단계별 정보보호 강화…금융사 책임·제재 강화
[서울파이낸스 윤동기자] 정부가 금융사의 고객 정보 수집을 최소한으로 줄이고 보관기간도 5년으로 단축해 유출시 피해를 최소화하기로 했다. 주민등록번호는 최초 거래 때만 수집하고 이후 암호화시켜 보관하게 된다.
금융사의 고객 정보보호에 대한 의무도 강화되고, 이미 유출된 정보로 인해 피해가 일어나지 않도록 대비책도 마련된다.
◇고객정보 최소한 수집…주민번호 노출 최소화
10일 금융위원회와 기획재정부 등 관련부처는 '금융분야 개인정보 유출 재발방지 종합대책'을 발표했다.
종합대책에 따르면 금융사에 정보의 수집, 보유, 활용, 파기 등 각 단계별 정보보호가 강화된다. 그간 금융사가 영업에 필수적이지 않았던 정보까지 수집해 장기간 보유하던 관행을 해결하겠다는 것이다.
먼저 현재 30~50여개에 이르는 수집정보 항목을 이름, 주민번호, 주소 등 6~10개의 필요최소한만 수집한다. 필수정보 외 부가서비스 제공과 관련된 추가 정보 수집은 계약체결에 필수적이지 않음을 고지하고 수집목적·제공처 등을 설명한 후 고객 동의하게 수집해야 한다.
문제가 됐던 포괄적 제3자 정보제공 동의도 금지되고 서비스 제공에 필수적, 선택적 제3자정보제공을 구분해 동의를 받도록 변경된다. 정보이용 목적, 제공업체, 제공기간, 파기계획 등도 구체적으로 적시해야 한다.
거래종료 후에는 일정기간 보관이 필요한 정보를 제외한 여타 신상정보 등은 3개월 내에 파기하고, 보관해야 하는 정보도 불가피한 경우를 제외하면 5년 내에 파기해야 한다.
주민등록번호도 노출을 최소화하기 위해 서류에 쓰는 것이 아니라 고객이 직접 키패드로 입력하는 방식으로 바뀌고, 이후에는 주민번호 확인 없이 다른 정보를 통해 신원을 확인하도록 변경된다.
그동안 깨알 같은 글씨 때문에 내용을 확인하기 힘들었던 정보제공 동의서는 글자 크기와 줄 간격이 읽기 쉽도록 변경된다. 또 필수 사항과 선택사항을 구분해 선택사항을 동의하지 않아도 계약을 체결할 수 있도록 제도가 바뀐다.
앞으로 문자 등을 이용한 비대면 영업행위도 제한된다. 무차별적인 문자메시지 전송을 통한 영업행위는 전면 금지되며, 다른 전화나 이메일 등을 통한 모집·권유는 정보 활용 기준에 따라 제한적인 범위에서만 허용된다.
금융소비자가 본인의 정보가 어떻게 활용되는지 알지 못하고 이에 대해 의사결정을 할 수 없었던 구조도 개편된다. 고객이 자신의 정보가 어떻게 이용되는지 확인할 수 있도록 금융사는 조회시스템을 구축해야 하며, 고객이 정보제공을 철회하거나 연락을 중지하도록 요청할 경우 이에 응해야 한다.
◇정보보호 책임 강화…해킹·기유출 정보피해 대책도 추진
금융사의 정보보호 책임도 강화된다. 앞으로 정보보고 현황 및 정책을 매년 작성해 금융당국에 제출해야 되고, 일정 규모 이상 금융사는 정보보호최고책임자(CISO)를 다른 IT 관련 직위와 겸직하는 것이 제한된다.
대출 모집인 등이 무분별하게 정보를 활용하던 관행도 규제된다. 금융사가 모집인에게 정보를 제공할 때는 최소한의 정보만 암호화해 제공하고 모집인이 계약을 따온 경우 모집경로를 확인해 적법했는지 확인해야 하는 의무가 부과된다.
향후 고객정보 유출사건이 일어날 경우 제재도 대폭 강화된다. 회사가 고의로 불법정보를 활용했을 경우 관련 매출액의 3% 수준을 징벌적 과징금으로 부과해야 하고, 금융사의 잘못으로 고객정보가 유출됐을 경우 최대 50억원까지 과징금을 물어야 한다.
해킹 등 침해행위에 대한 대비책도 강화된다. 이미 발표된 금융전산 보안 강화종합대책의 내외부망 분리가 지체 없이 추진되며, 주민번호 암호화도 조기에 도입하겠다는 방침이다.
이미 유출된 고객정보에 의한 피해가 발생할 때 신속하게 대응할 수 있도록 금융사 CEO 책임 하에 대응매뉴얼도 마련된다.
한편 정부는 이같은 종합대책을 순차적으로 시행하겠다는 계획이다. 먼저 법 개정이 필요하지 않은 정보 삭제와 정보보호 시스템 구축은 최대한 조속히 시행하겠다는 방침이다. 신용정보법 등 법률 개정이 필요한 부분은 상반기 중에 국회통과를 추진하겠다는 입장이다.
