나이스신용정보 주식회사 검사결과제재 (2014-12-04)

위임직 채권추심인 등록전 채권추심업무 수행 채권추심회사는 그 소속 위임직채권추심인이 되려는 자를 금융위원회(신용정보협회에 등록업무 위탁)에 등록하여야 하고 등록되지 아니한 위임직채권추심인에 의하여 채권추심업무를 하여서는 아니됨에도 2012.9.16.∼2014.5.15. 기간 중 ◇◇◇사업실장 OOO 등 7인은 □

신용정보 관리․보호인 미지정 신용정보회사는 신용정보를 보호하고 신용정보와 관련된 신용정보주체의 고충을 처리하는 등 대통령령으로 정하는 업무를 하는 신용정보관리․보호인을 1명 이상 지정하여야 함에도 2010.3.5. 회사설립 이후 2011.9.25.까지 신용정보관리․보호인을 지정하지 아니하였음* * ‘11.9.26. 개인정보보호책임자를 지정하여 신용정보법상 신용정보관리보호인의 업무를 수행하여 온 점을 인정

부당한 방법에 의한 채권추심업무 취급 채권추심자는 채권추심과 관련하여 민․형사상 법적인 절차 진행사실을 거짓으로 표시하거나 채권추심에 관한 법률적 권한이나 지위를 거짓으로 표시하는 행위를 하여서는 아니 되는데도 위임직채권추심인 OOO 등 13명은 2012.5.16.～2014.3.26. 기간중 채무자 48명에 대한 채권추심 과정에서 실제 그러한 사실이 없음에도 “금융거래제한 및 통장 압류절차 착수” 등의 내용을 포함한 단문메시지(SMS) 48건을 전송함으로써 채무자에게 법적 절차 진행사실 또는 채권추심에 관한 법률적 권한·지위를 거짓으로 표시하였음

허가사항 변경신고 불이행 신용정보회사는 정관 등 허가받은 사항 중 정관변경 등 대통령령으로 정하는 사항을 변경하려면 미리 금융위원회에 신고하여야 함에도 ‘13.11.13. 사업목적*을 추가하는 정관을 변경하면서 금융위원회에 미리 신고하지 않은 사실이 있음 * 근로자파견사업, 인력공급업

신용정보시스템 관련 내부규정 체계 미흡 신용정보의 기술적․물리적․관리적 보안대책이 정보통신망법 및 개인정보법에 따라 제정한 「개인정보내부관리계획규정」(제5장)에만 반영되어 있어, 신용정보관리 책임 및 관리체계가 미흡하므로 신용정보관리․보호관련 내부규정을 별도로 제정하는 등 관련 규정을 정비하고 관리체계를 개선할 필요가 있음

접속기록의 위·변조 방지대책 미흡 개인신용정보처리시스템 접속기록은 별도 저장장치에 백업 보관하나 DB 접속기록에 대해서는 백업 보관을 실시하지 않고 월 1회 이상 정기적인 확인·감독절차가 미흡하여 개인신용정보 위·변조에 취약해질 우려가 있으므로, 앞으로 관련 DB 접속기록에 대하여도 백업하고 월별 정기적 확인 및 감독절차를 마련하여 개인신용정보 위·변조 방지대책을 강화할 필요가 있음

개인신용정보 암호화 미흡 개인식별번호를 암호화하여 업무를 수행하고 개인정보가 검출될 경우 주기적으로(주1회) 삭제가 이루어지고는 있으나, 전용선을 통한 전송시 FTP(File Transfer Protocol) 방식 등 암호화되지 않은 프로토콜을 이용하는 경우가 있고, 이를 PC 저장할 때 암호화하지 않아 보안에 취약해질 우려가 있으므로 앞으로 정보통신망을 통한 송․수신 및 PC 저장시에 개인신용정보 암호화를 실시하여 보안수준을 강화할 필요가 있음

개인신용정보 조회기록의 적정성 여부 점검 미이행 개인정보과다 조회직원에 대한 제재기준을 마련하고 있으나, 구체성이 결여되어 있는 등 개인신용정보 오·남용에 대한 자체 제재기준 및 개인신용정보 이상 과다조회 부서 및 직원에 대한 적절한 통제장치가 마련되어 있지 않아 신용정보전산시스템의 보안이 소홀해질 우려가 있으므로 앞으로 개인신용정보 오·남용시 제재대상 및 방법 등 제재 기준을 구체적으로 명시하고 개인신용정보 이상 과다조회에 대한 기준 설정 및 동기준 초과 조회 부서와 직원에 대한 통제장치 마련 등 관련 규정을 보완할 필요가 있음

내부감사 기능 강화 내부 감사실적이 연1회에 불과하여 실효성 있는 내부감사가 이루어지지 않고 있으므로 앞으로 매년 정기감사 계획 수립․이행, 필요시 전문인력 확충 등 내부감사 기능을 강화할 필요가 있음