하나은행 검사결과제재 (2022-10-31)

보험모집자격이 없는 직원에 의한 보험 부당모집 ｢보험업법｣ 제100조 제1항 등에 의하면 금융기관보험대리점등은 점포별로 2명의 범위 내에서 정한 보험 모집 종사자 외의 임직원에게 보험상품의 구입에 대한 상담 또는 소개를 하게 하면 아니 되는데도, 5개 영업점에서는 2018.4.18.~2020.5.25. 기간 중 점포별로 정한 보험 모집 종사자 외의 직원 4명(PB)이 본인의 전담고객 12명에게 14건(보험료 60.2억원, 수수료 39.5백만원)의 보험상품 구입에 대한 상담 또는 소개 행위를 하였음 < 관련규정 >

개인형퇴직연금제도 가입자에 대한 교육 미실시 ｢근로자 퇴직급여 보장법｣(이하 “퇴직급여법”) 제33조 등에 의하면 개인형퇴직연금제도를 운영하는 퇴직연금사업자는 해당 사업의 퇴직연금제도 운영 상황 등 법정 사항에 대하여 매년 1회 이상 가입자에게 교육을 실시하여야 하는데도, 2018.7.14.~2020.4.16. 기간 중 개인형퇴직연금제도 가입자 44,341명에 대하여 교육을 실시하지 아니하였음 < 관련규정 >

상거래관계 종료 고객의 개인신용정보 미삭제 및 분리보관 미이행 ㈎ 상거래관계가 종료된 고객의 개인신용정보 미삭제 (舊) ｢신용정보의 이용 및 보호에 관한 법률｣(이하 “신용정보법”) 제20조의2 제2항 등에 의하면 신용정보제공‧이용자는 다른 법률에 따른 의무를 이행하기 위하여 불가피한 경우 등 법상 예외사유에 해당하지 않는 한 금융거래 등 상거래관계가 종료된 날부터 최장 5년 이내에 해당 신용정보 주체의 개인신용정보를 삭제하여야 하는데도, 2019.1.1.~2020.10.25. 기간 중 외환거래 종료 등으로 상거래관계가 종료된 날부터 5년이 경과하거나, 다른 법률에 따른 의무를 이행하기 위해 필요한 보유기간이 경과하였음에도 고객의 개인신용정보(18,452,533건)를 삭제하지 아니하였음 ㈏ 상거래관계가 종료된 고객의 개인신용정보 분리보관 미이행 ｢신용정보법｣ 제20조의2 제3항 등에 의하면 신용정보제공‧이용자는 다른 법률에 따른 의무를 이행하기 위하여 불가피한 경우 등 법상 예외사유에 해당하여 상거래관계가 종료된 날부터 5년이 경과한 개인신용정보를 보존하는 경우에는 해당 개인신용정보를 상거래관계가 종료되지 아니한 고객의 정보와 분리하여 보관하여야 하는데도, 2018.7.30.~2020.10.25. 기간 중 외환거래 종료 등으로 상거래관계가 종료된 날부터 5년이 경과한 고객의 개인신용정보(15,357,001건)를 다른 법률에 따른 의무를 이행하기 위해 보관하는 과정에서 상거래관계가 종료되지 아니한 고객의 개인신용정보와 분리하여 보관하지 아니하였음 < 관련규정 >

개인신용정보 부당 조회 등 ㈎ 그룹사 소개영업시 개인신용정보 부당 제공 (舊) ｢신용정보법｣ 제32조 등에 의하면 신용정보제공‧이용자가 개인신용정보를 타인 에게 제공하려는 경우에는 해당 신용정보주체로부터 서면 등의 방식으로 개인신용정보를 제공할 때마다 미리 개별적으로 동의를 받아야 하며, 동의를 받으려면 개인신용정보를 제공 받는 자, 개인신용정보를 제공받는 자의 이용 목적, 제공하는 개인신용정보의 내용, 개인 신용정보를 제공받는 자의 정보 보유 기간 및 이용 기간 등을 해당 신용정보주체에게 미리 알려야 하는데도, 125개 영업점에서는 2018.11.1.~2020.10.31. 기간 중 289명의 고객에게 계열사의 상품 (대출, 펀드 등)을 소개 영업하는 과정에서 고객으로부터 서면 등의 방식으로 동의를 받지 아니하고 해당 계열사에 고객의 개인신용정보를 제공하였음 ㈏ 개인신용정보 부당 조회 (舊) ｢신용정보법｣ 제33조 등에 의하면 개인신용정보는 해당 신용정보주체가 신청한 금융 거래 등 상거래관계의 설정 및 유지 여부 등을 판단하기 위한 목적으로만 이용하여야 하는데도, 122개 영업점에서 직원 117명이 2018.10.19.~2020.8.18. 기간 중 개인신용정보가 포함된 가계손님포탈 등 전산조회 화면을 통하여 고객의 개인신용정보(128건)를 금융거래 등 상거래 관계의 설정 및 유지 여부 등을 판단하기 위한 목적외로 부당 조회‧이용하였음 ㈐ 신용정보전산시스템 보안대책 수립‧시행 의무 위반

개인신용정보 조회권한 부여 등 보안대책 미이행 ｢신용정보법｣ 제19조 등에 의하면 신용정보회사등은 신용정보전산시스템의 안전보호를 위하여 신용정보 취급‧조회 권한의 직급별‧업무별 차등 부여 및 신용정보 조회기록의 주기적 점검 등을 포함한 기술적‧물리적‧관리적 보안대책을 수립‧시행하여야 하는데도, 신용정보전산시스템의 개인신용정보 조회 권한을 직급별‧업무별 당위성에 대한 심사 없이 부여하고, 본점 직원의 개인신용정보 조회기록에 대한 점검을 실시하지 않는 등 신용 정보전산시스템 보안대책 수립‧시행 의무를 이행하지 아니하였음

개인신용정보 안전성 확보 조치 미이행 ｢신용정보법｣ 제19조 등에 의하면 신용정보회사등은 개인신용정보 취급자가 개인신용 정보를 이메일 등의 방법으로 외부에 전송하는 경우에는 관리책임자의 사전 승인을 받도록 내부시스템을 구축하는 등 기술적‧물리적 보안대책을 수립‧시행하여야 하는데도, 개인신용정보가 포함된 일일 송금내역을 해외대학 등록금 납부 제휴업체에 전송하는 이메일에 대하여 관리책임자의 사전 승인을 받도록 내부시스템을 구축‧운영하지 않은 사실이 있음 < 관련규정 >

주택담보대출 취급 규정 위반 은행은 주택담보대출 취급시 ｢은행법｣ 제34조 및 ｢은행업감독규정｣ 제29조의2 등을 준수 하여야 하는데도, 하나은행은 아래와 같이 주택담보대출을 부당하게 취급하였음 ㈎ 담보인정비율(LTV) 한도 초과 취급 은행은 신규 투기과열지구 소재 주택을 담보로 한 주택담보대출을 취급하는 경우 담보 인정비율(LTV) 40% 한도 이내로 취급하여야 하는데도, 2020.8.18. 차주에게 투기과열지구 소재 주택을 담보로 담보인정비율(LTV)이 69.6%인 주택담보대출 1건(1억 8천만원)을 취급하였음 ㈏ 수도권 규제지역 소재 주택담보대출 취급규정 위반 은행은 수도권에 주택을 보유한 세대에 대하여 수도권 규제지역 소재 신규 주택을 담보로 하는 주택담보대출을 취급하는 경우 여신심사위원회의 승인을 거쳐야 하는데도, 2018.12.12.~2020.6.15. 기간 중 수도권에 주택을 보유한 차주 5명에 대해 여신심사 위원회의 승인 없이 수도권 규제지역 내 신규 주택 구입을 위한 주택담보대출 총 5건(11억 9,000만원)을 취급하였음 ㈐ 사업자에 대한 주택구입 목적 기업자금대출 취급규정 위반 은행은 임대사업자가 아닌 사업자에 대하여 불가피성이 인정되는 경우 등을 제외 하고는 투기지역 소재 주택을 담보로 하는 주택구입 목적 기업자금대출을 신규로 취급하여 서는 아니 되는데도 2019.7.31. 주택임대사업자가 아닌 법인에 대하여 투기지역 소재 주택을 담보로 하는 주택구입 목적 기업자금대출 1건(1억 6,000만원)을 취급하였음 ㈑ 처분조건부 체결 관련 주택담보대출 취급규정 위반 은행은 주택을 보유한 세대에 대하여 규제지역 내 주택구입 목적의 주택담보대출을 취급 하는 경우 처분조건부 약정*을 체결하여야 하는데도, * 대출 실행일로부터 2년 이내에 기존 주택 미처분시 기한의 이익 상실 2018.12.13. 주택 보유자인 차주에 대하여 처분조건부 약정 체결 없이 규제지역 내 주택구입 목적 주택담보대출 1건(2억 1,500만원)을 취급하였음 ㈒ 추가주택 취득금지 관련 생활안정자금 목적 주택담보대출 취급규정 위반 은행은 주택을 보유한 세대에 대하여 생활안정자금 목적 주택담보대출을 취급하는 경우 추가주택 취득금지 약정*을 체결하여야 하는데도, * 대출기간 중 신규 주택 구입시 기한의 이익 상실 9개 영업점에서는 2018.11.30.~2019.12.26. 기간 중 차주 10명에 대하여 추가주택 취득 금지 약정 체결 없이 생활안정자금 목적의 주택담보대출 총 10건(10억 2,600만원)을 취급하였음 ㈓ 전입조건부 및 이주비·중도금 관련 주택담보대출 취급규정 위반 은행은 규제지역 내 고가주택 임차보증금 반환 목적의 주택담보대출을 취급하는 경우 전입조건부 약정*을 체결하여야 하며, * 대출 실행일로부터 일정기간 이내에 전입하지 않는 경우 기한의 이익 상실 주택을 보유한 세대에 대하여 해당 주택의 재건축·재개발에 대한 이주비 및 중도금 대출을 취급하는 경우 추가주택 취득금지 약정*을 체결하여야 하는데도, * 대출기간 중 추가 주택 구입시 기한의 이익 상실 전입조건부 약정서 및 이주비·중도금 대출에 대한 추가주택 취득금지 약정서의 양식을 마련하지 않아, 2018.10.22.~2020.8.18. 기간 중 전입조건부 약정 체결 없이 차주 42명에 대하여 규제지역 내 고가주택 임차보증금 반환 목적의 주택담보대출 총 42건(136억4,800만원)을 취급하였으며, 2019.2.12.~2020.10.21. 기간 중 추가주택 취득금지 약정 체결 없이 15건(3,479억원)의 재건축·재개발 관련 이주비(6건, 2,394억원) 및 중도금(9건, 1,085억원) 대출을 취급하였음 < 관련규정 >

국외점포에 대한 현지 감독기관 제재 보고의무 위반 ｢은행법｣ 제47조 제10호 등에 의하면 은행은 은행의 국외현지법인 또는 국외지점이 현지 감독기관으로부터 제재를 받는 등 주요 변동사항이 있을 때에는 그 사실을 금융감독원장에게 지체 없이 보고하여야 하는데도, 2015.10.12.~2019.8.15. 기간 중 국외현지법인 또는 국외지점이 현지 감독기관으로부터 제재를 받은 총 41건에 대하여 이를 금융감독원장에게 지체 없이 보고하지 않고 최소 31일에서 최대 1,275일까지 지연 보고하였음 < 관련규정 >

전자금융거래의 안전성 확보의무 위반 ㈎ 스마트뱅킹시스템 관련 전자금융거래 무결성 검증 방법 제공 위반 ｢전자금융거래법｣ 제21조 제2항 및 ｢전자금융감독규정｣ 제34조 제5호에 의하면 금융 회사는 전자금융거래에서 이용자에게 제공하거나 거래를 처리하기 위한 전자금융거래 프로그램 (거래전문포함)의 위·변조 여부 등 무결성을 검증할 수 있는 방법을 제공하여야 하는데도, 2016.6.7. 스마트뱅킹시스템(이하 ‘하나원큐’)을 구축하면서, 거래전문의 이중처리(이하 ‘중복이체’)를 방지하기 위한 무결성 검증방법 중 일부를 전자금융거래에 제공하지 아니한 채 운영하였고, * 이용자의 중복클릭으로 인한 중복이체 방지대책은 제공하였으나, 모바일 무선통신망 환경변화에 따른 IP변경 등 통신망이나 시스템 문제로 인한 중복이체 방지대책은 미제공 2016.7.29.~2020.11.6. 기간 중 하나원큐를 통한 이체거래 시, 이용자가 의도하지 않은 다수의 중복이체가 실행되어 총 1,232건(1,072명), 351,374,837원의 중복이체 거래가 발생한 사실이 있음 ㈏ 스마트뱅킹시스템 성능관리 위반 ｢전자금융거래법｣ 제21조 제2항 및 ｢전자금융감독규정｣ 제25조에 의하면 금융회사는 정보처리시스템의 장애예방 및 성능의 최적화를 위하여 정보처리시스템의 사용 현황 및 추이 분석 등을 정기적으로 실시하여야 하는데도, 스마트뱅킹(하나원큐) 구축일 이후 장애사고 발생일까지 신규 가입자 수 및 거래량이 꾸준히 증가하였음에도 시스템 부하 성능을 확인*할 수 있는 추이 분석을 실시하지 않아 * 초당 최대 거래량(TPS), 응답시간, 피크타임 기준 동시접속자 수 등 하나원큐 구축 이후 장애예방 및 시스템 성능의 최적화를 위해 중앙처리장치(CPU)를 추가적으로 증설하지 않고 운영함으로써 2019.9.25. 10:55~16:17 기간 중 이용자 접속 및 거래량 증가에 따른 하나원큐의 성능 부족으로 5시간 22분간 서비스가 지연되는 장애사고를 초래한 사실이 있음 ㈐ 전산자료 보호대책 위반

하나프라이빗뱅킹시스템(HPBS) 관련 전산자료 보호대책 위반 ｢전자금융거래법｣ 제21조 제2항 및 ｢전자금융감독규정｣ 제13조 제1항 제8호, 제11호, 제4항 제2호 내지 제3호에 의하면 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 중요도에 따라 전산자료를 정기적으로 백업하여 원격 안전지역에 소산하여야 하고, 전산자료를 사용한 일시, 사용자 및 자료의 내용을 확인할 수 있는 접근기록 및 정보 처리시스템내 전산자료의 처리내용을 확인할 수 있는 사용자 로그인, 엑세스 로그 등 접근 기록이 포함된 정보처리시스템의 가동기록을 1년 이상 보존하여야 하는데도, OO시스템의 게시물 관련 첨부파일을 백업하지 않아, OO시스템 전산자료 14,604건을 삭제하고 이를 복원하지 못하였고, 관리시스템의 가동기록을 최근 3개월만 보존하여 삭제된 전산자료 관련 접근기록을 확인할 수 없도록 운영함으로써 전산자료 유출, 파괴 등을 방지하기 위한 보호대책을 위반한 사실이 있음

운영CRM 시스템 전산자료 보호대책 위반 ｢전자금융거래법｣ 제21조 제2항, ｢전자금융감독규정｣ 제13조 제3항에 의하면 금융 회사는 단말기를 통한 이용자 정보 조회 시 사용자, 사용일시, 변경‧조회내용, 접속방법이 정보처리시스템에 자동적으로 기록되도록 하고, 그 기록을 1년 이상 보존하여야 하는데도, 운영CRM 시스템 내 이용자 정보를 조회할 수 있는 OO시스템을 구축‧운영하면서, 사용자, 사용일시, 조회내용 등을 자동 기록하였으나 10일간만 보존되도록 운영한 사실이 있음 * 영업점 및 조회 권한이 있는 본부직원이 고객 응대 등을 위해 고객을 검색하는 시스템으로, 고객의 성명 등을 입력하여 검색 시, 일치하는 이용자 정보(성명, 생년월일, 연락처, 주소 등)가 일괄 조회 ㈑ 망분리 대체 정보보호통제 위반 ｢전자금융거래법｣ 제21조제2항 및 ｢전자금융감독규정｣ 제15조제1항제3호, (舊) ｢전자 금융감독규정시행세칙｣ 제2조의2에 의하면 금융회사는 내부통신망과 연결된 내부 업무용 시스템은 인터넷 등 외부통신망과 분리‧차단 및 접속을 금지(이하 ‘망분리’)하여야 하고, 업무상 필수적으로 특정 외부기관과 연결해야 하는 경우 망분리 예외를 위한 자체 위험성 평가를 실시하고, 망분리 대체 정보보호통제*를 적용하여야 하는데도, * 승인된 프로그램만 설치‧실행토록 하는 단말기 보안 강화 대책 등(｢전자금융감독규정 시행세칙｣ [별표7]) 임직원 업무용 단말기에 대한 망분리 환경을 구축(2014.8월)하고 업무상 필요로 인한 망분리 예외를 허용하면서, 2017.11.1.~2020.11.6. 기간 중 승인된 프로그램만 설치‧실행토록 대책을 수립하지 아니하여 영업점 직원이 2017.11.10.~2018.4.30. 기간 중 업무용 단말기 및 계정계 환경을 파악할 목적으로 94개의 미승인 프로그램을 실행(총 2,874회)하는 것을 방지하지 못한 사실이 있음 ㈒ 전산원장 변경 통제 위반 ｢전자금융거래법｣ 제21조 제2항, ｢전자금융감독규정｣ 제27조 제1항 내지 제2항에 의하면 금융회사는 장애 또는 오류 등에 의한 전산원장의 변경을 위하여 변경 전후내용 자동 기록 및 보존, 변경내용의 정당여부에 대한 제3자 확인 등이 포함된 전산원장 변경절차를 수립·운용하여야 하는데도, OO계 시스템 내 자동이체원장조회 화면을 통해 전산원장을 변경할 수 있도록 운영 하면서 동 화면에 대해서는 전산원장 변경절차를 적용하지 않아, 담당 직원(2명)이 동 화면을 통해 총 949회에 걸쳐 전산원장을 변경하였음에도 변경 전후내용을 자동기록 및 보존하지 않았고, 변경내용의 정당여부에 대해 제3자가 확인하지 않은 사실이 있음 ㈓ 공개용 웹서버 관리대책 위반 ｢전자금융거래법｣ 제21조 제2항, ｢전자금융감독규정｣ 제17조 제1항 제4호에 의하면 금융회사는 공개용 웹서버의 안전한 관리를 위하여 DMZ구간 내에 이용자 정보 등 주요 정보를 저장 및 관리하지 아니하여야 하고 거래로그를 관리하기 위한 경우에는 예외적으로 암호화하여 저장‧관리하여야 하는데도, DMZ구간에서 운영하는 OO 서버에 총 530건의 이용자 정보(영문이름, 카드 결제금액, 가맹점 정보 등)를 암호화하지 않고 평문으로 저장한 사실이 있음 < 관련규정 >

전자금융거래 오류정정사항 고객통지 의무 위반 ｢전자금융거래법｣ 제8조 제3항, ｢전자금융거래법시행령｣ 제7조의2에 의하면, 금융회사는 스스로 전자금융거래에 오류가 있음을 안 때에는 이를 즉시 조사하여 처리한 후 오류가 있음을 안 날부터 2주 이내에 오류원인과 처리결과를 문서, 전화 또는 전자우편으로 이용자 에게 알려야 함에도, 2016.7.29.~2020.11.6. 기간 중 발생한 하나원큐 중복이체 오류에 대한 원인 및 처리 결과를 이용자에게 통지하는 과정에서, 14명의 이용자에 대해서는 오류가 있음을 안 날부터 19일이 경과하여 통지(등기우편에 의한 서면통지)한 사실이 있음 < 관련규정 >

비업무용자산 처분업무 불철저 ｢은행법｣ 제39조, ｢은행업감독규정｣ 제58조 등에 따르면 은행은 비업무용자산의 처분연기보고일 이후 1년 이내에 동 비업무용자산을 처분하여야 하는데도, 2014년, 2017년, 2019년 중 비업무용자산을 처분 또는 추가적인 처분연기보고를 아니 하였음 < 관련규정 >