니라 해당 법인에 대한 정보로 볼 수 있으므로 이러한 정보를 수집 이용하고자 하는 경우에는 별도의 동의서를 징구할 필요는 없음 다만, 법인등기부등본상에 기재된 대표자 및 대리인 등의 정보가 해당 법인의 정보로서가 아니라 특정 자연인의 개인정보로 처리되는 경우*는 개인정보에 해당될 수 있으므로 이러한 경우에는 정보주체의 동의를 받는 등 개인정보보호법 제15조에서 정하는 바에 따라 개인정보를 수집 이용하여야 함 * 법인등기부등본상에 기재된 정보가 특정 자연인의 개인정보로 처리되는 경우는 당해 등본에 기재된 대표자, 임원, 대리인 등의 정보를 수집하여 해당 개인에게 자산관리 등의 금융 상품을 홍보하거나 구매를 권유하는 경우 등을 말함 Ⅳ 업 종 별 개 인 정 보 처 리 사 례 금융분야 개인정보보호 가이드라인 71