우정사업본부 개인신용정보 보호 규정

제1조(목적) #

이 규정은 「신용정보의 이용 및 보호에 관한 법률」및 동법 시행령ㆍ신용정보업감독규정 등에 의거, 우정사업본부 개인신용정보의 수집ㆍ처리ㆍ이용ㆍ제공 및 보호 등에 관하여 필요한 사항을 정하는 것을 목적으로 한다.

제2조(적용범위) #

이 규정은 우정사업본부와 그 소속기관 및 산하기관 (이하 "각급 기관"이라 한다) 및 우정사업본부의 신용정보를 취급하는 외부업체 직원 등에 대하여 적용한다.

제3조(용어정의) #

이 규정에서 사용하는 용어의 뜻은 다음과 같다.

1. "개인신용정보 보호담당자"란 각급 기관의 신용정보관리ㆍ보호인의 개인신용정보 보호업무를 지원하는 자로서, 각급 기관의 장이 지정한 자를 말한다.

2. "개인신용정보 취급자"란 신용정보관리ㆍ보호인의 지휘ㆍ감독을 받아 개인신용정보를 처리하는 업무를 담당하는 자로서 임직원, 파견근로자, 시간제근로자 등을 말한다.

3. "개인신용정보처리시스템"이란 데이터베이스 시스템 등 개인신용정보를 처리할 수 있도록 체계적으로 구성한 정보시스템을 말한다.

4. "공공기관"이란 「개인정보 보호법」 제2조제6호 및 「개인정보 보호법 시행령」 제2조에 따른 기관을 말한다.

5. "각급 기관"은 우정사업본부와 소속기관 및 산하기관을 말한다.

가. "소속기관"이란 「우정사업본부 직제」제13조에 따른 우정공무원교육원, 우정정보관리원, 우정사업조달센터, 지방우정청을 말한다.

나. "산하기관"이란 우체국금융개발원, 한국우편사업진흥원, 우체국시설관리단, 별정우체국연금관리단, 우체국물류지원단을 말한다.

6. "개인신용정보시스템 관리 기관장"은 우정정보관리원장 등 신용정보시스템 관리ㆍ운영 기관장을 말한다.

7. "침해사고 처리책임자"라 함은 해당 침해사고가 발생한 부서의 장, 침해사고가 발생한 각급 기관 또는 업무에 대한 관리 책임이 있는 부서의 장 또는 신용정보관리ㆍ보호인이 지정하는 자로 해당 사고에 대한 신고, 조사분석, 대응조치, 유출통지, 민원대응, 복구처리, 보고 등의 처리에 대해 책임을 지는 자를 말한다.

8. 그 외 이 규정에서 사용되는 용어는 「신용정보의 이용 및 보호에 관한 법률」및 동법 시행령ㆍ신용정보업감독규정에서 정의된 바와 같은 의미를 가진다.

제4조(개인신용정보 보호 원칙) #

① 다음 각 호의 사항을 개인신용정보 보호 기본방침으로 한다.

1. 우정사업본부는 개인신용정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인신용정보만을 적법하고 정당하게 수집하여야 한다.

2. 우정사업본부는 개인신용정보의 처리 목적에 필요한 범위에서 적합하게 개인신용정보를 처리하여야 하며, 그 목적 외의 용도로 활용하여서는 아니 된다.

3. 우정사업본부는 개인신용정보의 처리 목적에 필요한 범위에서 개인신용정보의 정확성과 최신성을 유지하도록 하여야 하고, 개인신용정보를 처리하는 과정에서 고의 또는 과실로 부당하게 변경 또는 훼손되지 않도록 하여야 한다.

4. 우정사업본부는 개인신용정보의 처리 방법 및 종류 등에 따라 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 그에 상응하는 적절한 관리적ㆍ기술적 및 물리적 보호조치를 통하여 개인신용정보를 안전하게 관리하여야 한다.

5. 우정사업본부는 개인신용정보 처리방침 등 개인신용정보의 처리에 관한 사항을 공개하여야 하며, 열람청구권 등 정보주체의 권리가 보장될 수 있도록 합리적인 절차와 방법 등을 마련하여야 한다.

6. 우정사업본부는 개인신용정보의 처리 목적에 필요한 범위에서 적법하게 개인신용정보를 처리하는 경우에도 정보주체의 사생활 침해를 최소화하는 방법으로 개인신용정보를 처리하여야 한다.

7. 우정사업본부는 개인신용정보를 적법하게 수집한 경우에도 익명에 의하여 업무 목적을 달성할 수 있으면 개인신용정보를 익명에 의하여 처리될 수 있도록 하여야 한다.

8. 우정사업본부는 관계 법령에서 규정하고 있는 책임과 의무를 준수하고 실천함으로써 정보주체의 신뢰를 얻기 위하여 노력하여야 한다.

② 개인신용정보 취급자는 제1항의 규정에 의한 개인신용정보 보호 기본방침을 따르고 개인신용정보를 보호하기 위하여 적극 노력하여야 한다.

제5조(다른 법률과의 관계) #

개인신용정보의 보호에 관하여 이 규정에 특별한 규정이 있는 경우를 제외하고는 「신용정보의 이용 및 보호에 관한 법률」(이하 "법"이라 한다) 및 동법 시행령ㆍ신용정보업감독규정에서 정하는 바에 따른다.

제5조의2(다른 지침과의 관계) #

각급 기관이 소관 분야의 개인신용정보 처리와 관련한 개인신용정보 보호지침을 정하는 경우 이 규정에 부합되도록 하여야 한다.

제6조(신용정보관리ㆍ보호인) #

① 각급 기관의 장은 개인신용정보 보호에 관한 업무를 총괄하는 신용정보 관리ㆍ보호인을 지정ㆍ운영하여야 한다.

② 신용정보관리ㆍ보호인을 지정하는 경우 다음 각 호의 구분에 따른다.

1. 우정사업본부 : 디지털혁신담당관

2. 소속기관

가. 고위공무원, 3급 공무원 또는 그에 상응하는 공무원을 장으로 하는 기관 : 해당기관의 개인정보처리업무를 담당하는 4급 이상 또는 그에 상응하는 공무원

나. 4급 공무원, 5급 공무원 또는 그에 상응하는 공무원을 장으로 하는 기관 : 해당기관의 개인정보처리업무를 담당하는 부서의 장

3. 산하기관 : 개인정보처리업무를 총괄하는 부서의 장

③ 신용정보관리ㆍ보호인은 다음 각 호의 업무를 수행한다.

1. 「개인정보 보호법」 제31조제2항제1호부터 제5호까지의 업무

2. 임직원 등의 개인신용정보보호 관련 법령 및 규정 준수 여부 점검

3. 개인신용정보의 수집ㆍ보유ㆍ제공ㆍ삭제 등 관리 및 보호 계획의 수립 및 시행

4. 개인신용정보의 수집ㆍ보유ㆍ제공ㆍ삭제 등 관리 및 보호 실태와 관련 설비 및 관행에 대한 정기적인 조사 및 개선

5. 개인신용정보 열람 및 정정청구 등 신용정보주체의 권리행사 및 피해구제

6. 개인신용정보 유출 등을 방지하기 위한 내부통제시스템의 구축 및 운영

7. 임직원 등에 대한 개인신용정보보호 교육계획의 수립 및 시행

8. [별표]의 본인신용정보관리업 수행에 필요한 정보처리ㆍ정보통신설비 요건 관련 사항 관리ㆍ감독

9. 그 밖에 개인신용정보의 관리 및 보호를 위하여 법령이 정하는 업무

10. 기타 개인신용정보 보호를 위하여 우정사업본부장이 지시하는 업무 및 서비스이용자의 개인신용정보 보호에 필요한 사항

④ 신용정보관리ㆍ보호인은 본조의 업무처리에 따른 기록을 3년간 보존하며, 점검결과를 경영진에 보고하고 업무처리절차에 적절히 반영하여야 한다.

⑤ 우정사업본부 신용정보관리ㆍ보호인은 본부 및 소속ㆍ산하기관 등에 대한 개인신용정보 보호업무를 총괄한다.

⑥ 우정사업본부 신용정보관리ㆍ보호인은 개인신용정보 오ㆍ남용에 대한 자체 제재기준을 마련하여야 한다.

⑦ 우정사업본부 신용정보관리ㆍ보호인은 처리하는 개인신용정보의 관리 및 보호 실태를 법령이 정하는 절차와 방법에 따라 정기적으로 점검하고, 그 결과를 금융위원회에 제출하여야 한다.

⑧ 우정사업본부 신용정보관리ㆍ보호인은 본인신용정보관리업 수행시 법령 등이 정하는 바에 따라 업무보고서를 금융감독원장에게 제출하여야 한다.

제7조(각급 기관의 개인신용정보 보호담당자) #

① 각급 기관의 장은 업무분야별 개인신용정보 보호담당자를 소관과 또는 팀(실)의 부서장 또는 우체국장 등으로 지정할 수 있다.

② ‘각급 기관의 개인신용정보 보호담당자’은 소관 과 또는 팀(실), 기관의 개인신용정보 보호업무를 지원하며 다음 각 호의 업무를 수행한다.

1. 개인신용정보 취급자 지정ㆍ관리ㆍ감독ㆍ교육

2. 개인신용정보파일 지정ㆍ관리ㆍ보호ㆍ파기ㆍ공개

3. 개인신용정보 보호 관련 자료 관리 및 제출

4. 개인신용정보 처리와 관련한 요구사항 처리

5. 개인신용정보 유출 통지 및 피해확산 방지

6. 개인신용정보 관련 개선 권고 및 시정 조치사항 이행 등

제8조(개인신용정보 취급자의 역할) #

① 업무상 개인신용정보를 취급하는 자로 처리하는 개인신용정보가 훼손 및 누설되지 않도록 안전하게 취급하여야 한다.

② 개인신용정보 취급자는 다음 각 호의 업무를 수행한다.

1. 개인신용정보 처리업무를 수행함에 있어서 처리되는 개인신용정보(개인신용정보의 수집-보유-이용 및 제공-파기단계)에 대한 보호관리

2. 개인신용정보의 열람, 정정, 삭제 시 보호관리

3. 개인신용정보 관련 규정 준수 및 보안서약서 제출

③ 직무상 알게 된 개인신용정보를 누설 또는 권한 없이 처리하거나 타인의 이용에 제공하는 등 부당한 목적을 위하여 사용하여서는 아니 된다.

④ 개인신용정보 취급자가 개인신용정보를 무단 조회하거나 오ㆍ남용 하는 경우 관계 법령에 따라 처벌될 수 있다.

⑤ 개인신용정보에 대해 업무 목적 외 불필요한 접근을 금지하고 개인신용정보 접근 권한을 임의로 양도 및 대여하여서는 아니 된다.

제9조(개인신용정보 보호 계획의 수립 및 시행) #

① 신용정보관리ㆍ보호인은 신용정보 보호에 필요한 업무를 수행하기 위한 연간 개인신용정보 보호 계획을 수립(연간 개인정보 보호계획에 포함하여 수립 할 수 있다.)하고 시행하여야 한다.

② 개인신용정보 보호 계획은 다음 각 호의 사항을 포함 한다.

1. 개인신용정보 보호담당자의 지정에 관한 사항

2. 개인신용정보 보호담당자 및 개인신용정보 취급자의 역할 및 책임에 관한 사항

3. 개인신용정보 취급자에 대한 개인신용정보 보호 교육

4. 기술적ㆍ관리적 보호조치 이행 여부의 내부점검 및 감사

5. 기술적ㆍ관리적 보호대책 수립 및 이행

6. 기타 개인신용정보 보호를 위하여 필요한 업무 계획

③ 자체 개인신용정보처리시스템을 운용하는 직할기관, 산하기관은 개인신용정보 보호 이행결과를 개인정보 보호 이행결과에 포함하여 매년 우정사업본부 신용정보관리ㆍ보호인에게 제출하여야 한다.

제10조(개인신용정보 보호교육) #

① 각급 기관의 장은 개인신용정보 유출로 인한 보안상의 위험요소를 최소화하기 위하여 다음 각호의 내용을 반영하여 개인신용정보 보호 교육계획을 수립ㆍ시행하여야 한다.

1. 신용정보 관리ㆍ보호인 및 개인신용정보 보호책임자 교육 : 연 1회

2. 개인신용정보 보호 취급자 교육 : 연 2회

② 개인신용정보 보호교육은 개인신용정보 보호책임자 또는 개인신용정보 보호실무자가 자체적으로 실시하거나 해당 분야의 전문기관에 위탁하여 실시할 수 있다.

③ 제1항의 개인신용정보 보호 교육계획 수립ㆍ시행은 개인정보 보호 교육계획 및 교육에 포함하여 실시할 수 있다.

제11조(수집ㆍ처리의 원칙) #

① 우정사업본부는 개인신용정보 수집 및 처리 시 법규 및 관련 규정의 업무 범위에서 수집 및 처리의 목적을 명확히 하여야 하며, 법 및 「개인정보 보호법」 제3조제1항 및 제2항에 따라 그 목적 달성에 필요한 최소한의 범위에서 합리적이고 공정한 수단을 사용하여 신용정보를 수집 및 처리하여야 한다.

② 우정사업본부는 개인신용정보를 수집할 때 해당 신용정보주체의 동의를 받아야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.

1. 「개인정보 보호법」 제15조제1항제2호부터 제6호까지의 어느 하나에 해당하는 경우

2. 다음 각 목의 어느 하나에 해당하는 정보를 수집하는 경우

가. 법령에 따라 공시(公示)되거나 공개된 정보

나. 출판물이나 방송매체 또는 「공공기관의 정보공개에 관한 법률」 제2조제3호에 따른 공공기관의 인터넷 홈페이지 등의 매체를 통하여 공시 또는 공개된 정보

다. 신용정보주체가 스스로 사회관계망서비스 등에 직접 또는 제3자를 통하여 공개한 정보. 이 경우 대통령령으로 정하는 바에 따라 해당 신용정보주체의 동의가 있었다고 객관적으로 인정되는 범위 내로 한정한다.

3. 제1호 및 제2호에 준하는 경우로서 대통령령으로 정하는 경우

③ 우정사업본부는 개인신용정보를 수집할 때 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다.

④ 우정사업본부는 법령 등에서 허용하지 않는 한 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보(이하 "민감정보"라 한다)를 처리하여서는 아니 된다.

⑤ 우정사업본부는 다음 각 호의 구분에 따라 개인신용정보의 처리에 대한 기록을 3년간 보존하여야 한다.

1. 개인신용정보를 수집ㆍ이용한 경우

가. 수집ㆍ이용한 날짜

나. 수집ㆍ이용한 정보의 항목

다. 수집ㆍ이용한 사유와 근거

2. 개인신용정보를 제공하거나 제공받은 경우

가. 제공하거나 제공받은 날짜

나. 제공하거나 제공받은 정보의 항목

다. 제공하거나 제공받은 사유와 근거

3. 개인신용정보를 폐기한 경우

가. 폐기한 날짜

나. 폐기한 정보의 항목

다. 폐기한 사유와 근거

4. 그 밖에 대통령령으로 정하는 사항

제12조(보유 기간) #

① 우정사업본부는 금융거래 등 상거래관계(고용관계는 제외한다. 이하 같다)가 종료된 날부터 3개월 간 해당 신용정보주체의 개인신용정보가 안전하게 보호될 수 있도록 접근권한을 강화하는 등 필요한 관리 조치를 취하여야 한다.

② 우정사업본부는 「개인정보 보호법」 제21조제1항에도 불구하고 금융거래 등 상거래관계가 종료된 날부터 최장 5년 이내(해당 기간 이전에 정보 수집ㆍ제공 등의 목적이 달성된 경우에는 그 목적이 달성된 날부터 3개월 이내)에 해당 신용정보주체의 개인신용정보를 관리대상에서 삭제하여야 한다. 다만, 다음 각 호의 경우에는 그러하지 아니하다.

1. 법령에 따른 의무를 이행하기 위하여 불가피한 경우

2. 개인의 급박한 생명ㆍ신체ㆍ재산의 이익을 위하여 필요하다고 인정되는 경우

3. 가명정보를 이용하는 경우로서 그 이용 목적, 가명처리의 기술적 특성, 정보의 속성 등을 고려하여 대통령령으로 정하는 기간 동안 보존하는 경우

4. 그 밖에 다음 각 목의 어느 하나에 해당하는 경우로서 대통령령으로 정하는 경우

가. 예금ㆍ보험금의 지급을 위한 경우

나. 보험사기자의 재가입 방지를 위한 경우

다. 개인신용정보를 처리하는 기술의 특성 등으로 개인신용정보를 보존할 필요가 있는 경우

라. 가목부터 다목까지와 유사한 경우로서 개인신용정보를 보존할 필요가 있는 경우

③ 우정사업본부가 제2항 단서에 따라 개인신용정보를 삭제하지 아니하고 보존하는 경우에는 현재 거래 중인 신용정보주체의 개인신용정보와 분리하는 등 대통령령으로 정하는 바에 따라 관리하여야 한다.

④ 우정사업본부는 제3항에 따라 분리하여 보존하는 개인신용정보를 활용하는 경우에는 신용정보주체에게 통지하여야 한다.

제13조(파기 원칙) #

우정사업본부는 개인신용정보 파기 시 다음 각 호에 따라 파기한다.

1. 개인신용정보의 파기 시 삭제 후 복구 및 재생되지 않는 방법으로 파기한다.

2. 보유 기간의 경과, 처리목적 달성, 해당 서비스의 폐지 등으로 해당 개인신용정보가 불필요하게 되었을 경우 5일 이내에 파기하여야 하며, 개인신용정보의 파기에 관한 사항을 기록ㆍ관리하여야 한다.

3. 개인신용정보파일의 보유기간, 처리목적 등을 반영한 개인신용정보 파기 계획을 수립하여 시행ㆍ확인하여야 하며, 개인신용정보의 파기 결과를 확인하여야 한다.

제14조(정보집합물의 결합) #

우정사업본부는 보유한 정보집합물을 제3자가 보유한 정보집합물과 결합하려는 경우에는 법 제26조의4에 따라 지정된 데이터전문기관을 통하여 결합하여야 한다.

제15조(개인신용정보 처리의 위탁) #

개인신용정보의 위탁 시 위탁자는 다음 각호의 사항을 준수한다.

1. 개인신용정보의 처리 등의 위탁 시 「개인정보 보호법」 제26조제1항부터 제3항까지의 규정을 준용한다.

2. 수탁자는 위탁받은 업무의 처리에 관하여 법 제19조부터 제21조까지, 제22조의4부터 제22조의7까지, 제22조의9, 제40조, 제43조, 제43조의2, 제45조, 제45조의2 및 제45조의3을 준용한다.

3. 위탁 시 수탁사 임직원 등은 보안서약서를 작성하여 위탁자에게 제출해야 한다.

4. 개인신용정보 처리 업무, 시설 및 서비스를 위탁하고자 하는 경우 수탁자가 클라우드 서버를 사용 시 수탁자는 위탁자에게 안전성 평가 결과서를 제출해야만 한다.

5. 해외 전산센터 및 무선망을 이용하는 자에게 개인정보(신용)처리업무, 시설 및 서비스 등을 위탁할 수 없다.

6. 수탁자는 위탁받은 업무를 제3자에게 위탁하여서는 아니 된다. 다만, 금융위원회가 인정하는 경우에는 그러하지 아니하다.

7. 위탁자는 신용정보의 처리를 위탁하기 위하여 수탁자에게 개인신용정보를 제공하는 경우 특정 신용정보주체를 식별할 수 있는 정보는 이 규정 제29조의 암호화 또는 봉함 등의 보호 조치를 하여야 한다.

8. 위탁자는 수탁자에게 신용정보를 제공한 경우 신용정보를 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손당하지 아니하도록 수탁자를 교육하여야 하고 수탁자의 안전한 신용정보 처리에 관한 사항을 위탁계약에 반영하여야 한다. 수탁자가 연 1회 이상 그 소속 임직원에 대한 교육을 실시한다는 내용이 위탁계약에 반영되어 있고, 수탁자가 그 위탁계약에 따라 해당 교육을 실시한 사실을 각급 기관이 확인한 경우에는 각급 기관이 수탁자의 소속 임직원에게 교육을 실시한 것으로 본다.

제16조(금지행위) #

개인신용정보취급자 등은 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.

1. 개인인 정보주체에게 개인신용정보의 전송요구를 강요하거나 부당하게 유도하는 행위

2. 개인신용정보를 우정사업본부(이하 "당사"라 한다.)에 대해서만 전송요구를 하도록 강요하거나 부당하게 유도하는 행위

3. 당사가 아닌 제3자에게 전송요구를 하지 않도록 강요ㆍ유도하거나 제3자에 대한 전송요구를 철회하도록 강요하는 행위(당사에 전송요구를 하는 방법보다 제3자에게 전송요구를 하는 방법을 어렵게 하는 행위를 포함한다)

4. 당사 또는 제3자에 대한 전송요구의 변경 및 철회의 방법을 최초 전송요구에 필요한 절차보다 어렵게 하는 행위

5. 당사에 대한 전송요구를 철회ㆍ변경한다는 이유로 정당한 이유 없이 수수료, 위약금 등 금전적, 경제적 대가를 요구하는 행위

6. 당사 및 개인의 이익을 위해 금융소비자에게 적합하지 않다고 인정되는 계약 체결을 추천 또는 권유하는 행위

7. 금융소비자에게 금융상품에 관한 중요한 사항을 이해할 수 있도록 설명하지 않는 행위

8. 개인인 신용정보주체의 요구에도 불구하고 해당 신용정보주체의 신용정보를 즉시 삭제하지 않는 행위

9. 당사가 보유한 개인인 신용정보주체의 신용정보 삭제 방법을 전송요구에 필요한 절차보다 어렵게 하는 행위

10. 개인인 신용정보주체의 동의 없이 전송요구의 내용을 변경하거나 신용정보법 제22조의9제3항제1호에 따른 신용정보제공ㆍ이용자등에게 신용정보주체 본인이 전송요구한 범위 이상의 개인신용정보를 요구하는 행위

11. 특정 고객의 이익을 해하면서 당사ㆍ자기 또는 제3자의 이익을 도모하는 행위

12. 신용정보주체를 대리하여 법 제39조의3제1항제5호, 제7호, 제8호에 따른 권리를 행사하는 경우 개인신용평가회사가 제공한 개인신용정보 및 그 산출에 이용된 개인신용정보를 신용정보주체가 열람한 후에 개인신용정보주체의 별도 동의 없이 저장하는 행위

13. 개인식별정보 등을 신용정보 주체의 동의 없이 유ㆍ무선 마케팅등에 활용하거나 제3의 기관에 제공하는 행위

14. 개인인 신용정보주체의 요구에도 불구하고 전송요구를 즉시 철회ㆍ변경하지 않는 행위

15. 개인인 신용정보주체의 전송요구를 이유로 신용정보제공ㆍ이용자등의 전산 설비에 과도하게 접근하여 부하를 일으키는 행위

16. 개인신용정보 전송 시 정기적 전송 여부 등을 고의로 변경하는 등 신용정보법 제22조의9제6항에 따른 비용의 지불을 회피하는 행위

17. 경제적 가치가 3만원을 초과하는 금전ㆍ편익ㆍ물품 등(추첨 등을 통하여 제공할 경우 평균 제공금액을 의미한다)을 제공하거나 제공할 것을 조건으로 하여 당사에 대해 전송요구권의 행사를 유도하거나 본인신용정보관리 서비스의 가입 등을 유도하는 행위

18. 본인신용정보관리서비스의 개발 및 주요기능 변경시 서비스 기능 등에 대해 금융보안원으로부터 적합성 심사를 받지 않거나 금융보안원, 「전자금융감독규정」 제37조의3제1항에 따른 "평가전문기관" 또는 같은 규정 제37조의2제2항에 따른 "자체전담반"으로부터 서비스 보안성에 대해 연 1회 이상 보안취약점 검검을 수행하지 않는 행위

19. 정보주체로부터 수집ㆍ이용동의를 받지 아니하였음에도 불구하고 당사에 개인신용정보의 전송요구를 하도록 권유하거나 유도하는 행위

20. 제3자에게 제공하여 판매할 목적으로 당사에 개인신용정보의 전송요구를 하도록 권유하거나 유도하는 행위

21. 「우체국금융 소비자보호 규정」의 준칙 등을 준수하지 않는 행위

22. 다음 각 목의 어느 하나에 해당하는 정보를 신용정보주체 본인 조회ㆍ분석 목적 이외의 목적으로 이용하거나 제3자에게 제공하는 행위

제17조(이해상충 방지) #

① 우정사업본부는 신용정보주체 등 금융소비자와의 이해상충이 발생하지 않도록 신용정보주체의 이익을 최우선으로 한다.

② 신용정보관리ㆍ보호인은 서비스등에 소비자에게 금융상품을 추천ㆍ권유하는 알고리즘을 적용 시 「우체국금융 소비자보호 규정」의 판매준칙을 준수해야 한다.

③ 신용정보관리ㆍ보호인은 금융상품 추천ㆍ권유 알고리즘의 「우체국금융 소비자보호 규정」 판매 준칙 준수 여부를 연 1회 이상 점검한다.

④ 금융소비자보호 주관부서는 신용정보관리ㆍ보호인에게 소비자보호 및 민원예방 등을 위해 금융상품 추천ㆍ권유 알고리즘에 대한 점검 및 조치 요구를 할 수 있다.

제18조(신용정보활용체제의 공시) #

① 우정사업본부는 다음 각 호의 사항을 포함한 신용정보활용체제를 우정사업본부의 홈페이지에 공시하여야 한다.

1. 관리하는 신용정보의 종류 및 이용 목적

2. 신용정보를 제공받는 자

3. 신용정보주체의 권리의 종류 및 행사 방법

4. 개인정보 보호책임자의 성명 또는 개인정보 보호업무 및 관련 고충사항을 처리하는 부서의 명칭과 전화번호 등 연락처

5. 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설치ㆍ운영 및 그 거부에 관한 사항

② 제1항 및 각 호의 공시사항을 변경하는 경우에는 정보주체가 쉽게 확인할 수 있도록 수립하거나 변경한 신용정보활용체제를 홈페이지에 지속적으로 게재하여야 한다.

제19조(개인신용정보의 제공ㆍ활용에 대한 동의) #

① 우정사업본부는 개인신용정보를 타인에게 제공하려는 경우에는 대통령령으로 정하는 바에 따라 해당 신용정보주체로부터 다음 각 호의 어느 하나에 해당하는 방식으로 개인신용정보를 제공할 때마다 미리 개별적으로 동의를 받아야 한다. 다만, 기존에 동의한 목적 또는 이용 범위에서 개인신용정보의 정확성ㆍ최신성을 유지하기 위한 경우에는 그러하지 아니하다.

1. 서면

2. 「전자서명법」 제2조제2호에 따른 전자서명이 있는 전자문서

3. 개인신용정보의 제공 내용 및 제공 목적 등을 고려하여 정보 제공 동의의 안정성과 신뢰성이 확보될 수 있는 유무선 통신으로 개인비밀번호를 입력하는 방식

4. 유무선 통신으로 동의 내용을 해당 개인에게 알리고 동의를 받는 방법. 이 경우 본인 여부 및 동의 내용, 그에 대한 해당 개인의 답변을 음성녹음하는 등 증거자료를 확보ㆍ유지하여야 하며, 대통령령으로 정하는 바에 따른 사후 고지절차를 거친다.

5. 그 밖에 대통령령으로 정하는 방식

② 개인신용정보 취급자는 개인신용정보의 제공 및 활용과 관련하여 동의를 받을 때에는 대통령령으로 정하는 바에 따라 서비스 제공을 위하여 필수적 동의사항과 그 밖의 선택적 동의사항을 구분하여 설명한 후 각각 동의를 받아야 한다. 이 경우 필수적 동의사항은 서비스 제공과의 관련성을 설명하여야 하며, 선택적 동의사항은 정보제공에 동의하지 아니할 수 있다는 사실을 고지하여야 한다.

③ 우정사업본부는 신용정보주체가 선택적 동의사항에 동의하지 아니한다는 이유로 신용정보주체에게 서비스의 제공을 거부하여서는 아니 된다.

④ 우정사업본부는 개인신용정보를 제공하는 경우에는 개인신용정보를 제공받는 자로부터 제공받는 자의 성명, 주민등록번호 및 주소(법인의 경우에는 법인명, 대표자의 성명 및 본점 소재지) 등의 인적사항과 정보이용목적이 기재된 의뢰서 및 이용목적을 확인할 수 있는 근거서류를 받아야 하고, 신분증명서 및 서류에 따라 제공받는 자의 신원을 확인하여야 한다.

제20조(개인신용정보의 이용) #

개인신용정보는 다음 각 호의 어느 하나에 해당하는 경우에만 이용하여야 한다.

1. 해당 신용정보주체가 신청한 금융거래 등 상거래관계의 설정 및 유지 여부 등을 판단하기 위한 목적으로 이용하는 경우

2. 제1호의 목적 외의 다른 목적으로 이용하는 것에 대하여 신용정보 주체로부터 동의를 받은 경우

3. 개인이 직접 제공한 개인신용정보(그 개인과의 상거래에서 생긴 신용정보를 포함한다)를 제공받은 목적으로 이용하는 경우(상품과 서비스를 소개하거나 그 구매를 권유할 목적으로 이용하는 경우는 제외한다)

4. 그 밖에 대통령령으로 정하는 경우

제21조(개인신용정보의 전송요구) #

① 개인인 신용정보주체는 우정사업본부에게 그가 보유하고 있는 본인에 관한 개인신용정보를 다음 각 호의 어느 하나에 해당하는 자에게 전송하여 줄 것을 요구할 수 있다.

1. 해당 신용정보주체 본인

2. 본인신용정보관리회사

3. 대통령령으로 정하는 신용정보제공ㆍ이용자

4. 개인신용평가회사

5. 그 밖에 제1호부터 제4호까지의 규정에서 정한 자와 유사한 자로서 대통령령으로 정하는 자

② 제1항에 따라 개인인 신용정보 주체는 대통령령으로 정해진 본인에 관한 개인신용정보의 전송을 우정사업본부에게 요구할 수 있다.

③ 제1항에 따라 본인으로부터 개인신용정보의 전송요구를 받은 우정사업본부는 법 제32조 및 다음 각 호의 어느 하나에 해당하는 법률의 관련 규정에도 불구하고 지체 없이 본인에 관한 개인신용정보를 컴퓨터 등 정보처리장치로 처리가 가능한 형태로 전송하여야 한다.

1. 「금융실명거래 및 비밀보장에 관한 법률」 제4조

2. 「국세기본법」 제81조의13

3. 「지방세기본법」 제86조

4. 「개인정보 보호법」 제18조

5. 그 밖에 제1호부터 제4호까지의 규정에서 정한 규정과 유사한 규정으로서 대통령령으로 정하는 법률의 관련 규정

④ 제3항에 따라 개인신용정보를 제공한 우정사업본부는 법 제32조제7항 및 다음 각 호의 어느 하나에 해당하는 법률의 관련 규정에도 불구하고 개인신용정보의 전송 사실을 해당 신용정보주체 본인에게 통보하지 아니할 수 있다.

1. 「금융실명거래 및 비밀보장에 관한 법률」 제4조의2

2. 그 밖에 개인신용정보의 처리에 관한 규정으로서 대통령령으로 정하는 법률의 관련 규정

⑤ 개인인 신용정보주체는 제1항에 따른 전송요구를 철회할 수 있다.

⑥ 제1항에 따라 본인으로부터 개인신용정보의 전송요구를 받은 우정사업본부는 신용정보주체의 본인 여부가 확인되지 아니하는 경우 등 법령에서 정해진 경우에는 전송요구를 거절하거나 전송을 정지ㆍ중단할 수 있다.

제22조(개인신용정보 등의 활용에 관한 동의의 원칙) #

① 우정사업본부는 제11조제2항, 제19조제1항, 제20조제2호에 따라 신용정보주체로부터 정보활용 동의를 받는 경우 「개인정보 보호법」 제15조제2항, 제17조제2항 및 제18조제3항에 따라 신용정보주체에게 해당 각 조항에서 규정한 사항을 알리고 정보활용 동의를 받아야 한다. 다만, 전화 등 동의 방식의 특성상 동의 내용을 전부 표시하거나 알리기 어려운 경우로서 신용정보회사등의 인터넷 홈페이지 주소나 사업자 전화번호 등 동의내용을 확인할 수 있는 방법을 안내하고 동의를 받는 경우나 법 또는 다른 법령에서 별도로 정한 경우에는 그러하지 아니하다.

② 우정사업본부는 다음 각 호의 사항을 고려하여 개인인 신용정보주체로부터 정보활용 동의를 받아야 한다.

1. 보다 쉬운 용어나 단순하고 시청각적인 전달 수단 등을 사용하여 신용정보주체가 정보활용 동의 사항을 이해할 수 있도록 할 것

2. 정보활용 동의 사항과 금융거래 등 상거래관계의 설정 및 유지 등에 관한 사항이 명확하게 구분되도록 할 것

3. 정보를 활용하는 신용정보회사등이나 정보활용의 목적별로 정보활용 동의 사항을 구분하여 신용정보주체가 개별적으로 해당 동의를 할 수 있도록 할 것

제23조(신용정보 이용 및 제공사실의 조회) #

① 우정사업본부는 개인신용정보를 이용하거나 제공한 경우 대통령령으로 정하는 바에 따라 다음 각 호의 구분에 따른 사항을 신용정보주체가 조회할 수 있도록 하여야 한다. 다만, 내부 경영관리의 목적으로 이용하거나 반복적인 업무위탁을 위하여 제공하는 경우 등 법령에서 정해진 경우에는 그러하지 아니하다.

1. 개인신용정보를 이용한 경우: 이용 주체, 이용 목적, 이용 날짜, 이용한 신용정보의 내용, 그 밖에 대통령령으로 정하는 사항

2. 개인신용정보를 제공한 경우: 제공 주체, 제공받은 자, 제공 목적, 제공한 날짜, 제공한 신용정보의 내용, 그 밖에 대통령령으로 정하는 사항

② 우정사업본부는 제1항에 따라 조회를 한 신용정보주체의 요청이 있는 경우 개인신용정보를 이용하거나 제공하는 때에 제1항 각 호의 구분에 따른 사항을 법령이 정하는 바에 따라 신용정보주체에게 통지하여야 한다.

③ 우정사업본부는 신용정보주체에게 제2항에 따른 통지를 요청할 수 있음을 알려주어야 한다.

제24조(상거래 거절 근거 신용정보의 고지 등) #

우정사업본부는 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사(기업정보조회업무만 하는 기업신용조회회사는 제외한다) 및 신용정보집중기관으로부터 제공받은 개인신용정보로서 상대방과의 상거래관계 설정을 거절하거나 중지한 경우에는 해당 신용정보주체의 요구가 있으면 그 거절 또는 중지의 근거가 된 정보 중 법에서 정하는 사항을 본인에게 고지하여야 한다.

제25조(개인신용정보 제공 동의 철회권 등) #

① 개인인 신용정보주체는 개인의 신용도 등을 평가하기 위한 목적 외의 목적으로 행한 개인신용정보 제공 동의를 철회할 수 있다.

② 개인인 신용정보주체는 상품이나 용역을 소개하거나 구매를 권유할 목적으로 본인에게 연락하는 것을 중지하도록 청구할 수 있다.

③ 우정사업본부는 서면, 전자문서에 의한 방법으로 제1항 및 제2항에 따른 권리의 내용, 행사방법 등을 거래 상대방인 개인에게 고지하고, 거래 상대방이 제1항 및 제2항의 요구를 하면 즉시 이에 따라야 한다.

④ 우정사업본부는 제2항에 따른 청구에 따라 발생하는 전화요금 등 금전적 비용을 개인인 신용정보주체가 부담하지 아니하도록 수신자 부담 전화, 수취인 부담 우편 등의 조치를 취하여야 하고, 제3에 따른 의무를 이행하기 위한 절차를 갖추어야 한다.

제26조(신용정보의 열람 및 정정청구 등) #

① 신용정보주체는 본인의 신분을 나타내는 증표를 내보이거나 전화, 인터넷 홈페이지의 이용 등의 방법으로 본인임을 확인받아 신용정보주체 본인에 관한 신용정보로서 법에 따라 전송을 요구할 수 있는 신용정보의 교부 또는 열람을 청구할 수 있다.

② 제1항에 따라 자신의 신용정보를 열람한 신용정보주체는 본인 신용정보가 사실과 다른 경우에는 정정대상정보와 정정청구사유를 기재하여 서면 또는 인터넷홈페이지를 통해 정정을 청구할 수 있다.

③ 우정사업본부는 제2항에 따라 정정청구를 받은 경우 정정청구에 정당한 사유가 있다고 인정하면 지체 없이 해당 신용정보의 제공ㆍ이용을 중단한 후 사실인지를 조사하여 사실과 다르거나 확인할 수 없는 신용정보는 삭제하거나 정정하여야 한다.

④ 제3항에 따라 신용정보를 삭제하거나 정정한 각급 기관은 해당 신용정보를 최근 6개월 이내에 제공받은 자와 해당 신용정보주체가 요구하는 자에게 해당 신용정보에서 삭제하거나 정정한 내용을 알려야 한다.

⑤ 우정사업본부는 제3항 및 제4항에 따른 처리결과를 7일 이내에 해당 신용정보주체에게 알려야 한다.

제27조(개인신용정보의 삭제 요구) #

① 신용정보주체는 금융거래 등 상거래관계가 종료되고 법령에서 정하는 기간이 경과한 경우 우정사업본부에게 본인의 개인신용정보의 삭제를 요구할 수 있다. 다만, 법 제20조의2제2항 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.

② 우정사업본부는 제1항의 요구를 받았을 때에는 지체 없이 해당 개인신용정보를 삭제하고 그 결과를 신용정보주체에게 통지하여야 한다.

③ 우정사업본부는 신용정보주체의 요구가 제1항 단서에 해당될 때에는 다른 개인신용정보와 분리하는 등 법령에서 정하는 바에 따라 관리하여야 하며, 그 결과를 신용정보주체에게 통지하여야 한다.

제28조(개인신용정보의 누설통지 등) #

① 신용정보관리ㆍ보호인은 개인신용정보가 업무 목적 외로 누설되었음을 알게 된 때에는 지체 없이 해당 신용정보주체에게 통지하여야 한다. 이 경우 통지하여야 할 사항은 「개인정보 보호법」 제34조제1항 각 호의 사항을 준용한다.

② 신용정보관리ㆍ보호인은 개인신용정보가 누설된 경우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 한다.

③ 신용정보관리ㆍ보호인은 대통령령으로 정하는 규모 이상의 개인신용정보가 누설된 경우 제1항에 따른 통지 및 제2항에 따른 조치결과를 지체 없이 금융위원회 또는 대통령령으로 정하는 기관(이하 이 조에서 "금융위원회등"이라 한다)에 신고하여야 한다.

제29조(가명처리ㆍ익명처리에 관한 행위규칙) #

① 우정사업본부는 가명처리에 사용한 추가정보를 대통령령으로 정하는 방법으로 분리하여 보관하거나 삭제하여야 한다.

② 신용정보관리ㆍ보호인은 가명처리한 개인신용정보에 대하여 제3자의 불법적인 접근, 입력된 정보의 변경ㆍ훼손 및 파괴, 그 밖의 위험으로부터 가명정보를 보호하기 위하여 내부관리계획을 수립하고 접속기록을 보관하는 등 대통령령으로 정하는 바에 따라 기술적ㆍ물리적ㆍ관리적 보안대책을 수립ㆍ시행하여야 한다.

③ 신용정보관리ㆍ보호인은 개인신용정보에 대한 익명처리가 적정하게 이루어졌는지 여부에 대하여 금융위원회에 그 심사를 요청할 수 있다.

④ 신용정보관리ㆍ보호인은 영리 또는 부정한 목적으로 특정 개인을 알아볼 수 있게 가명정보를 처리하여서는 아니 된다.

⑤ 신용정보관리ㆍ보호인은 가명정보를 이용하는 과정에서 특정 개인을 알아볼 수 있게 된 경우 즉시 그 가명정보를 회수하여 처리를 중지하고, 특정 개인을 알아볼 수 있게 된 정보는 즉시 삭제하여야 한다.

⑥ 신용정보관리ㆍ보호인은 개인신용정보를 가명처리나 익명처리를 한 경우 다음 각 호의 구분에 따라 조치 기록을 3년간 보존하여야 한다.

1. 개인신용정보를 가명처리한 경우

가. 가명처리한 날짜

나. 가명처리한 정보의 항목

다. 가명처리한 사유와 근거

2. 개인신용정보를 익명처리한 경우

가. 익명처리한 날짜

나. 익명처리한 정보의 항목

다. 익명처리한 사유와 근거

제30조(손해배상의 보장) #

신용정보관리ㆍ보호인은 법 제43조에 따른 손해배상책임의 이행을 위하여 금융위원회가 정하는 기준에 따라 보험 또는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 하여야 한다.

제31조(접근통제) #

① 신용정보관리ㆍ보호인은 개인신용정보를 처리할 수 있도록 체계적으로 구성한 전산시스템(이하 "개인신용정보처리시스템"이라 한다)에 대한 접근권한을 서비스제공을 위하여 필요한 최소한의 인원에게만 부여한다.

② 신용정보관리ㆍ보호인은 전보 또는 퇴직 등 인사이동이 발생하여 신용정보관리ㆍ보호인의 지휘ㆍ감독을 받아 개인신용정보를 처리하는 업무를 담당하는 자(이하 "개인신용정보취급자"라 한다)가 변경되었을 경우 지체 없이 개인신용정보처리시스템의 접근권한을 변경 또는 말소한다.

③ 신용정보관리ㆍ보호인은 제1항 및 제2항에 따른 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관한다.

④ 신용정보관리ㆍ보호인은 개인신용정보처리시스템에 침입차단시스템과 침입탐지시스템을 설치하여 보호한다.

⑤ 신용정보관리ㆍ보호인은 개인신용정보주체 및 개인신용정보취급자가 생일, 주민등록번호, 전화번호 등 추측하기 쉬운 숫자를 비밀번호로 이용하지 않도록 비밀번호 작성규칙을 수립하고 이행한다.

⑥ 신용정보관리ㆍ보호인은 취급 중인 개인신용정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람 권한이 없는 자에게 공개되지 않도록 개인신용정보처리시스템 및 개인신용정보취급자의 PC를 설정한다.

⑦ 신용정보관리ㆍ보호인은 제휴, 위탁 또는 외부주문에 의한 개인신용정보처리시스템, 신용평가모형 또는 위험관리모형 개발업무에 사용되는 업무장소 및 전산설비는 내부 업무용과 분리하여 설치ㆍ운영한다.

⑧ 신용정보관리ㆍ보호인은 업무목적을 위하여 불가피한 경우에만 외부사용자에게 개인신용정보처리시스템에 대한 최소한의 접근권한을 부여하고, 권한 부여에 관한 기록을 3년 이상 보관하는 등 적절한 통제시스템을 갖추어야 한다.

제32조(접속기록의 위ㆍ변조방지) #

① 신용정보관리ㆍ보호인은 개인신용정보취급자가 개인신용정보처리시스템에 접속하여 개인신용정보를 처리한 경우에는 처리일시, 처리내역 등 접속기록을 저장하고 이를 월 1회 이상 정기적으로 확인ㆍ감독한다.

② 신용정보관리ㆍ보호인은 개인신용정보처리시스템의 접속기록을 1년 이상 저장하고, 위ㆍ변조되지 않도록 별도 저장장치에 백업 보관한다.

제33조(개인신용정보의 암호화) #

① 우정사업본부는 비밀번호, 생체인식정보 등 본인임을 인증하는 정보는 암호화하여 저장하며, 이를 조회할 수 없도록 하여야 한다. 다만, 조회가 불가피하다고 인정되는 경우에는 그 조회사유ㆍ내용 등을 기록ㆍ관리하여야 한다.

② 우정사업본부는 정보통신망을 통해 개인신용정보 및 인증정보를 송ㆍ수신할 때에는 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다. 보안서버는 다음 각 호의 어느 하나의 기능을 갖추어야 한다.

1. 웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 개인신용정보를 암호화하여 송ㆍ수신하는 기능

2. 웹서버에 암호화 응용프로그램을 설치하여 개인신용정보를 암호화하여 송ㆍ수신하는 기능

③ 개인신용정보취급자는 개인신용정보를 PC에 저장할 때에는 이를 암호화해야 한다.

④ 개인신용정보취급자는 다음 각 호의 기준에 따라 개인식별정보의 암호화 등의 조치를 취하여야 한다.

1. 정보통신망을 통하여 송수신하거나 보조저장매체를 통하여 전달하는 경우에는 암호화하여야 한다.

2. 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone)에 저장할 때에는 암호화하여야 한다.

3. 개인신용정보취급자가 내부망에 개인식별정보를 저장하는 경우에는 암호화하여야 한다. 다만, 영 제2조제2항 각 호의 정보 중 주민등록번호 외의 정보를 저장하는 경우에는 다음 각 목의 기준에 따라 암호화의 적용여부 및 적용범위를 정하여 시행할 수 있다.

가. 「개인정보 보호법」 제33조에 따른 개인정보 영향평가의 대상이 되는 공공기관의 경우에는 해당 개인정보 영향평가의 결과

나. 그 밖의 경우에는 개인신용정보처리시스템에 적용되고 있는 개인신용정보 보호를 위한 수단과 개인신용정보 유출시 신용정보주체의 권익을 해할 가능성 및 그 위험의 정도를 분석한 결과

4. 업무용 컴퓨터 또는 모바일 기기에 저장하여 관리하는 경우에는 상용 암호화 소프트웨어 또는 안전한 알고리즘을 사용하여 암호화하여야 한다.

⑤ 개인신용정보의 처리를 위탁하는 경우 개인식별번호를 암호화하여 수탁자에게 제공하여야 한다.

제34조(컴퓨터바이러스 방지) #

① 신용정보 관리ㆍ보호인은 개인신용정보처리시스템 및 개인신용정보취급자가 개인신용정보 처리에 이용하는 정보처리기기에 컴퓨터바이러스, 스파이웨어 등 악성프로그램의 침투 여부를 항시 점검ㆍ치료할 수 있도록 백신소프트웨어를 설치한다.

② 제1항에 따른 백신 소프트웨어는 월 1회 이상 주기적으로 갱신ㆍ점검하고, 바이러스 경보가 발령된 경우 및 백신 소프트웨어 제작 업체에서 업데이트 공지를 한 경우에는 즉시 최신 소프트웨어로 갱신ㆍ점검한다.

제35조(출력ㆍ복사시 보호조치) #

① 개인신용정보취급자는 개인신용정보처리시스템에서 개인신용정보의 출력시(인쇄, 화면표시, 파일생성 등) 용도를 특정하여야 하며, 용도에 따라 출력 항목을 최소화한다.

② 신용정보 관리ㆍ보호인은 개인신용정보취급자가 개인신용정보를 조회(활용)하는 경우 조회자의 신원, 조회일시, 대상정보, 목적, 용도 등의 기록을 관리하여야 하며, 개인신용정보취급자가 개인신용정보를 보조저장매체에 저장하거나 이메일 등의 방법으로 외부에 전송하는 경우에는 신용정보 관리ㆍ보호인의 사전 승인을 받아야 한다.

③ 신용정보관리ㆍ보호인은 제1항 및 제2항의 준수에 필요한 내부시스템을 구축하여야 하며 개인신용정보 보호담당자는 사전 승인시 승인신청자에게 관련 법령을 준수하여야 한다는 사실을 주지시켜야 한다.

제36조(재해 및 재난 대비) #

① 신용정보관리ㆍ보호인은 개인신용정보의 안정적 관리를 위해 주기적으로 재해 및 재난 대비훈련을 시행한다.

② 재해 및 재난 사고 발생 시 개인신용정보관리ㆍ보호인은 「우정사업본부 재해재난 대비 개인정보처리시스템 위기대응 매뉴얼」등에 따라 개인신용정보 보호를 위한 안전조치를 실시해야 한다.

제37조(개인신용정보의 조회권한 구분) #

① 신용정보관리ㆍ보호인은 개인신용정보 조회 권한이 직급별ㆍ업무별로 차등 부여되도록 하여야 한다.

② 신용정보관리ㆍ보호인은 개인신용정보의 조회기록에 대하여는 다음 각 호에 따라 주기적으로 그 적정성 여부를 점검하여야 하며, 점검결과를 업무에 반영하여야 한다.

1. 개인신용정보취급자의 개인신용정보 취급상황을 확인할 수 있는 수단 및 이의 점검ㆍ감사체제 정비

2. 개인신용정보 이상 과다 조회 부서 및 직원 등에 대해 수시 점검 실시

가. 조회 권한을 초과하여 고객 정보 조회를 일정횟수 이상 시도한 직원에 대한 통제장치 마련

나. 영업점 및 신용정보 관리부서의 개인신용정보 조회 건수에 대해 정기적으로 점검하고 조회건수가 평소보다 급증한 부서 및 직원들을 샘플링하여 점검 실시

③ 신용정보 관리ㆍ보호인은 개인신용정보취급자가 입력하는 조회사유의 정확성 등 신용조회기록의 정확성을 점검하여야 한다.

제38조(직무 분리) #

신용정보관리ㆍ보호인은 개인신용정보 보호를위해 관련 직무를 분리ㆍ운영하여야 한다. 직무 분리에 대해서는 「전자금융감독규정」 제26조를 준용한다.