신용협동조합중앙회 금감원 제재공시 · 2024-12-10

제재내용 공개안

1. 금융회사명 : 신용협동조합중앙회

2. 제재조치일 : 2024. 12. 10.

3. 제재조치내용

제재대상 제재내용

기관 ◦ 기관경고

◦ 과징금 2,872백만원, 과태료 113.6백만원

◦ 퇴직자 위법 부당사항(면직 상당) 1명

·

◦ 정직3월 1명

직원 ◦ 퇴직자 위법 부당사항(견책 상당) 1명

·

(6명) ◦ 퇴직자 위법 부당사항(감봉3월 상당) 1명

·

◦ 주의 1명

◦ 퇴직자 위법 부당사항(주의 상당) 1명

·

4. 제재대상사실

가. 문책사항

(1) 개인신용정보 업무 목적 외 누설

신용정보의 이용 및 보호에 관한 법률」 제42조 등에 의하면 신용정보회사등은 「

업무상 알게 된 타인의 신용정보 및 사생활 등 개인적 비밀을 업무 목적 외에 누설하 거나 이용하여서는 아니 되는데도

신용협동조합중앙회(이하 ‘신협중앙회’) 직원 甲은 A지역본부의 ○○○○○으로 근무하면서 수집한 개인신용정보(18,465건) 가 포함된 문서(검사서 및 민원조사서 등

*

파일)를 퇴직 이후 감사로 이직할 예정이었던 B신협의 감사업무에 참고할 목적으로

및 1.29. 동 조합의 직원에게 그룹웨어 내 이메일로 전송(총 60회)함으로써 2019.1.9.

개인신용정보를 업무 목적 외로 누설하였음

* 조합원명, 여신계좌번호, 여신 취급액 및 잔액 등

< 관련법규 >

1. ｢신용정보의 이용 및 보호에 관한 법률｣ 제42조

(2) 신용정보전산시스템 안전보호 의무위반 등에 따른 개인신용정보 유출

㈎ 신용정보전산시스템의 안전보호 의무 위반

신용정보의 이용 및 보호에 관한 법률」 제19조 및 「동법 시행령」 제16조 제1항 「

및 제2항, 「신용정보업감독규정」 제20조 [별표 3]에 의하면 신용정보제공 이용자는 신 ·

용정보전산시스템의 안전보호를 위해 기술적 물리적 관리적 보안대책을 수립 시행하도록

· · ·

정함에 따라

신용정보제공 이용자는 취급 중인 개인신용정보를 PC에 저장시 이를 암호화하여야

·

하고, 개인신용정보취급자가 개인신용정보를 이메일 등의 방법으로 외부에 전송하는

경우 관리책임자의 사전 승인을 받아야 하며, 신용정보관리 보호인을 통하여 개인신용 ·

정보 처리 실태 등에 대하여 정기적인 조사 개선 및 개인정보 유출방지를 위한 내부

·

통제시스템을 구축하여야 하나,

① 신용협동조합중앙회는 2019.1.8.∼2021.12.7. 기간 중 내부 업무용 단말기(PC)에

고객 및 임직원의 개인신용정보를 암호화하지 않고 평문으로 저장하였고,

② 보관 중인 개인신용정보를 중앙회 그룹웨어 내 이메일을 통해 개별조합(외부

법인)으로 전송하면서 사전 승인절차를 마련하지 않아 관리책임자의 사전 승인이 이루어지지 않았으며,

③ 동 중앙회 신용정보관리 보호인은 개인신용정보의 암호화 및 외부 반출입 통

·

제 등 중앙회의 개인신용정보 처리실태 및 관행에 대하여 정기적인 조사 개 ·

선 및 내부통제절차를 구축하지 못하였음

이로 인해, 퇴직예정이던 직원이 개인신용정보가 포함된 조합검사서, 민원조사서 등을 업무목적 외로 부당 유출하였는데도 중앙회는 이를 사전에 인지 또는 차단하지 못하였음

- 2 -

㈏ 전산자료 보호대책 수립·운용의무 위반

전자금융거래법」 제21조, 「전자금융감독규정」 제7조 제3호 및 제13조 제1항 제5 「

호에 의하면, 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 전산자료의 반 출 반입 통제를 포함한 전산자료 보호대책을 수립 운용하여야 하는데도,

· ·

신용협동조합중앙회는 2019.1.8.∼2021.12.7. 기간 중 중앙회 그룹웨어 내 이메일을 통해 전산자료를 개별조합(외부 법인)으로 전송 시 관리책임자의 승인 또는 확인절차를 거치지 않는 등 통제대책을 미수립하여 중앙회 내부 검사서 및 민원서류 등 전산자료가 업무 외 목적으로 유출되는 결과를 초래하였음 < 관련법규 >

1. ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조

2. ｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제16조

3. ｢신용정보업감독규정｣ 제20조 [별표3]

4. ｢전자금융거래법｣ 제21조

5. ｢전자금융감독규정｣ 제7조 제3호, 제13조 제1항 제5호

(3) 전자금융거래 안전성 확보의무 위반(망분리 관련 해킹방지대책 위반)

전자금융거래법」 제21조, 「전자금융감독규정」 제7조 제3호, 제15조 제1항 제3호, 「

「전자금융감독규정시행세칙」 제2조의2 제1항 제1호 및 제3항에 의하면

금융회사는 내부통신망(내부망)과 연결된 내부 업무용시스템은 인터넷 등 외부통신망 (외부망)과 분리 차단 및 접속을 금지하여야 하고, 업무상 필수적으로 외부기관과 연결

·

해야 하는 경우 자체 위험성 평가 및 정보보호위원회 승인을 거쳐 특정 외부기관과 연결하여야 하며,

회사 전산실 내에 위치한 정보처리시스템과 동 시스템의 운영, 개발, 보안 목적으로

직접 접속하는 단말기는 인터넷 등 외부망으로부터 물리적으로 분리 하여야 하나, *

* 통신회선을 업무용과 인터넷용으로 물리적으로 분리하고 각각 별도의 단말기를 사용

신용협동조합중앙회는 2019.9.26.∼2022.4.15. 검사대상기간 중 업무상 편의를 위해 전체 임직원 내부망 PC에서 C 등 36개 외부 인터넷 사이트로 접속할 수 있도록 허용 하면서 위험성 평가 및 내부 정보보호위원회 승인을 받지 않았음

또한, 비용절감 및 관리 편의성을 위해 전산실(내부망)과 외부망에 설치한 서버 등 정보처리시스템에서 내 외부망 작업을 서로 구분하지 않고 수행 하였음

·

*

* 인터넷 접속 임직원 통제 및 이용 현황 모니터링 또는 웹 취약점 점검업무 등을 내·외부망을 연계하여 수행

< 관련법규 >

1. 「전자금융거래법」 제21조

2. 「전자금융감독규정」 제7조 제3호, 제15조 제1항 제3호 및 제5호

3. 「전자금융감독규정시행세칙」 제2조의2 제1항 제1호 및 제3항

(4) 개인신용정보 누설 통지 및 누설신고서 제출 의무 위반

신용정보의 이용 및 보호에 관한 법률」 제39조의4 등에 의하면 신용정보회사 등은 「

개인신용정보가 업무 목적 외로 누설되었음을 알게 된 때에는 지체 없이 해당 신용정보 주체에게 개인신용정보 누설 사실을 통지하고, 1만명 이상의 개인신용정보가 업무 목적 외로 누설되었음을 알게 된 때에는 금융감독원에 지체 없이 누설신고서를 제출해야 하는데도

신협중앙회(D부문)은 내부감사(2020.8.19.∼8.21.) 및 외부 법률검토 (2020.8.18., 10.19.) 등을

*

통해 A지역본부의 前 ○○○○○이 2019.1.9. 및 1.29. 개인신용정보 18,465건을 업무 목적 외로 누설한 사실을 확인하고서도

* 법무법인 2개사는 본건 사고자의 자료 전송행위가 「신용정보의 이용 및 보호에 관한 법률」 제42조 제1항(업무목적 외 누설 금지 등)에 위반되는 것으로 판단 해당 신용정보주체에게 지체 없이 누설 사실을 통지하지 아니하고, 금융감독원에 지체 없이 누설신고서를 제출하지 아니하였음

< 관련법규 >

1. 「신용정보의 이용 및 보호에 관한 법률」 제39조의4

2. 「신용정보의 이용 및 보호에 관한 법률 시행령」 제34조의4 등

나. 주의사항

(1) 상환준비금의 유가증권 운용 제한 위반

신용협동조합법」 제79조 등에 의하면 신협중앙회가 상환준비금으로 집합투자증권 「

또는 수익증권을 매입하는 경우 상장주식 등의 편입비율이 30%이하인 것에 한하여 매입할 수 있는데도

신협중앙회 E부는 2018.5.25.～2020.4.7. 및 2019.12.26.～2020.5.8. 기간 중 상환준 비금으로 상장주식 등의 편입비율이 40% 이하인 “㉮전문투자형 사모증권투자신탁”

및 “㉯전문투자형 사모증권투자신탁”을 매입 보유하였으며 ·

이 중 “㉮전문투자형 사모증권투자신탁”은 2019.12.16.～2020.1.31. 기간 중 상장주 식 등의 편입비율 한도 30%를 최고 1.57%p 초과하였음 < 관련규정 >

1. ｢신용협동조합법｣ 제79조

2. ｢신용협동조합법 시행령｣ 제19조의7 등