의결 제2024-320호

ㅇ (금감원 원안) 「신용정보법」상 '정보집합물 부당결합을 통한 개인신용정보 부당 이용 및 제공ㆍ활용 동의절차 부당 운영’, '겸영업무 신고의무 위반’, 「신용정보법」 및 「전자금융거래법」상 '「내보험 조회서비스」 관련 개인신용정보 부당 수집ㆍ이용 및 프로그램 변경ㆍ통제 불철저 등’ 위반에 대하여 ㈜비바리퍼블리카에 과징금 6,160백만원 및 과태료 580백만원 부과 조치

ㅇ (수정의결) 금감원 원안을 일부 수정하여 과징금 5,374백만원 및 과태료 580백만원 부과

<img src="http://www.law.go.kr/flDownload.do?flSeq=147257789" alt="2번째 이미지"></img>

가. 지적사항

1. 정보집합물 부당결합을 통한 개인신용정보 부당 이용 및 제공ㆍ활용 동의절차 부당 운영

(1) 정보집합물 부당결합을 통한 개인신용정보 부당 이용 위반

ㅇ(금감원 원안)「신용정보법」 제33조 제1항에 의하면 개인신용정보는 해당 신용정보주체가 신청한 금융거래 등 상거래 관계의 설정 및 유지 여부 등을 판단하기 위한 목적으로만 이용하거나, 그 외의 다른 목적으로 이용하는 것에 대하여 신용정보주체로부터 동의를 받은 경우 등 허용된 경우에만 이용하여야 하며, 동법 제17조의2 제1항에 의하면 신용정보회사등은 자기가 보유한 정보집합물을 제3자가 보유한 정보집합물과 결합하려는 경우에는 데이터전문기관을 통하여 결합하여야 하는데도,

- 비바리퍼블리카(이하 '토스’라 함)는 20xx.xx.xx.~20xx.xx.xx. 기간 중 전자영수증 솔루션업체인 ㈜◎◎◎◎◎◎(이하 '◎◎◎◎◎◎’이라 함)으로부터 제공받은 전자영수증 거래정보(이하 '영수증 정보’라 함) xx,xxx,xxx건을 정보주체의 동의 없이 사업성 분석 목적으로 데이터전문기관을 통하지 않고 토스가 보유하고 있는 토스회원의 카드 거래내역과 직접 결합하여 이용한 사실이 있음

(2) 개인신용정보의 제공ㆍ활용 동의절차 부당 운영

ㅇ(금감원 원안) 「신용정보법」 제32조 제4항에 의하면 신용정보회사등은 개인신용정보의 제공 및 활용과 관련하여 동의를 받을 때에는 동법 시행령 제28조 제8항에서 정하는 사항을 고려하여 필수적 동의사항과 선택적 동의사항을 구분하여 설명한 후 각각 동의를 받아야 하며, 필수적 동의사항의 경우 서비스 제공과의 관련성을 설명하여야 하는데도

- 토스는 검사대상기간 중 회원가입시 동의받는 '개인정보 수집ㆍ이용 동의서(이하 ’동의서'라 함)’상에서 '신규서비스 개발을 위한 연구분석, 맞춤형 리포트 제공’ 등과 같이 토스의 전자금융 및 마이데이터 서비스 제공을 위하여 필수적이지 아니한 사항에 대하여 선택적 동의사항이 아닌 필수적 동의사항으로 표시하여 개인신용정보 수집ㆍ이용 동의(검사대상기간 중 총 x,xxx,xxx명 동의)를 받았으며, 동 필수적 동의사항과 서비스 제공의 관련성도 설명하지 아니하였음

2. 겸영업무 신고의무 위반

ㅇ(금감원 원안) 「신용정보법」 제11조 제1항, 제6항 제2호, 동법 시행령 제11조 제6항 제5호에 의하면, 본인신용정보관리회사는 공인전자문서중계업을 영위하고자 하는 경우 미리 금융위원회에 신고를 하여야 함에도,

- 토스는 금융위원회에 미리 신고하지 않고 ○○○구청과 '전자고지 서비스 제공 계약’을 체결하여, 20xx.xx.xx. 공인전자문서(민방위 교육훈련 통지서)를 xx,xxx건을 발송하고 그 수수료로 약 xxx천원을 수령하였음

3. 「내보험 조회서비스」 관련 개인신용정보 부당 수집ㆍ이용 및 프로그램 변경ㆍ통제 불철저 등

(1) 「내보험 조회서비스」 관련 개인신용정보 부당 수집ㆍ이용

ㅇ(금감원 원안) 「신용정보법」 제15조 제2항 및 제33조 제1항에 의하면 신용정보회사등이 개인신용정보를 수집하는 때에는 해당 신용정보주체의 동의를 받아야 하며 개인신용정보는 해당 신용정보주체가 신청한 금융거래 등 상거래관계의 설정 및 유지 여부 등을 판단하기 위한 목적으로만 이용하거나, 그 외의 다른 목적으로 이용하는 것에 대하여 신용정보주체로부터 동의를 받은 경우 등 허용된 경우에만 이용하여야 하는데도

- 토스는 20xx.xx.xx.xx:xx~20xx.xx.xx.xx:xx 기간 중 개인신용정보 수집에 동의하지 않은 이용자 xxx명의 보험가입내역, 보험계약현황 등 개인신용정보를 토스 서버에 수집ㆍ저장하였음

- 또한, 부당하게 수집된 개인신용정보를 이용하여 20xx.xx.xx.~20xx.xx.xx.기간 중 xxx명의 이용자 본인에게 x,xxx회에 걸쳐 「내보험 조회서비스」를 제공한 사실이 있음

ㅇ (수정의결 사유) 신정법 개정('20.2월) 이후 첫 과징금 부과 사례로 개인신용정보 부당이용에 대해 엄정한 제재가 필요하나,

- 회사가 위반행위로 얻은 부당이득액에 비해 과징금이 과도한 점 등을 감안하여 과징금을 30% 감액하기로 함(과징금 26억 2,100만원 → 과징금 18억 3,500만원 부과)

(2) 「내보험 조회서비스」 프로그램 변경ㆍ통제 불철저

ㅇ(금감원 원안)「전자금융거래법」제21조 제2항, 「전자금융감독규정」 제7조 및 제29조 제6호에 의하면 전자금융업자는 전자적 전송이나 처리를 위한 운영시스템 적용시 처리하는 정보의 기밀성ㆍ무결성ㆍ가용성을 고려하여 충분한 테스트를 실시하여야 하는데도

-토스는 20xx.xx.xx. 자사 모바일 앱內 「내보험 조회 서비스」의 개인정보 수집ㆍ이용 동의 절차 관련 프로그램을 변경하면서 이용자의 동의 거부시 서비스 동작의 정확성 등에 대한 충분한 테스트를 실시하지 아니하여


- 20xx.xx.xx.xx:xx~20xx.xx.xx.xx:xx 기간 중 개인신용정보 수집에 동의하지 않은 이용자 xxx명의 보험가입내역, 보험계약현황 등 개인신용정보를 토스 서버에 수집ㆍ저장하였음

(3) 정보처리시스템 구축 사업 관련 의무 위반

ㅇ (금감원 원안) 전자금융업자는 「전자금융감독규정」 제20조 제1호, 제3호에 따라 내부직무전결기준상 부서장 전결 금액 이상의 정보처리시스템 및 전자금융거래 관련 사업 추진시 사전에 충분한 타당성 검토를 실시하고, 그 결과는 전산운영위원회 등 독립적인 조직의 승인을 받아야 하는데도

-토스는 검사대상기간(20xx.xx.xx.~20xx.xx.xx.) 중 정보처리시스템 구축을 위해 총 x건의 전산장비(서버, 네트워크 등)를 구매 또는 증설하는 사업을 추진하면서 내규상 타당성 검토 대상에 해당(사업금액 10억원 초과)함에도 동 x건의 사업 모두 독립적인 조직인 IT예산심의위원회으로부터 승인을 받지 않은 사실이 있음

나. 근거법규

ㅇ 「신용정보의 이용 및 보호에 관한 법률」 제11조 제1항, 제15조 제2항, 제17조의2 제1항, 제32조 제4항, 제33조 제1항, 제42조의2 제1항 제1호의3, 제52조 제2항 제2호, 제52조 제2항 제5호, 제52조 제5항 제2호
ㅇ 「신용정보의 이용 및 보호에 관한 법률 시행령」 제28조 제8항, 제35조의3 및 [별표2의3] 과징금의 산정기준(제35조의3 제3항 관련), 제38조 및 [별표4] 과태료의 부과기준(제38조 관련)
ㅇ 「전자금융거래법」 제21조 제2항, 제51조 제1항
ㅇ 「전자금융거래법 시행령」 제33조 [별표3]
ㅇ 「전자금융감독규정」 제7조, 제20조 제1호 및 제3호, 제29조 제6호
ㅇ 「금융기관 검사 및 제재에 관한 규정」 제20조, [별표2] 과징금 부과기준 및 [별표3] 과태료 부과기준