FSS SANCTION · 3930

현대하이카다이렉트손해보험주식회사 검사결과제재 (2015-05-08)

금융감독원 · 2015-05-08 · 금융감독원 제재

핵심 정리

공식 원문 구조화 · 문장 임의 생성 없음

제재조치

기관 · 과태료 부과(450만원), 경영유의 1건, 개선 4건

직원 · 조치의뢰

주요 위반사항

문책 및 조치의뢰사항 ㈎ ◦

◦

◦ △△ ☆☆☆는 2013.1.1.∼2014.5.30. 기간 중 금융거래 등 상거래관계 설정 및 유지 목적이 아닌 제3자의 사고처리상황 확인을 목적으로 업무와 무관하게 ▣▣▣ 등 3명의 개인신용정보를 총 5회에 걸쳐 부당하게 조회하였고, ㈏ ◦

◦

◦ ★★ ●●●는 2013.1.1.∼2014.5.30. 기간 중 금융거래 등 상거래관계 설정 및 유지 목적이 아닌 제3자의 사고처리상황 확인을 목적으로 업무와 무관하게 ◎◎◎ 등 8명의 개인신용정보를 총 8회에 걸쳐 부당하게 조회하였고, ㈐ ◇◇◇◇◇◇‧

◆ ▽▽ ◇◇◇는 2013.1.1.～2014.5.30. 기간 중 조회 권한을 차등부여하지 않아 업무 관련성이 없는 일부 부서에서 계약자, 증권번호, 청약일자 등 개인신용정보를 조회토록 하였고, ㈑ 회사는 개인신용정보를 과다하게 조회하는 부서 및 직원 등에 대한 점검기준, 처리방안 등을 마련하지 않아 수시 점검을 실시하지 않았음

전산자료 보호대책 운영 불철저 2014.3.8.∼2014.6.18. 기간중 전산개발 및 운영을 위해 테스트한 이용자 정보 총 5,199,526건의 주민등록번호를 테스트 종료 즉시 삭제하지 않고 이를 변환하지 않은 상태로 보관하였음

외부구입 개인정보에 대한 동의확인업무 미흡 외부에서 구입한 개인정보의 주체가 개인정보DB의 수집․이용에 동의를 하였는지 여부에 대해 확인하여야 할 절차 및 지침 등의 규정을 마련하지 않고 있고, 2013.1.1.∼2014.5.31. 기간중 ◎◎◎◎◎을 포함하여 총 14개 회사로부터 제공받은 총 828,348건의 개인정보DB가 정보주체로부터 정보 수집‧이용 동의를 받았는지 확인 절차가 미흡하였으므로 향후 외부업체로부터 제공받은 개인정보 수집‧이용 동의의 적정성을 확인하는 절차를 마련하는 등 개인정보 동의 관련 내부통제를 강화할 필요가 있음

선택적 동의사항 등 표기 방법 개선 ㈎ 2014.4.8.부터 운용중인 정보주체에게 상품소개를 위한 스크립트에 개인정보를 수집․이용 및 제공을 위한 동의를 구하면서 선택적 동의라는 사실과 이를 거절하더라도 재화 또는 서비스의 제공을 거부하지 않는다는 내용을 알리지 않은 채 동의를 수령하고 있으므로 정보주체가 ‘필수 동의사항’과 ‘선택적 동의사항’을 오인하지 않도록 관련 업무 등을 합리적으로 개선하시기 바람 ㈏ 2014.6.9.부터 운용중인 스크립트에는 정보주체에게 개인정보의 제3자 제공동의를 구하면서 개인정보를 제공받는 자를 포괄적으로 정해 동의를 받고 있고, 이용목적, 제공항목, 이용기간 및 거부할 권리 등에 대해 언급하지 않고 운영하고 있으므로 정보주체가 제3자 제공 동의 여부를 실질적으로 판단할 수 있도록 관련 업무 등을 합리적으로 개선하시기 바람

IT 직무분리 업무 개선 IT 외부인력이 출입통제구역인 전산실의 출입관리를 담당하고 있으며, 주전산기의 계정관리, 접근통제 및 로그기록 업무를 동시에 수행하는 등 내부직원과 외부인력에 대한 직무분리가 미흡하고, IT개발팀이 IT개발업무 이외에 DB의 운영 및 접근통제 업무를 같이 수행토록 하는 등 업무통제절차가 마련되지 않은 상태이므로 직무분리를 명확화하는 등 개인정보보호․통제 업무를 개선하시기 바람

개인신용정보 출력통제업무 운영 개선 계약자의 보험정보를 보관하는 DB시스템인 기간계 시스템의 화면별 접근 권한 점검을 연 1회 실시하여 개인신용정보 화면권한 점검이 적절히 이루어지지 않고 있으며 자체 내규 ‘기간계 계정 및 권한관리 지침’에 기간계 권한관리자가 직원으로 되어 있어 실질적인 권한통제가 어려운 바, 책임 있는 자를 권한관리자로 지정하고 주기적인 모니터링 등을 강화하는 등 관련 업무를 합리적으로 개선하시기 바람

개인정보 통제절차 개선 자체내규에 따르면 중요정보가 저장된 이동형 저장매체(USB 등)는 팀장 승인을 득한 후에 외부로 반출토록 하고 있으나, 이동형 저장매체 등을 통한 개인정보의 외부반출시 반출 적정성을 판단할 수 있는 검증 및 승인절차가 미흡하므로 이동형 저장매체 등을 통한 개인정보의 외부유출을 방지하기 위한 점검 및 내부통제를 강화하도록 관련 규정 등을 개선하시기 바람

위반사항 1

문책 및 조치의뢰사항

위반사항 1 · 법적 기준

⑴ 개인신용정보 부당조회 및 관리 불철저 개인신용정보는 해당 신용정보주체가 신청한 금융거래 등 상거래관계의 설정 및 유지 등을 판단하기 위한 목적으로만 이용하여야 하고, 신용정보관리․보호인은 개인신용정보 조회 권한이 직급별․업무별로 차등 부여되도록 하여야 하며, 금융회사는 개인신용정보 이상 과다 조회 부서 및 직원 등에 대해 수시 점검을 실시하고 그 결과를 업무에 반영 하여야 함

위반사항 1 · 확인된 사실

㈎ ◦◦

◦

△△ ☆☆☆는 2013.1.1.∼2014.5.30. 기간 중 금융거래 등 상거래관계 설정 및 유지 목적이 아닌 제3자의 사고처리상황 확인을 목적으로 업무와 무관하게 ▣▣▣ 등 3명의 개인신용정보를 총 5회에 걸쳐 부당하게 조회하였고, ㈏ ◦◦

◦

★★ ●●●는 2013.1.1.∼2014.5.30. 기간 중 금융거래 등 상거래관계 설정 및 유지 목적이 아닌 제3자의 사고처리상황 확인을 목적으로 업무와 무관하게 ◎◎◎ 등 8명의 개인신용정보를 총 8회에 걸쳐 부당하게 조회하였고, ㈐ ◇◇◇◇◇◇‧

◆

▽▽ ◇◇◇는 2013.1.1.～2014.5.30. 기간 중 조회 권한을 차등부여하지 않아 업무 관련성이 없는 일부 부서에서 계약자, 증권번호, 청약일자 등 개인신용정보를 조회토록 하였고, ㈑ 회사는 개인신용정보를 과다하게 조회하는 부서 및 직원 등에 대한 점검기준, 처리방안 등을 마련하지 않아 수시 점검을 실시하지 않았음

위반사항 1 관련 규정

｢신용정보의 이용 및 보호에 관한 법률｣ 제19조 ｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제16조 ｢신용정보업 감독규정｣ 제20조, 별표3

위반사항 2

전산자료 보호대책 운영 불철저

위반사항 2 · 법적 기준

금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 이용자 정보의 조회․출력에 대한 통제를 하고 테스트시 이용자 정보 사용을 금지하고, 사용이 불가피한 경우 이용자 정보를 변환하여 사용하고 테스트 종료 즉시 삭제 하여야 함

위반사항 2 · 확인된 사실

2014.3.8.∼2014.6.18. 기간중 전산개발 및 운영을 위해 테스트한 이용자 정보 총 5,199,526건의 주민등록번호를 테스트 종료 즉시 삭제하지 않고 이를 변환하지 않은 상태로 보관하였음

위반사항 2 관련 규정

｢전자금융거래법｣ 제21조 ｢전자금융감독규정｣ 제7조, 제13조

위반사항 3

외부구입 개인정보에 대한 동의확인업무 미흡

위반사항 3 · 확인된 사실

외부에서 구입한 개인정보의 주체가 개인정보DB의 수집․이용에 동의를 하였는지 여부에 대해 확인하여야 할 절차 및 지침 등의 규정을 마련하지 않고 있고, 2013.1.1.∼2014.5.31. 기간중 ◎◎◎◎◎을 포함하여 총 14개 회사로부터 제공받은 총 828,348건의 개인정보DB가 정보주체로부터 정보 수집‧이용 동의를 받았는지 확인 절차가 미흡하였으므로 향후 외부업체로부터 제공받은 개인정보 수집‧이용 동의의 적정성을 확인하는 절차를 마련하는 등 개인정보 동의 관련 내부통제를 강화할 필요가 있음

위반사항 4

선택적 동의사항 등 표기 방법 개선

위반사항 4 · 확인된 사실

㈎ 2014.4.8.부터 운용중인 정보주체에게 상품소개를 위한 스크립트에 개인정보를 수집․이용 및 제공을 위한 동의를 구하면서 선택적 동의라는 사실과 이를 거절하더라도 재화 또는 서비스의 제공을 거부하지 않는다는 내용을 알리지 않은 채 동의를 수령하고 있으므로 정보주체가 ‘필수 동의사항’과 ‘선택적 동의사항’을 오인하지 않도록 관련 업무 등을 합리적으로 개선하시기 바람 ㈏ 2014.6.9.부터 운용중인 스크립트에는 정보주체에게 개인정보의 제3자 제공동의를 구하면서 개인정보를 제공받는 자를 포괄적으로 정해 동의를 받고 있고, 이용목적, 제공항목, 이용기간 및 거부할 권리 등에 대해 언급하지 않고 운영하고 있으므로 정보주체가 제3자 제공 동의 여부를 실질적으로 판단할 수 있도록 관련 업무 등을 합리적으로 개선하시기 바람

위반사항 5

IT 직무분리 업무 개선

위반사항 5 · 확인된 사실

IT 외부인력이 출입통제구역인 전산실의 출입관리를 담당하고 있으며, 주전산기의 계정관리, 접근통제 및 로그기록 업무를 동시에 수행하는 등 내부직원과 외부인력에 대한 직무분리가 미흡하고, IT개발팀이 IT개발업무 이외에 DB의 운영 및 접근통제 업무를 같이 수행토록 하는 등 업무통제절차가 마련되지 않은 상태이므로 직무분리를 명확화하는 등 개인정보보호․통제 업무를 개선하시기 바람

위반사항 6

개인신용정보 출력통제업무 운영 개선

위반사항 6 · 확인된 사실

계약자의 보험정보를 보관하는 DB시스템인 기간계 시스템의 화면별 접근 권한 점검을 연 1회 실시하여 개인신용정보 화면권한 점검이 적절히 이루어지지 않고 있으며 자체 내규 ‘기간계 계정 및 권한관리 지침’에 기간계 권한관리자가 직원으로 되어 있어 실질적인 권한통제가 어려운 바, 책임 있는 자를 권한관리자로 지정하고 주기적인 모니터링 등을 강화하는 등 관련 업무를 합리적으로 개선하시기 바람

위반사항 7

개인정보 통제절차 개선

위반사항 7 · 확인된 사실

자체내규에 따르면 중요정보가 저장된 이동형 저장매체(USB 등)는 팀장 승인을 득한 후에 외부로 반출토록 하고 있으나, 이동형 저장매체 등을 통한 개인정보의 외부반출시 반출 적정성을 판단할 수 있는 검증 및 승인절차가 미흡하므로 이동형 저장매체 등을 통한 개인정보의 외부유출을 방지하기 위한 점검 및 내부통제를 강화하도록 관련 규정 등을 개선하시기 바람

공식 원문 전체 보기

금융기관명 : 현대하이카다이렉트손해보험㈜

제재조치일 : 2015.5.8.

제재조치내용

제재대상사실

문책 및 조치의뢰사항 ⑴ 개인신용정보 부당조회 및 관리 불철저 개인신용정보는 해당 신용정보주체가 신청한 금융거래 등 상거래관계의 설정 및 유지 등을 판단하기 위한 목적으로만 이용하여야 하고, 신용정보관리․보호인은 개인신용정보 조회 권한이 직급별․업무별로 차등 부여되도록 하여야 하며, 금융회사는 개인신용정보 이상 과다 조회 부서 및 직원 등에 대해 수시 점검을 실시하고 그 결과를 업무에 반영하여야 하는데도, ㈎ ◦◦◦

◦ △△ ☆☆☆는 2013.1.1.∼2014.5.30. 기간 중 금융거래 등 상거래관계 설정 및 유지 목적이 아닌 제3자의 사고처리상황 확인을 목적으로 업무와 무관하게 ▣▣▣ 등 3명의 개인신용정보를 총 5회에 걸쳐 부당하게 조회하였고, ㈏ ◦◦◦

◦ ★★ ●●●는 2013.1.1.∼2014.5.30. 기간 중 금융거래 등 상거래관계 설정 및 유지 목적이 아닌 제3자의 사고처리상황 확인을 목적으로 업무와 무관하게 ◎◎◎ 등 8명의 개인신용정보를 총 8회에 걸쳐 부당하게 조회하였고, ㈐ ◇◇◇◇◇◇‧◆

◆ ▽▽ ◇◇◇는 2013.1.1.～2014.5.30. 기간 중 조회 권한을 차등부여하지 않아 업무 관련성이 없는 일부 부서에서 계약자, 증권번호, 청약일자 등 개인신용정보를 조회토록 하였고, ㈑ 회사는 개인신용정보를 과다하게 조회하는 부서 및 직원 등에 대한 점검기준, 처리방안 등을 마련하지 않아 수시 점검을 실시하지 않았음 <관련규정>

｢신용정보의 이용 및 보호에 관한 법률｣ 제19조

｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제16조

｢신용정보업 감독규정｣ 제20조 <별표3>

조치의뢰사항

전산자료 보호대책 운영 불철저 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 이용자 정보의 조회․출력에 대한 통제를 하고 테스트시 이용자 정보 사용을 금지하고, 사용이 불가피한 경우 이용자 정보를 변환하여 사용하고 테스트 종료 즉시 삭제하여야 하는데도, 2014.3.8.∼2014.6.18. 기간중 전산개발 및 운영을 위해 테스트한 이용자 정보 총 5,199,526건의 주민등록번호를 테스트 종료 즉시 삭제하지 않고 이를 변환하지 않은 상태로 보관하였음 < 관련규정 >

｢전자금융거래법｣ 제21조

｢전자금융감독규정｣ 제7조, 제13조

경영유의사항

개선사항