Ⅰ. 개인(신용)정보 표준동의서
| ‣ 금융투자회사(겸영업자 포함)는 고객으로부터 최소한의 정보만을 수집하고 고객은 정보제공 내용을 명확히 인지할 수 있도록 하기 위하여 표준동의서 양식을 안내하여 드리오니 본 내용을 참고하여 각 사의 상황에 맞도록 활용하여 주시기 바랍니다. ‣ 본 표준동의서 양식은 종이문서 및 이와 유사한 형태로 활용하기 위해 작성된 것이므로 모바일 기기 등에 적용하는 온라인 동의서와 같이 표준동의서의 형식을 적용하기 어려운 경우에는 매체의 특성을 고려하여 적용하여 주시기 바랍니다. |
제정 : 2014. 7월
1차 개정 : 2015. 12월
2차 개정 : 2016. 12월
1. 가독성 유지 및 필수와 선택의 명료화
| □ | 글자 크기 및 줄 간격등 가독성을 높이기 위한 형식 유지 |
| ◦ | 제목 13p, 항목구분 글자 12p, 본문글자 10p 및 줄간격 130% 이상: 가독성을 높이기 위한 최소 기준 |
| ◦ | 중요사항 강조: 중요한 내용의 경우 박스 또는 하이라이트로 표기 |
| □ | 필수동의사항과 선택동의사항 구분 : 금융거래 설정용필수동의사항과 부가서비스 제공용선택동의사항으로 구분 |
| ◦ | 필수동의서(2장)와 선택동의서(1장) 개별 구성: ① 필수동의서(동의가 필요하지 않은 고지사항과 동의가 필수적인 사항으로 구분), ② 선택동의서(부가서비스) |
| ◦ | 금융거래 설정용 필수동의로 상품계약체결 완료: 필수동의서의 동의를 통해 계좌개설 및 상품계약체결이 가능함을 고객에게 명확하게 안내 |
【 개인(신용)정보 수집ㆍ이용ㆍ제공 동의서 개선 】
2. 제3자 정보제공의 포괄적 동의 금지 등 자기결정권 유지
| □ | 정보제공처를 대상ㆍ목적별로 그룹화 |
| ◦ | 제3자 정보제공처에 대한 그룹별 동의: 포괄적 동의를 방지하여 제3자 정보제공에 대한 고객의 자기결정권 유지 |
| □ | 고객의 자기결정권 행사방법 안내 |
| ◦ | 동의거부권 및 동의철회권: 고객은 선택동의사항에 대한 동의거부권을 가지고 있으며, 동의 이후에도 동의철회권이 있음을 안내 |
| ◦ | 마케팅 수단에 대한 개별 동의: 마케팅 수단을 고객이 직접 선택할 수 있도록 구분 |
3. 정보보유기간의 구체적 명시 등 정보주체의 알 권리 보장
| □ | 개인(신용)정보의 수집ㆍ이용 및 제공 항목의 최소화 및 목적 구체화 |
| ◦ | 금융분야 공통 필수항목 6개 및 투자매매중개업 공통 필수정보 1종: 이름, 고유식별정보(주민번호, 여권번호 등), 집(직장) 주소, 연락처, 직업, 국적, 거래매체관련 정보 |
【 공통 필수항목 】
| * | 외국인, 주민번호 말소자 등 주민번호 제공이 불가능한 경우에는특정금융거래보고법에 따라 생년월일 및 성별 정보를 추가 수집 |
| * | * 투자매매중개업자의 경우에 한해 공통 필수정보 |
| ※ | 금융거래 관련 생성정보인 ‘금융거래정보'도 공통 필수항목에 포함 |
| ◦ | 특정기준에 따른 필수항목 정의: 업무별 특정기준에 따라 필수항목이 결정되는 업무 정의 |
【 특정기준에 따른 필수항목 】
| ◦ | 상품(계약)별 수집 필수항목 최소화: 상품(계약)별 계약 체결 및 이행을 위한 최소한의 정보만 수집 |
【 상품(계약)별 필수항목 】
(투자매매중개업회사)
(기타 금융투자업회사)
| ◦ | 상품(계약)별 제공 필수항목 최소화: 상품(계약)별 계약 체결 및 이행을 위한 최소한의 정보만 제공 |
【 상품(계약)별 제공 필수항목 】
(투자매매중개업회사)
(기타 금융투자업회사)
| □ | 개인(신용)정보의 보유기간을 구체적으로 명시하도록 유지 |
| ◦ | 보유ㆍ이용기간의 명시적 기재: ‘거래종료일*로부터 5년(단, 금융사고조사, 분쟁해결, 민원처리, 법령상 의무이행**을 위한 경우 별도 보관)'과 같이 명시적으로 기재 |
| * | 고객의 모든 계좌의 폐쇄와 모든 상품의 계약이 종료된 상태 |
| * | * (예) ‘자본시장법'상 투자자 계약관련 자료는 10년 이상 보관 |
| ◦ | 거래종료 개념 기재: 고객이 거래종료일의 개념을 이해할 수 있도록 거래종료일의 개념을 구체적으로 기재 |
4. 표준동의서 서식 간소화
| □ | 법적 요건을 준수하는 범위에서 서식을 간소하게 개선 |
| ◦ | 동의 요구가 의무사항이 아닌 경우 고지 대상으로 변경: 법적 의무사항 준수*및 계약체결 이행**을 위한 경우에 해당하는 필수 수집ㆍ이용에 관한 사항은 동의 대상이 아닌 고지 대상으로 변경 |
| * | 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 수집ㆍ이용 가능(「개인정보 보호법」 제15조제1항제2호, 「신용정보법」 제15조제2항제1호) |
| * | * 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우 수집ㆍ이용 가능(「개인정보 보호법」 제15조제1항제4호, 「신용정보법」 제15조제2항제2호) |
| ◦ | 업무위탁 사항은 간략하게 고지: 개인(신용)정보 업무위탁에 관한 사항은대표적인 내용을 간략하게 고지하고, 자세한 사항은 자사 홈페이지 「개인정보 처리 방침」에서 확인하도록 안내 |
| * | 선택동의서의 수집ㆍ이용 정보의 업무위탁에 대한 내용은 홈페이지 「개인정보 처리 방침」에서 확인하도록 고객 안내가 필요 |
| ◦ | 투자매매중개업 구분 없이 통합: 투자매매중개업회사用과 기타 금융투자업회사用으로 구분하여 사용하는 기존 표준동의서를 통합하여 통일된 표준동의서를 활용하도록 개선 |
| * | 표준동의서에서 예시로 제시하고 있는 업무위탁 현황과 상품 및 부가서비스 등은 자사의 업무현황에 맞도록 수정ㆍ보완하여 활용 |
Ⅱ. 금융투자회사의 개인(신용)정보 파기 가이드라인
| ‣ 금융투자회사는 개인(신용)정보의 파기 및 안전한 보관과 관련하여 이 가이드라인의 내용이 내부통제기준에 반영되어 시행될 수 있도록 하여 주시기 바랍니다. |
제정 : 2014. 7월
1차 개정 : 2015. 12월
제1장 개요
| 1. 목적 |
|
이 가이드라인은 금융투자회사가 수집·이용 중인 개인(신용)정보가 보유기간 경과 또는 목적달성 등으로 불필요하게 되었을 때 이를 적절히 파기토록 하고, 계속적인 보관이 필요한 경우에는 안전한 보관방법 및 이용절차에 대한 구체적 기준을 마련함을 목적으로 합니다.
| 2. 적용 범위 |
|
▪ 금융투자회사가 처리하는 모든 개인(신용)정보
| 3. 근거 |
|
▪ 금융분야 개인정보 유출 재발방지 종합대책('14.03.10.)
▪ 신용정보의 이용 및 보호에 관한 법률 개정법률 시행('15.09.12.)
제2장 개인(신용)정보의 파기
| 1. 파기 기준 |
|
| 1. | 1 금융투자회사가 수집한 개인(신용)정보는 원칙적으로 상거래관계 종료 후 즉시(3개월 이내) 파기하여야 합니다. 다만, 다음과 같은 경우에는 그러하지 아니합니다. |
▪ 법령상 의무이행 등을 위해 보관이 불가피한 경우에는 상거래관계가 종료된 날로부터 5년이 경과하기 전에 현재 거래중인 고객의 정보와 분리하여 보관
▪ 법령에서 파기(또는 삭제) 시점을 명확하게 명시한 경우에는 해당 시점에 즉시 파기(또는 삭제)하여야 함
| * | 파기(또는 삭제) 시점을 명확하게 명시한 법령 예시 |
| - | (신용정보법 제18조제2항) 신용정보주체에게 불이익을 줄 수 있는 신용정보는 그 불이익을 초래하게 된 사유가 해소된 날부터 최장 5년 이내에 등록ㆍ관리 대상에서 삭제하여야 함 |
| - | (신용정보법 제21조) 신용정보회사 또는 신용정보집중기관의 폐업 시 금융감독원 직원 입회하에 신용정보 수록 파일 등 소거ㆍ폐기 |
| 1. | 2 상거래관계 종료는 고객이 보유하고 있는 모든 계좌의 적극적 폐쇄 및 모든 상품의 계약 해지가 이루어지는 시점을 기준으로 합니다. |
| 1. | 3 고객은 다음의 경우와 같이 상거래관계 종료 후 개인(신용)정보의 종류에 따른 해당 기간이 경과한 경우에 자신의 개인(신용)정보 파기(또는 삭제)를 요청할 수 있습니다. |
▪ 금융거래 등 상거래관계의 설정 및 유지 등에 필수적인 개인(신용)정보의 경우 5년
▪ 위에 해당하는 경우를 제외한 개인(신용)정보의 경우 3개월
| 1. | 4 고객이 자신의 개인신용정보 파기(또는 삭제)를 요청하는 경우에는 영업점에 내방하여 ‘개인신용정보 삭제 요구서'를 작성하여 신청할 수 있습니다.<별첨 3> |
▪ 상거래관계 종료일 경과 기간에 따라 파기(또는 삭제) 신청 결과 통지
[신용정보 삭제 요구에 대한 통지문 예시]
| 2. 1단계 보안조치 |
|
| 2. | 1 거래가 종료된 고객의 개인(신용)정보가 다음의 경우와 같이 불필요한 정보에 해당하는 경우 상거래관계 종료일로부터 3개월 이내 파기하여야 합니다. |
▪ 학력, 직위, 결혼기념일 등 부가적인 신상정보가 금융거래 및 관련 서비스 제공과 직접적인 연관성이 없는 경우
▪ 금융거래 및 관련 서비스 제공과 무관한 부가서비스를 위한 정보
| 2. | 2 상거래관계 종료일로부터 3개월이 경과한 개인(신용)정보는 영업조직의 접근 및 조회를 제한하는 등 영업목적으로 이용되지 않도록 현재 거래중인 고객의 정보와 접근권한을 통제하는 등 보안통제를 강화하여 보관하여야 합니다.<별첨 1> |
▪ 접근권한이 없는 자가 해당 개인(신용)정보를 이용하려는 경우에는 접근권한 관리책임자의 사전 승인을 얻어 그 개인(신용)정보를 이용하게 하고, 그 이용 내역을 3년간 보관
| 3. 2단계 보안조치 |
|
| 3. | 1 상거래관계 종료일로부터 5년이 경과한 개인(신용)정보는 원칙적으로 전산원장에서 모두 삭제하여야 합니다. 다만, 제3.2호에 따른 보관이 불가피한 경우에는 그러하지 아니합니다. |
| 3. | 2 상거래관계 종료일부터 5년이 경과하였음에도 법령상 의무이행 등을 위해 보관이 불가피한 경우에는 현재 거래중인 고객의 정보와 별도로 분리하여 엄격히 관리하여야 합니다.<별첨 1> |
| * | 보관이 불가피한 경우 예시 |
| - | (자본시장법 시행령 제62조) 주문기록 등 거래 관련 자료(10년), 투자자재산의 운용 관련 자료(10년), 투자자와 체결한 계약 관련 자료(10년), 투자권유 관련 자료(10년) 등 |
| - | 금융사고조사, 분쟁해결, 민원처리를 위한 채권ㆍ채무의 존재 확인 및 금융거래의 진실성 확보 등 |
| 4. 유의사항 |
|
| 4. | 1 개인(신용)정보 중 금융거래정보는 법령에서 파기시점을 명확하게 명시한 경우 이외에는 무분별하게 파기되는 사례가 없도록 유의하여야 합니다. |
▪ 장기간 보관하는 경우 제2호 1단계 보안조치 및 제3호 2단계 보안조치에 따라 현재 거래중인 고객의 정보와 분리하여 엄격하게 보관ㆍ관리하여야 함
제3장 제3자 제공정보의 파기
| 1. 제3자 제공정보에 대한 통제 |
|
| 1. | 1 제3자에게 정보를 제공*할 때에는 ‘필요최소한' 기간을 설정하고, 기간 경과 시 제3자가 파기하도록 의무화 하여야 합니다. |
| * | 개인(신용)정보 처리의 위탁, 또는 제3자의 이익을 위하여 개인(신용)정보가 이전된 경우를 모두 포함 |
▪ 금융투자회사는 제3자와 개인(신용)정보를 제공하는 계약 체결 시, 구체적 기간과 파기 계획*을 명시하고, 불이행 시 제재(손해배상, 재계약 금지 등) 방안을 마련하여야 함
| * | (예시) 파기대상 정보의 선정, 파기절차, 파기내역의 기록ㆍ보관, 파기결과에 대해 CPO(개인정보 보호책임자)에게 보고 등 |
▪ 개인(신용)정보 제공 대상에 따라 개인(신용)정보 제공계약에 포함하여야 하는 신용정보 보안관리 대책은 다를 수 있으며 이에 대한 내용은 <별첨 2>에 있는 신용정보업감독규정의 [별표 4]를 참고하여야 함
| 1. | 2 금융투자회사는 마케팅 목적으로 제3자의 이익을 위하여 제공한 개인(신용)정보 또는 수탁사에게 제공한 개인(신용)정보의 이용기간이 경과한 경우 정보를 파기하고 이를 확인해 줄 것을 요청*하여야 합니다. |
▪ 수탁사의 CEO 등(개인정보 보호책임자 또는 신용정보관리ㆍ보호인)으로부터 파기 확인서를 요청하고, 제3자가 특별한 사유 없이 파기확인서 제출에 응하지 않는 경우에는 불이행 시 제재 방안에 따라 조치함
▪ 다만, 법령상 의무 준수, 공공기관의 소관업무 수행, 금융거래 등을 위하여 처리가 불가피한 경우에는 그러하지 아니함
| 1. | 3 금융투자회사는 수탁사에게 제공한 정보의 관리실태를 CEO 등(개인정보 보호책임자 또는 신용정보관리ㆍ보호인)에게 주기적으로 보고하여 철저히 관리*하여야 합니다. |
| * | 제3자의 이익을 위하여 개인(신용)정보가 이전된 경우에도 가능한 이행 |
제4장 분리보관 정보 활용시 통지
| 1. 분리보관 정보의 활용 |
|
| 1. | 1 금융투자회사가 상거래관계 종료 후 5년이 경과하였으나 파기하지 않고 분리보관 하는 개인(신용)정보를 활용할 경우에는 고객에게 통지하여야 합니다. |
▪ 통지에 관한 사항*은 신용정보법 시행령 별표 2의2 참고<별첨 4>
| * | 통지방법은 서면, 전화, 문자메시지, 전자우편, 팩스 그 밖에 이와 유사한 방법을 사용할 수 있으며, 고의 또는 과실 없이 신용정보주체의 연락처 등을 알 수 없는 경우에는 인터넷 홈페이지에 게시하는 등이 가능(신용정보법 시행령 제34조의2제2항 참고) |
▪ 고객 본인 요청에 의해 개인(신용)정보를 제공하는 경우, 해당 정보 제공시 고객에게 활용에 대한 통지를 함께 안내할 수 있음
| 1. | 2 다만, 신용정보업 감독규정 제38조의3에 따라 개인(신용)정보 제공사실의 통지유예 대상이 되는 경우에는 유예요청 기간 동안 통지를 유예할 수 있습니다. |
▪ 법원의 제출명령 또는 영장에 따른 제공, 조세에 관한 법률에 따른 과세자료 제공 등 제공 요구자가 특별한 사유*가 지속되고 있음을 제시하고 통지의 유예를 서면으로 반복하여 요청하는 경우 요청받은 날부터 두 차례만(사유1의 경우 제외) 매1회 3개월의 범위에서 유예요청기간 동안 통보를 유예할 수 있음
| * | (사유1) 해당 통지가 사람의 생명이나 신체의 안전을 위협할 우려가 있는 경우 |
(사유2) 해당 통지가 증거인멸, 증인 위협 등 공정한 사법 절차의 진행을 방해할 우려가 명백한 경우
(사유3) 해당 통지가 질문·조사등의 행정절차의 진행을 방해하거나 과도하게 지연시킬 우려가 명백한 경우
Ⅲ. 금융투자회사의 개인신용정보 조회시스템 구축 기준
| ‣ 금융투자회사의 고객이 본인의 개인신용정보가 이용ㆍ제공되는 현황을 언제든지 확인할 수 있도록 하기 위하여 금융투자회사는 개인신용정보 조회시스템을 구축하여야 함에 따라 시스템 구축 기준을 안내하오니 본 내용을 참고하여 각 사의 상황에 맞도록 활용하여 주시기 바랍니다. |
제정 : 2015. 12월
개인신용정보 조회시스템 구축 기준
| ‣ 신용정보법 제35조제1항에 따라 고객이 본인의 개인신용정보가 이용ㆍ제공되는 현황을 언제든지 확인할 수 있는 체계를 구축 (관련조문) 법 제35조, 시행령 제30조 및 규정 제39조의2, 제40조 |
| 1. 구축 대상 |
|
| □ | 신용정보회사, 신용정보집중기관 및 신용정보제공·이용자 |
| ◦ | 다만, 인터넷 홈페이지 또는 개인신용정보를 관리하는 전산인프라가 없는 자로서 1만명 이하의 신용정보주체에 대한 개인신용정보를 수집·이용·처리하는 경우에는 조회시스템을 구축하지 않고 사무소·점포 등에서 신용정보주체가 조회사항을 열람하게 할 수 있음 |
＊ 시행령 및 규정 일부개정 결과에 따라 내용이 달라질 수 있음('16년 1분기)
| 2. 구축 범위 |
|
| □ | (법적 기준) 개인신용정보를 이용하거나 제공한 경우에 해당하는 현황 |
| 필수 조회 대상 | ▷ [이용] 마케팅 관련 정보 ▷ [제공] 시행령 [별표 2의2]에 해당하는 정보 ▷ [제공] 제3자 제공(각 사 상황에 따라 다름) |
| ◦ | (조회시스템 적용 대상 정보) |
| 1. | 이벤트 관련 업무: ETF상장기념 이벤트, 수익률 투자대회 등 |
| 2. | 마케팅 목적의 업무: 신규 상품 및 서비스 안내 등 |
| 3. | 제휴업무: 신용카드·체크카드(카드사), 방카슈랑스(보험사), 세무법인 정보제공 등 |
| ◦ | (제외 대상 정보) 내부 경영관리의 목적으로 이용하거나 반복적인 업무위탁을 위하여 제공하는 경우 등(시행령 제30조제4항) |
| 1. | 신용위험관리 등 위험관리와 내부통제 |
| 2. | 고객분석과 상품 및 서비스의 개발 |
| 3. | 성과관리 |
| 4. | 잔고통보와 같은 반복적인 위탁업무의 수행 |
| 5. | 업무와 재산상태에 대한 검사 |
| 6. | 다른 법령에서 정하는 국가 또는 지방자치단체에 대한 자료제출의무 이행* |
＊ 시행령 일부개정 결과에 따라 내용이 달라질 수 있음('16년 1분기)
| ◦ | (제외 가능 대상 정보)타 법에서 통보에 대한 생략이 가능함을 명시한 경우 조회시스템에서 제외 가능 |
| - | 「금융실명법」 제4조의2제1항에 따라 거래정보등의 제공사실에 대한 통보 의무가 없는 경우즉, 제4조제1항제4호 내지 제7호 및 조세에 관한 법률에 따라 제출의무가 있는 과세자료 등을 제공한 경우에는 조회시스템에서 제외 가능 |
| ◦ | 조회시스템 적용 대상 정보는 신용정보법에 따른 개인신용정보를 기본으로 하되, 고객개인정보에 대한 이용·제공 현황까지 추가 제공하고자 하는 금융회사의 경우에는 개인정보까지 조회대상을 확대하여 시스템 구축 가능 |
| □ | 조회대상 항목 |
| ◦ | (개인신용정보를 이용한 경우)이용 주체, 이용 목적, 이용 날짜, 이용한 신용정보의 내용, 개인신용정보의 보유기간 및 이용기간 |
| ◦ | (개인신용정보를 제공한 경우)제공 주체, 제공받은 자, 제공 목적, 제공한 날짜, 제공한 신용정보의 내용, 제공받은 자의 개인신용정보의 보유기간 및 이용기간 |
| ※ | 기 구축하여 서비스 중인 조회시스템의 조회대상 항목*의 경우 위 조회대상 항목에 추가로 조회되도록 유지하는 것도 가능 |
＊ 이용ㆍ제공 동의일자, 동의장소(지점명, 홈페이지 등), 동의내용(동의채널 등)
| □ | 조회시스템 구축 이전 수집된 개인신용정보는 조회대상에서 제외 가능 |
| □ | (조회 기간) 조회시점으로부터 최근 3년까지의 이용ㆍ제공된 현황은 조회가 가능하도록 구현하여야 함 |
| ◦ | 조회시점으로부터 적어도 최근 7일 이전의 정보는 반드시조회시스템에서 조회 가능하도록 구현하여야 함 |
| □ | (철회요구 기능 구현) 금융회사가 ‘마케팅 목적'으로 고객동의를 받고 개인신용정보(또는 개인정보)를 자체 이용 중인 현황의 경우 신용정보주체가 이용 동의를 철회할 수 있는 기능을 구현하여야 함 |
| □ | (열람청구 요청 기능 구현) 금융회사가 수집하여 보유중인 개인정보 현황에 대한 열람청구 요청 기능을 홈페이지에 구현 |
| ◦ | 홈페이지가 없는 회사등은 콜센터 및 방문등을 통해 신청 가능 |
| 3. 구축 방법 |
|
| □ | 금융회사 홈페이지를 통해 조회시스템을 제공하거나 별도의 조회시스템을 구축한 후 홈페이지를 통해서 조회시스템 이용방법을 구체적으로 안내 |
| ◦ | 고객은 금융회사 홈페이지에서 본인인증(공인인증, 휴대폰인증 등)을 통해 접속 후 조회 가능 |
| 4. 구축화면 예시 |
|
| 가. | 개인신용정보의 이용ㆍ제공 현황 조회 |
| ① | 개인신용정보(대상을 고객개인정보로 확대하는 경우 개인정보) 이용현황 조회 |
| ◦ | 고객이 금융회사의 마케팅 대상인지 여부를 조회하고, 대상인 경우 마케팅 동의 철회기능을 제공 |
| 【조회 화면 예시】 (예시1) 고객님은 현재 우리 ○○회사의 마케팅 영업대상이 아닙니다. 고객님의 개인신용정보 이용현황은 다음과 같습니다. (예시2) 고객님은 현재 우리 ○○회사의 마케팅 영업대상이며, 원치 않는 경우에는 <철회>버튼을 눌러 취소할 수 있습니다. 고객님의 개인신용정보 이용현황은 다음과 같습니다.
|
| ② | 개인신용정보(대상을 고객개인정보로 확대하는 경우 개인정보) 제공현황 조회 |
| ◦ | 제공에 대한 동의를 받고 제3자에 제공한 현황을 조회 |
| 【조회 화면 예시】 (예시) 고객님의 개인신용정보 제3자 제공현황은 다음과 같습니다.
|
| 나. | 개인정보 열람 청구 |
| □ | 개인정보보호법 상 개인정보의 열람을 청구할 수 있는 화면을 홈페이지에 구성 |
| ◦ | 단, 구체적인 개인정보 현황을 실시간 조회할 경우 정보 유출 위험이 증가될 우려가 있는바, 보유항목명만 조회토록 제공 |
Ⅳ. 금융투자회사의 개인(신용)정보 유출 대응 매뉴얼
| ‣ 본 개인(신용)정보 유출 대응 매뉴얼 표준(안)의 배포대상은 투자매매중개업 인가 금융투자회사이며, 배포대상 중 개인고객정보가 있는 금융투자회사를 적용대상으로 하고 있습니다. 또한 본 표준(안)은 적용대상 금융투자회사의 업무환경에 따라 적절하게 가공 또는 수정하여 적용할 수 있습니다. |
제정 : 2014. 7월
1차 개정 : 2015. 12월
2차 개정 : 2016. 12월
ⅰ 개요
1. 목적
본 매뉴얼은 개인(신용)정보 유출이 발생했을 경우 피해 최소화를 위한 회사의 신속하고 효율적인 상황대응을 세부적으로 규정함
2. 개인(신용)정보 유출의 정의
| ① | ‘ 개인정보'란 살아있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통해 개인을 알아볼 수 있는 정보로 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보를 포함 |
| ② | ‘ 개인신용정보'란 신용정보법 제2조에서 정한 개인의 신용도와 신용거래능력 등을 판단할 때 필요한 정보와 개인식별정보를 결합한 정보를 말함 |
| ③ | ‘ 개인(신용)정보'란 개인신용정보와 개인신용정보가 아닌 개인정보를 포함하는 정보를 말함 |
| ④ | ‘ 개인(신용)정보처리자'란 업무를 목적으로 개인(신용)정보를 처리하는 금융투자회사를 말함 |
| ⑤ | ‘ 개인(신용)정보 유출'이란 정보주체의 개인(신용)정보가 개인(신용)정보처리자의 관리범위를 벗어나 외부에 공개, 제공, 누출 또는 누설된 모든 상태를 의미함 |
| ○ | 유출된 개인(신용)정보의 종류, 수량*, 암호화 여부**, 유출시기 및 개인(신용)정보처리자의 고의ㆍ과실 여부 등을 불문 |
| * | 단 1건만 유출되어도 정보주체에 대한 통지 등 의무 이행 필요 |
| * | * 유출된 정보가 암호화되어 있어도 정보주체 통지의무 부과 |
ⅱ 개인(신용)정보 유출 대응
【 대응 절차 요약 】
|
【 유출된 개인(신용)정보의 건수 및 종류에 따른 등급 분류 체계 】
| 등급 | 개인(신용)정보 유출건수 및 종류 | 대응 절차 특징 |
| 1 등급 | ▪유출된 개인(신용)정보가 10만 건 이상이거나 ▪주민번호 등 고유식별번호 또는 계좌번호 등 주요 금융거래정보를 포함하는 개인(신용)정보 1만 건 이상 | |
| 2 등급 | ▪유출된 개인(신용)정보가 1만 건 이상이거나 ▪주민번호 등 고유식별번호 또는 계좌번호 등 주요 금융거래정보를 포함하는 개인(신용)정보 1천 건 이상 | ▪고객민원대응을 위한 영업시간 연장 또는 후선인력의 영업점 투입 확대 등 탄력적 운영 |
| 3 등급 | ▪유출된 개인(신용)정보가 1천 건 이상이거나 ▪주민번호 등 고유식별번호 또는 계좌번호 등 주요 금융거래정보를 포함하는 개인(신용)정보 1건 이상 | ▪사고대응팀을 직접적인 사고 관련 부서로 제한하여 운영 가능 |
| 4 등급 | ▪유출된 개인(신용)정보가 1천 건 미만 | ▪피해신고센터 가동 및 피해구제절차의 생략 또는 대체 가능 |
1. 사고인지
| ① | 유출원인 파악 및 분석 |
| ○ | 해킹, 바이러스, 시스템오류, 외부 인적침입 등 외부요인 분석 |
| ○ | 문서, Data file, 관계자 및 관련 범위 등 내부요인 분석 |
| 담당 부서 | 진행 사항 |
| I T | ○ 외부침입 시 침입경로와 관련 시스템 및 서버확인 ○ 내부유출 시 고의 여부와 관련 PC 확인 |
| 개인(신용)정보보호 | ○ 최종 유출 여부 판단 |
2. 사고대응팀 구성 및 운영
| ① | 개인(신용)정보 유출사고 발생 시 해당사의 유출관련 세부내용 파악, 법률상 의무사항 이행 및 피해확산을 방지 |
| ○ | 고객 및 언론 응대, 신속한 의사결정 등을 위해 관련 부서로 구성된 비상대책반 구성ㆍ운영 필요 |
| ② | 구성 및 부서별 주요 업무(금융회사 업무분장에 따라 상이할 수 있음) |
| 담당부서 | 주요 업무 |
| 개인(신용)정보보호 | ㅇ 비상대책반 운영업무 총괄 ㅇ 개인(신용)정보 유출사고 관련 시행조치 사항 지휘 및 감독 - 정보주체의 피해를 방지하기 위한 조치 - 정보주체의 피해구제절차, 관련법령에 따른 외부기관 신고 - 개인(신용)정보 유출 관련 위기대응 체계 운영 공지 - 기타 법률상 필요한 제반조치 ㅇ 유출사고 관련 정책판단 진행사항 대표이사(또는 그룹) 보고 |
| 준법 및 법무 | ㅇ 법률상 대응방안, 의사결정 사항 등 정책적 판단사항 검토 및 결정 - 협력기관(법무법인)과 연계하여 법률적 리스크 등 검토 - 유출사고 관련 수사기관 경과사항 대응 및 대책반 공유 - 관련법령에 따른 외부기관 신고서 검토 및 작성 - 유출사고 고객 통지문(홈페이지 공지용) 검토 및 작성 - 고객 개별 발송문(우편, 문자메세지, 전자우편 등) 검토 및 작성 |
| 감 사 | ㅇ 금융당국 현장감독 업무 총괄 |
| I T | ㅇ 유출사고 관련 IT 업무지원 시행 - 홈페이지 유출사고 관련 개인별 유출확인 조회 화면 제공 - 고객상담센터 상담원의 응대 업무를 위한 개인별 유출확인 조회 화면 제공 - 고객 개별 발송문 관련 IT업무지원(전자우편, 문자메세지 발송 등) - 콜센터ㆍ통신회선·인터넷 서버 확충 |
| 홍 보 | ㅇ 유출사고 관련 대외기관(언론사 등) 대응 ㅇ 유출사고 대고객 안내문 문구 최종 검토 - ‘준법 및 법무'에서 작성한 대고객 안내문 최종 수정 - 유출사고 대고객 안내문(홈페이지용) 공지(공지기간 포함) |
| 총 무 | ㅇ 고객 개별 발송문(우편) 업무시행 - 우편물 발송 인쇄작업 시행 - 대량 우편발송으로 인한 우체국과의 발송시기 사전안내 - 우편물 발송 완료 후 우편물 발송 리스트 파기확인서 징구 ※ 우편물 인쇄 및 발송업무 위탁하는 경우에 한함 |
| 소비자 보호 | ㅇ 고객 개별 발송문 안내에 따른 후속업무(민원 등) 진행 ㅇ 유출사고 안내에 따른 고객상담센터 업무 지원 - 침해신고센터 연락처 생성 - ARS(자동응답) 문구 및 운영시간 안내 삽입 - 고객응대전화 폭주(예상)에 따른 전용회선 증대방안 검토 |
| 유출부서 | ㅇ 유출사고 현황, 피해방지 대책사항 마련 - 유출사고에 따른 세부 경과사항 보고 - 피해방지 대책사항 마련 보고 - 향후 유출사고 방지대책을 위한 강화조치 사항보고(교육, 점검 등) |
| 인 사 | ㅇ 현장인력 증원 및 인력 지원 |
| 영업관리 | ㅇ 유출관련 영업점 공문 및 지침 공지 ㅇ 고객응대 매뉴얼 작성 및 공지 |
| ③ | 사고대응 흐름도 (예시) |
＊ 개인정보 보호책임자의 역할은 신용정보관리ㆍ보호인이 담당할 수 있음
3. 고객 통지 및 정부기관 신고
| ① | 개인(신용)정보처리자는개인(신용)정보 유출사실을 알게 된 때 지체 없이 정보주체에게 유출관련 내용*을서면, 전자우편, 전화 등의 방법으로 통지 |
＊ 개인(신용)정보 유출항목, 유출시점ㆍ경위, 피해 최소화 방법, 대응ㆍ피해구제절차 등
| 구 분 | 내 용 |
| 통지 방법 | 1. 서면, 전자우편, 전화, 문자전송 또는 이와 유사한 방법(필수사항) 2. 1번 통지방법과 동시에 홈페이지 등을 통하여 공개 (1번 통지방법으로 연락 불가시 홈페이지 게시, 단 1만명 이상 정보주체의 개인정보 유출시에는 홈페이지에 7일 이상 의무적으로 게시) * 신용정보법 제39조의2 제1항, 시행령 제34조의2 제1항 및 제2항 * 개인정보보호법 시행령 제40조 및 지침 제28조, 제29조 |
| 통지 내용 | 1. 유출된 개인정보의 항목 2. 유출된 시점과 그 경위 3. 유출피해 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 대한 정보 4. 개인정보처리자의 대응조치 및 피해구제절차 5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처 * 신용정보법 제39조의2 제1항 * 개인정보보호법 제34조 |
| 통지 시기 | 개인정보 유출사고를 안 때부터 지체 없이(5일 이내*) 통보 단, 개인정보 구체적인 유출내용 확인 불가한 경우 다음사항 알리고 추후 확인된 사항 추가안내 가능 1. 정보주체에게 유출이 발생한 사실 2. 통지내용 중 확인된 사항 * 신용정보법 제39조의2 제1항 * 개인정보보호법시행령 제40조 |
| 통지결과 신고 | 통지결과(통지내용ㆍ결과, 홈페이지에 게시한 경우 게시기간 및 내용 화면캡처 등 입증자료 첨부) 등 지체 없이 신고기관에 신고 * 신용정보법 제39조의2 제3항 * 개인정보보호법제34조 |
| 기타 관련 시스템 구축 | 본인인증 후 홈페이지 및 콜센터를 통한 유출확인시스템 구축 |
| * | 정보통신망법의 경우 24시간 이내로 적용 |
| ② | 정부기관 신고 및 주요 연락처 |
| ○ | 개인(신용)정보 유출 시 관계 법령에 따라 정부기관*에 신고해야 함 |
＊ 금융위원회ㆍ금융감독원(신용정보법), 행정자치부(개인정보 보호법), 방송통신위원회ㆍ미래창조과학부(정보통신망법)
【 정부기관 신고 관련 세부 내용 】
| 신고기관 | 금융위원회, 금융감독원 | 행정자치부, 한국인터넷진흥원(택1) | 방송통신위원회, 한국인터넷진흥원(택1) 또는 미래창조과학부, 한국인터넷진흥원(택1) |
| 근거 법령 | 신용정보법 | 개인정보 보호법 | 정보통신망법 |
| 신고 사유 | ㅇ 1만명 이상 정보주체의 개인(신용)정보 유출시 | ㅇ 1만명 이상 정보주체의 개인정보 유출시 | ㅇ 개인정보 분실, 도난, 유출사고 발생 시 (방송통신위원회) ㅇ 해킹 등에 의한 침해사고 발생 시 (미래창조과학부) |
| 신고 시기 | ㅇ 지체 없이(5일 이내) 신고 | ㅇ 지체 없이(5일 이내) 신고 | ㅇ 분실, 도난, 유출사고 발생 시 : 그 사실을 안 때 지체 없이 (24시간 이내) 신고 ㅇ 해킹 등 침해사고 발생 시 : 사고발생 시 즉시 신고 |
| 신고 방법 | ㅇ 전자우편, 서면, 모사전송 또는 이와 유사한 방법 ㅇ 특별한 사정이 있는 경우 우선 금융위원회 또는 금융감독원에 누설사실을 알리고 추가유출방지를 위한 조치를 취한 후 신고서 제출 [관련 양식] "신용정보 누설 신고서" | ㅇ 전자우편, 팩스, 인터넷 사이트를 통해 유출사고 신고 및 신고서 제출 ㅇ 시간적 여유가 없거나 특별한 사정이 있는 경우에는 전화를 통해 통지내용 신고 후 유출신고서 제출 가능 [관련 양식] "개인정보 유출 신고서" | ㅇ 분실, 도난, 유출사고 발생 시 : 전자우편, 서면, 모사전송, 전화 중 어느 하나의 방법 ㅇ 해킹 등 침해사고 발생 시 : 특별한 방법ㆍ절차는 없으며 신고기관에 즉시 신고 [관련 양식] "사업자 개인정보 유출 신고서" |
| 신고 내용 | ㅇ 기관명, 누설된 신용정보의 항목, 누설된 시점, 누설경위 ㅇ 누설로 인하여 발생할 수 있는 피해를 최소화하기 위하여 취한 조치 및 피해구제 절차 ㅇ 담당부서ㆍ담당자 연락처 등 ㅇ 피해를 최소화하기 위한 대책에 대한 조치 결과 | ㅇ 기관명, 통지여부, 유출 개인정보 항목ㆍ규모, 유출시점ㆍ경위 ㅇ 유출피해 최소화 대책ㆍ조치 및 결과 ㅇ 정보주체가 할 수 있는 피해 최소화방법 및 구제절차 ㅇ 담당부서ㆍ담당자 연락처 등 | ㅇ 유출 등이 된 개인정보 항목 ㅇ 유출 등이 발생한 시점 ㅇ 이용자가 취할 수 있는 조치 ㅇ 정보통신서비스 제공자 등의 대응조치 ㅇ 이용자가 상담 등을 접수할 수 있는 부서 및 연락처 |
| ※ | 기타사항 : 유출사고 발생 시 관계법령에서 정한 신고기관 외에도 감독당국 보고 및 수사기관 신고 필요 |
【 주요 신고기관 연락처 】
| 기 관 명 | 전화번호 | 전자우편 | 인터넷사이트 | 비 고 |
| 행정자치부 (개인정보안전과) | - | - | www.privacy.go.kr (개인정보보호 종합지원포털)로 일원화 | 관계 법령상 신고 要 |
| 한국인터넷진흥원 (개인정보점검팀) | 118 | 118@kisa.or.kr | ||
| 방송통신위원회 (개인정보보호윤리과) | 02-2100-1529 | - | www.i-privacy.kr (온라인 개인정보보호 포털) | |
| 금융감독원 (ITㆍ금융정보보호단) * 금융정보보호팀, 금융투자감독국 | - | - | fines.fss.or.kr (금융정보교환망) | 관계 규정상 보고 要 |
| * | 전화번호 및 전자우편 정보는 사전 예고 없이 변경될 수 있으며, 개인정보 보호법 및 정보통신망법에 따른 정부기관 신고는 한국인터넷진흥원을 이용하는 것이 좋습니다. |
4. 피해신고센터 가동
| ① | 개인(신용)정보 유출에 따른 고객 응대 및 민원ㆍ소송 등 분쟁 대응을 위해 피해신고센터를 운영함으로써, 고객 및 회사 피해 최소화 |
【 피해신고센터 운영 관련 세부 내용 】
| 담당 부서 | 진행 사항 |
| 개인(신용)정보보호 | ㅇ 응대 스크립트 작성 ㅇ 개별 유출통지문 작성(전자우편, 우편, 문자메세지 등) ㅇ 유출관련 위기체계 시행 대내공문 발송 |
| IT | ㅇ 전용회선(00개)설치 ㅇ 대표번호 설치 ㅇ 전용회선 증설 필요시 대응방안 수립(콜센터 여유회선 사용 가능) ㅇ 홈페이지고객 개인별 유출확인 조회 화면 제공 ㅇ 상담원고객 유출확인 조회 화면 제공(발송구분, 발송일자 포함) ㅇ 전산응대 스크립트 조회구축 |
| 소비자보호 또는 콜센터 | ㅇ 전담인력 확보 및 스크립트 교육 ㅇ ARS(자동응답)문구 및 운영시간 안내 삽입 ㅇ 피해신고센터 스크립트 교육실시(상담원) |
| 홍보, 법무 | ㅇ 단체소송 등 모니터링(분쟁조정위원회 등) |
5. 고객민원 대응
| ① | 개인(신용)정보 유출에 따른 후속 조치 중 고객 불편 최소화 대책 시행 |
| 담당 부서 | 진행 사항 |
| 영업(관리) 및 인사 | ㅇ 민원처리 과정에서 점포혼잡 등 고객 불편 최소화 ㅇ 영업시간 연장(야간ㆍ휴일 연장근무), 후선인력의 영업점 투입확대등 점포혼잡 최소화 |
| 소비자보호 및 콜센터 | ㅇ 콜센터 직원 확대투입, 통신ㆍ인터넷회선 확충등 고객대기시간 단축 |
6. 고객안심 조치
| ① | 고객 불안 해소를 위해 안심조치 즉시 시행 |
| 담당 부서 | 진행 사항 |
| 영업(관리) 및 IT | ㅇ 고객 신청이 있는 경우 통장, 보안카드, 현금카드 등 즉시 교체(무료) ㅇ 입출금거래내역 문자메시지 알림서비스 제공(무료) |
| 개인(신용)정보보호 | ㅇ 명의도용 방지를 위한 개인(신용)정보 보호시스템제공(무료) * 본인정보 조회 중지 요청권 |
7. 피해구제 절차
| 담당 부서 | 진행 사항 |
| 개인(신용)정보보호 | ㅇ 피해보상 기준 마련 |
| 재무 | ㅇ 피해보상 예산 확보 및 집행 |
| 소비자보호 및 법무 | ㅇ 피해보상 요청에 대한 심사 |
ⅲ 관련 양식
1. 신용정보 누설 신고서
| [신용정보업감독규정 제43조의5 관련 별지 제18호 서식] | |||||||||||||
| 신용정보 누설 신고서 | |||||||||||||
| 신용정보회사등의 신용정보 누설신고서 | 처리기간 : 즉시 | ||||||||||||
| 상호 또는 명칭 | 사업자등록번호 또는 법인등록번호(비영리법인의 경우 고유번호) | ||||||||||||
| 본점 또는 기관 소재지 | 대표자 | ||||||||||||
| 누설된 신용정보의 항목 | |||||||||||||
| 누설된 시점 | |||||||||||||
| 누설 경위 | |||||||||||||
| 누설로 인하여 발생할 수 있는 피해를 최소화하기 위하여 취한 조치 | |||||||||||||
| 누설로 인하여 발생할 수 있는 피해와 관련한 피해구제 절차 | |||||||||||||
| 신용정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처 | |||||||||||||
| 기타 참고사항 | |||||||||||||
| 「신용정보업감독규정」제43조의5에 따라 위와 같이 신고합니다. 0000년 00월 00일 신고인 _____ 서명 또는 인 금융감독원장 귀하 | |||||||||||||
| ※ 구비서류 1. 누설경위와 관련한 증거서류 등 관련문서 2. 누설로 인하여 발생할 수 있는 피해를 최소화하기 위하여 취한 조치와 관련한 증빙서류 등 관련문서 | 수수료 | ||||||||||||
| 없음 | |||||||||||||
2. 개인정보 유출 신고서
| [표준 개인정보 보호지침 별지 제1호서식] | |||||||
| 개인정보 유출 신고서 | |||||||
| 기관명 | |||||||
| 정보주체에의 통지 여부 | |||||||
| 유출된 개인정보의 항목 및 규모 | |||||||
| 유출된 시점과 그 경위 | |||||||
| 유출피해 최소화 대책ㆍ조치 및 결과 | |||||||
| 정보주체가 할 수 있는 피해 최소화 방법 및 구제절차 | |||||||
| 담당부서ㆍ담당자 및 연락처 | 성명 | 부서 | 직위 | 연락처 | |||
| 개인정보 보호책임자 | |||||||
| 개인정보 취급자 | |||||||
| 유출신고접수기관 | 기관명 | 담당자명 | 연락처 | ||||
3. 사업자 개인정보 유출 신고서
[개인정보보호 포털(www.i-privacy.kr) 신고서식]
| 사업자 개인정보유출신고서 (필수)가 표시되어있는 항목을 꼭 기재 부탁드리며, 부족한 내용이 있을 경우 연락이 갈 수 있습니다. | |||||||||||
| 기관명 (필수) | 사업자번호 (필수) | ||||||||||
| 사업자주소 (사업자등록기준) | 웹 사이트 주소 | ||||||||||
| 유출된 개인정보의 항목 및 규모 | |||||||||||
| 유출이 발생된 시점 및 경위 | |||||||||||
| 이용자가 취할 수 있는 조치 (필수) | |||||||||||
| 정보통신서비스 제공자등의 대응조치 (필수) | |||||||||||
| 이용자가 상담 담당부서ㆍ담당자 및 연락처 (필수) | 성명 | 연락처 | 이메일 | ||||||||
| 개인정보 보호책임자 | |||||||||||
| 개인정보 보호담당자 | |||||||||||
※ 하단은 접수기관에서 기재하는 부분이므로 신고자는 기재하실 필요가 없습니다. | |||||||||||
| 신고접수기관 | 기관명(지역) | 접수자명 | 연락처 | 이메일 | 접수일자 | ||||||
4. 고객 대응 스크립트
[샘플 서식〕
| 가 | 「유출 피해고객 」 응대 |
| 상담사 : 정성을 다하겠습니다. OO금융회사 ○○○입니다. 고 객 : 개인(신용)정보가 유출되었다고 문자를 받았는데요, 어떻게 된 건가요? 상담사 : 심려를 끼쳐드려 정말 죄송합니다. 유출통지문자를 받으셨다면 유출고객에 해당되십니다. 유출된 정보에 대해 조금 더 자세히 확인해 드리겠습니다. 전화주신 고객님의 본인 확인을 위해 [본인확인 프로세스]를 말씀해 주시겠습니까? [예시] [본인확인 프로세스] - 성명 - 성명 + 연락처 - 성명 + 계좌번호 - 성명 + 생년월일 고 객 : ○○○입니다.(기타 본인확인정보) 상담사 : (소중한 정보) 확인 감사합니다. 죄송하게도 고객님의 개인(신용)정보 중 [실제유출항목]이 유출된 것으로 확인됩니다. 정말 죄송합니다. 개인(신용)정보는 해커에 의해 유출되었지만 제3자에게 제공된 사실은 없는 것으로 확인하였습니다. 고 객 : 그게 왜 유출이 된거죠? 상담사 : [각 사별 유출사고 내용, 조치사항, 조치결과 안내] 심려를 끼쳐드려 정말 죄송합니다. [그 외 고객 문의 사항은 상황에 맞게 안내합니다.] 상담사 : 고객님께 심려를 끼쳐 드린 점 거듭 진심으로 사과드리며, 앞으로 고객님의 소중한 정보를 보다 안전하게 관리하기 위하여 최선의 노력을 다하겠습니다. |
| 나 | 「유출 피해 없는 고객」 응대 |
| 상담사 : 정성을 다하겠습니다. OO금융회사 ○○○입니다. 고 객 : 개인(신용)정보 유출 때문에요. 확인해 주세요. 상담사 : 심려를 끼쳐드려 정말 죄송합니다. 신속하게 확인해 드리겠습니다. 고 객 : 네 상담사 : 전화주신 고객님의 본인 확인을 위해 [금융회사별 본인확인 프로세스]를 말씀해 주시겠습니까? [예시] [본인확인 프로세스] - 성명 - 성명 + 연락처 - 성명 + 계좌번호 - 성명 + 생년월일 상담사 : (소중한 정보) 확인 감사합니다. 다행히 고객님의 정보가 유출되지 않았습니다. 고 객 : 다행이네요. 상담사 : 고객님께 심려를 끼쳐 드린 점 거듭 진심으로 사과드리며, 앞으로 고객님의 소중한 정보를 보다 안전하게 관리하기 위하여 최선의 노력을 다하겠습니다. |
5. 개인(신용)정보 유출 통지문
[샘플 서식〕
| 가 | 「홈페이지, 우편」을 통한 통지 |
| OO금융회사 000부(지)점 입니다. 먼저 고객님께 깊은 사과의 말씀을 드립니다. 0000년 00월 00일 시스템 점검 중, 회사 자체 서버에 저장ㆍ관리하던 고객님의 개인(신용)정보가 0000년 00월경 외부의 침입에 의해 유출되었을 우려가 있음을 확인하였습니다. 유출된 정확한 일시는 000에서 현재 수사가 진행 중이며, 확인되면 추가로 알려 드리도록 하겠습니다. 유출 가능성이 있는 개인(신용)정보는 성명, 주소, 전자우편이며 주요 정보인 주민등록번호, 인터넷뱅킹 회원ID 및 비밀번호, 연락처는 뒷자리가 암호화처리(별표시 *)되어 실제로는 나타나지 않도록 되어 있어 금번 유출로부터 안전한 것으로 확인되었습니다. 또한 유출 우려 사실을 인지한 즉시 해당 IP와 불법접속 경로를 차단하고 관련 시스템 운영을 중단하였으며, 취약성을 점검하여 방화벽 설치 및 시스템 모니터링 등 보안성을 강화하였습니다. 현재로서는 고객님의 개인(신용)정보 유출이 확인되지는 않았습니다만 만일의 피해에 대비하여 고객님의 계좌 비밀번호를 변경하여 주시고, 개인(신용)정보 악용으로 의심되는 보이스피싱 등의 전화 및 악성코드 배포 등을 목적으로 하는 스팸메일에 유의하여 주시기 바랍니다. 아울러 문의사항 및 피해가 발생하였거나 예상되는 경우에는 아래 담당부서로 연락주시면 성실하게 안내와 상담을 해드리고, 필요한 조사를 거쳐 손실보상이나 손해배상 등의 구제절차를 진행하도록 하겠습니다. 또한 한국인터넷진흥원의 개인(신용)정보 분쟁 조정이나 민사 상 손해배상 청구, 금융감독원의 소비자보호센터를 통해 피해를 구제 받고자 하실 경우에도 연락 주시면 그 절차를 안내하도록 하겠습니다. 고객님께 심려를 끼쳐 드린 점 거듭 진심으로 사과드리며, 앞으로 고객님의 소중한 정보를 보다 안전하게 관리하기 위하여 최선의 노력을 다하겠습니다. <문의 및 피해접수 안내 > ■ 담당 부서 및 연락처 : OO금융회사 000부, ☎ 1588-XXXX(전담상담센터) ■ 인터넷홈페이지 - 유출가능 대상자 확인 : OO금융회사 홈페이지 접속 > 로그인 > 대상인 경우 안내문 팝업 - Q&A 및 FAQ : OO금융회사 홈페이지 > 고객센터 OO금융회사 임직원 일동 |
| 나 | 「문자메세지」를 통한 통지 |
| 제목 : OO금융회사에서 알려드립니다. ○○○ 고객님께 고객님의 개인(신용)정보 유출사실을 통지하게 되어 깊은 사과의 말씀을 드립니다. 정보보호에 최우선으로 노력하여 왔으나, 지난 ○○○○년 ○월경 불법적인 해킹으로 일부 고객님의 이름, 휴대전화번호 및 주민등록번호가 유출되었습니다. 경찰조사 결과, 유출정보는 제3자에게 제공되지 않았고, 범인 체포 직후 전량 회수되었으나 혹시라도 전화광고 등이 의심되는 경우에는 저희 회사로 즉시 연락주시기 바랍니다. 향후 피해 현황을 파악하여 구체적인 피해가 확인되면 구제절차 등을 검토하겠습니다. 고객님께 심려를 끼쳐 드리게 된 점 다시 한 번 진심으로 사과드립니다. OO금융회사 임직원 일동 ※ 개인(신용)정보 유출 확인 안내 홈페이지 : OO금융회사 홈페이지 접속 > 로그인 > 대상인 경우 안내문 팝업 전담상담센터 : ○○○○-○○○○ ※ 연락처 변경 미등록 등으로 메시지를 수신하신 분이 해당 고객님이 아니실 경우에는 양해 부탁드립니다. |
| 참고 | 관련 법규 |
1. 신용정보법령
| 신용정보의 이용 및 보호에 관한 법률 [법률 제14122호, 2016.3.29., 타법개정] | 신용정보의 이용 및 보호에 관한 법률 시행령 [대통령령 제27786호, 2017.1.10., 일부개정] |
| 제39조의2(신용정보 누설통지 등) ① 신용정보회사등은 신용정보가 업무 목적 외로 누설되었음을 알게 된 때에는 지체 없이 해당 신용정보주체에게 다음 각 호의 사실을 통지하여야 한다. 1. 누설된 신용정보의 항목 2. 누설된 시점과 그 경위 3. 누설로 인하여 발생할 수 있는 피해를 최소화하기 위하여 신용정보주체가 할 수 있는 방법 등에 관한 정보 4. 신용정보회사등의 대응조치 및 피해 구제절차 5. 신용정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처 ② 신용정보회사등은 신용정보가 누설된 경우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 한다. ③ 신용정보회사등은 대통령령으로 정하는 규모 이상의 신용정보가 누설된 경우 제1항에 따른 통지 및 제2항에 따른 조치결과를 지체 없이 금융위원회 또는 대통령령으로 정하는 전문기관(이하 이 조에서 "금융위원회등"이라 한다)에 신고하여야 한다. 이 경우 금융위원회등은 피해 확산 방지, 피해 복구 등을 위한 기술을 지원할 수 있다. ④ 금융위원회등은 제3항에 따른 신고를 받은 때에는 이를 행정자치부장관에게 알려야 한다. ⑤ 금융위원회등은 제2항에 따라 신용정보회사등이 행한 조치에 대하여 조사할 수 있으며, 그 조치가 미흡하다고 판단되는 경우 금융위원회는 시정을 요구할 수 있다. ⑥ 제1항에 따른 통지의 시기, 방법 및 절차 등에 필요한 사항은 대통령령으로 정한다. | 제34조의2(신용정보의 누설사실의 통지 등) ① 신용정보회사등이 법 제39조의2제1항에 따라 통지하려는 경우에는 제33조의2제3항 각 호의 어느 하나에 해당하는 방법으로 개별 신용정보주체에게 신용정보가 누설되었다는 사실을 통지하여야 한다. ② 신용정보회사등은 법 제39조의2제3항 전단에 해당하는 경우에는 제1항에 따른 방법 외에 다음 각 호의 어느 하나에 해당하는 방법으로 금융위원회가 정하여 고시하는 기간 동안 신용정보가 누설되었다는 사실을 널리 알려야 한다. 1. 인터넷 홈페이지에 그 사실을 게시하는 방법 2. 사무실이나 점포 등에서 해당 신용정보주체로 하여금 그 사실을 열람하게 하는 방법 3. 주된 사무소가 있는 특별시ㆍ광역시ㆍ특별자치시ㆍ도 또는 특별자치도 이상의 지역을 보급지역으로 하는 일반일간신문, 일반주간신문 또는 인터넷신문(「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목 또는 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷신문을 말한다)에 그 사실을 게재하는 방법 ③ 제1항에도 불구하고 신용정보 누설에 따른 피해가 없는 것이 명백하고 법 제39조의2제2항에 따라 누설된 신용정보의 확산 및 추가 유출을 방지하기 위한 조치가 긴급히 필요하다고 인정되는 경우에는 해당 조치를 취한 후 지체 없이 신용정보주체에게 알릴 수 있다. 이 경우 그 조치의 내용을 함께 알려야 한다. ④ 법 제39조의2제3항 전단에서 "대통령령으로 정하는 규모 이상의 신용정보"란 1만명 이상의 신용정보주체에 관한 개인신용정보를 말한다. ⑤ 법 제39조의2제3항 전단에서 "대통령령으로 정하는 전문기관"이란 금융감독원을 말한다. ⑥ 법 제39조의2제3항 전단에 따라 신고하여야 하는 신용정보회사등은 그 신용정보가 누설되었음을 알게 된 때 지체 없이 금융위원회가 정하여 고시하는 신고서를 금융위원회 또는 금융감독원에 제출하여야 한다. ⑦ 제6항에도 불구하고 제3항 전단에 해당하는 경우에는 우선 금융위원회 또는 금융감독원에 그 신용정보가 누설된 사실을 알리고 추가 유출을 방지하기 위한 조치를 취한 후 지체 없이 제6항에 따른 신고서를 제출할 수 있다. 이 경우 그 조치의 내용을 함께 제출하여야 한다. |
2. 개인정보 보호법령
| 개인정보 보호법 [법률 제14107호, 2016.3.29., 일부개정] | 개인정보 보호법 시행령 [대통령령 제27522호, 2016.9.29., 일부개정] |
| 제34조(개인정보 유출 통지 등) ① 개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사실을 알려야 한다. 1. 유출된 개인정보의 항목 2. 유출된 시점과 그 경위 3. 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보 4. 개인정보처리자의 대응조치 및 피해 구제절차 5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처 ② 개인정보처리자는 개인정보가 유출된 경우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 한다. ③ 개인정보처리자는 대통령령으로 정한 규모 이상의 개인정보가 유출된 경우에는 제1항에 따른 통지 및 제2항에 따른 조치 결과를 지체 없이 행정자치부장관 또는 대통령령으로 정하는 전문기관에 신고하여야 한다. 이 경우 행정자치부장관 또는 대통령령으로 정하는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다. ④ 제1항에 따른 통지의 시기, 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다. 제75조(과태료) …(중략)… ② 다음 각 호의 어느 하나에 해당하는 자에게는 3천만원 이하의 과태료를 부과한다. …(중략)… 8. 제34조제1항을 위반하여 정보주체에게 같은 항 각 호의 사실을 알리지 아니한 자 9. 제34조제3항을 위반하여 조치 결과를 신고하지 아니한 자 …(후략)… | 제39조(개인정보 유출 신고의 범위 및 기관) ① 법 제34조제3항 전단에서 "대통령령으로 정한 규모 이상의 개인정보"란 1만명 이상의 정보주체에 관한 개인정보를 말한다. ② 법 제34조제3항 전단 및 후단에서 "대통령령으로 정하는 전문기관"이란 각각 한국인터넷진흥원을 말한다. 제40조(개인정보 유출 통지의 방법 및 절차) ① 개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 서면등의 방법으로 지체 없이 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, 유출된 개인정보의 확산 및 추가 유출을 방지하기 위하여 접속경로의 차단, 취약점 점검·보완, 유출된 개인정보의 삭제 등 긴급한 조치가 필요한 경우에는 그 조치를 한 후 지체 없이 정보주체에게 알릴 수 있다. ② 제1항에도 불구하고 개인정보처리자는 같은 항 본문에 따라 개인정보가 유출되었음을 알게 되었을 때나 같은 항 단서에 따라 유출 사실을 알고 긴급한 조치를 한 후에도 법 제34조제1항제1호 및 제2호의 구체적인 유출 내용을 확인하지 못한 경우에는 먼저 개인정보가 유출된 사실과 유출이 확인된 사항만을 서면등의 방법으로 먼저 알리고 나중에 확인되는 사항을 추가로 알릴 수 있다. ③ 제1항과 제2항에도 불구하고 법 제34조제3항 및 이 영 제39조제1항에 따라 1만명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 서면등의 방법과 함께 인터넷 홈페이지에 정보주체가 알아보기 쉽도록 법 제34조제1항 각 호의 사항을 7일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 서면등의 방법과 함께 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을 7일 이상 게시하여야 한다. |
3. 정보통신망 이용촉진 및 정보보호 등에 관한 법령
| 정보통신망 이용촉진 및 정보보호 등에 관한 법률 [법률 제14080호, 2016.13.22., 일부개정] | 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령 [대통령령 제27751호, 2016.12.30., 타법개정] |
| 제27조의3(개인정보 유출등의 통지·신고) ① 정보통신서비스 제공자등은 개인정보의 분실·도난·유출출(이하 "유출등"이라 한다) 사실을 안 때에는 지체 없이 다음 각 호의 모든 사항을 해당 이용자에게 알리고 방송통신위원회 또는 한국인터넷진흥원에 신고하여야 하며, 정당한 사유 없이 그 사실을 안 때부터 24시간을 경과하여 통지·신고해서는 아니 된다. 다만, 이용자의 연락처를 알 수 없는 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다. 1. 유출등이 된 개인정보 항목 2. 유출등이 발생한 시점 3. 이용자가 취할 수 있는 조치 4. 정보통신서비스 제공자등의 대응 조치 5. 이용자가 상담 등을 접수할 수 있는 부서 및 연락처 ② 제1항의 신고를 받은 한국인터넷진흥원은 지체 없이 그 사실을 방송통신위원회에 알려야 한다. ③ 정보통신서비스 제공자등은 제1항 본문 및 단서에 따른 정당한 사유를 방송통신위원회에 소명하여야 한다. ④ 제1항에 따른 통지 및 신고의 방법·절차 등에 관하여 필요한 사항은 대통령령으로 정한다. ⑤ 정보통신서비스 제공자등은 개인정보의 유출등에 대한 대책을 마련하고 그 피해를 최소화할 수 있는 조치를 강구하여야 한다. 제48조의3(침해사고의 신고 등) ① 다음 각 호의 어느 하나에 해당하는 자는 침해사고가 발생하면 즉시 그 사실을 미래창조과학부장관이나 한국인터넷진흥원에 신고하여야 한다. 이 경우 「정보통신기반 보호법」 제13조제1항에 따른 통지가 있으면 전단에 따른 신고를 한 것으로 본다. 1. 정보통신서비스 제공자 2. 집적정보통신시설 사업자 ② 미래창조과학부장관이나 한국인터넷진흥원은 제1항에 따라 침해사고의 신고를 받거나 침해사고를 알게 되면 제48조의2제1항 각 호에 따른 필요한 조치를 하여야 한다. 제76조(과태료) ① 다음 각 호의 어느 하나에 해당하는 자와 제7호부터 제11호까지의 경우에 해당하는 행위를 하도록 한 자에게는 3천만원 이하의 과태료를 부과한다. 2의2. 제27조의3제1항(제67조에 따라 준용되는 경우를 포함한다)을 위반하여 이용자ㆍ방송통신위원회 및 한국인터넷진흥원에 통지 또는 신고하지 아니하거나 정당한 사유 없이 24시간을 경과하여 통지 또는 신고한 자 …(중략)… ③ 다음 각 호의 어느 하나에 해당하는 자에게는 1천만원 이하의 과태료를 부과한다. …(중략)… 11의2. 제48조의3제1항을 위반하여 침해사고의 신고를 하지 아니한 자 | 제14조의2(개인정보 유출등의 통지·신고) ① 정보통신서비스 제공자등은 개인정보의 분실·도난·유출(이하 "유출등"이라 한다)의 사실을 안 때에는 지체 없이 법 제27조의3제1항 각 호의 모든 사항을 전자우편·서면·모사전송·전화 또는 이와 유사한 방법 중 어느 하나의 방법으로 이용자에게 알리고 방송통신위원회 또는 한국인터넷진흥원에 신고하여야 한다. ② 정보통신서비스 제공자등은 제1항에 따른 통지·신고를 하려는 경우 법 제27조의3제1항제1호 또는 제2호의 사항에 관한 구체적인 내용이 확인되지 아니하였으면 그때까지 확인된 내용과 같은 항 제3호부터 제5호까지의 사항을 우선 통지·신고한 후 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지·신고하여야 한다. ③ 정보통신서비스 제공자등은 법 제27조의3제1항 각 호 외의 부분 단서에 따른 정당한 사유가 있는 경우에는 법 제27조의3제1항 각 호의 사항을 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항의 통지를 갈음할 수 있다. ④ 천재지변이나 그 밖의 정당한 사유로 제3항에 따른 홈페이지 게시가 곤란한 경우에는 「신문 등의 진흥에 관한 법률」에 따른 전국을 보급지역으로 하는 둘 이상의 일반일간신문에 1회 이상 공고하는 것으로 제3항에 따른 홈페이지 게시를 갈음할 수 있다. ⑤ 정보통신서비스 제공자등은 법 제27조의3제1항 각 호 외의 부분 본문 및 단서에 따른 정당한 사유를 지체 없이 서면(전자문서를 포함한다)으로 방송통신위원회에 소명하여야 한다. |
Ⅴ. 금융투자회사의 주민번호 과다노출 관행 개선을 위한 가이드라인
| ‣ 금융투자회사는 주민번호를 사용하는 업무와 관련하여 이 가이드라인의 내용이 내부통제기준에 반영되어 시행될 수 있도록 해주시기 바랍니다. |
제정 : 2014. 7월
제1장 개요
| 1. 목적 |
|
이 가이드라인은 금융투자회사가 고객의 주민번호를 수집·이용하는 경우 주민번호 사용을 업무수행에 필요한 최소한의 경우로 제한함으로서 주민번호 노출 또는 유출로 인한 사고를 예방함을 목적으로 합니다.
| 2. 적용 기준 |
|
이 가이드라인은 시행일 이후 신규 수집·이용되는 주민번호에 대하여 적용하며, 주민번호 암호화는 개인정보 보호 법령에서 정하는 시행시기를 준수하여야 합니다.
| 3. 적용 범위 |
|
▪ 금융투자회사가 업무처리를 위하여 주민번호를 수집하는 업무
| 4. 근거 |
|
▪ 금융분야 개인정보 유출 재발방지 종합대책('14.03.10.)
제2장 대면 거래
| 1. 주민번호 수집의 제한 |
|
| 1. | 1 고객의 주민번호 수집은 개인정보 보호법령의 개인정보 수집 법정주의를 따라야 합니다. |
| 1. | 2 고객의 주민번호 수집은 필요 최소한의 경우로 제한되어야 합니다. |
| 1. | 3 고객의 주민번호가 노출되지 않도록 안전한 주민번호 수집 방법을 강구하여야 합니다.<별첨 1> |
| 2. 서식의 주민번호 기재 금지 |
|
| 2. | 1 원칙적으로 금융상품 계약서 등 금융거래 서식에서 주민번호 기재를 금지합니다. |
| 2. | 2 법령상 규정 준수 등과 같이 주민번호 기입이 불가피한 경우에는 제2.1호를 적용하지 아니합니다.<별첨 2> |
제3장 비대면 거래
| 1. 주민번호 수집의 제한 |
|
| 1. | 1 인터넷 및 전화 등을 통한 고객의 주민번호 수집은 개인정보 보호법령의 개인정보 수집 법정주의를 따라야 합니다. |
| 1. | 2 인터넷 및 전화 등으로 고객의 주민번호를 입력받는 경우는 필요 최소한의 경우로 제한되어야 합니다. |
| 1. | 3 기존 고객에 대한 본인확인은 원칙적으로 주민번호를 제외하고 대체수단(아이핀*) 또는 다른 고객정보(성명, 생년월일, 휴대전화번호 등의 조합)를 이용하여야 합니다. |
| * | 주민번호 대신 인터넷상에서 본인확인을 위해 사용할 수 있는 개인 식별번호 |
| 1. | 4 과도한 고객불편이 우려되거나, 고객 본인의 특징이 매우 곤란하여 주민번호 사용이 불가피한 경우 등에는 제1.3호를 적용하지 아니합니다.<별첨 3> 다만, 이 경우 주민번호는 저장하지 아니합니다. |
| 1. | 5 고객의 주민번호가 노출되지 않도록 안전한 주민번호 수집 방법을 강구하여야 합니다.<별첨 4> |
제4장 주민번호 보관
| 1. 주민번호의 안전한 보관 |
|
| 1. | 1 금융투자회사는 주민번호를 입력받거나 주민번호가 포함된 신분증 사본을 보관하는 경우에는 암호화 하거나 주민번호 뒷자리(생년월일 및 성별을 포함한 앞 7자리를 제외한 6개 뒷자리 번호)를 삭제하여 보관하여야 합니다. |
| 1. | 2 법령에 근거하여 고객 본인을 확인하거나 금융거래 증빙을 위하여 불가피한 경우에는 주민번호 뒷자리를 삭제하지 아니하고 보관할 수 있습니다. |
[별표/서식 파일]