정부, 개인정보 유출과 전면전 선포. 금융분야 개인정보 유출 재발방지 종합대책 발표
카드사들의 개인정보 유출에 이어 카드결제 단말기 업체에서도 개인정보가 줄줄 새나가는 등 개인정보 유출 파문이 끊이지 않는 가운데 정부가 ‘개인정보 유출과의 전면전’을 선언했다.
기회재정부와 금융위원회, 안전행정부, 미래창조과학부, 방송통신위원회, 금융감독원 등은 10일 오전 정부 서울청사에서 ‘금융분야 개인정보 유출 재발방지 종합대책’을 발표했다. 종합대책은 정부가 야심차게 추진하고 있는 경제개발 3개년계획의 ‘원칙이 바로 선 시장경제’ 분야 핵심과제 중 하나로 부분적·단편적 대응에 따른 반복적인 정보유출 및 해킹사고를 원천봉쇄하겠다는 의지를 담았다.
◇개인정보는 단계별로 보호
우선 개인정보의 수집-보유·활용-파기 등 단계별로 금융소비자의 권리 보호 및 금융회사 책임을 대폭 강화한다. 주민등록 번호는 최초 거래시에만 수집하되 키 패드 입력 등 번호 노출이 최소화되는 방식으로 수집하고 암호화해 보관한다. 고객 정보 수집은 이름, 주민번호, 주소, 연락처 등 필수 정보 6~10개로 제한하고 금융지주사 내 계열사 정보를 고객 동의 없이 외부 영업에 이용할 수 없도록 했다. 제3자 정보 제공 시에도 포괄적 동의를 금지하고 ‘필수’와 ‘선택’을 구분해 동의를 받도록 했다.
금융 거래 종료 후 신상정보는 3개월 내 파기하고 모든 보관 정보도 상해보험 후유장애 보장 정보 등 법령상 추가 보관 의무대상을 제외하고는 5년 내에 없애도록 했다.
정보 제공 등의 동의서 양식을 전면 개편해 중요 사항은 잘 보이도록 글씨를 크게 하고 필수사항에 대한 동의만으로 계약이 체결되도록 했다. 개인의 ‘자기정보결정권’이 실질적으로 구현되도록 금융회사의 개인정보 이용·제공 현황을 조회할 수 있게 했고 영업목적 전화에 대한 수신 거부(Do-not-Call) 등록 등을 위한 시스템을 구축하도록 했다. 고객이 원하면 기존 정보 제공 동의를 철회해야 하며 거래 종료 고객이 본인 정보의 보호를 요청하면 금융사가 파기 또는 보안 조치를 해야 한다. 금융회사가 보유 또는 제공한 정보도 불필요한 것은 즉시 삭제하고 정보유출시 대응매뉴얼을 마련해 비상 대응체계를 구축하도록 했다. 무차별적인 문자메시지 전송을 통한 영업 행위가 금지되며 전화나 이메일을 통한 비대면 방식의 모집·권유 행위는 개인정보 습득 경로 등을 안내해야 하는 등 제한된 범위에서만 허용된다.
◇금융사 책임은 더욱 강화
금융회사가 확실하게 책임지는 구조를 확립하기 위해 CEO 등의 책임을 강화하고 모집인과 제3자에게 제공한 정보에 대해서도 금융회사에 관리책임을 부과하는 한편 징벌적 과징금을 도입하고 형벌과 행정제재도 상향조정한다. 불법 유출된 고객정보를 이용하면 관련 매출 1%에 대해 물리기로 했던 과징금을 3%까지 늘리고 정보 유출 시에도 최대 50억원의 과징금을 부과한다. 징벌적 과징금은 상한선을 두지 않기 때문에 불법 정보를 이용하다가는 수천억원대의 과징금 폭탄을 맞을 수도 있다. 정보유출 관련 형벌은 10년 이하 징역 등 최고 수준으로 강화한다. 금융사의 보안대책 미비 등이 적발될 경우 과태료가 기존 600만원에서 5000만원으로, 영업정지는 기존 3개월에서 6개월로 각각 늘어난다. 금융사 최고경영자(CEO)와 이사회는 정보보호 현황을 보고받고 그 내용을 감독 당국에 제출해야 한다. 신용정보 관리·보호인을 임원으로 둬야 하며 일정 규모 이상 금융사의 정보보호최고책임자(CISO)는 다른 정보통신(IT) 관련 직위와 겸직이 제한된다.
◇해킹 등 외부 침해 행위도 원천봉쇄
해킹 등 외부로부터의 전자적 침해행위에 대해서도 기존 대책을 대폭 보강해 주기적으로 보안 이행실태를 점검하고 보안전담기구를 설치해 상시적인 보안체계를 구축한다.
금융사들은 해킹 등을 막기 위해 전산센터 내부·외부망 분리를 올해까지 마무리한다. 금융전산 보안 관제 범위를 은행·증권에서 보험·카드까지 확대하며 금융보안 전담기구를 내년에 출범시킨다. 금융사의 전산보안 수준을 평가·공개하는 금융전산 보안인증제도 도입한다. 카드결제 정보가 안전하게 처리되도록 단말기도 집적회로(IC) 결제단말기로 전면 교체해 결제과정에서의 정보보호도 강화했다. 결제대행을 하는 밴‘(VAN)’사에 대한 등록제도 도입한다.
신제윤 금융위원장은 “이번 종합대책은 고객 개인정보의 완벽한 보호가 금융부문의 신뢰성과 안정성을 위한 핵심 자산이라는 인식을 기초로 근본적인 방안을 담는 데 중점을 뒀다”고 설명했다. 현오석 경제부총리는 한 발 더 나가 “범정부 태스크포스를 통해 통신·의료·공공부문 등 사회 전반에 걸쳐 개인정보보호 관리실태를 일제 점검하고 이를 바탕으로 보다 근본적이고 포괄적인 ‘개인정보보호를 위한 재발방지대책’을 상반기 중 내놓겠다”고 밝혔다. 정부의 대책을 두고 금융사들은 통제와 처벌이 강화돼 부담스럽다는 반응을 보였지만 여전히 기존에 거론됐던 대책의 범주를 벗어나지 못하고 있다는 지적도 나온다.
박현진기자
[email protected]
