㈜비바리퍼블리카 검사결과제재 (2024-10-25)

｢신용정보법｣ 제33조 제1항에 의하면 개인신용정보는 해당 신용정보 주체가 신청한 금융거래 등 상거래 관계의 설정 및 유지 여부 등을 판단하기 위한 목적으로만 이용하거나, 그 외의 다른 목적으로 이용하는 것에 대하여 신용정보주체로부터 동의를 받은 경우 등 허용된 경우에만 이용하여야 하며, 동법 제17조의2 제1항에 의하면 신용정보회사등은 자기가 보유한 정보집합물을 제3자가 보유한 정보집합물과 결합하려는 경우에는 데이터전문기관을 통하여 결합 하여야 함

｢신용정보법｣ 제33조 제1항에 의하면 개인신용정보는 해당 신용정보 주체가 신청한 금융거래 등 상거래 관계의 설정 및 유지 여부 등을 판단하기 위한 목적으로만 이용하거나, 그 외의 다른 목적으로 이용하는 것에 대하여 신용정보주체로부터 동의를 받은 경우 등 허용된 경우에만 이용하여야 하며, 동법 제17조의2 제1항에 의하면 신용정보회사등은 자기가 보유한 정보집합물을 제3자가 보유한 정보집합물과 결합하려는 경우에는 데이터전문기관을 통하여 결합하여야 하는데도

토스는 2021.11.2. ~ 2022.4.13. 기간 중 전자영수증 솔루션업체인 A로부터 제공받은 전자영수증 거래정보* (이하’영수증 정보‘라 함) 29,282,869건을 정보주체의 동의 없이 사업성 분석 목적으로 데이터 전문기관을 통하지 않고 토스가 보유하고 있는 토스 회원의 카드 거래내역과 직접 결합하여 이용한 사실이 있음 (나) 개인신용정보의 제공·활용 동의절차 부당 운영

｢신용정보법｣ 제32조 제4항에 의하면 신용정보회사등은 개인신용 정보의 제공 및 활용과 관련하여 동의를 받을 때에는 동법 시행령 제28조 제8항에서 정하는 사항*을 고려하여 필수적 동의사항과 선택적 동의사항을 구분하여 설명한 후 각각 동의를 받아야 하며, 필수적 동의사항의 경우 서비스 제공과의 관련성을 설명하여야 하는데도 * 1) 동의하지 않을 경우 상거래관계를 설정·유지할 수 없는지 여부 2) 동의함으로써 제공·활용되는 개인신용정보가 상거래관계에 따라 신용정보주체에게 제공되는 재화 또는 서비스와 직접적으로 관련되어 있는지 여부 3) 동의하지 않을 경우 법 또는 다른 법령에 따른 의무를 이행할 수 없는지 여부

토스는 검사대상기간 중 회원가입시 동의받는 ‘개인정보 수집·이용 동의서(이하’동의서‘라 함)’상에서 ‘신규서비스 개발을 위한 연구분석, 맞춤형 리포트 제공’ 등과 같이 토스의 전자금융 및 마이데이터 서비스 제공을 위하여 필수적이지 아니한 사항에 대하여 선택적 동의사항이 아닌 필수적 동의사항으로 표시하여 개인신용정보 수집·이용 동의(검사대상기간 중 총 4,631,801명 동의)를 받았으며, 동 필수적 동의사항과 서비스 제공의 관련성도 설명하지 아니하였음

｢신용정보법｣ 제19조 제1항, 동법 시행령 제16조 제2항, ｢신용정보업 감독규정｣(이하 ‘감독규정’이라 함) 제20조에 의하면 신용정보회사등은 신용정보전산시스템에 대한 제3자의 불법적인 접근, 입력된 정보의 변경·훼손 및 파괴, 그 밖의 위험에 대비한 안전보호를 위하여 개인신용정보처리시스템의 접속기록을 1년 이상 저장하고, 위ㆍ변조 되지 않도록 별도 저장장치에 백업·보관 해야 함

｢신용정보법｣ 제19조 제1항, 동법 시행령 제16조 제2항, ｢신용정보업 감독규정｣(이하 ‘감독규정’이라 함) 제20조에 의하면 신용정보회사등은 신용정보전산시스템에 대한 제3자의 불법적인 접근, 입력된 정보의 변경·훼손 및 파괴, 그 밖의 위험에 대비한 안전보호를 위하여 개인신용정보처리시스템의 접속기록을 1년 이상 저장하고, 위ㆍ변조 되지 않도록 별도 저장장치에 백업·보관해야 함에도

토스는 고객의 거래내역 등 개인신용정보를 처리할 수 있도록 체계적으로 구성한 전산시스템(이하 ‘개인신용정보처리시스템’이라 함)인 하둡 시스템* (이하 ‘하둡’이라 함)의 접속기록을 별도의 물리적인 저장장치에 백업하여 보관하지 아니하였음(하둡 내에 저장) * 빅데이터의 저장·처리·분석용 정보처리시스템으로서, 토스는 서비스운영 데이터베이스 처리시스템에 저장된 개인신용정보테이블†150개를 하둡으로 매일 이관하여 저장 †고객번호, 거래일시·금액, 카드승인번호·승인일시·승인금액, 선불충전 거래액·요청금액·잔액, 신용점수, 연체·대출건수, 신용정보조회·연대보증건수, 확정 금리·한도, 대출 기간·승인 시각, 보험상품명칭 등 (나) 신용정보전산시스템 관리적 보안대책 등 위반

｢신용정보법｣ 제19조 제1항, 제20조 제4항 제1호, 동법 시행령 제16조 제1항, 제2항, 감독규정 제20조 등에 의하면 신용정보회사등은 개인신용정보 처리시스템에 대한 접근권한을 서비스제공을 위하여 필요한 최소한의 인원에게만 부여하고 개인신용정보처리시스템의 접속기록을 위ㆍ변조되지 않도록 별도 저장 장치에 백업·보관하여야 하며 개인신용정보취급자가 개인신용정보처리 시스템에 접속한 기록을 월 1회 이상 정기적으로 확인ㆍ감독하여야 하고, 신용정보관리·보호인은 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부 통제시스템의 구축, 임직원 및 전속 모집인 등의 신용정보보호 관련 법령 및 규정 준수 여부 점검 및 그 밖에 신용정보의 관리 및 보호를 위하여 대통령령으로 정하는 업무를 담당하며, 개인신용정보 조회 권한이 직급별ㆍ업무별로 차등 부여되도록 하고 개인신용정보취급자가 입력하는 조회사유의 정확성 등 신용조회기록의 정확성을 점검하여야 하고, 임직원 등의 신용정보보호 관련 법령 및 규정 준수 여부를 점검하고 점검업무처리에 따른 기록을 3년간 보존해야 하며, 동 점검결과를 경영진 에게 보고하고 업무처리절차에 적절히 반영하여야 함에도

토스는 아래와 같이 신용정보관리·보호인의 업무를 소홀히 하였음

토스는 금융위원회에 미리 신고하지 않고* B와 ‘전자고지 서비스 제공 계약’을 체결하여, 2022.3.14. 공인전자문서(민방위 교육훈련 통지서) 14,138건을 발송하고 그 수수료로 약 486천원을 수령하였음 * 검사기간 중 금융위원회 신고 수리 완료(2022.4.8.)

｢신용정보법｣ 제15조 제2항 및 제33조 제1항에 의하면 신용정보회사등이 개인신용정보를 수집하는 때에는 해당 신용정보주체의 동의를 받아야 하며 개인신용정보는 해당 신용정보주체가 신청한 금융거래 등 상거래관계의 설정 및 유지 여부 등을 판단하기 위한 목적으로만 이용하거나, 그 외의 다른 목적으로 이용하는 것에 대하여 신용정보주체로부터 동의를 받은 경우 등 허용된 경우에만 이용 하여야 함

｢신용정보법｣ 제15조 제2항 및 제33조 제1항에 의하면 신용정보회사등이 개인신용정보를 수집하는 때에는 해당 신용정보주체의 동의를 받아야 하며 개인신용정보는 해당 신용정보주체가 신청한 금융거래 등 상거래관계의 설정 및 유지 여부 등을 판단하기 위한 목적으로만 이용하거나, 그 외의 다른 목적으로 이용하는 것에 대하여 신용정보주체로부터 동의를 받은 경우 등 허용된 경우에만 이용하여야 하는데도

｢전자금융거래법｣ 제21조 제2항, ｢전자금융감독규정｣ 제7조 및 제29조 제6호에 의하면 전자금융업자는 전자적 전송이나 처리를 위한 운영 시스템 적용시 처리하는 정보의 기밀성‧무결성‧가용성을 고려하여 충분한 테스트를 실시하여야 하는데도

토스는 2022.5.9. 자사 모바일 앱內 ｢내보험 조회 서비스｣의 개인정보 수집·이용 동의 절차 관련 프로그램을 변경하면서 이용자의 동의 거부시 서비스 동작의 정확성 등에 대한 충분한 테스트를 실시하지 아니하여* * 테스트 시나리오, 테스트 케이스 등 테스트를 실시한 명문화된 증빙자료가 없음 2022.5.9. 14:05 ~ 2022.6.15. 15:21 기간 중 개인신용정보 수집에 동의하지 않은* 이용자 274명의 보험가입내역, 보험계약현황 등 개인신용정보를 토스 서버에 수집·저장하였음 * ‘개인정보 수집·이용 동의’ 화면에서 ‘닫기’ 버튼을 눌러 서비스 이용 동의를 거부 (다) 정보처리시스템 구축 사업 관련 의무 위반

전자금융업자는 ｢전자금융감독규정｣ 제20조 제1호, 제3호에 따라 내부 직무전결기준상 부서장 전결 금액 이상의 정보처리시스템 및 전자금융 거래 관련 사업 추진시 사전에 충분한 타당성 검토를 실시하고, 그 결과는 전산운영위원회 등 독립적인 조직의 승인을 받아야 하는데도

토스는 검사대상기간 중 정보처리시스템 구축을 위해 총 5건의 전산 장비(서버, 네트워크 등)를 구매 또는 증설하는 사업을 추진하면서 내규상 타당성 검토 대상에 해당(사업금액 10억원 초과)함에도 동 5건의 사업 모두 독립적인 조직인 IT예산심의위원회으로부터 승인을 받지 않은 사실이 있음 [참고] 검사대상기간중 정보처리시스템 구축사업 추진내역 사업기간 사업 내역 사업금액(원) (계약일~완료일) 2021. 2.22.～ 6.29. △△△ 등 네트워크 장비 구매 1,105,600,000 2021. 2.26.～ 6.30. 인증사업용 서버 구매 2,085,000,000 2021. 4.15.～ 9.30. 코어 DB서버 등 증설 4,050,000,000 2021. 6.11.～11.11. ▽▽▽ 등 서비스 안정화 증설 서버 구매 1,770,000,000 2021.11.3.～12.27. 쿠버네티스 서버 증설 1,818,000,000