더케이손해보험주식회사 검사결과제재 (2014-10-31)

구매․제휴DB의 정보제공 동의여부에 대한 확인 강화 외부업체로부터 제공받은 구매․제휴DB가 정보주체로부터 정보제공 동의를 받았는지 여부에 대한 표본점검 등 확인절차가 없어 구매․제휴DB의 신뢰성 확보가 곤란하므로 향후 외부업체로부터 제공받은 구매․제휴DB의 정보제공 동의여부에 대해 표본점검에 대한 내부업무절차를 마련하는 등 확인을 강화할 필요가 있음

고객정보 과다 조회자에 대한 관리 강화 매월 각 부서에서 고객정보 조회현황을 샘플 점검하여 준법감시팀[개인정보 보호책임자(CPO) 겸임]에 보고하고 준법감시팀은 연 2회 샘플 점검을 하고 있으나, 점검주기가 장기이고 점검대상도 다수 조회 상위 10% 이내이면서 부서내 조회 3위 이내인 자에 한하는 등 과다 조회자 관리가 미흡하므로 과다조회 대상자 선정범위를 확대하고 판단기준을 명문화하며, 과다조회 부서 및 직원을 수시 점검하고 발생원인을 분석하여 재발방지 대책을 강구하는 등 사후관리를 강화할 필요가 있음

고객정보 보유 및 파기에 대한 관리․감독 강화 고객정보 보유기간(보상DB: 30년) 및 파기주기(보험․대출․보상 DB: 보유기간 종료후 6개월)를 법적 근거 없이 임의로 장기간 설정․운영하고 있고, 일부 고객정보(마스터테이블DB를 제외한 하위테이블DB)에 대한 파기관리대장을 운영하지 않고 있으며, 보험금심사부서 및 손해사정업체 등 외주업체에 대해 개인정보 파기실태 관련 현장점검을 소홀히 하고 있으므로 개인정보의 안전한 관리를 위하여 고객정보의 보유기간 및 파기주기를 최대한 단축하고 고객정보 파기실태에 대한 현장점검을 강화하는 등 관리․감독을 강화할 필요가 있음

전산시스템상 고객정보DB 암호화 필요 전산시스템상 고객정보DB에 대한 암호화가 이루어지지 않아 DB 접속권한을 부여받은 직원 등을 통하여 대량의 고객정보가 유출될 위험이 존재하므로, 전산시스템상 고객정보DB에 대해 암호화할 필요가 있음

과도한 고객정보 수집․보관 개선 손보협회가 제정한’고객정보 수집 관련 표준서식’에 따라 고객정보 수집하고 있으나 ‘주거 및 가족사항, 거주기간, 세대구성, 결혼여부 등’ 업무상 필요한 정보이외의 과도한 정보가 수집․보관되고 있으므로 손해보험협회에서 제시한 고객정보 수집 관련 표준서식을 회사의 필요한 서식에 맞게 개정하여 불필요한 정보가 수집․보관되지 않도록 개선하시기 바람

선택적 동의사항 표기 방법 개선 개인정보 수집․이용․제공 동의서에 ‘계약체결을 위한 필수 동의사항’과 ‘마케팅 활용을 위한 선택적 동의사항’의 구분이 불분명하고, 선택적 동의사항에 대해 ‘동의 거부는 가능하나 미동의시 정상적인 업무가 불가능할 수 있음’이라고 기재되어 있는 등 선택적 동의사항을 필수 동의인 것처럼 간접적으로 요구하고 있으므로 정보주체가 ‘필수 동의사항’과 ‘선택적 동의사항‘을 시각적으로 쉽게 인지할 수 있도록 해당 문구를 크고 진하게 표시하는 등’선택적 동의사항‘을’필수 동의사항‘으로 오인하지 않도록 관련 업무를 합리적으로 개선하시기 바람

개인정보의 제3자 제공 안내방법 개선 개인정보의 제3자 제공과 관련한 ‘개인(신용)정보 제공 처리 표준동의서’와 ‘녹취스크립트’에 ‘개인정보의 제3자 제공처에 대한 안내(홈페이지 주소 등)’가 누락되거나, 제3자 정보 제공처를 구체적으로 명기하지 않고 ‘홈페이지 참고’ 등으로 기재하였으며 홈페이지상 제3자 정보 제공처를 작은 글자체로 표기하고, 정보 제공처가 수시로 변동되고 있음에도 이를 적시에 반영하지 않아 고객의 의도와 달리 고객정보DB가 제3자에게 제공될 여지가 있으므로 ‘개인(신용)정보 제공 처리 표준동의서‘와’녹취스크립트‘에 누락된 개인정보의 제3자 제공처 안내를 추가하고, 동 동의서와 홈페이지를 보완하며 개인정보의 제3자 제공시 ‘개인정보 제3자 정보 제공처에 대한 정보 제공 동의여부’를 확인할 수 있도록 전산시스템을 마련하는 등 관련 업무를 합리적으로 개선하시기 바람

고객정보 임의 보관 및 공유 설정 개선 보상부서의 공용스캔PC에 공유폴더를 설정하고, 동 공유폴더에 비밀번호를 설정하지 않은 채 암호화되지 않은 이미지파일을 보관하고 있어 고객정보 유출의 위험이 있으므로 공유폴더에 암호를 설정하고 이미지파일을 암호화하여 보관하는 한편 동 파일의 전산시스템 등재시 자동 삭제되도록 하는 등 관련 업무를 합리적으로 개선하시기 바람

사용자계정 관리 및 개인정보 반출시 통제 강화 고객정보 접근 관련 추가 권한 부여시 승인절차의 적정성 등에 대해 개인정보 보호책임자(CPO)의 점검이 없고, 특정인이 다수의 타사용자계정을 사용하고 있으므로 고객정보 접근 관련 추가 권한부여에 대한 승인의 적정성에 대해서 주기적으로 점검하고, 특정인이 다수의 사용자계정을 사용하지 못하도록 제한하는 등 관련 업무를 합리적으로 개선하시기 바람 또한 부서장이 보조저장매체(USB 등) 및 이메일 등을 통해 개인정보 반출시 부서장 본인 승인만으로 반출이 가능하도록 되어 있어 부서장 및 임원의 경우 개인정보 반출 통제가 미흡하므로 임원 및 부서장이 개인정보 반출 시 상급자 또는 개인정보 보호책임자(CPO)의 승인 후 반출이 가능하도록 관련 업무를 합리적으로 개선하시기 바람

손해사정업체 등 외주업체 및 재보험 계약에 대한 통제 강화 손해사정시 고객정보(성명․상호, 주소, 연락처 등)를 암호화하지 않은 상태로 제공(팩스(서면), 이메일 등)하고 있어 고객정보의 노출 위험이 있으므로 손해사정업체 등 외주업체에 고객정보 제공시 암호화하여 제공하는 등 관련 업무를 합리적으로 개선하시기 바람 또한 국내․외 재보험사와의 재보험 계약시 고객정보 유출에 따른 법적 책임을 명시한 계약내용이 미비하므로 재보험 계약서에 고객정보 유출에 따른 법적 책임을 명기하는 등 관련 업무를 합리적으로 개선하시기 바람

외주업체에 대한 고객정보 관리․감독 강화 개인정보 보호책임자(CPO) 주관하에 전담부서에서 손해사정업체 등 외주업체의 고객정보 관리실태와 외주업체에서 다른 업체로의 위탁시 고객정보 관리 여부를 주기적으로 점검하고 있으나, 서면점검 등 형식적으로 이루어지고 있고 세부점검기준이 미비하므로 손해사정업체 등 외주업체 및 위탁업체의 고객정보 관리에 관한 세부점검기준을 마련하고 현장점검을 강화하는 등 실질적인 관리․감독이 이루어질 수 있도록 관련 업무를 합리적으로 개선하시기 바람

개인정보 내부관리규정체계 및 제재기준 개선 고객정보 중 신용정보는 내규에 의해 관리되고 있으나, 개인정보는 개인정보보호 내부관리계획에 의해 관리되고 있어 고객정보별로 다르게 관리되고 있으므로 고객정보의 통일적 관리를 위해 개인정보도 내규에 의해 관리될 수 있도록 관련 내규를 정비하는 등 관련 업무를 합리적으로 개선하시기 바람 또한 보험설계사 및 상담직원에 대한 개인정보 오남용 제재기준은 마련되어 있으나, 임직원 관련 세부 제재기준은 없으므로 임직원의 개인정보 오남용 세부 제재기준을 마련하는 등 관련 업무를 합리적으로 개선하시기 바람

해킹사고 방지시스템 운영 강화 외부인이 인터넷을 통해 전산시스템 접속시 DMZ구간(중립지대, Demilitarized Zone)을 통해 내부 전산망 연결을 허용함에 따라 해킹 위험에 노출되고 무선통신망(wifi 등) 차단시스템 미구축으로 서버시스템에 직접 무선장비 연결시 차단이 되지 않는 등 무선통신망을 통한 네트워크 보안위험이 상존하고 있으므로 DMZ구간에서 내부 네트워크의 접근을 차단하고 무선통신망 차단시스템을 구축하여 해킹사고 위험을 방지하는 등 관련 업무를 합리적으로 개선하시기 바람

전산자료 및 전산기기 반출․입 통제 강화 IT부서 및 전산실에 전산자료 및 전산기기(보조저장매체 포함)의 반출․입 통제를 강화하기 위해 보안검색대를 설치․운영하는 등 관련 업무를 합리적으로 개선하시기 바람