신용정보의 이용 및 보호에 관한 법률
IT 위키
더 많은 작업
신용정보의 이용 및 보호에 관한 법률 : Credit Information Use and Protection Act
신용정보 관련 산업을 육성하고 신용정보의 이용과 관리 및 보호에 관한 사항을 정한 법률이다. 약칭은 신용정보법이며, 소관 부처는 금융위원회(금융데이터정책과)이다.
제1조는 신용정보 관련 산업의 건전한 육성, 신용정보의 효율적 이용과 체계적 관리, 신용정보의 오용·남용으로부터 사생활의 비밀 등을 적절히 보호하여 건전한 신용질서를 확립하고 국민경제 발전에 이바지하는 것을 목적으로 한다. 금융거래 등 상거래에서 다루는 개인신용정보에 대해서는 개인정보 보호법보다 이 법이 먼저 적용된다. 2020년 2월 4일 개정으로 가명정보, 본인신용정보관리업(마이데이터), 개인신용정보 전송요구권, 자동화평가 설명 요구권 등이 도입되었다.
| 용어 | 뜻 |
|---|---|
| 신용정보 | 금융거래 등 상거래에서 거래 상대방의 신용을 판단할 때 필요한 정보. 식별정보(다른 신용정보와 결합되는 경우만), 거래내용, 신용도, 신용거래능력 판단 정보 등 |
| 개인신용정보 | 기업 및 법인에 관한 정보를 제외한 살아 있는 개인에 관한 신용정보로서, 성명·주민등록번호·영상 등으로 특정 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보 |
| 신용정보주체 | 처리된 신용정보로 알아볼 수 있는 자로서 그 신용정보의 주체가 되는 자 |
| 신용정보제공·이용자 | 고객과의 금융거래 등 상거래를 위하여 신용정보를 타인에게 제공하거나 제공받아 본인의 영업에 이용하는 자 등 |
| 신용정보집중기관 | 신용정보를 집중하여 관리·활용하는 자로서 금융위원회로부터 허가받은 자 |
| 가명처리·가명정보 | 추가정보를 사용하지 않으면 특정 개인인 신용정보주체를 알아볼 수 없도록 개인신용정보를 처리하는 것과 그 결과물 |
| 익명처리 | 더 이상 특정 개인인 신용정보주체를 알아볼 수 없도록 개인신용정보를 처리하는 것 |
| 자동화평가 | 종사자가 평가 업무에 관여하지 않고 컴퓨터 등 정보처리장치로만 개인신용정보 등을 처리하여 개인을 평가하는 행위 |
- 관련 조문: 신용정보의 이용 및 보호에 관한 법률 제2조
- 개인정보의 보호에 관하여 이 법에 특별한 규정이 있는 경우를 제외하고는 개인정보 보호법에서 정하는 바에 따른다(신용정보의 이용 및 보호에 관한 법률 제3조의2제2항). 신용정보법이 특별법, 개인정보 보호법이 일반법인 관계이다.
- 따라서 개인신용정보에는 신용정보법을 먼저 적용하고, 신용정보법에 규정이 없는 사항은 개인정보 보호법을 적용한다.
- 감독은 이원화되어 있다. 금융회사 등 금융위원회의 감독을 받는 자는 금융위원회가, 그 밖의 상거래기업 및 법인의 상거래정보보호규정 위반은 개인정보보호위원회가 자료제출 요구·조사를 한다(신용정보의 이용 및 보호에 관한 법률 제45조의3).
신용정보업, 본인신용정보관리업, 채권추심업은 금융위원회의 허가를 받아야 한다(신용정보의 이용 및 보호에 관한 법률 제4조).
| 업종 | 회사 명칭 | 내용 |
|---|---|---|
| 개인신용평가업 | 개인신용평가회사 | 개인의 신용상태를 평가하여 결과(개인신용평점 포함)를 제3자에게 제공 |
| 개인사업자신용평가업 | 개인사업자신용평가회사 | 개인사업자의 신용상태를 평가하여 결과를 제3자에게 제공 |
| 기업신용조회업 | 기업신용조회회사 | 기업정보조회, 기업신용등급 제공, 기술신용평가 업무 |
| 신용조사업 | 신용조사회사 | 제3자의 의뢰를 받아 신용정보를 조사하여 의뢰인에게 제공 |
| 본인신용정보관리업 | 본인신용정보관리회사 | 개인인 신용정보주체의 신용관리를 지원하기 위하여 흩어진 신용정보를 통합하여 본인에게 제공(마이데이터) |
| 채권추심업 | 채권추심회사 | 채권자의 위임을 받아 채권을 추심 |
- 수집 및 처리는 목적을 명확히 하고 필요한 최소한의 범위에서 합리적이고 공정한 수단으로 해야 하며, 개인신용정보를 수집할 때에는 원칙적으로 동의를 받는다(신용정보의 이용 및 보호에 관한 법률 제15조).
- 개인신용정보를 타인에게 제공하려면 제공할 때마다 미리 개별적으로 동의를 받아야 한다. 동의 방식은 서면, 실지명의를 확인할 수 있는 전자서명이 있는 전자문서, 개인비밀번호 입력, 녹음 등 증거를 남기는 유무선 통신 등이다(신용정보의 이용 및 보호에 관한 법률 제32조).
- 동의를 받을 때에는 필수적 동의사항과 선택적 동의사항을 구분하여 설명하고 각각 동의를 받아야 하며, 선택적 동의사항에 동의하지 않았다는 이유로 서비스 제공을 거부할 수 없다.
- 동의 없이 제공할 수 있는 예외로는 처리 위탁, 영업양도·합병, 법원의 제출명령·영장, 가명정보의 통계작성·연구·공익적 기록보존 목적 제공, 데이터전문기관을 통한 결합, 당초 수집 목적과 상충되지 않는 목적의 제공 등이 있다(제32조제6항).
| 권리 | 내용 | 조문 |
|---|---|---|
| 개인신용정보 전송요구권 | 본인, 본인신용정보관리회사, 개인신용평가회사 등에 본인 개인신용정보를 전송하도록 요구. 정기적 전송 요구와 철회도 가능 | 신용정보의 이용 및 보호에 관한 법률 제33조의2 |
| 자동화평가 설명·이의제기 | 자동화평가 여부, 결과, 주요 기준, 기초정보 개요의 설명 요구, 유리한 정보 제출, 기초정보 정정·삭제와 재산출 요구 | 신용정보의 이용 및 보호에 관한 법률 제36조의2 |
| 동의 철회·연락중지 청구 | 신용도 평가 목적 외의 제공 동의 철회, 상품 소개·구매 권유 연락의 중지 청구 | 신용정보의 이용 및 보호에 관한 법률 제37조 |
| 열람 및 정정청구 | 본인 신용정보의 교부·열람 청구, 사실과 다르면 정정청구. 처리결과는 7일 이내에 통지 | 신용정보의 이용 및 보호에 관한 법률 제38조 |
| 신용조회사실 통지 요청 | 개인신용평가회사 등에 본인 정보가 조회되는 사실의 통지를 요청 | 신용정보의 이용 및 보호에 관한 법률 제38조의2 |
| 삭제 요구 | 상거래관계가 종료되고 대통령령으로 정하는 기간이 지나면 삭제 요구 | 신용정보의 이용 및 보호에 관한 법률 제38조의3 |
- 개인신용정보가 업무 목적 외로 누설되었음을 알게 되면 신용정보회사등은 지체 없이 신용정보주체에게 통지해야 하며, 통지 사항은 개인정보 보호법 제34조제1항을 준용한다(신용정보의 이용 및 보호에 관한 법률 제39조의4).
- 통계작성(시장조사 등 상업적 목적 포함), 연구(산업적 연구 포함), 공익적 기록보존 등을 위하여 동의 없이 가명정보를 제공할 수 있다(제32조제6항제9호의2).
- 서로 다른 신용정보회사등이 보유한 정보집합물은 데이터전문기관을 통하여 결합할 수 있다(신용정보의 이용 및 보호에 관한 법률 제17조의2, 신용정보의 이용 및 보호에 관한 법률 제26조의4).
- 가명처리에 사용한 추가정보는 분리 보관하거나 삭제하고, 가명정보에는 내부관리계획 수립과 접속기록 보관 등 보호조치를 해야 한다.
- 영리 또는 부정한 목적으로 특정 개인을 알아볼 수 있게 가명정보를 처리해서는 안 되고, 처리 중 특정 개인을 알아볼 수 있게 되면 즉시 회수·처리 중지하고 삭제한다.
- 가명처리·익명처리를 한 경우 날짜, 항목, 사유와 근거를 3년간 보존한다. 익명처리의 적정성은 금융위원회에 심사를 요청할 수 있다(신용정보의 이용 및 보호에 관한 법률 제40조의2).
- 개인정보 보호법의 가명정보 특례와 비교하면, 신용정보법은 통계작성에 상업적 목적을, 연구에 산업적 연구를 포함한다고 명시한다.
- 개인정보 보호법과 신용정보법의 일반법·특별법 관계와 소관 기관(금융위원회, 개인정보보호위원회)을 구분할 수 있어야 한다.
- 개인신용정보의 정의와 제공 시 개별 동의, 필수·선택 동의 구분 원칙을 묻는다.
- 본인신용정보관리업(마이데이터)과 개인신용정보 전송요구권의 관계를 묻는다.
- 신용정보주체의 권리(자동화평가 설명, 열람·정정, 삭제 요구 등)와 가명정보 제공 특례를 묻는다.