전자금융거래법 관련 법령해석 요청서 제출

" 전자금융거래 “란 금융회사 또는 전자금융업자가 i) 전자적 장치를 통하여 ⅱ) 금융상품 및 서비스를 제공 (이하 " 전자금융업무 ") 하고 , ⅲ) 이용자가 금융회사 또는 전자금융업자의 종사자와 직접 대면하거나 의사소통을 하지 아니하고 자동화 된 방식으로 이를 이용하는 거래를 말합니다 (「전자금융거래법」 제 2 조 제 1 호) . 이 경우 , 질의하신 해당 스마트뱅킹 시스템이 전자금융거래의 개념중 ⅰ)· ⅲ) 의 개념 요소를 포함하고 있음은 명백하지만 그 시스템에서 ⅱ) 의 ' 금융상품 및 서비스의 제공 ' 이 이루어지는지 여부는 추가로 살펴 보아야 합니다 .

「전자금융거래법」 에서는 전자적 장치를 통한 ' 금융상품 및 서비스의 제공 ', 즉 전자금융업무에 대해서는 별도로 개념을 정하고 있지는 아니합니다 . 그런데 , ' 금융상품 및 서비스’ 에 대해서는 자금의 융통과 관계된 상품 또는 서비스를 제공하는 경우에 국한하지 않고 , 금융회사 등이 제공하는 금융 관련 상품 및 서비스 일반을 의미 한다고 보아 인터넷을 통한 신용정보 , 자산보유또는 거래내역 조회 서비스 제공도 전자금융업무에 해당 한다고 보는 실무해석 관행이 확인됩니다 (금융감독원 , ‘전자금융감독규정해설’, 2017 년참조) . 이러한 실무 해석 관행이 일반적 · 보편적인 법해석으로 나아가기 위해서는 " 문언의 통상적인 의미에 충실하는 것을 원칙으로 하고 , 나아가 법률의 입법취지와 목적 , 그 제 · 개정 연혁 , 법질서 전체와의 조화 , 다른 법령과의 관계등을 고려하는 체계적 · 논리적 해석 방법을 추가적으로 동원 " 할 필요가 있습니다 . (대법원 2009.4.23. 선고 , 2006 다 81035 판결 등 참조)

먼저 , " 금융상품 " 에 관한 다른 법령과의 관계를 살펴보면 , 「금융소비자보호법 (2021.9 월 시행 예정)」 에 따른 " 금융상품 " 이란 , 「은행법」 에 따른 예금 및 대출 , 「자본시장법」 에 따른 금융투자상품 , 「보험업법」 에 따른 보험상품등을 의미하고 , 「자본시장법」 에 따른 " 금융투자상품 " 이란 이익을 얻거나 손실을 회피할 목적으로 현재 또는 장래 특정시점에 금전 , 그밖의 재산적 가치가 있는 것을 지급하기로 약정함으로써 취득하는 ‘계약상의 권리’ 를 말하며 , 「보험업법」 도 보험상품을 위험보장을 목적으로 우연한 사건발생에 관하여 금전 및 그밖의 급여를 지급할 것을 약정하고 대가를 수수하는 ' 계약 ' 으로 정의하는 점 등에 비추어 볼 때 금융상품의 통상적 의미에는 계약이라는 개념요소를 포함하고 있음을 확인할 수 있습니다 .

한편 , 금융상품의 계약적 요소 등으로 인해 대부분의 전자금융업무 처리 과정에는 그 계약당사자를 확인하는 과정을 거치게 됩니다 . 특히 , 금융회사 등과 이용자 간에 비대면 , 자동화된 방식으로 이루어지는 전자금융거래의 특성 상 , 계약당사자의 진실성과 정확성을 확인하는 절차도 전자적으로 이루어 질 수 밖에 없습니다 . 이는 「전자금융거래법」 에서 전자금융거래에 있어서 거래지시를 하거나 이용자 및 거래내용의 진실성과 정확성을 확보하기 위하여 사용되는 수단 또는 정보로서 " 접근매체 " 에 대해 별도의 규율을 두고 있는 점 (법 제 2 조제 10 호) 등에서도 확인됩니다 . 이와 같이 , 전자금융업무에는 계약당사자의 확정 등을 위한 개인정보 , 거래내역 등에 관한 신용정보 , 거래지시 등에 관한 전자금융거래기록 등 다양한 정보 처리가 필수적으로 수반 된다고 할 수 있습니다 .

따라서 , 스마트뱅킹 이용 전 정보처리업무 역시 금융 상품의 제공 과정에서 수반 되거나 이에 밀접한 관련을 가지고 있으므로 , 「전자금융거래법」 상 전자금융 거래에 해당한다고 볼 수 있습니다 .

그런데 , " 전자금융거래 " 의 법률관계를 명확히 하여 전자금융거래의 안전성과 신뢰성을 확보 " (법 제 1 조) 하는 것을 입법목적으로 하는 「전자금융거래법」 의 취지상 , 전자금융업무에 이용되는 정보처리시스템 및 그 시스템에서 보유 · 처리되는 정보의 기밀성 · 무결성 · 가용성을 보장하고 그 안전성을 확보하기 위한 금융보안 (Cyber security: 유럽연합 일반정보보호법 제 32 조 등 참조) 에 관한 체계가 마련될 필요가 있습니다 .

이를 위해 , 「전자금융거래법」 에서는 전자금융거래가 안전하게 처리될 수 있도록 ' 선량한 관리자로서의 주의 ' 를 다할 의무를 금융회사 등에 부과 함과 동시에 이러한 선관주의 의무를 구체화하는 차원에서 전자적 전송이나 처리를 위한 인력 , 시설 , 전자적 장치 , 정보기술부문 , 전자금융업무 등에 관하여 금융위원회에서 정하는 기준 (「전자금융 감독규정」) 을 준수 하도록 하는 내용의 안전성 확보의무를 금융회사 등에 부과 하고 있으며 (법 제 21 조제 1 항 및 제 2 항) , 금융회사등으로 하여금 전자금융업무 및 그 기반이 되는 정보기술부문 보안을 총괄하여 책임질 정보보호최고책임자를 지정 (법 제 22 조) 하도록 하는 등 금융보안에 대해 체계적으로 규율 하고 있습니다 .

따라서 , 「전자금융거래법」 의 입법취지와 목적 , 다른 법령과의 관계 등을 종합적으로 고려할 때 , 같은 법에 따른 " 전자금융거래 " 란 금융회사 등의 자금의 융통 , 송금 · 자금이체 등 지급거래 , 그 밖에 전자적 장치를 통해 이루어지는 ' 금융상품 ' 의 제공 자체에 한정되는 개념이라기 보다는 , 금융 상품의 제공 과정에서 수반되거나 밀접한 관련을 가지고 이용자에게 제공 되는 ' 서비스 ' 로서 개인정보 · 신용정보 · 전자금융거래기록 등을 비롯한 일체의 ' 정보 처리 ' 를 포함하는 법개념으로 해석됩니다 .

참고로 , 「전자금융거래법」 은 다른 법률에 특별한 규정이 있는 경우를 제외하고는 원칙적으로 모든 전자금융거래에 적용 되므로 (법 제 3 조제 1 항) , 금융회사등의 전자금융업무 로서 개인신용정보에 해당하지 아니하는 개인 정보의 처리 및 보호에 대해서도 일반법인 「개인정보보호법」 에 우선하여 금융 분야의 사이버보안에 관한 특별법 으로서 「전자금융거래법」 이 우선 적용 됩니다 (행정안전부 · 금융위원회 · 금융감독원 , ' 금융분야 개인정보보호 가이드 ', 2017 년 참조) . 예를 들어 , 「전자금융거래법」 은 「개인정보보호법」 과 관련한 다수의 특칙 규정 (제 21 의 4 제 1 호 , 제 26 조 등) 을 두고 있는바 , 일정한 사실관계 하에서 「전자금융거래법」 에 따른 특칙 규정의 적용 · 포섭이 문제되는 경우에는 일반법인 「개인정보보호법」 의 해당 규정 (제 59 조제 3 호 , 제 18 조제 1 항 등) 은 적용 되지 아니합니다 .

이는 「전자금융거래법」 은 금융회사 및 그 임직원이 전자금융업무의 처리 과정에서 수시로 이용자의 개인정보를 비롯한 다양한 정보를 처리한다는 현실을 전제로 하고 있기 때문입니다 . 특히 , 금융회사등과 고객 간에 비대면의 자동화된 방식으로 이루어지는 전자금융업무의 특성상 , 개인정보 처리 업무에도 고도의 자율성 · 독립성을 부여받고 있는 금융회사등으로 하여금 그 정보 처리의 안전성 ㆍ 신뢰성을 사전에 확보토록 할 필요가 있습 니다 . 이에 따라 , 「전자금융거래법」 은 금융회사등에 강력한 접근권한 통제 , 직무분리 등 전자금융거래의 안전성 확보장치를 마련 하도록 하고 (법 제 21 조제 2 항) , 이러한 안전성 확보 의무를 위반한 금융회사등에 대해 서는 그 임직원에 대한 신분제재 및 과태료를 부과 하고 있는 등 (법 제 39 조 제 6 항 , 제 51 조제 1 항제 1 호) 「개인정보보호법」 과 별도로 금융보안에 관한 특별한 규율체계를 채택 하고 있는 점 등에서도 확인됩니다 .

우선 , " 전자금융기반시설 " 이란 전자금융거래에 이용되는 정보처리시스템 및 「정보통신망이용촉진및정보보호등에관한법률」 제 2 조제 1 항제 1 호에 따른 정보 통신망을 말합니다 . (「전자금융거래법」 제 2 조제 21 호)

이 경우 , 해당 스마트뱅킹 시스템 중 최초 비밀번호를 등록하는 절차를 구현하는 부분도 ' 정보처리시스템 ' 에 해당하는 것은 분명하지만 , 해당 시스템 부분까지만 접근하는 것으로는 송금 · 이체 등을 할 수 없으므로 ' 전자금융거래 ' 에 이용되는 정보처리 시스템 , 즉 전자금융기반시설에 접근한 것으로 평가할 수는 없지 않은가 라는 의문이 제기될 수 있습니다 . 이러한 의문을 해소하기 위해서는 「전자금융거래법」 에 따른 " 전자금융거래 " 의 의미를 먼저 확인 하여야 합니다 .

위에서 살펴본 바와 같이 , 전자금융기반시설의 개념요소로서 전자금융거래 에는 금융상품의 제공뿐만 아니라 그에 수반되거나 밀접한 관련을 가지고 제공되는 서비스로서 일체의 정보 처리 업무가 포함되므로 , 전자금융기반시설 또한 자금의 융통 , 송금 · 자금이체 등 금융상품의 제공 업무에 관한 정보처리시스템 부분에 한정되지 아니하고 , 그에 수반되거나 밀접한 관련이 있는 정보를 처리하는 시스템 부분도 포함 된다고 해석됩니다 .

질의하신 사실관계만으로 판단한다면 , 고객은 은행과 그 영업점에서 스마트뱅킹 서비스를 이용하기로 하는 전자금융거래계약 (법 제 2 조제 7 호 참조) 을 체결 하였고 , 그 전자금융거래계약에 따라 은행으로부터 부여받은 이용자 ID 와 고객이 영업점에서 직접 등록한 임시 비밀번호를 통해 최초 비밀 번호를 등록할 수 있도록 하는 정보처리시스템에 고객의 이용자 ID 와 임시 비밀 번호를 알게 된 은행의 영업점 직원이 이를 이용 하여 최초 비밀번호를 등록 하는 행위를 하였다면 , 비록 그 정보처리시스템 부분에서는 송금 · 이체 등 금융상품의 제공 업무가 이루어지지 않는다고 할지라도 최초 비밀번호의 등록 행위를 통해 스마트뱅킹 서비스라는 ' 금융상품의 제공 업무에 수반 되거나 밀접한 관련이 있는 정보를 처리하는 시스템 ' 으로서 " 전자금융기반 시설에 접근 " 하는 행위가 있었다고 평가 할 수 있습니다 .

다만 , 질의하신 행위가 「전자금융거래법」 제 21 조의 4 제 1 호 에서 정하는 ' 데이터의 조작 ' 등에 의한 전자적 침해사고 등에 해당하는지 및 은행의 영업점 직원의 이러한 행위에 대해 시스템적인 통제가 이루어지지 아니한 해당 은행 및 관련 임직원들이 같은 법 제 21 조제 2 항 등에 따른 안전성 확보 의무 등을 위반한 것으로 볼 수 있는지 등에 대해서는 보다 구체적인 사실 관계를 확인할 필요가 있다고 판단됩니다 .