금융회사는 개인정보보호법[이하 ‘법’]에 따른 개인정보보호규정을 제정 및 운영해야 한다. 임직원 및 고객의 개인정보에 대해 적용하며, 해당 규정은 업무 위탁시 위탁받는 외부업체에 대해서도 적용된다.

정보주체와 개인정보의 정의

정보주체란 처리 정보에 의해 알아볼 수 있는, 그 정보의 주체가 되는 사람을 의미한다.

개인정보란 이름, 주민등록번호 등 개인을 알아볼 수 있는 정보를 의미하며, 다른 정보와 결합하여 특정 개인을 식별할 수 있는 정보를 포함한다.

민감정보는 개인정보 중 사생활 침해의 우려가 현저한 개인정보를 의미한다. 종교, 정치적 견해, 유전정보, 범죄경력 등을 예로 들 수 있겠다.

개인정보보호 관리지침

회사는 개인정보보호책임자 및 개인정보취급자의 역할 및 책임, 안전성확보에 필요한 조치에 관한 사항, 개인정보취급자의 교육에 관한 사항 등을 포함하는 내부관리지침을 운영하며, 제개정시 대표이사의 승인을 거쳐 전 임직원에 공표 및 열람하게 한다.

개인정보보호책임자와 개인정보취급자

개인정보보호책임자[법 제31조]는 대표이사가 지정함. 주요 업무는 보호계획의 수립 및 시행, 처리 실태에 대한 정기 점검, 유출 및 오남용 방지를 위한 내부통제시스템 구축, 개인정보파일의 보호 및 관리 감독, 개인정보 처리방침의 수립, 변경 및 시행 등이다.

개인정보처리자는 업무 목적의 개인정보파일을 운용하기 위해 개인정보를 처리하는 기관,법인,단체 개인등을 의미하며, 개인정보취급자는 개인정보처리자의 감독하에 직접 개인정보를 처리하는 자를 말한다.

회사는 정보보호 보안서약서 수취를 통한 개인정보취급자에 대한 관리감독, 개인정보 보호 연간교육을 실시해야 한다. (외부 전문가 위탁교육 가능)

개인정보의 수집 및 이용

정보주체로부터 직접 이름, 주소, 전화번호 등 모든 형태의 개인정보를 취득하는 것을 개인정보의 취득이라고 한다.

개인정보의 파기

개인정보는 5일 내 파기해야 한다. 개인정보보호 책임자는 파기 결과를 확인해야 하며, 물리적, 전자적 방법으로 모두 파기해 복원이 불가능하도록 영구 삭제하고 ‘개인정보 파기 관리대장’을 통해 해당 내용을 기록 관리한다.

개인정보 수집 및 이용의 기본 원칙

정보주체로부터 1) 기본 서비스/재화의 제공을 위해 반드시 필요한 최소한의 개인정보와 2)추가 서비스/재화의 이용을 위해 필요한 최소한의 개인정보를 구분하여 알리고 동의를 받아야 한다.

정보주체의 동의없이 개인정보 처리가 가능한 경우에는 그 사실과 사유를 알려줘야 한다.

민감정보

민감정보는 정보주체의 동의를 받거나 법령에서 허용/요구한 경우 처리가 가능함. 정보주체의 동의를 받는 경우 목적, 수집하려는 항목, 보유 및 이용기간 등을 사전에 알리고 동의를 받아야 하며 변경시에도 알리고 동의를 받아야 한다.

회사는 민감정보 처리에 대한 정보주체의 동의를 받는 경우 다른 개인정보와 별도로 동의할 수 있도록 처리해야 하며, 안전성 확보에 필요한 조치[법 제29조]를 취하여야 한다.

고유식별정보

고유식별정보는 관련법령에서 고육식별정보의 처리를 요구/허용한 경우 정보주체의 동의를 받는 경우에 한해 고유식별정보를 수집할 수 있음.

정보주체의 동의를 받는 경우 목적, 수집하려는 항목, 보유 및 이용기간 등을 사전에 알리고 동의를 받아야 하며 변경시에도 알리고 동의를 받아야 한다.

회사는 고유식별정보 처리에 대한 정보주체의 동의를 받는 경우 다른 개인정보와 별도로 동의할 수 있도록 처리해야 하며, 안전성 확보에 필요한 조치[법 제29조]를 취하여야 한다.

개인정보의 안전한 관리

개인정보취급자가 개인정보처리시스템에 접속한 기록을 최소 1년 이상 보관 관리해야 함.

개인정보의 보관은 잠금장치가 있는 안전한 장소에 해야 하며, 물리적 보관장소를 별도로 두는 경우 철저히 관리해야 함.

개인정보의 출력은 인쇄/파일생성/캡쳐 등 용도를 특정하여 최소화하며, 개인정보보호책임자의 사전 승인을 받아야 함.

개인정보처리방침의 작성 및 공개

회사는 개인정보의 처리목적, 처리항목, 처리 및 보유기간, 제3자 제공, 파기, 위탁시 수탁자에 관한 사항, 안전성 확보에 관한 사항, 개인정보보호책임자의 성명 및 연락처, 개인정보처리방침의 변경에 관한 사항 등의 내용을 모두 포함한 개인정보처리방침을 정해야 함.

개인정보처리방침은 쉽고 구체적인 표현으로 명확하게 작성해야 하며, 홈페이지 첫 화면과 연결하여 지속적으로 기재해야 함. 변경하는 경우에는 변겅 및 시행시기, 내용을 지속적으로 공개하고 변경전후 대비표를 공개해야 한다.

정보주체의 권리

정보주체는 회사가 처리하는 개인정보의 열람을 요구할 수 있으며, 회사는 요구받을시 10일 이내에 열람할 수 있도록 해야 한다. 단, 법률에 따라 열람이 금지되거나 다른 사람의 생명,신체,재산등을 해하거나 침해할 우려가 있는 경우 정보주체에게 그 요구를 받은 날부터 10일이내에 사유 를 알려야 한다.

자신의 정보를 열람한 정보주체는 회사에 대해 그 개인정보의 정정/삭제를 요구할 수 있으며, 회사는 요구받을시 10일 이내에 정정/삭제 등의 필요한 조치를 한 후 그 결과를 정보주체에게 통보해야 한다. 단, 법령에서 그 정보가 수집대상으로 명시된 경우 등 삭제할 수 없는 경우 해당 내용을 정보주체에게 그 요구를 받은 날부터 10일이내에 알려야 한다.