제2021-104-007호

안건번호 : 제2021-104-007호
안건명 : 금융회사의 신분증 진위확인 정보 공유를 위한 주민등록번호 처리에 관한 건
신청인 : 금융결제원장
의결연월일 : 2021. 3. 10.

금융회사는 신분증 진위확인 정보를 금융회사 간에 공유하기 위하여 「금융실명거래 및 비밀보장에 관한 법률」을 근거로 주민등록번호를 처리할 수 없으며, 금융결제원은 해당 업무를 위탁받아 수행할 수 없다

별지와 같다.


이상과 같은 이유로 주문과 같이 의결한다.

1. 질의배경

금융회사는 「금융실명거래 및 비밀보장에 관한 법률」(이하 '금융실명법’이라 함) 제3조 및 같은 법 시행령 제3조에 따라 거래자의 실지명의로 금융거래를 하여야 하며, 실지명의 확인을 위하여 주민등록번호를 처리할 수 있음

금융결제원은 위 '실지명의 확인’ 업무와 관련하여 금융회사로부터 업무를 위탁받아 신분증 진위확인 정보 중계업무를 2014년부터 수행해 오고 있음(각주:행정안전부의 금융기관용 신분증 진위확인 통합서비스 추진을 위한 TF 구성 및 운영결과에 따라 금융결제원은 관련 기관과 업무협약서를 체결하여 금융회사와 신분증 발급기관 간의 업무 중계 역할을 수행) 최근 위변조 신분증을 악용한 금융사고가 발생(각주:위조신분증을 통한 대출사기 사건 : 위조범은 2020년 4월, A은행 및 3개 증권사에서 위조신분증을 통해 비대면으로 B씨 명의의 계좌를 개설한 후, C은행 등에서 1억1,400만원을 대출받아 인출) 됨에 따라 이로 인한 피해를 방지하고자 금융위원회는 금융기관이 신분증 진위확인 정보를 상호 처리(제공)할 수 있도록 하는 방안을 추진 중이며, 금융실명법에 따라 해당 업무 시행이 가능하다면 이를 수탁기관인 금융결제원에서 수행할 수 있도록 금융결제원, 신분증 발급기관(행정안전부, 경찰청) 등과 협의 중임

금융기관은 주민등록번호를 key값으로 하여 신분증 진위확인 정보를 상호 처리(제공)하고자 하며, 특정인이 다수의 금융회사를 대상으로 시도한 진위확인 건에 대한 결과를 확인하여 일정 횟수 이상 '신분증 불일치(매칭 실패)’가 나온 경우, 해당 주민등록번호를 '의심거래정보’로 설정하여 업무에 활용하고자 함

현재 금융결제원은 금융회사와 신분증 발급기관 간 신분증 진위확인 정보의 중계역할만 수행하고 있으나, 금융기관이 주민등록번호 처리를 통해 '의심거래정보’를 확인할 수 있다면 해당 업무를 금융회사로부터 위탁받아 수행하고자 함


2. 질의내용

가. 금융회사가 신분증 진위확인 정보를 금융기관 간 상호 제공(이하 '본 건 정보공유’라 함)하기 위하여 주민등록번호를 처리할 수 있는지 여부

나. 금융결제원이 금융회사의 본 건 정보공유 업무를 위탁받아 수행할 수 있는지 여부


3. 판단

가.금융회사가 본 건 정보공유를 위하여 주민등록번호를 처리할 수 있는지 여부

「개인정보 보호법」에 따르면 고유식별정보 중 주민등록번호와 관련하여서는 원칙적으로 처리가 금지되고, 제24조의2 제1항 각 호의 사유에 해당하는 예외적인 경우에만 허용됨
-제24조의2는 주민등록번호의 보호를 다른 고유식별정보보다 더욱 강화함으로서 오ㆍ남용과 유출 시 2차 피해 등을 근본적으로 예방하기 위하여 제정된 규정이고, 제1항 제1호에서 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우에 주민등록번호를 처리할 수 있다고 규정하고 있는바, 특정 법령 조항이 주민등록번호 처리의 적법한 근거가 될 수 있는지 여부를 판단할 때는 엄격하게 해석할 필요가 있음

1) 금융회사가 본 건 정보공유를 위하여 금융실명법 제3조 제1항 및 같은 법 시행령 제3조 제1호를 근거로 주민등록번호를 처리할 수 있는지 여부

금융실명법 제3조 제1항 및 같은 법 시행령 제3조 제1호에 따라 금융회사등은 거래자의 실지명의로 금융거래를 하여야 하며, 거래자가 개인일 경우 주민등록번호를 통해 실지명의 구분을 하도록 한 점을 볼 때 해당 조항은 주민등록번호의 처리를 법령에서 구체적으로 정한 경우에 해당함
-그러나, 본 건 정보공유의 주민등록번호 처리 목적은 특정 금융회사가 해당 금융회사의 '거래자의 실지명의를 확인하기 위함’이 아니라, 거래자의 '다른 금융회사의 실지명의 확인 정보를 공유하기 위함’인바 위 법령에서 요구하거나 허용하고 있는 처리의 범위를 넘어서는 것으로 판단됨

-즉, 본 건 정보공유는 거래자의 의심거래임을 확인하기 위한 수단으로 타 금융기관이 처리한 주민등록번호를 사용하겠다는 것으로, 이는 주민등록번호의 엄격한 처리 제한을 규정한 「개인정보 보호법」 제24조의2 취지에 비추어 보았을 때 '실지명의 확인’의 범위를 넘어선 것으로 보임

따라서 금융회사는 금융실명법 제3조 제1항 및 같은 법 시행령 제3조 제1호에 따라 본 건 정보공유를 위하여 주민등록번호를 처리할 수 없음

2) 금융회사가 본 건 정보공유를 위하여 금융실명법 제4조 제1항 제5호 및 같은 법 시행령 제9조 제2항을 근거로 주민등록번호를 처리할 수 있는지 여부

금융실명법 제4조 제1항 제5호 및 같은 법 시행령 제9조 제2항에서는 금융회사등에 종사하는 자가 금융회사등 상호간에 업무상 필요한 거래정보등을 제공하거나, 법령 또는 금융회사등 간의 협약 등에 의해 이를 제공할 수 있도록 허용하고 있음
-이와 관련하여, 금융실명법 시행령 제6조는 '거래정보등’을 “금융거래의 내용에 대한 정보 또는 자료로서, 특정인의 금융거래 사실과 금융회사등이 보유하고 있는 금융거래에 관한 기록의 원본ㆍ사본 및 그 기록으로부터 알게 된 것”으로 규정하고 있음

그런데 금융실명법은 제2조 제3호에서 '금융거래’를 금융회사등이 금융자산을 수입(受入)ㆍ매매ㆍ환매ㆍ중개ㆍ할인ㆍ발행ㆍ상환ㆍ환급ㆍ수탁ㆍ등록ㆍ교환하거나 그 이자, 할인액 또는 배당을 지급하는 것과 이를 대행하는 것 또는 그 밖에 금융자산을 대상으로 하는 거래로서 총리령으로 정하는 것이라고 규정하고 있으며
-금융실명법 제2조 제2호에 따르면 위의 '금융자산’은 금융회사등이 취급하는 예금ㆍ적금ㆍ주식ㆍ채권ㆍ수익증권ㆍ어음ㆍ수표 등 금전 및 유가증권 등을 뜻함

-따라서 '금융거래’는 금융회사등이 예금ㆍ적금ㆍ주식ㆍ채권ㆍ수익증권ㆍ어음ㆍ수표 등 금전 및 유가증권 등을 수입(受入)ㆍ매매ㆍ환매ㆍ중개ㆍ할인ㆍ발행ㆍ상환ㆍ환급ㆍ수탁ㆍ등록ㆍ교환하거나 그 이자, 할인액 또는 배당을 지급하는 것 등을 의미하므로

-'거래정보등’은 위와 같은 금융거래의 내용에 대한 정보 또는 자료를 뜻한다고 볼 수 있음

그렇다면, 금융실명법 제3조에 따라 금융회사등이 거래자의 실지명의를 확인하는 업무가 같은 법 제2조 제3호의 '금융거래’에 포함된다고 해석하는 것은 법령문언의 통상적인 의미를 지나치게 벗어난 것으로 판단되고
-실지명의 확인 업무가 금융거래에 해당된다고 볼 수 없는 이상, 실지명의 확인 업무를 위하여 수집ㆍ처리하는 주민등록번호 역시 금융실명법 시행령 제6조에 따른 '거래정보등’에 포함된다고 보기 어려움

따라서 금융회사는 금융실명법 제4조 제1항 제5호 및 같은 법 시행령 제9조 제2항에 따라 본 건 정보공유를 위하여 주민등록번호를 처리할 수 없음

1), 2)의 판단에 따라 금융회사는 본 건 정보공유를 위하여 「개인정보 보호법」 제24조의2 제1항 제1호 및 금융실명법을 근거로 주민등록번호를 처리할 수 없음

나.금융결제원이 금융회사의 본 건 정보공유 업무를 위탁받아 수행할 수 있는지 여부

「개인정보 보호법」은 제26조에서 '업무위탁에 따른 개인정보의 처리 제한’과 관련된 사항에 대하여 규정하고 있음
-이와 관련하여, 대법원은 개인정보의 처리위탁은 본래의 개인정보 수집ㆍ이용 목적과 관련된 위탁자 본인의 업무 처리와 이익을 위하여 개인정보가 이전되는 경우를 의미한다고 판시하였음(대법원 2017. 4. 7. 선고 2016도13263 판결)

-개인정보처리업무를 위탁받은 자는 개인정보의 처리에 관하여 독자적인 이익을 가지지 않고, 위탁받은 해당 업무 범위 내에서 개인정보를 처리하여야 함

판단 가.에서 살펴본 바와 같이 금융회사는 본 건 정보공유를 위하여 금융실명법 제3조 제1항, 제4조 제1항 제5호 및 같은 법 시행령 제3조 제1호, 제9조 제2항을 근거로 주민등록번호를 처리할 수 없으므로, 금융결제원에 본 건 정보공유 업무를 위탁할 수 없음

아울러, 본 건 정보공유는 개별 금융회사가 수집한 정보를 처리한 결과가 해당 금융회사 외, 다수의 금융회사와 공유되는 업무 특성이 있으므로 그 처리에 관한 별도의 법률적 근거가 있어야 할 것으로 판단됨