부산은행 금감원 제재공시 · 2014-12-10

검사결과 공개안

1. 금융회사명 : 부산은행

2. 조치일 : 2014. 12. 10.

3. 조치내용

[표]

조치대상 | 조치내용

기 관 | 개선 1건, 경영유의 4건

임 직 원 | 해당사항 없음

[/표]

4. 조치 대상 사실

가. 개선사항(1건)

(1) 보조기억매체 관리절차 개선

「신용정보업감독규정」제20조 및 <별표3>, 「전자금융감독규정」제13조 등에 의하면 은행은 개인신용정보를 저장 매체에 저장하거나 이메일 등으로 외부 전송하는 경우 개인신용정보취급자의 사전승인을 받아야 하며, 정기적으로 보조기억 매체의 보유현황 및 관리 실태를 점검하고 책임자의 확인을 받아야 하므로

이메일로 외부전송하는 경우에는 책임자급 이상이 사전승인하고, 익일감사항목에 외부전송 문서의 암호화 해제 및 사유의 적정성을 포함시켜 감사통할 책임자가 문서반출현황을 확인하고 있으며, USB 배포・수령 및 문서보안해제 승인을 받고 있으나

부서장급 이상은 직접 암호화해제가 가능하고, 기 배포된 USB에 대한 사후적인 점검 절차를 마련하고 있지 않는 등 보조기억매체 관리절차가 불합리하므로 부서장급 이상의 경우 암호화해제시 △△△△부 등의 승인을 받도록 하고 USB 보유 및 이용현황을 정기적으로 점검하는 등 보조기억매체 관리절차를 개선하시기 바람

나. 경영유의사항(4건)

(1) 개인정보 수집 항목 최소화

「개인정보보호법」제15조, 제16조 등에 의하면 은행은 정보 주체의 동의를 받은 경우에도 목적에 필요한 최소한의 범위에서 개인정보를 수집하여야 하는데

현재 수집중인 개인정보 중에는 현 거주지 전입일, 결혼일, 자가용차 보유여부 등거래목적 달성과 밀접한 관련성이 없는 정보도 일부 포함되어 있으므로

그간 축적된 개인정보 중 제외 가능한 정보를 삭제하고, 향후 개인정보를 수집함에 있어서도 부서별 서식에서 제외가능 항목을 삭제하는 등 개인정보 수집 범위를 최소화할 필요가 있음

(2) 개인정보 수탁자에 대한 교육· 점검 관리 강화

「개인정보보호법」제26조 제4항 등에 의하면 개인정보처리자인 은행은 제3자에게 개인정보 처리업무를 위탁하는 경우 업무 위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 않도록 수탁자를 교육하고, 처리 현황 점검 등 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 하는데

개인정보처리 수탁자 중 일부 업체에 대한 고객정보 보호 교육이 누락되거나 처리현황에 대한 점검이 이루어지지 않고 있으므로 누락 업체에 대한 교육 실시, 정기· 상시적인 수탁업체 점검의 제도화 등 외주업체 관리를 강화할 필요가 있음

(3) 고객정보 처리 위탁시 계약서 내용 보완 등 관리 강화

「개인정보보호법」제26조 제1항 등에 의하면 개인정보처리자인 은행은 제3자에게 개인정보 처리업무를 위탁하는 경우 목적외 개인정보 처리 금지, 개인정보의 기술적·관리적 보호조치에 관한 사항 등 필수항목이 반영된 문서에 의하여야 하는데도

현행 고객정보 처리위탁계약서에는 위 필수항목 중 일부가 누락되었으므로 별도 약정 체결 등의 방법으로 외주업체 관리를 강화할 필요가 있음

(4) 정보처리업무 수탁자의 재하청 등에 대한 관리 강화

「전자금융감독규정」 제60조 등에 의하면 은행은 전자금융거래를 위해 정보처리업무를 외부에 위탁하는 경우 수탁자가 사전 동의 없이 다시 외부주문 등 계약을 체결하거나 계약업체를 변경하지 못하도록 하여야 하는데

정보처리업무 수탁자의 재하청 여부를 관리하지 않아 재하청이 발생할 가능성이 있으므로 정기적으로 재하청 여부를 점검할 필요가 있음(검사대상 기간 중 재위탁 제한을 위반한 수탁자는 없음)