신용협동조합중앙회 검사결과제재 (2024-12-10)

개인신용정보 업무 목적 외 누설 「신용정보의 이용 및 보호에 관한 법률」 제42조 등에 의하면 신용정보회사등은 업무상 알게 된 타인의 신용정보 및 사생활 등 개인적 비밀을 업무 목적 외에 누설하 거나 이용하여서는 아니 되는데도 신용협동조합중앙회(이하 ‘신협중앙회’) 직원 甲은 A지역본부의 ○○○○○으로 근무하면서 수집한 개인신용정보(18,465건)*가 포함된 문서(검사서 및 민원조사서 등 파일)를 퇴직 이후 감사로 이직할 예정이었던 B신협의 감사업무에 참고할 목적으로 2019.1.9. 및 1.29. 동 조합의 직원에게 그룹웨어 내 이메일로 전송(총 60회)함으로써 개인신용정보를 업무 목적 외로 누설하였음 * 조합원명, 여신계좌번호, 여신 취급액 및 잔액 등 < 관련법규 >

신용정보전산시스템 안전보호 의무위반 등에 따른 개인신용정보 유출 ㈎ 신용정보전산시스템의 안전보호 의무 위반 「신용정보의 이용 및 보호에 관한 법률」 제19조 및 「동법 시행령」 제16조 제1항 및 제2항, 「신용정보업감독규정」 제20조 [별표 3]에 의하면 신용정보제공·이용자는 신 용정보전산시스템의 안전보호를 위해 기술적·물리적·관리적 보안대책을 수립·시행하도록 정함에 따라 신용정보제공·이용자는 취급 중인 개인신용정보를 PC에 저장시 이를 암호화하여야 하고, 개인신용정보취급자가 개인신용정보를 이메일 등의 방법으로 외부에 전송하는 경우 관리책임자의 사전 승인을 받아야 하며, 신용정보관리·보호인을 통하여 개인신용 정보 처리 실태 등에 대하여 정기적인 조사·개선 및 개인정보 유출방지를 위한 내부 통제시스템을 구축하여야 하나,

신용협동조합중앙회는 2019.1.8.∼2021.12.7. 기간 중 내부 업무용 단말기(PC)에 고객 및 임직원의 개인신용정보를 암호화하지 않고 평문으로 저장하였고,

보관 중인 개인신용정보를 중앙회 그룹웨어 내 이메일을 통해 개별조합(외부 법인)으로 전송하면서 사전 승인절차를 마련하지 않아 관리책임자의 사전 승인이 이루어지지 않았으며,

동 중앙회 신용정보관리·보호인은 개인신용정보의 암호화 및 외부 반출입 통 제 등 중앙회의 개인신용정보 처리실태 및 관행에 대하여 정기적인 조사·개 선 및 내부통제절차를 구축하지 못하였음 이로 인해, 퇴직예정이던 직원이 개인신용정보가 포함된 조합검사서, 민원조사서 등을 업무목적 외로 부당 유출하였는데도 중앙회는 이를 사전에 인지 또는 차단하지 못하였음 ㈏ 전산자료 보호대책 수립·운용의무 위반 「전자금융거래법」 제21조, 「전자금융감독규정」 제7조 제3호 및 제13조 제1항 제5 호에 의하면, 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 전산자료의 반 출·반입 통제를 포함한 전산자료 보호대책을 수립·운용하여야 하는데도, 신용협동조합중앙회는 2019.1.8.∼2021.12.7. 기간 중 중앙회 그룹웨어 내 이메일을 통해 전산자료를 개별조합(외부 법인)으로 전송 시 관리책임자의 승인 또는 확인절차를 거치지 않는 등 통제대책을 미수립하여 중앙회 내부 검사서 및 민원서류 등 전산자료가 업무 외 목적으로 유출되는 결과를 초래하였음 < 관련법규 >

전자금융거래 안전성 확보의무 위반(망분리 관련 해킹방지대책 위반) 「전자금융거래법」 제21조, 「전자금융감독규정」 제7조 제3호, 제15조 제1항 제3호, 「전자금융감독규정시행세칙」 제2조의2 제1항 제1호 및 제3항에 의하면 금융회사는 내부통신망(내부망)과 연결된 내부 업무용시스템은 인터넷 등 외부통신망 (외부망)과 분리·차단 및 접속을 금지하여야 하고, 업무상 필수적으로 외부기관과 연결 해야 하는 경우 자체 위험성 평가 및 정보보호위원회 승인을 거쳐 특정 외부기관과 연결하여야 하며, 회사 전산실 내에 위치한 정보처리시스템과 동 시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기는 인터넷 등 외부망으로부터 물리적으로 분리*하여야 하나, * 통신회선을 업무용과 인터넷용으로 물리적으로 분리하고 각각 별도의 단말기를 사용 신용협동조합중앙회는 2019.9.26.∼2022.4.15. 검사대상기간 중 업무상 편의를 위해 전체 임직원 내부망 PC에서 C 등 36개 외부 인터넷 사이트로 접속할 수 있도록 허용 하면서 위험성 평가 및 내부 정보보호위원회 승인을 받지 않았음 또한, 비용절감 및 관리 편의성을 위해 전산실(내부망)과 외부망에 설치한 서버 등 정보처리시스템에서 내·외부망 작업을 서로 구분하지 않고 수행*하였음 * 인터넷 접속 임직원 통제 및 이용 현황 모니터링 또는 웹 취약점 점검업무 등을 내·외부망을 연계하여 수행 < 관련법규 >

개인신용정보 누설 통지 및 누설신고서 제출 의무 위반 「신용정보의 이용 및 보호에 관한 법률」 제39조의4 등에 의하면 신용정보회사 등은 개인신용정보가 업무 목적 외로 누설되었음을 알게 된 때에는 지체 없이 해당 신용정보 주체에게 개인신용정보 누설 사실을 통지하고, 1만명 이상의 개인신용정보가 업무 목적 외로 누설되었음을 알게 된 때에는 금융감독원에 지체 없이 누설신고서를 제출해야 하는데도 신협중앙회(D부문)은 내부감사(2020.8.19.∼8.21.) 및 외부 법률검토*(2020.8.18., 10.19.) 등을 통해 A지역본부의 前 ○○○○○이 2019.1.9. 및 1.29. 개인신용정보 18,465건을 업무 목적 외로 누설한 사실을 확인하고서도 * 법무법인 2개사는 본건 사고자의 자료 전송행위가 「신용정보의 이용 및 보호에 관한 법률」 제42조 제1항(업무목적 외 누설 금지 등)에 위반되는 것으로 판단 해당 신용정보주체에게 지체 없이 누설 사실을 통지하지 아니하고, 금융감독원에 지체 없이 누설신고서를 제출하지 아니하였음 < 관련법규 >

상환준비금의 유가증권 운용 제한 위반 「신용협동조합법」 제79조 등에 의하면 신협중앙회가 상환준비금으로 집합투자증권 또는 수익증권을 매입하는 경우 상장주식 등의 편입비율이 30%이하인 것에 한하여 매입할 수 있는데도 신협중앙회 E부는 2018.5.25.～2020.4.7. 및 2019.12.26.～2020.5.8. 기간 중 상환준 비금으로 상장주식 등의 편입비율이 40% 이하인 “㉮전문투자형 사모증권투자신탁” 및 “㉯전문투자형 사모증권투자신탁”을 매입·보유하였으며이 중 “㉮전문투자형 사모증권투자신탁”은 2019.12.16.～2020.1.31. 기간 중 상장주 식 등의 편입비율 한도 30%를 최고 1.57%p 초과하였음 < 관련규정 >