농업협동조합중앙회 검사결과제재 (2024-06-07)

｢신용정보법」제20조의2 제2항 등에 따르면 신용정보제공·이용자는 개인신용정보를 해당 신용정보주체와의 금융거래 등 상거래관계가 종료된 날부터 5년 이내에 삭제하여야 하고, 상법에 따른 의무를 이행하기 위하여 불가피한 경우에는 10년간 보존한 후 삭제하여야 하는데도 농협중앙회는 2018.11.24.~2023.4.28. 기간 중 상거래관계가 종료된 날부터 5년이 경과하거나, 상법에 따른 의무를 이행하기 위해 필요한 보존기간 10년이 경과하였음 에도 19,556,276건의 개인신용정보를 삭제하지 아니하였음 ㈏ 상거래관계가 종료된 고객의 개인신용정보 분리보관 미이행

｢신용정보법｣ 제20조의2 제1항 등에 의하면 신용정보제공·이용자는 금융거래 등 상거래관계가 종료된 날부터 법령이 정하는 기한까지 해당 신용정보 주체의 개인신용정보가 안전하게 보호될 수 있도록 대통령령이 정하는 바*에 따라 관리 하여야 하는데도, * 금융거래 등 상거래관계의 설정 및 유지 등에 필수적인 개인신용정보의 경우 상거래 관계가 종료되지 아니한 다른 신용정보주체의 정보와 별도로 분리하는 방법 등으로 관리 중앙회는 2018.11.24.~2023.4.28. 기간 중 상거래관계의 설정 및 유지 등에 필수적인 개인신용정보 19,646,188건을 상거래관계가 종료되지 아니한 다른 고객의 정보와 별도로 분리하여 보관하는 방법 등으로 관리하지 아니하였음 < 관련규정 >

｢신용정보법｣ 제40조의2 제8항에 의하면 개인신용정보를 익명처리한 경우 익명 처리한 날짜, 정보의 항목, 사유와 근거 등의 조치기록을 3년간 보존하여야 하는데도 중앙회는 2022.4.21.～2023.3.28. 기간 중 고객번호가 포함된 조합 고객의 신용사업· 경제사업 이용실적을 조합별·고객별로 통합 후 고객번호를 삭제하고 집계하는 방식으로 익명처리하고, 동 익명처리 정보를 분석한 자료를 빅데이터 분석 플랫폼에서 계열회사인 A, B 등에 조회토록 하면서 개인신용정보를 익명처리한 조치기록을 작성‧보존하지 않았음 < 관련규정 >