전자금융감독규정, 단말기의 범위에 대한 해석 요청의 건
전자금융감독규정 제12조상 "단말기"의 범위 — 정보처리시스템 접속 여부에 따른 판단 Q. 「전자금융감독규정」 제12조 단말기 보호대책에서 말하는 "단말기"란 무엇인가? - (안1) 정보처리시스템에 접속이 가능한 단말기(컴퓨터 등)만을 의미하는지 - (안2) 정보처리시스템에 접속하지 않더라도 업무 목적으로 사용하는 컴퓨터는 모두 단말기에 해당하는지 A. 원칙 + 예외 구조로 판단한다. 1. 원칙(포함 대상): 「전자금융감독규정」상 "단말기"란 내부통신망에 접속하거나 접속이 가능한 전자적 장치(개인용·업무용 컴퓨터 포함)를 의미한다. 2. 원칙(제외 대상): 내부통신망·정보처리시스템에 접속하지 못하도록 통제된 컴퓨터 등은 특별한 사정이 없는 한 제12조 적용대상이 아니다. 3. 예외(다시 포함): 일시적으로라도 내부통신망·정보처리시스템에 접속 가능성이 있는 컴퓨터는 정보유출·악성코드 감염 등의 위험이 있으므로 단말기에 해당하며 규정이 적용된다. 4. 추가 확인사항: 외주개발을 위해 투입된 외주직원이 사용하는 단말기에도 동 규정이 적용된다. 핵심 판단 기준은 "업무목적 사용 여부"가 아니라 "내부통신망·정보처리시스템 접속 가능성(상시 또는 일시)"이다. 2. 관련 법령 (조문 단위 추출) - 「전자금융감독규정」 제12조 (단말기 보호대책) - "단말기"의 사전적 의미 원용: 중앙컴퓨터와 통신망으로 연결되어 자료를 입력하거나 출력하는 장치 3. 관련 법령 상세 해설 가. 규정의 취지 「전자금융감독규정」 제12조는 금융회사 등으로 하여금 정보처리시스템에 접근할 수 있는 단말기를 제한함으로써, 비인가자에 의한 정보 유출, 악성코드 감염, 프로그램 변경, 불법 거래 등을 방지할 목적으로 단말기 보호대책을 수립·운영하도록 하는 규정이다. 나. …
(전자금융)종료된 서비스 데이터 보관 정책 관련 문의
종료된 전자금융서비스의 백업테이프 보관 전자금융거래기록 파기 방법 및 주기 관련 법령해석 Q1. 2018년 12월 말일자로 종료된 서비스의 결제내역 데이터(개인정보 제외)가 백업테이프에 통으로 수년치 보관되어 있다. 5년 경과분만 선별 삭제하려면 (a) 테이프를 복원해서 일부만 지운 뒤 재백업하거나 (b) 매일 배치로 풀었다 지우는 방법밖에 없는데, 이 경우 어떻게 처리해야 하는가? A. 파기주기(일별·월별·분기·반기·연 단위)와 무관하다. 다음 두 시점 중 가장 최근 시점을 기준으로 5년 이내에 전자금융거래기록을 삭제하면 「전자금융거래법」 제22조를 준수한 것으로 판단된다. - 전자금융거래 관계(서비스) 종료 시점 - 전자금융거래법상 전자금융거래기록 보존기간(5년) 경과 시점 Q2. 위 방식대로라면 삭제를 매일 처리해야 하는가, 월·분기·반기·연 단위로 처리해도 되는가? A. 파기주기는 법령이 강제하지 않는다. 회사가 자체적으로 파기계획(파기주기 포함)을 수립·이행하면 되며, 위 5년 기한 내 삭제만 이행되면 규정 준수로 인정된다. 핵심 정리 - 기산점: max(서비스 종료일, 보존기간 만료일) - 파기 기한: 위 기산점으로부터 5년 이내 - 파기 주기: 법정 강제 없음, 자체 계획 수립·이행 - 신용정보는 파기 대상에서 제외(신용정보법 별도 적용) 2. 관련 법령 (조문 단위 추출) | 법령 | 조항 | 규율 내용 | | | | | | 전자금융거래법 | 제22조 제1항 | 전자금융거래기록의 보존의무 및 보존기간(5년) 규정 근거 | | 전자금융거래법 | 제22조 제2항 | 보존기간 경과 및 상거래관계 종료 후 5년 이내 파기의무. …
전자금융감독규정, 단말기의 범위에 대한 해석 요청의 건
전자금융감독규정 제12조상 "단말기"의 범위 — 정보처리시스템 접속 여부에 따른 판단 Q. 「전자금융감독규정」 제12조 단말기 보호대책에서 말하는 "단말기"란 무엇인가? - (안1) 정보처리시스템에 접속이 가능한 단말기(컴퓨터 등)만을 의미하는지 - (안2) 정보처리시스템에 접속하지 않더라도 업무 목적으로 사용하는 컴퓨터는 모두 단말기에 해당하는지 A. 원칙 + 예외 구조로 판단한다. 1. 원칙(포함 대상): 「전자금융감독규정」상 "단말기"란 내부통신망에 접속하거나 접속이 가능한 전자적 장치(개인용·업무용 컴퓨터 포함)를 의미한다. 2. 원칙(제외 대상): 내부통신망·정보처리시스템에 접속하지 못하도록 통제된 컴퓨터 등은 특별한 사정이 없는 한 제12조 적용대상이 아니다. 3. 예외(다시 포함): 일시적으로라도 내부통신망·정보처리시스템에 접속 가능성이 있는 컴퓨터는 정보유출·악성코드 감염 등의 위험이 있으므로 단말기에 해당하며 규정이 적용된다. 4. 추가 확인사항: 외주개발을 위해 투입된 외주직원이 사용하는 단말기에도 동 규정이 적용된다. 핵심 판단 기준은 "업무목적 사용 여부"가 아니라 "내부통신망·정보처리시스템 접속 가능성(상시 또는 일시)"이다. 2. 관련 법령 (조문 단위 추출) - 「전자금융감독규정」 제12조 (단말기 보호대책) - "단말기"의 사전적 의미 원용: 중앙컴퓨터와 통신망으로 연결되어 자료를 입력하거나 출력하는 장치 3. 관련 법령 상세 해설 가. 규정의 취지 「전자금융감독규정」 제12조는 금융회사 등으로 하여금 정보처리시스템에 접근할 수 있는 단말기를 제한함으로써, 비인가자에 의한 정보 유출, 악성코드 감염, 프로그램 변경, 불법 거래 등을 방지할 목적으로 단말기 보호대책을 수립·운영하도록 하는 규정이다. 나. …
전자금융거래기록 파기 관련 질의
전자금융거래기록의 익명처리 시 전자금융거래법 제22조 제2항 파기의무 이행 여부 - 사건번호: lawreq_3017 (법령해석) Q. 전자금융거래기록을 익명처리하여 더 이상 특정 정보주체를 알아볼 수 없게 되면, 그 익명처리된 정보는 전자금융거래법 제22조 제2항의 파기 대상에서 제외된다고 볼 수 있는가? A. 「전자금융거래법」상 "전자금융거래기록"에는 (i) 신용정보법상 신용정보, (ii) 신용정보에 이르지 않는 개인정보보호법상 개인정보, (iii) 그 밖의 기타 금융거래정보(무기명 선불전자지급수단 거래기록·로그기록 등)가 포함되며, 유형별로 파기 판단이 달라진다. - 신용정보인 전자금융거래기록: 전자금융거래법 제22조 제2항이 신용정보법상 신용정보를 파기의무 대상에서 제외하므로, 신용정보법 제20조의2에 따른 익명처리 등 파기조치를 이행하면 전자금융거래법상 파기의무를 준수한 것으로 본다. - 개인정보인 전자금융거래기록: 전자금융거래법 제22조 제3항 및 시행령 제12조 제5항이 개인정보 보호법 시행령상 파기 절차·방법을 준용하므로, 개인정보 보호법 시행령 제16조에 따라 복원 불가능한 방법으로 영구 삭제(익명처리 포함) 조치를 하면 원칙적으로 전자금융거래법상 파기의무를 이행한 것으로 본다. - 신용정보·개인정보가 아닌 기타 전자금융거래기록(무기명 선불전자지급수단 거래기록·로그기록 등): 전자금융거래의 내용을 추적·검색할 수 없고 오류 발생 시 확인·정정할 수 없도록 조치하였다면, 특별한 사정이 없는 한 전자금융거래법 제22조 제2항에 따른 파기 대상이 아니라고 볼 수 있다. …
전자금융보조업자의 전자금융거래기록 수취의무 질의
전자금융보조업자의 전자금융거래법 제22조 수범 여부 및 전자금융거래기록 범위 내 개인식별정보 포함 여부 Q1. 전자금융거래법 제22조에 따른 전자금융거래기록의 보존과 관련하여, 시행령 제12조 및 제7조에서 정한 전자금융거래기록의 범위 중 "전자금융거래의 상대방에 관한 정보"에 개인식별정보(이름, 이메일 등)가 포함되는지 여부 A1. 전자금융거래법 제22조에 따른 전자금융거래기록 보존의 목적은 전자금융거래의 내용을 추적·검색하거나 오류 발생 시 이를 확인·정정하기 위한 것이며, 보존 대상 기록은 해당 목적을 이행하기 위해 수집·처리한 정보 범위 이내여야 합니다. 다만 제출된 내용만으로는 세부사항을 구체적으로 파악할 수 없어, 해당 개인식별정보가 전자금융거래법 제22조 등에 따른 전자금융거래기록에 해당하는지 여부를 판단하기 어렵습니다. Q2. 전자금융보조업자에 해당하는 자가 전자금융거래법 제22조에 따라 개인식별정보를 수집할 의무가 있는지 여부 A2. 전자금융거래법 제22조의 "금융회사등"에는 금융회사·전자금융업자 및 전자금융보조업자가 포함되므로, 전자금융보조업자도 동 조항의 수범 대상에 포함됩니다. 다만 개인식별정보 수집 의무 존부는 해당 정보가 전자금융거래기록에 해당하는지에 따라 결정되며, 제출된 내용만으로는 판단이 어렵습니다. 2. 관련 법령 - 전자금융거래법 제22조 (전자금융거래기록의 생성·보존 및 파기) - 전자금융거래법 시행령 제7조 - 전자금융거래법 시행령 제12조 3. 관련 법령 상세 해설 - 전자금융거래법 제22조: 원문은 동 조항의 "금융회사등"이 금융회사·전자금융업자 및 전자금융보조업자를 포함한다고 밝히고 있어, 전자금융보조업자도 전자금융거래기록 보존 의무의 수범 대상임을 확인하는 근거로 인용됩니다. …
전자금융보조업자의 전자금융거래기록 수취의무 질의
전자금융보조업자의 전자금융거래법 제22조 수범 여부 및 전자금융거래기록 범위 내 개인식별정보 포함 여부 Q1. 전자금융거래법 제22조에 따른 전자금융거래기록의 보존과 관련하여, 시행령 제12조 및 제7조에서 정한 전자금융거래기록의 범위 중 "전자금융거래의 상대방에 관한 정보"에 개인식별정보(이름, 이메일 등)가 포함되는지 여부 A1. 전자금융거래법 제22조에 따른 전자금융거래기록 보존의 목적은 전자금융거래의 내용을 추적·검색하거나 오류 발생 시 이를 확인·정정하기 위한 것이며, 보존 대상 기록은 해당 목적을 이행하기 위해 수집·처리한 정보 범위 이내여야 합니다. 다만 제출된 내용만으로는 세부사항을 구체적으로 파악할 수 없어, 해당 개인식별정보가 전자금융거래법 제22조 등에 따른 전자금융거래기록에 해당하는지 여부를 판단하기 어렵습니다. Q2. 전자금융보조업자에 해당하는 자가 전자금융거래법 제22조에 따라 개인식별정보를 수집할 의무가 있는지 여부 A2. 전자금융거래법 제22조의 "금융회사등"에는 금융회사·전자금융업자 및 전자금융보조업자가 포함되므로, 전자금융보조업자도 동 조항의 수범 대상에 포함됩니다. 다만 개인식별정보 수집 의무 존부는 해당 정보가 전자금융거래기록에 해당하는지에 따라 결정되며, 제출된 내용만으로는 판단이 어렵습니다. 2. 관련 법령 - 전자금융거래법 제22조 (전자금융거래기록의 생성·보존 및 파기) - 전자금융거래법 시행령 제7조 - 전자금융거래법 시행령 제12조 3. 관련 법령 상세 해설 - 전자금융거래법 제22조: 원문은 동 조항의 "금융회사등"이 금융회사·전자금융업자 및 전자금융보조업자를 포함한다고 밝히고 있어, 전자금융보조업자도 전자금융거래기록 보존 의무의 수범 대상임을 확인하는 근거로 인용됩니다. …