농협은행주식회사 금감원 제재공시 · 2014-12-10

검사결과 공개안

1. 금융회사명 : 농협은행주식회사

2. 조치일 : 2014. 12. 10.

3. 조치내용

[표]

조치대상 | 조치내용

기 관 | 개선 2건, 경영유의 2건

임 직 원 | 해당사항 없음

[/표]

4. 조치 대상 사실

가. 개선사항(2건)

(1) 개인신용정보 저장․전송시 관리절차 개선

「신용정보업감독규정」제20조 및 <별표3>, 「전자금융감독규정」제13조 등에 의하면 은행은 개인신용정보를 저장 매체에 저장하거나 이메일 등으로 외부 전송하는 경우 개인신용정보취급자의 사전승인을 받아야 하며, 정기적으로 보조기억 매체의 보유현황 및 관리 실태를 점검하고 책임자의 확인을 받아야 하는데

단말보안프로그램을 통해 보조기억매체 저장시 승인절차를 마련하여 통제하고 있으며 업무용PC 및 인터넷전용PC에서 이메일 전송시 전송내역을 기록・관리하고 있으나,

보조기억매체에 저장되거나 이메일을 통해 전송되는 파일에 개인신용정보가 포함되었는지 여부에 대한 사전 모니터링․점검기능이 구축되어 있지 않는 등 관리절차가 불합리하므로 이를 개선하시기 바람

(2) 신용정보 조회기록 관리시스템 개선

「전자금융업감독규정」제13조, 「신용정보업감독규정」<별표3> 등에 의하면 고객정보를 조회하는 경우 조회자의 신원, 조회일시, 대상정보, 목적, 용도 등을 기록・관리 하여야 하는데

신용정보가 포함되지 않은 고객정보를 조회하는 경우 조회자의 신원, 조회일시 대상정보 등이 기록・관리되지 않고 있으므로 신용정보가 포함되지 않은 고객정보에 대해서도 조회기록 관리가 가능하도록 관련 시스템을 개선하시기 바람

나. 경영유의사항(2건)

(1) 개인정보 수집 항목 최소화

「개인정보보호법」제15조, 제16조 등에 의하면 은행은 정보 주체의 동의를 받은 경우에도 목적에 필요한 최소한의 범위에서 개인정보를 수집하여야 하는데

대출상담 및 신청서 등에서 수집중인 개인정보에는 전세여부, 근무 부서 등 거래목적 달성과 밀접한 관련이 없는 정보도 일부 포함되어 있으므로

그간 축적된 개인정보 중 제외 가능한 정보를 삭제하고, 대출상담 및 신청서 등에서 거래목적 달성과 밀접한 관련이 없는 정보를 삭제하는 등 개인정보 수집 범위를 최소화할 필요가 있음

(2) 개인정보 수탁자에 대한 교육 및 점검 등 관리 강화

「개인정보보호법」제26조 제4항 등에 의하면 개인정보처리자인 은행은 제3자에게 개인정보 처리업무를 위탁하는 경우 업무 위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 않도록 수탁자를 교육하고, 처리 현황 점검 등 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 하는데

검사착수일 현재 은행으로부터 고객정보 처리업무를 위탁받은 수탁업체중 일부로부터 개인정보 파기 현황을 보고받지 않는 등 수탁업체의 고객정보 처리 현황에 대한 점검이 미흡하므로 이를 강화할 필요가 있음