신용정보업감독규정 일부규정개정안 규정변경예고

금융위원회 고시 제 호

신용정보업감독규정 일부개정안

신용정보업감독규정 일부를 다음과 같이 개정한다.

제2조의2를 다음과 같이 한다.

제2조의2(신용정보의 범위) ① 영 제2조제1항제5호자목에 따른 “금융위원회가 정하여 고시하는 정보”란 신용정보주체의 신용정보를 종합적으로 평가‧반영하여 생성한 신용평점 또는 신용등급 등을 말한다.

② 영 제2조제1항제5호차목에 따른 “금융위원회가 정하여 고시하는 정보”란 기술신용정보로서 기술신용평점‧기술신용등급‧기술신용평가가액 또는 평가의견 등을 말한다.

③ 영 제2조제1항제5호카목에 따른 “금융위원회가 정하여 고시하는 정보”란 다음 각 호의 어느 하나에 해당하는 정보를 말한다.

• 1. 법 제20조에 따라 신용조회회사가 기록을 보존하는 정보 중에서 신용정보주체의 신용도 판단에 이용되는 정보를 제3자에게 제공한 신용조회기록
• 2. 한국자산관리공사의 신용회복지원 관련 규정에 의한 채무재조정 약정정보
• 3. 신용회복위원회의 신용회복지원협약에 따른 신용회복지원 확정정보
• 4. 국민행복기금이 협약금융기관등으로부터 채권을 매입한 정보 및 채무조정 약정을 체결한 정보

제4조 및 제5조를 각각 다음과 같이 한다.

제4조(신용정보업에 딸린 업무) 영 제3조제3호에 따라 “그 밖에 금융위원가 정하여 고시하는 업무”란 다음 각 호의 업무를 말한다. 다만, 신용조사업에 딸린 업무는 제1호부터 제3호까지에 한정한다.

• 1. 사업장 현황조사업무
• 2. 민원서류 열람 및 교부신청 업무
• 3. 해당 업무를 영위하는 과정에서 발생하는 교육, 홍보, 출판 업무
• 4. 채권자등에 대한 채권관리 관련 업무
• 5. 기한 전 채무납입 안내 대행 업무
• 6. 연체 전 채권의 변제 청구 및 통지 등에 대한 대행 업무
• 7. 「자산유동화에 관한 법률」제10조에 따른 자산관리업무

제5조(신용정보업 허가 등의 절차) ① 다음 각 호에 따른 절차는 별표 1과 같다.

• 1. 법 제4조에 따른 신용정보업 허가
• 2. 법 제10조에 따른 신용정보업의 양도․양수․분할․합병(분할합병을 포함한다. 이하 같다) 등의 인가
• 3. 법 제25조에 따른 신용정보집중기관의 허가

② 다음 각 호에 따른 허가 등을 신청하려는 자(이하 “신청인”이라 한다)는 다음 각 호에서 각각 정하는 서식 및 별표 1의2에 따른 신청서류를 제출하여야 한다.

• 1. 영 제4조에 따라 신용정보업의 허가를 받으려는 신청인: 별지 제1호
• 2. 영 제4조에 따라 신용정보업 허가받은 사항에 대한 변경허가를 받으려는 신청인: 별지 제2호
• 3. 법 제10조제1항에 따라 신용정보업을 양도․양수․분할․합병 인가를 받으려는 신청인: 별지 제2의2
• 4. 영 제21조제1항에 따라 신용정보집중기관으로 허가 받으려는 신청인 : 별지 제2의3

③ 「금융위원회의 설치 등에 관한 법률」제24조에 따른 금융감독원의 원장(이하 "금융감독원장"이라 한다)은 제2항에 따른 신청내용의 사실 여부를 확인하고 이해관계인 등으로부터 수렴된 의견을 고려하여 신청내용이 법 제6조 및 영 제6조에 따른 허가기준, 영 제10조제1항 각 호에 따른 인가기준, 법 제25조제3항 각 호에 따른 허가기준을 충족하는지 각각 심사하여야 한다.

④ 금융감독원장은 신청내용을 확인하기 위하여 필요한 경우에는 이해관계자, 발기인 또는 임원과의 면담 등의 방법으로 실지조사를 할 수 있으며 신청인은 이에 적극 협조하여야 한다.

⑤ 금융위원회는 신청인에 대하여 3개월 이내(예비허가를 받은 경우에는 1개월 이내)에 허가여부를 결정하고 그 결과와 이유를 지체없이 통지하여야 한다. 이 경우 신청서에 흠결이 있을 경우 보완을 요구할 수 있다.

⑥ 제5항 전단에 따른 심사기간을 산정할 때에는 다음 각 호의 어느 하나에 해당하는 기간은 심사기간에 산입하지 아니한다.

• 1. 법 제6조 및 영 제6조에 따른 허가기준, 영 제10조제1항 각 호에 따른 인가기준 또는 법제25조제3항 각 호에 따른 허가기준을 충족하는지 확인하기 위하여 다른 기관 등으로부터 필요한 자료를 제공받는데에 걸리는 기간
• 2. 제5항 후단에 따라 신청서 흠결의 보완을 요구한 경우에는 그 보완기간
• 3. 신청인을 상대로 형사소송 절차가 진행되고 있거나 금융위원회, 공정거래위원회, 국세청, 또는 금융감독원 등(외국기업인 경우에는 이들에 준하는 본국의 감독기관 등을 포함한다)에 의한 조사․검사 등의 절차가 진행되고 있고, 그 소송이나 조사․검사 등의 내용이 승인심사에 중대한 영향을 미칠 수 있다고 인정되는 경우에는 그 소송이나 조사․검사 등의 절차가 끝날 때까지의 기간

⑦ 금융위원회는 허가 또는 인가를 할 경우 신청인에게 조건을 붙일 수 있다.

⑧ 금융위원회는 제7항에 따라 조건을 붙인 경우에는 금융감독원장으로 하여금 그 이행여부를 확인하여야 한다.

⑨ 신청인은 제2항에 따른 신청을 하기 전에는 금융위원회에 예비허가 또는 예비인가를 신청할 수 있다.

⑩ 금융위원회는 제9항에 따른 예비허가 또는 예비인가 신청을 받은 경우에는 2개월이내에 예비허가 또는 예비인가 여부를 결정하여 그 결과와 이유를 지체없이 신청인에게 문서로 통지하여야 한다. 이 경우 예비허가 또는 예비인가 신청에 관하여 흠결이 있는 경우에는 보완을 요구할 수 있다.

⑪ 예비허가 신청 및 심사 절차는 제2항부터 제8항까지의 규정을 준용한다. 이 경우 “허가” 또는 “인가”는 각각 “예비허가” 또는 “예비인가”로 본다.

⑫ 제1항부터 제11항에 따른 허가 또는 인가절차를 위해 그 밖에 필요한 사항은 금융감독원장이 정한다.

제6조제1항 중 “영 제6조제1항제1호 나목 및 영 제21조제5항제1호에서”, “해당 신용조회업무 또는 신용정보집중업무의” 및 “별표 1”을 각각 “영 제6조제1항제1호 나목에 따른”, “해당 신용조회업무의” 및 “별표 2”로 한다.

제9조제2항제2호 중 “채권자”를 “신용정보주체, 신용정보 및 채권자”로 한다.

제11조제1항 중 “금융위원회에 제출하여야”를 “제출하여야”로 하고, 같은 조 제5항을 다음과 같이 한다.

⑤ 영 제9조제6항에 따른 “금융위원회가 정하는 기간”은 다음 각 호의 어느 하나에 해당하는 기간을 말한다.

• 1. 승인요건을 충족하는지 확인하기 위하여 다른 기관 등으로부터 필요한 자료를 제공받는 데에 걸리는 기간
• 2. 영 제9조제5항 후단에 따라 승인신청서의 흠결의 보완을 요구한 경우에는 그 보완기간
• 3. 승인을 받으려는 자를 상대로 형사소송 절차가 진행되고 있거나 금융위원회, 공정거래위원회, 국세청, 또는 금융감독원 등(외국기업인 경우에는 이들에 준하는 본국의 감독기관 등을 포함한다)에 의한 조사․검사 등의 절차가 진행되고 있고, 그 소송이나 조사․검사 등의 내용이 승인심사에 중대한 영향을 미칠 수 있다고 인정되는 경우에는 그 소송이나 조사․검사 등의 절차가 끝날 때까지의 기간

제13조제1항 중 “제11조에” 및 “제5조에 정한”을 각각 “제11조제1항에” 및 “제5조제1항에 따른”으로 하고, 같은 조제2항 중 “제5조에”를 “제5조제1항에”로 한다.

제13조의2를 다음과 같이 신설한다.

제13조의2(신용조회회사의 공공목적 조사분석 업무) ① 영 제11조의2제9호에 따른 “금융위원회가 정하여 고시하는 기관”이란 「지방공기업법」 제2조에 따른 지방직영기업, 지방공사 및 지방공단을 말한다.

② 금융위원회는 법 제11조제2항 단서에 따라 신용조회회사가 승인을 신청한 내용이 규칙 제5조제2항에 따른 요건에 적합한지 여부를 심사하여 승인한다.

③ 규칙 제5조제2항 단서에 따라 승인을 신청하고자 하는 자는 별지 제7호의2호 서식에 따른 신청서를 제출하여야 한다.

제15조를 각각 다음과 같이 한다.

제15조(처리의 위탁) ① 영 제14조제2항에 따른 “금융위원회가 정하여 고시하는 자”란 영 제5조제1항제1호부터 제21호에 따른 금융기관을 말한다.

② 신용정보회사등이 영 제14조제4항에 따라 보호조치를 하는 경우 제20조에 따른 기술적․물리적․관리적 보안대책 중 개인식별정보에 관한 사항에 따라 보호조치를 하여야 한다.

③ 신용정보처리의 위탁에 관한 사항은 법, 영, 이 규정이 정한 사항을 제외하고 「금융회사의 정보처리 및 전산설비 위탁에 관한 규정」(이 항에서 “위탁규정”이라 한다)을 적용한다. 이 경우 위탁규정 제2조제1항에 따른 “금융회사”는 “신용정보회사등”으로 본다.

제17조 제목 중 “신용조회회사등의”를 “신용정보회사등의”로 하고, 같은 조 제1항 및 제2항 각 호외 중 “신용조회회사”은 각각 “신용정보집중기관 및 신용조회회사”로 하며, 같은 조 제2항제3호는 삭제하고, 같은 조 제3항을 다음과 같이 신설한다.

③ 신용정보집중기관 및 신용조회회사는 신용정보 이용자가 조회한 목적에 일치하는 조회사유코드를 입력하도록 하는 등 신용조회기록의 정확성 점검에 관한 사항을 마련하여야 한다.

제18조의2 중 “제2조의제3호 및 제4호의”를 “제2조의2제3항제2호부터 제4호까지에 따른”으로 한다.

제19조제2항 중 “종합신용정보집중기관이” 및 “신용조회회사가 신용등급의”를 각각 “신용정보집중기관 및 신용조회회사가” 및 “신용등급의”로 한다.

제22조를 다음과 같이 한다.

제22조(신용정보관리기준) ① 법 제20조제1항에 따른 신용정보관리기준은 별표 4의2와 같다.

② 신용정보회사등은 제1항에 따른 신용정보관리기준의 준수와 이행을 위해 신용정보회사등의 특성 등을 반영하여 내부관리규정을 구체적이고 상세하게 마련하여야 한다.

③ 제1항 및 제2항에도 불구하고 신용정보회사등은 그 특성 등에 따라 특별한 사정이 있는 경우 별표 4의2에 따른 신용정보관리기준과 달리 내부관리규정을 마련하여 준수할 수 있다. 다만, 이 경우에도 법, 영, 규칙, 이 규정을 위반하여서는 아니된다.

④ 제3항에 따라 신용정보회사등이 내부관리규정을 신용정보관리기준과 달리 마련하는 경우 같은 항에 따른 특별한 사정을 내부관리규정에서 명확히 설명하여야 한다.

⑤ 금융위원회는 제3항에 따라 마련한 신용정보관리기준이 신용정보 및 신용정보주체의 보호에 적합하지 않은 경우 시정을 명할 수 있다.

제22조의2 및 제22조의3을 각각 다음과 같이 신설한다.

제22조의2 (신용정보관리․보호인의 지정대상 등) ① 영 제17조제3항에 따라 상시 종업원 수를 산정하는 경우 「소득세법」에 따른 원천징수의무자가 근로소득세를 원천징수한 자의 수로 한다.

② 종합신용정보집중기관의 신용정보관리․보호인은 법 제20조제5항에 따라 보고서를 대표이사 및 이사회에 보고하기 전 법 제26조제1항에 따른 신용정보집중관리위원회에 보고하여야 한다.

③ 신용정보관리․보호인은 다음 각 호의 사항을 매 사업연도 종료 후 1개월 이내에 금융감독원장이 정하는 서식에 따라 금융감독원장에게 제출하여야 한다.

• 1. 신용정보관리․보호인이 직전 사업연도 중 법 제20조제4항 각 호의 업무를 수행한 실적
• 2. 신용정보관리․보호인이 법 제20조제5항에 따라 주기적으로 보고서를 작성하고 대표이사 및 이사회에 보고한 실적

제22조의3 (개인신용정보의 보유기간 등) ① 법 제20조의2 제1항에 따른 “금융위원회가 정하여 고시하는 기한”이란 3개월을 말한다.

② 신용정보제공‧이용자는 영 제17조의2 제1항제1호에 따라 분리하여 보관하는 경우 해당 개인신용정보에 대한 이용권한을 별도로 부여하고 이용권한에 대한 관리책임자를 지정한다.

③ 제2항에 따라 이용권한을 부여 받은 자는 해당 개인신용정보를 이용하고자 하는 경우 관리책임자의 사전 승인을 얻어 그 개인신용정보를 이용하고, 신용정보제공․이용자는 그 이용 내역을 최소 3년간 보관한다.

제24조 중 “제19조제1항제1호부터 제3호까지에”를 “제19조제1항제1호에”로 하고, 제24조의2제1항을 삭제하고, 같은 조제2항 중 “별표 7과”를 “별표 6 제6호와”로 한다.

제25조 및 제25조의2를 각각 삭제한다.

제25조의3을 다음과 같이 신설한다.

제25조의3(신용정보집중기관의 허가 세부요건) ① 영제21조제6항제1호에서 “금융위원회가 정하여 고시하는 정보처리․정보통신설비”란 제6조제1항을 준용한다. 이 경우 “신용조회업무”는 “신용정보집중관리․활용업무”로 본다.

② 영 제21조제7항에 따른 금융위원회가 정하여 고시하는 신용정보집중기관 허가 세부요건은 별표 5의2와 같다.

제26조제2항 중 “제21조제7항에 따라”를 “제21조제9항에 따라”로 한다.

제26조의2를 삭제하고, 제26조의3을 다음과 같이 신설한다.

제26조의3(종합신용정보집중기관업무의 분리) ① 영 제21조제11항에 따라 종합신용정보집중기관이 집중기관업무 외의 업무를 수행하는 경우 다음 각 호에 따라 집중기관업무와 구별하여야 한다.

• 1. 재무에 관한 사항의 분리

가. 집중기관 업무와 집중기관업무외의 업무를 구분하여 별도의 회계장부를 마련하고 구분 계리할 것

나. 집중기관 업무 관련 예․결산에 관한 사항에 대하여 신용정보집중관리위원회가 심의․의결할 것

• 2. 임직원(대표자인 임원, 감사는 제외한다)이 집중기관 업무와 집중기관 업무외의업무를 겸직하지 아니할 것
• 3. 집중기관업무와 이외의 업무간에 정보의 교류를 차단하고, 정기적으로 이해상충이 발생할 가능성을 파악․평가할 것

② 종합신용정보집중기관의 신용정보관리․보호인은 제1항에 따른 사항을 정기적으로 점검하여 신용정보집중관리위원회에 보고하여야 한다.

제28조 제목 “(신용정보협의회 협의․결정 사항의 보고)”를 “(신용정보관리위원회 협의․결정 사항의 보고”로 하고, “신용정보협의회가 협의․결정한”을 “신용정보관리위원회가 협의․심의․결정한”으로 한다.

제29조제2호 중 “법 제23조제1항 및 제2항에”를 “법 제23조제2항에”로 하고, 제31조를 삭제한다.

제34조제4항을 삭제하고, 같은 조제5항을 다음과 같이 신설한다.

⑤ 영 제28조제5항 단서에 따른 금융위원가 정하여 고시하는 규모란 1만명을 말한다.

제37조 및 제38조를 각각 삭제하고, 제38조 및 제38조를 다음과 같이 신설한다.

제37조(금융질서문란행위자) 영 제28조제11항제5호에 따른 “금융위원회가 정하여 고시하는 자”는 다음과 같다.

• 1.「외국환거래법」제20조를 위반하여 허위의 보고를 하거나 거짓으로 자료를 제출한 자
• 2.「민법」제32조에 따라 금융위원회로부터 허가를 받은 신용회복위원회로부터 허위의 자료나 진술을 제출하고 채무를 조정 받았거나 조정된 채무를 이행하는 과정에서 재산의 도피, 은닉 또는 고의의 책임재산 감소행위를 한 자

제38조(영업양도 등에 따라 제공받은 개인신용정보의 관리) 법 제32조제8항에 따라 개인신용정보를 제공받은 자는 해당 개인신용정보를 다음 각 호의 구분에 따라 현재 거래 중인 신용정보주체의 개인신용정보와 구분한다.

• 1. 제공받은 개인신용정보는 영업양도․분할․합병 등으로 이유로 제공받은 개인신용정보라는 사실을 표시하여 관리
• 2. 개인신용정보를 제공받았을 때 이미 거래가 종료되어 분리보관 중인 정보의 경우 제1호에 따른 표시를 하고 현재 거래 중인 신용정보주체의 개인신용정보와 분리하여 관리

제39조 제목 “(개인신용정보 제공의뢰인의 확인)”을 “(개인신용정보를 제공받는 자의 확인)”으로 하고, 같은 조제1항 각 호외의 부분 중 “의뢰인으로부터 의뢰인의” 및 “의뢰인의”를 각각 “제공받는 자로부터 제공받는 자의” 및 “제공 받는 자의”라 하며, 같은 조같은 항제1호 및 제2호 중 “의뢰인이”를 각각 “제공받는 자가”로 하고, 같은 조제2항 중 “제1항의 제공의뢰인”을 “제1항에 따른 제공받는 자의”로 한다.

제39조의2를 다음과 같이 신설한다.

제39조의2(신용정보 이용 및 제공사실 조회시스템에 대한 조치 기한) 영 제30조제3항에 따른 “금융위원회가 정하여 고시한 기한”이란 7일 이내를 말한다. 다만, 법, 영 및 그 밖에 다른 법령에서 달리 정하는 경우에는 그 법령에 정하는 바에 따른다.

제40조제1항 중 “영 제30조제2항에”를 “법 제35조제2항 및 영 제30조제6항에”로 하고, 같은 조제2항을 다음과 같이 한다.

② 신용정보회사등은 신용정보주체에게 통지의 방법 및 통지의 주기, 수수료 등을 알려야 한다.

제40조의2 및 제43조의2부터 제43조의6을 각각 다음과 같이 신설한다.

제40조의2(동의 철회의 방법 등) ① 영 제32조제1항에 따른 “금융위원회가 정하여 고시하는 방법”이란 신용정보제공․이용자의 사무실․점포 등에 방문하여 동의 철회서를 제출하는 방법을 말한다.

② 영 제32조제4항에 따른 “금융위원회가 정하는 고시하는 방법”이란 신용정보회사등의 사무실 또는 점포를 통해 게시하는 방법을 말한다.

제43조의2(명의도용에 따른 개인신용정보 중지요청 등) ① 법 제38조의2 제1항에 따른 “금융위원회가 정하는 방식”이란 영 제30조제2항에 따른 방법을 말한다.

② 영 제33조의2 제1항에 따른 “금융위원회가 정하여 고시하는 경우”란 다음 각 호 어느 하나를 말한다.

• 1. 신용정보회사등이 법 제39조의2 제1항에 따른 누설 통지 또는 제3항에 따른 누설 신고를 한 이후 신용정보주체가 법 제38조의2제1항에 따른 조회사실 통지를 요청한 경우
• 2. 신용정보주체가 「주민등록법 시행령」 제42조에 따른 분실신고 등 개인정보가 포함된 신분증을 분실한 사실을 입증하고 법 제38조의2제1항에 따른 조회사실 통지를 요청한 경우

제43조의3(삭제 요구에 따른 통지방법) 법 제38조의3제4항에 따른 금융위원회가 정하여 고시하는 방법이란 영 제33조의2제2항에 따른 방법을 말한다.

제43조의4(신용정보의 누출신고) 영 제34조의2제5항에 따라 신고하는 신용정보회사등은 별지 제18호에 따른 신고서를 제출하여야 한다.

제43조의5(대출모집인) 영 제35조의2제1항제4호에 따른 “금융위원회가 정하여 고시하는 자”는 여신 업무를 하는 금융회사가 「금융기관의 업무위탁 등에 관한 규정」에 따라 대출 모집업무를 위탁 계약을 체결한 대출모집인을 말한다.

제43조의6(손해배상책임의 이행을 위한 보험 등 가입 기준) ① 영 제35조의9에 따른 금융위원회가 정하여 고시하는 자 및 그 자가 법 제43조의3에 따라 보험 또는 공제에 가입하는 경우 그 최소 가입금액은 다음 각 호와 같다.

• 1. 신용정보집중기관, 신용조회회사, 영 제5조제1항제1호부터 제7호 및 제10호 중 농협은행(다만, 제1호에 따른 은행 중 지방은행 및 제58조에 따라 인가를 받은 외국은행의 국내지점은 제외한다): 20억원
• 2. 영 제2조제3항제1호 및 제2호, 영 제5조제1항 중 지방은행, 외국은행의 국내지점, 같은 항 제8호(다만, 명의개서대행회사는 제외한다), 제9호, 제10호(다만, 농협은행은 제외한다), 제11호부터 제21호까지의 자: 10억원
• 3. 영 제35조의9 각 호의 어느 하나 자 중 제1호 및 제2호 외의 자: 5억원

② 제1항 각 호의 자가 준비금을 적립하는 경우 제1항 각 호에서 정하는 금액 이상의 금액을 보유하여야 한다.

③ 제1항 각 호의 자가 보험 또는 공제 가입과 준비금 적립을 병행하는 경우 보험 또는 공제의 보상한도는 제1항각 호에서 정한 금액에서 그 금액을 차감한 금액 이상으로 한다.

④ 「전자금융거래법」제9조제4항에 따라 가입한 보험‧공제 또는 적립한 준비금이 법 제43조에 따른 손해배상 책임 이행을 보장하는 경우 제1항에서 정한 금액에서 그 금액을 차감한 금액이상으로 한다.

⑤ 제1항부터 제4항은 개인신용정보를 수집‧이용‧처리하지 않는 자에 대하여는 적용하지 아니한다.

별표 1을 별표 2로 하고, 별표 1 및 별표 1의2를 붙임와 같이 각각 신설하고, 별표 2(종전의 별표

• 1) 붙임과 같이 한다.

별표 3을 붙임와 같이 하며, 별표 4의2를 붙임와 같이 신설하고, 별표 5를 붙임과 같이 하며, 별표 5의2를 붙임과 같이 신설하고, 별표 6을 붙임과 같이 하며, 별표 7은 삭제한다.

별지 제1호 서식 제목 중 “(제5조제1항 관련)”을 “(제5조제2항제1호 관련)”으로 하고, 같은 서식 중 “처리기간: 30일”을 “처리기간: 90일(예비허가를 받은 경우 30일)”로 한다.

별지 제2호 서식 제목 중 “(제5조제2항 관련)”을 “(제5조제2항제2호 관련)으로 하고, 별지 제2의2호 서식을 붙임과 같이 신설한다.

별지 제11호 서식은 별지 제2의3호 서식으로 하고, 별지 제2의3호 서식(종전 별지 제11호 서식)은 붙임과 같이 한다.

별지 제7의2호를 붙임과 같이 신설하고, 별지 제9호 및 제10호 서식은 삭제하며, 별지 제12호 서식은 붙임과 같이 하고, 별지 제18호 서식은 붙임과 같이 신설한다.

부 칙

이 규정은 2015년 9월 12일부터 시행한다.

신ㆍ구조문대비표

<표>

<붙임>

[별표 1]

<표>

신용정보업 및 신용정보집중기관 허가 등의 절차(제5조제1항 관련)

[별표 1의2]

신청서류(제5조제2항 관련)

• 1. 신용정보업

<표>

• 2. 신용정보집중기관

<표>

[별표 2]

신용조회업무 및 신용정보집중기관 허가에 필요한 정보처리․정보통신설비 요건(제6조제1항 관련)

<표>

[별표 3]

기술적․물리적․관리적 보안대책 마련 기준(제20조 관련)

Ⅰ. 목 적

이 기준은 영 제16조제1항에서 정하는 신용정보의 기술적․물리적․관리적 보안대책과 관련된 구체적인 기준을 정함을 목적으로 한다.

Ⅱ. 기술적․물리적 보안대책

• 1. 접근통제

① 신용정보회사등은 개인신용정보를 처리할 수 있도록 체계적으로 구성한 처리하기 위한 전산시스템(이하 “개인신용정보처리시스템”이라 한다)에 대한 접근권한을 서비스제공을 위하여 필요한 최소한의 인원에게만 부여한다.

② 신용정보회사등은 전보 또는 퇴직 등 인사이동이 발생하여 개인신용정보를 취급하는 임직원, 파견근로자 시간제 근로자 등(이하 “개인신용정보취급자”라 한다)이 변경되었을 경우 지체 없이 개인신용정보처리시스템의 접근권한을 변경 또는 말소한다.

③ 신용정보회사등은 제1항 및 제2항에 따른 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관한다.

④ 신용정보회사등은 개인신용정보처리시스템을 침입차단시스템과 침입탐지시스템을 설치하여 보호한다.

⑤ 신용정보회사등은 이용자 및 개인신용정보취급자가 생일, 주민등록번호, 전화번호 등 추측하기 쉬운 숫자를 개인비밀번호로 이용하지 않도록 개인비밀번호 작성규칙을 수립하고 이행한다.

⑥ 신용정보회사등은 취급중인 개인신용정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람 권한이 없는 자에게 공개되지 않도록 개인신용정보처리시스템 및 개인신용정보취급자의 PC를 설정한다.

⑦ 신용정보회사등은 개인신용정보처리시스템, 신용평가모형, 또는 위험관리모형 개발업무가 이루어지는 장소에 대하여 출입통제 절차를 수립·이행하여야 하며, 개발자에 대하여 신용정보취급자와 별도의 접근·변경 권한을 부여하여야 한다.

• 2. 접속기록의 위·변조방지

① 신용정보회사등은 개인신용정보취급자가 개인신용정보처리시스템에 접속하여 개인신용정보를 처리한 경우에는 처리일시, 처리내역 등 접속기록을 저장하고 이를 월 1회 이상 정기적으로 확인·감독한다.

② 신용정보회사등은 개인신용정보처리시스템의 접속기록을 1년 이상 저장하고, 위·변조되지 않도록 별도 저장장치에 백업 보관한다.

• 3. 개인신용정보의 암호화

① 신용정보회사등은 개인비밀번호, 바이오정보 등 본인임을 인증하는 정보는 암호화하여 저장하며, 이는 조회할 수 없도록 하여야 한다. 다만, 조회가 불가피하다고 인정되는 경우에는 그 조회사유·내용 등을 기록·관리하여야 한다.

② 신용정보회사등은 정보통신망을 통해 개인신용정보 및 인증정보를 송·수신할 때에는 보안서버 구축 등의 안전한 보안조치를 통해 이를 암호화해야 한다.

③ 신용정보회사등은 개인신용정보를 PC에 저장할 때에는 이를 암호화해야 한다.

➃ 신용정보회사등은 다음 각 호의 기준에 따라 주민등록번호의 암호화 등의 조치를 취하여야 한다.

• 1. 정보통신망을 통하여 송수신하거나 보조저장매체를 통하여 전달하는 경우에는 암호화하여야 한다.
• 2. 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점에 저장할 때에는 암호화하여야 한다.
• 3. 내부망에 저장하는 경우에는 위험도 분석결과에 따라 암호화의 적용여부 및 적용범위를 정하여 시행할 수 있다.
• 4. 업무용 컴퓨터 또는 모바일 기기에 저장하여 관리하는 경우에는 상용 암호화 소프트웨어 또는 안전한 알고리즘을 사용하여 암호화하여야 한다.

➄ 신용정보집중기관과 신용조회회사가 서로 개인식별정보를 제공하는 경우에는 상용 암호화 소프트웨어 또는 안전한 알고리즘을 사용하여 암호화하여야 한다.

• 4. 컴퓨터바이러스 방지

① 신용정보회사등은 개인신용정보처리시스템 및 개인신용정보취급자가 개인신용정보 처리에 이용하는 정보기기에 컴퓨터바이러스, 스파이웨어 등 악성프로그램의 침투 여부를 항시 점검·치료할 수 있도록 백신소프트웨어를 설치한다.

② 제1항에 따른 백신 소프트웨어는 월 1회 이상 주기적으로 갱신․점검하고, 바이러스 경보가 발령된 경우 및 백신 소프트웨어 제작 업체에서 업데이트 공지가 있는 경우에는 즉시 최신 소프트웨어로 갱신․점검한다.

• 5. 출력․복사시 보호조치

① 신용정보회사등은 개인신용정보처리시스템에서 개인신용정보의 출력시(인쇄, 화면표시, 파일생성 등) 용도를 특정하여야 하며, 용도에 따라 출력 항목을 최소화 한다.

② 신용정보회사등은 개인신용정보를 조회(활용)하는 경우 조회자의 신원, 조회일시, 대상정보, 목적, 용도 등의 기록을 관리하여야 하며, 개인신용정보취급자가 개인신용정보를 보조저장매체에 저장하거나 이메일 등의 방법으로 외부에 전송하는 경우에는 관리자책임자의 사전 승인을 받아야 한다.

③ 개인신용정보취급자는 제1항 및 제2항의 준수에 필요한 내부시스템을 구축하여야 하며 사전 승인시 승인신청자에게 관련 법령 준수여부를 주지시켜야 한다.

Ⅲ. 관리적 보안대책

• 1. 신용정보관리․보호인

① 신용정보관리․보호인은 다음 각 호의 업무를 담당한다.

• 1. 신용정보의 수집·보유·제공·삭제 등 관리 및 보호계획의 수립 및 시행
• 2. 신용정보의 수집·보유·제공·삭제 등 관리 및 보호 실태와 관행에 대한 정기적인 조사 및 개선
• 3. 신용정보 열람 및 정정청구 등 신용정보주체의 권리행사 및 피해구제
• 4. 신용정보 유출 등을 방지하기 위한 내부통제시스템의 구축 및 운영
• 5. 임직원 및 전속 모집인 등에 대한 신용정보보호교육계획의 수립 및 시행
• 6. 임직원 및 전속 모집인 등의 신용정보보호 관련 법령 및 규정 준수 여부 점검

② 신용정보관리․보호인은 제1항의 업무처리에 따른 기록을 3년간 보존하며, 점검결과를 경영진에 보고하고 업무처리절차에 적절히 반영하여야 한다.

• 2. 개인신용정보의 조회권한 구분

① 신용정보 관리․보호인은 개인신용정보 조회 권한이 직급별․업무별로 차등 부여되도록 하여야 한다.

② 신용정보회사등은 개인신용정보의 조회기록에 대하여는 다음 각 호에 따라 주기적으로 그 적정성 여부를 점검하여야 하며, 점검결과를 업무에 반영하여야 한다.

• 1. 종업원의 개인신용정보 취급상황을 확인할 수 있는 수단 및 이의 점검․감사체제 정비
• 2. 개인신용정보 이상 과다 조회 부서 및 직원등에 대해 수시 점검 실시

가. 조회 권한을 초과하여 고객 정보 조회를 일정횟수 이상 시도한 직원에 대한 통제장치 마련

나. 영업점 및 신용정보 관리부서의 고객 신용정보 조회 건수에 대해 정기적으로 점검하고 조회건수가 평소보다 급증한 부서 및 직원들을 샘플링하여 점검 실시

③ 신용정보 관리․보호인은 신용정보제공․이용자가 입력하는 조회사유코드의 정확성 등 신용조회기록의 정확성을 점검하여야 한다.

• 3. 개인신용정보의 비식별화 등

① 신용정보회사등은 개인신용정보의 처리를 위탁하는 경우 다음 각 호의 사항을 준수하여야 한다.

• 1. 개인식별정보의 암호화
• 2. 신용평가모형 또는 위험관리모형 개발 위탁시 고객정보 제공 금지(다만, 모형 개발을 위하여 불가피한 경우에는 실제 고객정보를 변환하여 제공한 후 모형 개발 완료 즉시 삭제하여야 한다)
• 3. 외부사용자에게 사용자계정을 부여하는 경우 최소한의 작업권한만 할당하고 적절한 통제장치 구비

② 신용조회회사가 신용평가모형 및 위험관리모형을 개발하는 경우, 실제 고객정보를 사용하지 않으면 모형 개발 또는 검증 등이 불가능하여 불가피하게 필요한 경우 외에는 실제 고객정보를 사용여서는 아니된다.

• 4. 제재기준 마련

신용정보회사등은 개인신용정보 오․남용에 대한 자체 제재기준을 마련하여야 한다.

[별표 4의2]

신용정보 관리기준(제22조 관련)

<표>

[별표 5]

공공단체 등의 지정범위(제24조 관련)

• 1.「한국은행법」에 따른 한국은행
• 2.「금융위원회의 설치 등에 관한 법률」에 따른 금융감독원
• 3.「자본시장과 금융투자업에 관한 법률」에 따른 한국거래소
• 4.「한국장학재단 설립 등에 관한 법률」에 따른 한국장학재단
• 5.「한국전력공사법」에 따른 한국전력공사
• 6.「대한무역투자진흥공사법」에 따른 대한무역투자진흥공사
• 7.「한국가스공사법」에 따른 한국가스공사
• 8.「한국광물자원공사법」에 따른 한국광물자원공사
• 9.「예금자보호법」에 따른 예금보험공사
• 10.「금융기관부실자산 등의 효율적 처리 및 한국자산관리공사의 설립에 관한 법률」에 따른 한국자산관리공사
• 11.「공인회계사법」에 따른 한국공인회계사회
• 12.「국민연금법」에 따른 국민연금관리공단
• 13.「국민건강보험법」에 따른 국민건강보험공단
• 14.「산업재해보상보험법」에 따른 근로복지공단

[별표 5의2]

신용정보집중기관 허가 세부요건

(제25조의3제2항 관련)

• 1. 인력에 관한 요건

가. 신용정보집중기관 업무를 영위함에 있어 신용정보주체를 보호하고 신용정보를 집중관리·활용함에 있어 전문성과 건전성을 갖춘 다음의 어느 하나에 해당하는 인력을 적절하게 확보하고 배치할 것

(1) 공인회계사, 변호사 등의 자격 소지자

(2) 영 제2조제3항제1호·제3호·제4호에 해당하는 기관, 영 제5조제1항 각 호에 해당하는 기관 또는 다음 각 목의 금융 관련 단체에서 3년 이상 신용정보 관련 업무에 종사한 경력이 있는 사람 5명 이상이 포함될 것

가. 신용조회회사

나. 신용정보집중기관

다.「민법」 제32조에 따라 기획재정부장관의 허가를 받아 설립된 금융결제원

라.「보험업법」에 따른 보험요율산출기관

(3) 그 밖에 신용정보집중기관 업무에 대한 전문성이 상기 인력에 준한다고 볼 수 있는 상당한 근거가 있는 자

나. 신용정보집중기관의 임원이 다음의 어느 하나에 해당하지 않을 것

(1) 최근 5년간 종합신용정보집중기관에 금융질서문란자로 등록된 사실이 없을 것

(2) 그 밖에 금융위원회가 신용정보집중기관의 경영의 건전성에 현저한 영향을 미칠 수 있다고 인정하는 것으로서 해당 대상자가 충분한 반증을 제시하지 못하는 사실

• 2. 물적 설비

가. 제25조의3제1항에 따른 정보처리․정보통신설비를 갖출 것

나. 업무공간과 사무장비

(1) 집중관리·활용하는 신용정보 중에서 개인의 건강에 대한 정보 등 특별히 민감한 정보는 별도 업무공간을 갖추는 등 정보차단벽(Chinese Wall)이 설치될 수 있도록 할 것

(2) 부서인원 대비 충분한 업무공간 및 사무장비를 갖출 것

(3) 내부기관 및 감독기관 등이 감독․검사업무를 수행함에 있어 법적 장애가 없을 것

다. 업무의 연속성을 유지할 수 있는 보완설비.

(1) 파업 등 불시사태 또는 비상사태에 대비한 비상계획(Contingency Plan)이 마련되어 있을 것

• 3. 사업계획

가. 사업계획이 이법 및 타법령에 의하여 종합신용정보집중기관이 수행하도록 정한 업무를 적절하게 수행할 수 있을 것

나. 내부통제장치 및 신용정보주체 보호

(1) 총회(이사회 설치된 경우 이사회 포함)와 경영진의 관계, 총회(이사회 설치된 경우 이사회 포함)의 구성 및 운영방향, 감사의 권한과 책임 등이 적절할 것

(2) 임직원의 법규준수, 정보보호 및 임직원 위법행위 예방을 위한 적절한 감독 및 내부통제체계가 구축되어 있을 것

• 4. 업무방법

가. 업무방법의 마련 등이 집중관리·활용에 참여하는 기관의 종류에 따른 대표성과 중립성을 만족할 것

• 1) 종합신용정보집중기관의 경우 업무방법에 관한 절차 및 내용에 있어서 참여하는 금융업권의 대표성과 중립성이 만족될 수 있도록 업무방법을 마련할 것
• 2) 같은 종류의 금융회사 또는 같은 종류의 사업자간에 집중관리·활용하는 신용정보의 경우 금융회사 또는 사업자간 대표성과 중립성이 만족될 수 있도록 업무방법을 마련할 것

나. 신용정보주체를 보호할 수 있는 관리체계가 마련되어 있을 것

다. 신용정보의 효율적 이용과 체계적 관리를 도모할 수 있는 관리체계가 마련되어 있을 것.

• 5. 지배구조 관련 사항

가. 「민법」제32조에 따라 설립된 비영리법인일 것

나. 사원구성계획이 집중관리·활용에 참여하는 기관의 종류에 따른 대표성과 중립성을 만족할 것

• 6. 제26조의3에 따른 업무분리계획을 갖출 것(집중기관업무외의 업무를 수행하는 경우 한정한다)

가. 재무에 관한 사항

• 1) 집중기관 업무 및 그 외 업무사이에 별도의 회계장부를 마련하고 구분 계리할 것
• 2) 집중기관 업무에 관련된 예·결산에 대하여 신용정보집중관리위원회의 의결을 받도록 할 것

나. 인사에 관한 사항

• 1) 임원(대표권을 가진 이사, 감사를 제외한다)이 집중기관 업무 외 다른 업무를 겸직하지 아니할 것
• 2) 집중기관 업무의 독립성 및 연속성을 담보할 수 있는 인사관리체계를 마련할 것

다. 조직에 관한 사항.

• 1) 집중기관 업무와 그 외 업무 간 정보의 교류를 차단할 것
• 2) 집중기관 업무와 그 외 업무사이에 이해상충이 발생할 가능성을 파악·평가하고, 이를 적절히 관리할 수 있는 내부통제기준을 마련할 것

라. 시설에 관한 사항

• 1) 집중기관 업무와 그 외 업무 사이에 사무실 등 업무공간을 분리할 것
• 2) 집중기관 업무와 그 외 업무사이에 전산자료가 독립적으로 저장되어 관리·감독·열람될 수 있도록 할 것

[별표 6]

신용정보 등록 및 이용기준(제24조의2제2항 및 제26조제2항 관련)

• 1. 식별정보

<표>

• 2. 거래정보

<표>

(1) 개인

주) 신용카드결제금액은 해당 신용정보를 보유한 신용카드업자가 동의하는 경우에 한함

(2) 기업

<표>

주

• 1) 은행 및 금융투자회사는 「은행업감독규정」제3조 및「금융투자업규정」제8-33조에서 정한 신용공여, 그 밖의 금융회사는 이에 준하는 정보
• 2) 영 제2조제1항제3호 각 목의 어느 하나에 한함
• 3) 신용카드결제금액은 해당 신용정보를 보유한 신용카드업자가 동의하는 경우에 한함

• 3. 신용도판단정보

<표>

주) 영 제2조제1항제3호 각 목의 어느 하나에 한함

• 4. 신용능력정보

<표>

• 5. 기술신용정보

<표>

주) 종합신용정보집중기관이 영 제21조의2 제5호에 따른 업무를 수행하는 경우에 한하여 등록기관으로부터 해당 정보를 집중

• 6. 공공정보

<표>

[별지 제2호의2호 서식]

양도․양수․분할․합병 인가 신청서(제5조제2항제3호 관련)

<표>

[별지 제2의3호 서식]

신용정보집중기관허가신청서(제5조 관련)

<표>

[별지 제7호의2호 서식]

공공목적 조사․분석 업무 겸업승인 신청서(제13조의2제3항 관련)

<표>

[별지 제12호 서식]

신용정보집중관리위원회 협의‧심의‧결정 사항의 보고(제28조 관련)

<표>

[별지 제18호 서식]

신용정보 누설신고서(제43조의4 관련)

<표>