㈜비바리퍼블리카 금감원 제재공시 · 2024-10-25

제재내용 공개안

1. 금융회사명 : ㈜비바리퍼블리카 이하 토스 라 함 ( ‘ ’ )

2. 제재조치일 : 2024.10.25.

3. 제재조치내용

제재대상 제재내용

기관 ◦ 기관주의

◦ 과징금 억 만원 과태료 억 만원

(53 7,400 ), (6 2,800 )

◦ 감봉 월 명 3 1

견책 명 1 ,

퇴직자 위법·부당사항 견책 상당 명 ( ) 2 ,

임직원 주의적 경고 명 1

퇴직자 위법·부당사항 주의적 경고 상당 명 ( ) 1 ,

주의 명 4

퇴직자 위법·부당사항 주의 상당 명 ( ) 1

4.제재대상사실

가. 문책 사항

(1) 정보집합물 부당결합을 통한 개인신용정보 부당 이용 및 제공 활용 ·

동의절차 부당 운영

(가 ) 정보집합물 부당결합을 통한 개인신용정보 부당 이용

□ ｢신용정보법｣ 제 조 제 항에 의하면 개인신용정보는 해당 신용정보

33 1

주체가 신청한 금융거래 등 상거래 관계의 설정 및 유지 여부 등을

판단하기 위한 목적으로만 이용하거나 ,

그 외의 다른 목적으로 이용하는 것에 대하여 신용정보주체로부터

동의를 받은 경우 등 허용된 경우에만 이용하여야 하며 ,

동법 제 조의 제 항에 의하면 신용정보회사등은 자기가 보유한

17 2 1

정보집합물을 제 자가 보유한 정보집합물과 결합하려는 경우에는 3

데이터전문기관을 통하여 결합하여야 하는데도

◦ 토스는 기간 중 전자영수증 솔루션업체인

2021.11.2. ~ 2022.4.13.

A로부터 제공받은 전자영수증 거래정보 이하 영수증 정보 라 함 *

( ’ ‘ )

건을 정보주체의 동의 없이 사업성 분석 목적으로 데이터 29,282,869

전문기관을 통하지 않고 토스가 보유하고 있는 토스 회원의 카드 거래내역과 직접 결합하여 이용한 사실이 있음

( 나) 개인신용정보의 제공 활용 동의절차 부당 운영 ·

□ ｢신용정보법｣ 제 조 제 항에 의하면 신용정보회사등은 개인신용

32 4

정보의 제공 및 활용과 관련하여 동의를 받을 때에는 동법 시행령 제 조 제 항에서 정하는 사항 을 고려하여 필수적 동의사항과

28 8

*

선택적 동의사항을 구분하여 설명한 후 각각 동의를 받아야 하며 ,

필수적 동의사항의 경우 서비스 제공과의 관련성을 설명하여야 하는데도

* 1) 동의하지 않을 경우 상거래관계를 설정·유지할 수 없는지 여부

2) 동의함으로써 제공·활용되는 개인신용정보가 상거래관계에 따라 신용정보주체에게

제공되는 재화 또는 서비스와 직접적으로 관련되어 있는지 여부

3) 동의하지 않을 경우 법 또는 다른 법령에 따른 의무를 이행할 수 없는지 여부

◦ 토스는 검사대상기간 중 회원가입시 동의받는 개인정보 수집·이용 ‘

동의서 이하 동의서 라 함 상에서 신규서비스 개발을 위한 연구분석

( ’ ‘ )’ ‘ ,

맞춤형 리포트 제공 등과 같이 토스의 전자금융 및 마이데이터 서비스 ’

제공을 위하여

- 2 -

필수적이지 아니한 사항에 대하여 선택적 동의사항이 아닌 필수적

동의사항으로 표시하여 개인신용정보 수집·이용 동의 검사대상기간 중 (

총 명 동의 를 받았으며 동 필수적 동의사항과 서비스 제공의

4,631,801 ) ,

관련성도 설명하지 아니하였음

< 관련규정 >

1. ｢신용정보법｣ 제 조의 제 항 제 조 제 항 제 조 제 항

17 2 1 , 32 4 , 33 1

2. ｢신용정보법 시행령｣ 제 조 제 항 28 8

(2)신용정보전산시스템 안전보호 의무 위반

(가 ) 신용정보전산시스템 접속기록 백업 미실시

□ ｢신용정보법｣ 제 조 제 항 동법 시행령 제 조 제 항 ｢신용정보업

19 1 , 16 2 ,

감독규정｣ 이하 감독규정 이라 함 제 조에 의하면 신용정보회사등은

( ‘ ’ ) 20

신용정보전산시스템에 대한 제 자의 불법적인 접근 입력된 정보의 3 ,

변경·훼손 및 파괴 그 밖의 위험에 대비한 안전보호를 위하여 ,

개인신용정보처리시스템의 접속기록을 년 이상 저장하고 위ㆍ변조 1 ,

되지 않도록 별도 저장장치에 백업·보관해야 함에도

◦ 토스는 고객의 거래내역 등 개인신용정보를 처리할 수 있도록 체계적

으로 구성한 전산시스템 이하 개인신용정보처리시스템 이라 함 인 하둡 ( ‘ ’ )

시스템 이하 하둡 이라 함 의 접속기록을 별도의 물리적인 저장장치에

*

( ‘ ’ )

백업하여 보관하지 아니하였음 하둡 내에 저장 ( )

* 빅데이터의 저장·처리·분석용 정보처리시스템으로서, 토스는 서비스운영 데이터베이스

처리시스템에 저장된 개인신용정보테이블 150개를 하둡으로 매일 이관하여 저장 †

†고객번호, 거래일시·금액, 카드승인번호·승인일시·승인금액, 선불충전 거래액·요청금액·잔액, 신용점수, 연체·대출건수, 신용정보조회·연대보증건수, 확정 금리·한도, 대출 기간·승인 시각, 보험상품명칭 등

나) 신용정보전산시스템 관리적 보안대책 등 위반

(

□ ｢신용정보법｣ 제 조 제 항 제 조 제 항 제 호 동법 시행령 제 조 제 항

19 1 , 20 4 1 , 16 1 ,

제 항 감독규정 제 조 등에 의하면 신용정보회사등은 개인신용정보

2 , 20

처리시스템에 대한 접근권한을 서비스제공을 위하여 필요한 최소한의 인원에게만 부여하고

개인신용정보처리시스템의 접속기록을 위ㆍ변조되지 않도록 별도 저장 장치에 백업·보관하여야 하며 개인신용정보취급자가 개인신용정보처리

시스템에 접속한 기록을 월 회 이상 정기적으로 확인ㆍ감독하여야 하고 1 ,

신용정보관리·보호인은 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부 통제시스템의 구축 임직원 및 전속 모집인 등의 신용정보보호 관련 ,

법령 및 규정 준수 여부 점검 및 그 밖에 신용정보의 관리 및 보호를

위하여 대통령령으로 정하는 업무를 담당하며 ,

개인신용정보 조회 권한이 직급별ㆍ업무별로 차등 부여되도록 하고 개인신용정보취급자가 입력하는 조회사유의 정확성 등 신용조회기록의

정확성을 점검하여야 하고 ,

임직원 등의 신용정보보호 관련 법령 및 규정 준수 여부를 점검하고

점검업무처리에 따른 기록을 년간 보존해야 하며 동 점검결과를 경영진 3 ,

에게 보고하고 업무처리절차에 적절히 반영하여야 함에도

◦ 토스는 아래와 같이 신용정보관리·보호인의 업무를 소홀히 하였음

① 현재 임직원 명에게 하둡에 대한 접근권한을 부여 하고

2022.4.18. 261

*

,

하둡에 저장된 전체 개인신용정보 에 대해 직급 부문장 팀장급 직원 등 **

( , , )

이나 담당업무 서비스개발 서비스운영 재무·회계 마케팅·영업 인사채용 등

( , , , , )

에 따른 구분 없이 동일한 조회권한을 부여

* 전체 91개 부서중 61개 부서(서비스 개발·운영 부서 및 재무·회계, 마케팅·영업,

인사채용 등 업무부서 포함)에 접근권한을 부여 - 4 -

** 고객번호, 거래일시·금액, 카드승인번호·승인일시·승인금액, 선불충전 거래액·요청 금액· 거래 후 잔액, 신용점수, 연체·대출건수, 신용정보조회·연대보증건수, 확정 금리·한도, 대출 기간·승인 시각, 보험상품명칭 등

② 현재까지 임직원이 하둡에 접속하여 개인신용정보를

2022.4.18.

처리한 접속기록에 대한 정기적 확인·감독을 실시하지 않았고 개인신용 정보취급자가 입력하는 조회사유의 정확성에 대한 점검을 미실시

③ 현재까지 로부터 입수한 영수증 정보의 이용 과정에서

2022.4.18. A

다수의 위법사항이 있었음에도 이를 담당하는 임직원의 신용정보보호 관련 법령 및 규정 준수에 대한 점검을 미실시

< 관련규정 >

1. ｢신용정보법｣ 제 조 제 항 제 조 제 항19 1 , 20 4

2. ｢신용정보법 시행령｣ 제 조 제 항 및 제 항 16 1 2

3. ｢신용정보업 감독규정｣ 제 조 및 별표 20 [ 3]

(3) 겸영업무 신고의무 위반

□ ｢신용정보법｣ 제 조 제 항 제 항 제 호 동법 시행령 제 조 제 항

11 1 , 6 2 , 11 6

제 호에 의하면 본인신용정보관리회사는 공인전자문서중계업 을 영위

5 ,

*

하고자 하는 경우 미리 금융위원회에 신고를 하여야 함에도 ,

* ｢신용정보법 시행령｣ 제11조 제6항 제5호의 비금융법률이 금지하지 않는 업무로,

｢전자문서 및 전자거래 기본법｣ 제31조의18 등에 따라 과기정통부로부터 공인 전자문서중계자 인증 획득(2021.6.4.)

◦ 토스는 금융위원회에 미리 신고하지 않고 와 전자고지 서비스 *

B ‘

제공 계약 을 체결하여 공인전자문서 민방위 교육훈련 통지서

’ , 2022.3.14. ( )

건을 발송하고 그 수수료로 약 천원을 수령하였음

14,138 486

* 검사기간 중 금융위원회 신고 수리 완료(2022.4.8.)

< 관련규정 >

1. ｢신용정보법｣ 제 조 제 항 11 1

(4) ｢내보험 조회서비스｣ 관련 개인신용정보 부당 수집 이용 및 프로그램 ·

변경 통제 불철저 등

․

(가 ) ｢내보험 조회서비스｣ 관련 개인신용정보 부당 수집 이용 ·

□ ｢신용정보법｣ 제 조 제 항 및 제 조 제 항에 의하면 신용정보회사등이

15 2 33 1

개인신용정보를 수집하는 때에는 해당 신용정보주체의 동의를 받아야 하며 개인신용정보는 해당 신용정보주체가 신청한 금융거래 등 상거래관계의

설정 및 유지 여부 등을 판단하기 위한 목적으로만 이용하거나 그 ,

외의 다른 목적으로 이용하는 것에 대하여 신용정보주체로부터 동의를 받은 경우 등 허용된 경우에만 이용하여야 하는데도

① 토스는 기간 중 개인신용정보 수집에

2022.5.9. 14:05 ~ 2022.6.15. 15:21

동의하지 않은 이용자 명의 보험가입내역 보험계약현황 등 274 ,

개인신용정보를 토스 서버에 수집·저장하였음

② 또한 부당하게 수집된 개인신용정보를 이용하여

, 2022.5.9. ~ 2022.6.23.

기간 중 명의 이용자 본인에게 회 에 걸쳐 ｢내보험 조회

274 2,102

*

서비스｣ 를 제공한 사실이 있음

**

* 내보험 기본조회 1,660회, 내보험 모두보기 414회, 내보험 상세 28회

** 보장 카테고리별 보장금액 합계, 보장금액 비교·분석 결과 등

( 나) ｢내보험 조회서비스 ｣ 프로그램 변경 통제 불철저 ․

□ ｢전자금융거래법｣ 제 조 제 항 ｢전자금융감독규정｣ 제 조 및 제 조

21 2 , 7 29

제 호에 의하면 전자금융업자는 전자적 전송이나 처리를 위한 운영 6

시스템 적용시 처리하는 정보의 기밀성‧무결성‧가용성을 고려하여 충분한 테스트를 실시하여야 하는데도

◦ 토스는 자사 모바일 앱內 ｢내보험 조회 서비스｣의 개인정보

2022.5.9.

수집·이용 동의 절차 관련 프로그램을 변경하면서 이용자의 동의 거부시

서비스 동작의 정확성 등에 대한 충분한 테스트를 실시하지 아니하여 *

* 테스트 시나리오, 테스트 케이스 등 테스트를 실시한 명문화된 증빙자료가 없음

기간 중 개인신용정보 수집에 동의하지

2022.5.9. 14:05 ~ 2022.6.15. 15:21

않은 이용자 명의 보험가입내역 보험계약현황 등 개인신용정보를

*

274 ,

토스 서버에 수집·저장하였음

* ‘개인정보 수집·이용 동의’ 화면에서 ‘닫기’ 버튼을 눌러 서비스 이용 동의를 거부

다) 정보처리시스템 구축 사업 관련 의무 위반

(

□ 전자금융업자는 ｢전자금융감독규정｣ 제 조 제 호 제 호에 따라 내부 20 1 , 3

직무전결기준상 부서장 전결 금액 이상의 정보처리시스템 및 전자금융

거래 관련 사업 추진시 사전에 충분한 타당성 검토를 실시하고 그 ,

결과는 전산운영위원회 등 독립적인 조직의 승인을 받아야 하는데도

◦ 토스는 검사대상기간 중 정보처리시스템 구축을 위해 총 건의 전산 5

장비 서버 네트워크 등 를 구매 또는 증설하는 사업을 추진하면서 내규상

( , )

타당성 검토 대상에 해당 사업금액 억원 초과 함에도 동 건의 사업

( 10 ) 5

모두 독립적인 조직인 예산심의위원회으로부터 승인을 받지 않은 IT

사실이 있음

[참고] 검사대상기간중 정보처리시스템 구축사업 추진내역

사업기간 사업 내역 사업금액(원)

(계약일 완료일

~ )

～

2021. 2.22. 6.29. △△△ 등 네트워크 장비 구매 1,105,600,000

～

2021. 2.26. 6.30. 인증사업용 서버 구매 2,085,000,000

～

2021. 4.15. 9.30. 코어 서버 등 증설

DB 4,050,000,000

～

2021. 6.11. 11.11. ▽▽▽ 등 서비스 안정화 증설 서버 구매 1,770,000,000

～

2021.11. 3. 12.27. 쿠버네티스 서버 증설 1,818,000,000

< 관련규정 >

1. ｢신용정보법｣ 제 조 제 항 제 조 제 항

15 2 , 33 1

2. ｢전자금융거래법｣ 제 조 제 항 21 2

3. ｢전자금융감독규정｣ 제 조 제 조 제 호 및 제 호 제 조 제 호

7 , 20 1 3 , 29 6