개인정보보호위원회
심의ㆍ의결
제2021-107-012호
중소기업은행의 대출업무 관리 등을 위한 직원 가족의 개인정보 처리에 관한 건
의결일: 2021년 9월 29일
요지
안건번호 : 제2021-107-012호
안건명 : 중소기업은행의 대출업무 관리 등을 위한 직원 가족의 개인정보 처리에 관한 건
신청인 : 중소기업은행장
의결연월일 : 2021. 9. 29.
안건명 : 중소기업은행의 대출업무 관리 등을 위한 직원 가족의 개인정보 처리에 관한 건
신청인 : 중소기업은행장
의결연월일 : 2021. 9. 29.
주문
1. 중소기업은행은 소속 직원이 그 가족의 대출을 직접 취급할 수 없도록 제한하기 위하여 직원 가족의 성명, 생년월일, 주민등록번호를 이용할 수 없다.
2. 중소기업은행은 금융감독원이 검사 업무의 수행을 목적으로 요청한 “특정 기간 내 소속 직원 가족에게 대출한 건수, 해당 대출별 대출금액 및 일시”의 제출을 위하여 소속 직원 가족과 중소기업은행이 대출한 자의 성명ㆍ생년월일 또는 주민등록번호를 이용하여 상호 일치하는 대출별 대출금액 및 일시를 제공할 수 있다.
3. 중소기업은행은 국회가 국정감사를 목적으로 요청한 “특정 기간 내 소속 직원 가족에게 대출한 건수, 해당 대출별 대출금액 및 일시”의 제출을 위하여 소속 직원 가족과 중소기업은행이 대출한 자의 성명, 생년월일을 이용하여 상호 일치하는 대출별 대출금액 및 일시를 제공할 수 있으나, 주민등록번호는 이용할 수 없다.
2. 중소기업은행은 금융감독원이 검사 업무의 수행을 목적으로 요청한 “특정 기간 내 소속 직원 가족에게 대출한 건수, 해당 대출별 대출금액 및 일시”의 제출을 위하여 소속 직원 가족과 중소기업은행이 대출한 자의 성명ㆍ생년월일 또는 주민등록번호를 이용하여 상호 일치하는 대출별 대출금액 및 일시를 제공할 수 있다.
3. 중소기업은행은 국회가 국정감사를 목적으로 요청한 “특정 기간 내 소속 직원 가족에게 대출한 건수, 해당 대출별 대출금액 및 일시”의 제출을 위하여 소속 직원 가족과 중소기업은행이 대출한 자의 성명, 생년월일을 이용하여 상호 일치하는 대출별 대출금액 및 일시를 제공할 수 있으나, 주민등록번호는 이용할 수 없다.
이유
별지와 같다.
이상과 같은 이유로 주문과 같이 의결한다.
1. 질의요지
가.질의배경
중소기업은행(이하 '기업은행’)은 소속 직원이 자신의 가족에게 수차례에 걸쳐 거액을 대출한 사건이 발생함에 따라 불건전 영업행위 또는 직원이 법에서 금지한 사항을 우회하여 가족의 명의를 빌려 대출을 받는 행위 방지, 내부통제기준 마련 의무의 준수(이하 '불건전 영업행위 방지 등’)를 목적으로 소속 직원이 그 가족의 대출을 직접 취급할 수 없도록 제한(이하 '본 건의 제한’)하는 시스템을 개발ㆍ운영하고자 함
-시스템은 기업은행이 직원의 채용이나 연말정산 과정에서 수집한 직원 가족의 주민등록번호 또는 성명, 생년월일과 대출신청자의 주민등록번호 또는 성명, 생년월일을 대조하여 대출신청자가 직원의 가족인지 여부를 검증하고, 대출신청자가 직원 가족일 경우 그 직원이 해당 대출 취급에 관여할 수 없도록 제한하고자 함
한편, 기업은행은 금융감독원과 국회로부터 그동안 기업은행이 소속 직원 가족에게 대출한 건수, 해당 대출별 대출금액 및 일시의 제출을 요청받음
-이에 기업은행은 직원의 채용이나 연말정산 과정에서 수집한 직원 가족의 성명ㆍ생년월일 또는 주민등록번호와 대출자의 성명ㆍ생년월일 또는 주민등록번호를 대조하여 요청받은 자료를 생성 및 제출할 수 있는지 질의하고자 함
나.질의내용
기업은행이 불건전 영업행위 방지 등을 목적으로 본 건의 제한을 위하여 「개인정보 보호법」(이하 '보호법’) 제18조 제2항 제5호에 따라 소속 직원 가족의 성명, 생년월일을 이용할 수 있는지 여부
기업은행이 불건전 영업행위 방지 등을 목적으로 본 건의 제한을 위하여 보호법 제24조의2 제1항 제1호에 따라 소속 직원 가족의 주민등록번호를 이용할 수 있는지 여부
금융감독원, 국회의 요청이 있는 경우, 기업은행이 보호법 제18조 제2항 제2호 및 제24조의2 제1항 제1호에 따라 소속 직원 가족의 성명ㆍ생년월일 또는 주민등록번호와 대출자의 성명ㆍ생년월일 또는 주민등록번호를 이용하여 상호 일치하는 대출별 대출금액 및 일시를 제공할 수 있는지 여부
2. 이유
가.기업은행이 불건전 영업행위 방지 등을 목적으로 본 건의 제한을 위하여 보호법 제18조 제2항 제5호에 따라 소속 직원 가족의 성명, 생년월일을 이용할 수 있는지 여부
기업은행이 보유하고 있는 직원 가족의 성명, 생년월일은 직원의 채용이나 연말정산을 위하여 수집한 개인정보이므로 이를 불건전 영업행위 방지 등을 목적으로 이용하는 것은 그 수집 목적의 범위를 초과하는 목적 외 이용에 해당함
보호법 제18조 제2항 제5호는 공공기관인 개인정보처리자가 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 개인정보위의 심의ㆍ의결을 거친 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다고 규정하고 있음
1) 기업은행이 보호법 상 공공기관에 해당하는지 여부
기업은행은 「공공기관의 운영에 관한 법률」 제4조에 따라 기획재정부가 지정한 공공기관으로서 보호법 제2조 제6호 나목, 같은 법 시행령 제2조 제4호에 따른 공공기관에 해당함
2) 불건전 영업행위 방지 등이 보호법 제18조 제2항 제5호에 따른 법률에서 정하는 소관 업무에 해당하는지 여부
보호법 제18조 제2항 제5호의 '다른 법률에서 정하는 소관 업무’는 시행령 및 시행규칙에서 정하고 있는 소관 업무가 아닌 법률에서 정하고 있는 업무이어야 하나, 법률에 위임 근거가 있고 이에 따라 시행령 및 시행규칙에 소관 업무가 규정된 경우에는 그러한 소관 업무도 법률에서 정하고 있는 소관 업무에 해당함
「중소기업은행법」 제3조 제3항은 이 법에 특별한 규정이 없으면 「은행법」 및 「금융회사의 지배구조에 관한 법률」(이하 '금융사지배구조법’)을 기업은행에 적용한다고 규정하고 있고,
-「중소기업은행법」은 불건전 영업행위 방지 등과 관련된 기업은행의 소관 업무를 규정하고 있지 않으므로, 「은행법」 및 금융사지배구조법에 대하여 추가적으로 검토하여야 함
「은행법」 제34조의2 제1항은 각 호의 행위를 '불건전 영업행위’로서 금지하고 있고, 특히 제3호는 은행이 은행업무와 관련하여 은행이용자에게 정상적인 수준을 초과하여 재산상 이익을 제공하는 행위를 해서는 아니 된다고 규정하고 있으며,
-같은 법 제38조 제6호는 은행이 해당 은행의 임직원에 대한 대출 업무를 하여서는 아니 된다고 규정하고 있음
-또한, 금융사지배구조법 제24조 제1항은 금융회사가 법령을 준수하고 경영을 건전하게 하는 등의 목적을 위하여 금융회사의 임직원이 직무를 수행할 때 준수하여야 할 기준 및 절차(이하 '내부통제기준’)를 마련하여야 한다고 규정하고 있음
따라서 불건전 영업행위 방지 등은 법률에서 정하는 기업은행의 소관 업무에 해당함
3) 본 건의 제한을 위하여 개인정보를 목적 외 이용하지 않으면 위 소관 업무를 수행할 수 없는 경우에 해당하는지 여부
보호법 제18조 제2항 제5호의 '소관 업무를 수행할 수 없는 경우’는 개인정보를 그 수집 목적 외로 이용ㆍ제공하지 아니하면 소관 업무의 수행이 불가능하거나 현저히 곤란한 경우를 의미함(개인정보위 2017. 1. 9. 제2017-01-06호 결정 참조)
그런데 기업은행은 이미 내부 시스템으로 대출신청자의 신용등급, 담보 특성 등을 고려하여 금리의 하한과 대출한도의 상한을 제한하고 있고, 대출신청자가 소속 직원과 동일인일 경우에는 대출 자체를 제한하고 있으므로,
-기업은행이 소속 직원 가족의 성명, 생년월일을 이용하지 않더라도 은행이용자에게 정상적인 수준을 초과하여 재산상 이익을 제공하거나 소속 직원에게 대출하는 행위의 방지라는 「은행법」상 소관 업무의 수행이 불가능한 경우에 해당한다고 볼 수 없음
또한, 「은행법」은 은행이 은행이용자에게 정상적인 수준을 초과하여 재산상 이익을 제공하거나 그 임직원에게 대출하는 행위를 금지하고 있을 뿐 소속 직원이 자신의 가족에 대한 대출을 직접 취급하는 행위 자체를 제한하고 있지는 않음
-따라서 소속 직원 가족의 성명, 생년월일은 기업은행의 「은행법」상 소관 업무와 관련되거나 이를 수행하는 데 필요한 정보라고 볼 수 없고, 위 정보를 이용하지 않으면 위 소관 업무의 수행이 현저히 곤란한 경우에 해당한다고 볼 수도 없음
한편, 금융사지배구조법 제24조의 위임을 받은 같은 법 시행령 제19조 제1항 및 「금융회사 지배구조 감독규정」 제11조 제2항은 내부통제기준에 포함되어야 하는 사항을 규정하고 있는데, 이에 따르면 내부통제기준에 본 건의 제한에 관한 사항이 반드시 포함되어야 하는 것이 아닌바,
-기업은행은 소속 직원 가족의 성명, 생년월일을 이용하지 않더라도 위 규정에 따른 사항들을 모두 포함하는 내부통제기준을 마련할 수 있음
-따라서 기업은행이 위 정보를 이용하지 않으면 내부통제기준의 마련이라는 금융사지배구조법상 소관 업무를 수행할 수 없는 경우에 해당한다고 볼 수 없음
4) 소결론
기업은행은 불건전 영업행위 방지 등을 목적으로 본 건의 제한을 위하여 소속 직원 가족의 성명, 생년월일을 이용할 수 없음
나.기업은행이 불건전 영업행위 방지 등을 목적으로 본 건의 제한을 위하여 직원 가족의 주민등록번호를 보호법 제24조의2 제1항 제1호에 따라 이용할 수 있는지 여부
보호법 제24조의2 제1항 제1호는 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용하는 경우 주민등록번호를 처리할 수 있다고 규정하고 있음
-「은행법 시행령」 제29조 제2항 제4호는 은행이 「은행법」 제34조 제2항 제4호 및 「은행법 시행령」 제20조 제1항 제5호에 따른 경영의 건전성 확보를 위한 경영지도기준 준수에 관한 사무를 수행하기 위하여 불가피한 경우 주민등록번호가 포함된 자료를 처리할 수 있다고 규정하고 있으나,
-위 규정의 위임을 받은 「은행업감독규정」 제6장 제1절 경영지도기준에서는 은행이 건전경영을 위하여 유지해야 하는 경영지도비율, 담보인정비율 등에 관한 사항과 「은행법」 제34조의2 제1항 제3호에 따른 '정상적인 수준’의 범위 등을 규정하고 있을 뿐, 본 건의 제한에 관하여 별도로 규정하고 있지 않음
따라서 기업은행이 소속 직원 가족의 주민등록번호를 이용하는 것은 경영지도기준 준수에 관한 사무를 수행하기 위하여 불가피하다고 볼 수 없고, 기업은행이 불건전 영업행위 방지 등을 목적으로 주민등록번호를 처리할 수 있는 다른 근거는 확인되지 않는바, 기업은행은 본 건의 제한을 위하여 직원 가족의 주민등록번호를 이용할 수 없음
다.금융감독원, 국회의 요청이 있는 경우, 기업은행이 보호법 제18조 제2항 제2호에 따라 소속 직원 가족의 성명, 생년월일과 대출자의 성명, 생년월일을 이용하여 상호 일치하는 대출별 대출금액 및 일시를 제공할 수 있는지 여부
기업은행이 보유하고 있는 소속 직원 가족의 성명, 생년월일과 대출자의 성명, 생년월일, 대출금액, 대출일시는 직원의 채용이나 연말정산 또는 기업은행의 업무에 관하여 기록할 목적 등으로 수집한 개인정보이므로, 이를 금융감독원의 검사, 국회의 국정감사를 위한 요청에 따른 자료의 제출을 위하여 이용ㆍ제공하는 것은 개인정보의 목적 외 이용ㆍ제공에 해당함
보호법 제18조 제2항 제2호는 다른 법률에 특별한 규정이 있는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있도록 규정하고 있고,
-'다른 법률에 특별한 규정이 있는 경우’란 법률에서 개인정보의 목적 외 이용ㆍ제공을 구체적으로 허용하고 있는 경우를 말하며, 해당 법률에 목적 외 이용ㆍ제공되는 개인정보 항목이 구체적으로 열거되어 있지 않더라도 당해 업무의 목적, 성격 등을 고려하였을 때 목적 외 이용ㆍ제공 대상에 개인정보가 포함될 것이 합리적으로 예견되는 경우를 포함함(개인정보위 2018. 7. 23. 제2018-14-133호 결정 참조)
1) 다른 법률에 특별한 규정이 있는 경우에 해당하는지 여부
「금융위원회의 설치 등에 관한 법률」(이하 '금융위원회법’) 제40조 제1항은 금융감독원의 원장(이하 '원장’)은 업무 수행에 필요하다고 인정할 때에는 금융감독원에 검사가 위탁된 대상 기관 등에 대하여 업무 또는 재산에 관한 보고, 자료의 제출, 관계자의 출석 및 진술을 요구할 수 있다고 규정하고 있고, 기업은행은 「중소기업은행법」 제48조 제4항에 따라 금융감독원에 검사가 위탁된 대상 기관임
또한, 「국회에서의 증언ㆍ감정 등에 관한 법률」(이하 '국회증언감정법’) 제2조는 국회에서 안건심의 또는 국정감사나 국정조사와 관련하여 보고와 서류 등의 제출 요구를 받은 때에는 이 법에 특별한 규정이 있는 경우를 제외하고는 다른 법률에도 불구하고 누구든지 이에 따라야 한다고 규정하고 있음
금융위원회법 제40조 및 국회증언감정법 제2조에는 목적 외 이용 또는 제공되는 개인정보 항목이 구체적으로 열거되어 있지 않으나,
-기업은행에 대한 금융감독원의 검사, 국회의 국정감사를 위해서는 기업은행이 취급한 대출 중 특정 조건을 충족하는 대출내역 등의 개인정보가 포함될 것이 합리적으로 예견되는바, 위 규정들은 보호법 제18조 제2항 제2호에 따른 '다른 법률에 특별한 규정’에 해당함
2) 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있는지 여부
기업은행이 보유 중인 소속 직원 가족과 대출자의 성명, 생년월일은 금융감독원이나 국회에 제출되는 것이 아니라, 제출할 자료의 생성을 위한 상호 대조ㆍ조회*에만 이용되는 점,
<img src="/LSW/flDownload.do?flSeq=117366893" alt="1번째 이미지"></img>
-기업은행이 제출할 자료는 대출별 대출금액, 일시, 건수총계로서 이를 제공받는 금융감독원과 국회로서는 해당 자료를 통하여 특정 개인을 알아보기 어려운 점,
-금융감독원과 국회가 기업은행에 자료 제출을 요청하는 취지는 부정한 대출을 적발하고 특정 개인에게 부당한 재산상 이익이 제공되지 않도록 하려는 것이므로 공익성이 인정되는 점 등을 고려하면,
-해당 자료의 제출로 제한되는 정보주체 또는 제3자의 권리보다 이로 인해 달성되는 공익이 더 크다고 볼 수 있어 정보주체 또는 제3자의 이익을 부당하게 침해하지 않을 것으로 판단됨
3) 소결론
기업은행은 보호법 제18조 제2항 제2호에 따라 소속 직원 가족의 성명, 생년월일과 대출자의 성명, 생년월일을 이용하여 상호 일치하는 대출별 대출금액 및 일시를 금융감독원, 국회에 제출할 수 있음
라.금융감독원, 국회의 요청이 있는 경우, 기업은행이 보호법 제24조의2 제1항 제1호에 따라 요청에 관한 자료를 제출할 목적으로 직원 가족과 대출자의 주민등록번호를 처리할 수 있는지 여부
앞서 검토한 바와 같이, 주민등록번호는 보호법 제24조의2 제1항 제1호에 따라 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 처리를 요구하거나 허용하는 경우 등에 한하여 처리할 수 있음
1) 금융감독원의 자료 제출 요청 관련
금융위원회법 시행령 제22조의2 제1항 제3의2호는 원장이 같은 법 제40조에 따른 검사, 자료 제출과 이에 따른 사후 조치 등에 관한 사무를 수행하기 위하여 불가피한 경우 주민등록번호가 포함된 자료를 처리할 수 있다고 규정하고 있고,
-금융감독원이 정확한 검사 업무를 수행하기 위해서는 자료의 진실성, 객관성, 충분성의 확보가 필수적이며, 성명과 생년월일만으로는 개인을 정확하게 구분하지 못할 가능성이 있음을 고려할 때,
-기업은행은 금융위원회법 제40조에 따라 금융감독원이 요청한 자료를 생성ㆍ제출할 목적으로 직원 가족 및 기업은행이 대출한 자의 주민등록번호를 대조하는 것이 불가피한 경우에 한하여 주민등록번호를 이용할 수 있음
2) 국회의 자료 제출 요청 관련
보호법은 주민등록번호가 행정서비스, 금융, 의료 등 사회 전 분야에서 개인 식별을 위한 기초 자료로 널리 활용되고 있는 점, 유일성, 변경의 어려움 등으로 각종 서비스의 Key 값으로 기능하는 점, 다른 개인정보에 비해 유출 시 피해나 문제의 심각성이 크고 지속적인 점 등을 고려하여 제24조의2에 '주민등록번호 법정주의’를 신설하여 주민등록번호의 처리를 원칙적으로 금지하였고,
-그 처리를 허용하는 법령의 범위를 법률, 대통령령, 국회규칙 등으로 한정함으로써 주민등록번호의 처리를 보다 엄격히 제한하고, 정보주체의 권리를 두텁게 보호하고 있음
-또한 법제처는 국회로부터 국회증언감정법 제2조에 따라 국정감사나 국정조사와 관련한 서류 등의 제출을 요구받은 경우 보호법 제18조 등을 이유로 이를 거부할 수 없으나, 해당 서류 등의 제출은 「헌법」이 보장하고 있는 기본권의 본질적 내용의 침해금지 취지, 보호법에서 보호하고자 하는 개인정보 보호의 취지 및 「국정감사 및 조사에 관한 법률」(이하 '국감국조법’) 제8조에 따른 개인의 사생활 침해나 재판 중 사건에 관여할 목적을 배제하는 등의 취지에 따른 한계가 있다고 해석한 바 있음(법제처 2014. 9. 17. 안건번호 14-0411 참조)
-이러한 입법취지, 관계 기관의 유권해석 등을 고려할 때, 국회증언감정법 제2조가 보호법 제24조의2에 따른 주민등록번호 법정주의를 배제한다고 보기 어려움
그런데 국회증언감정법 제2조는 보고나 서류 등의 제출을 요구할 뿐 주민등록번호의 처리를 구체적으로 요구하거나 허용하는 규정에 해당하지 않고, 국감국조법 등을 추가로 검토하였으나 국회의 자료제출 요구와 관련하여 주민등록번호의 처리를 구체적으로 요구하거나 허용하는 규정은 없는 것으로 확인되며, 「중소기업은행법」, 「은행법」, 금융사지배구조법 등 관계법령에도 국회의 자료제출 요구와 관련하여 기업은행의 주민등록번호의 처리를 구체적으로 요구하거나 허용하는 규정은 존재하지 않음
따라서, 기업은행은 국회증언감정법 제2조에 따른 국회의 자료 제출 요청에 대하여 요청한 자료를 생성ㆍ제출할 목적으로 직원 가족 및 기업은행이 대출한 자의 주민등록번호를 이용할 수 없음
3) 소결론
기업은행은 금융감독원이 검사 업무의 수행을 목적으로 금융위원회법 제40조에 따라 요청한 “특정 기간 내 소속 직원 가족에게 대출한 건수, 해당 대출별 대출금액 및 일시”의 제출을 위하여 소속 직원 가족과 대출자의 주민등록번호를 이용하여 상호 일치하는 대출별 대출금액 및 일시를 제공할 수 있음
기업은행은 국회가 국정감사를 목적으로 국회증언감정법 제2조에 따라 요청한 “특정 기간 내 소속 직원 가족에게 대출한 건수, 해당 대출별 대출금액 및 일시”의 제출을 위하여 소속 직원 가족과 대출자의 주민등록번호를 이용할 수 없음
3. 참고의견
기업은행은 개인정보를 목적 외 이용ㆍ제공하는 과정에서 보호법 제29조에 따라 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 조치를 하여야 하며, 금융감독원 및 국회에 자료를 제공할 때에도 보호법 제18조 제5항에 따라 제공받는 자에게 이용 목적, 방법 등에 대한 제한을 하거나 개인정보의 안전성 확보에 필요한 조치를 마련하도록 요청하여야 함
이상과 같은 이유로 주문과 같이 의결한다.
1. 질의요지
가.질의배경
중소기업은행(이하 '기업은행’)은 소속 직원이 자신의 가족에게 수차례에 걸쳐 거액을 대출한 사건이 발생함에 따라 불건전 영업행위 또는 직원이 법에서 금지한 사항을 우회하여 가족의 명의를 빌려 대출을 받는 행위 방지, 내부통제기준 마련 의무의 준수(이하 '불건전 영업행위 방지 등’)를 목적으로 소속 직원이 그 가족의 대출을 직접 취급할 수 없도록 제한(이하 '본 건의 제한’)하는 시스템을 개발ㆍ운영하고자 함
-시스템은 기업은행이 직원의 채용이나 연말정산 과정에서 수집한 직원 가족의 주민등록번호 또는 성명, 생년월일과 대출신청자의 주민등록번호 또는 성명, 생년월일을 대조하여 대출신청자가 직원의 가족인지 여부를 검증하고, 대출신청자가 직원 가족일 경우 그 직원이 해당 대출 취급에 관여할 수 없도록 제한하고자 함
한편, 기업은행은 금융감독원과 국회로부터 그동안 기업은행이 소속 직원 가족에게 대출한 건수, 해당 대출별 대출금액 및 일시의 제출을 요청받음
-이에 기업은행은 직원의 채용이나 연말정산 과정에서 수집한 직원 가족의 성명ㆍ생년월일 또는 주민등록번호와 대출자의 성명ㆍ생년월일 또는 주민등록번호를 대조하여 요청받은 자료를 생성 및 제출할 수 있는지 질의하고자 함
나.질의내용
기업은행이 불건전 영업행위 방지 등을 목적으로 본 건의 제한을 위하여 「개인정보 보호법」(이하 '보호법’) 제18조 제2항 제5호에 따라 소속 직원 가족의 성명, 생년월일을 이용할 수 있는지 여부
기업은행이 불건전 영업행위 방지 등을 목적으로 본 건의 제한을 위하여 보호법 제24조의2 제1항 제1호에 따라 소속 직원 가족의 주민등록번호를 이용할 수 있는지 여부
금융감독원, 국회의 요청이 있는 경우, 기업은행이 보호법 제18조 제2항 제2호 및 제24조의2 제1항 제1호에 따라 소속 직원 가족의 성명ㆍ생년월일 또는 주민등록번호와 대출자의 성명ㆍ생년월일 또는 주민등록번호를 이용하여 상호 일치하는 대출별 대출금액 및 일시를 제공할 수 있는지 여부
2. 이유
가.기업은행이 불건전 영업행위 방지 등을 목적으로 본 건의 제한을 위하여 보호법 제18조 제2항 제5호에 따라 소속 직원 가족의 성명, 생년월일을 이용할 수 있는지 여부
기업은행이 보유하고 있는 직원 가족의 성명, 생년월일은 직원의 채용이나 연말정산을 위하여 수집한 개인정보이므로 이를 불건전 영업행위 방지 등을 목적으로 이용하는 것은 그 수집 목적의 범위를 초과하는 목적 외 이용에 해당함
보호법 제18조 제2항 제5호는 공공기관인 개인정보처리자가 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 개인정보위의 심의ㆍ의결을 거친 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다고 규정하고 있음
1) 기업은행이 보호법 상 공공기관에 해당하는지 여부
기업은행은 「공공기관의 운영에 관한 법률」 제4조에 따라 기획재정부가 지정한 공공기관으로서 보호법 제2조 제6호 나목, 같은 법 시행령 제2조 제4호에 따른 공공기관에 해당함
2) 불건전 영업행위 방지 등이 보호법 제18조 제2항 제5호에 따른 법률에서 정하는 소관 업무에 해당하는지 여부
보호법 제18조 제2항 제5호의 '다른 법률에서 정하는 소관 업무’는 시행령 및 시행규칙에서 정하고 있는 소관 업무가 아닌 법률에서 정하고 있는 업무이어야 하나, 법률에 위임 근거가 있고 이에 따라 시행령 및 시행규칙에 소관 업무가 규정된 경우에는 그러한 소관 업무도 법률에서 정하고 있는 소관 업무에 해당함
「중소기업은행법」 제3조 제3항은 이 법에 특별한 규정이 없으면 「은행법」 및 「금융회사의 지배구조에 관한 법률」(이하 '금융사지배구조법’)을 기업은행에 적용한다고 규정하고 있고,
-「중소기업은행법」은 불건전 영업행위 방지 등과 관련된 기업은행의 소관 업무를 규정하고 있지 않으므로, 「은행법」 및 금융사지배구조법에 대하여 추가적으로 검토하여야 함
「은행법」 제34조의2 제1항은 각 호의 행위를 '불건전 영업행위’로서 금지하고 있고, 특히 제3호는 은행이 은행업무와 관련하여 은행이용자에게 정상적인 수준을 초과하여 재산상 이익을 제공하는 행위를 해서는 아니 된다고 규정하고 있으며,
-같은 법 제38조 제6호는 은행이 해당 은행의 임직원에 대한 대출 업무를 하여서는 아니 된다고 규정하고 있음
-또한, 금융사지배구조법 제24조 제1항은 금융회사가 법령을 준수하고 경영을 건전하게 하는 등의 목적을 위하여 금융회사의 임직원이 직무를 수행할 때 준수하여야 할 기준 및 절차(이하 '내부통제기준’)를 마련하여야 한다고 규정하고 있음
따라서 불건전 영업행위 방지 등은 법률에서 정하는 기업은행의 소관 업무에 해당함
3) 본 건의 제한을 위하여 개인정보를 목적 외 이용하지 않으면 위 소관 업무를 수행할 수 없는 경우에 해당하는지 여부
보호법 제18조 제2항 제5호의 '소관 업무를 수행할 수 없는 경우’는 개인정보를 그 수집 목적 외로 이용ㆍ제공하지 아니하면 소관 업무의 수행이 불가능하거나 현저히 곤란한 경우를 의미함(개인정보위 2017. 1. 9. 제2017-01-06호 결정 참조)
그런데 기업은행은 이미 내부 시스템으로 대출신청자의 신용등급, 담보 특성 등을 고려하여 금리의 하한과 대출한도의 상한을 제한하고 있고, 대출신청자가 소속 직원과 동일인일 경우에는 대출 자체를 제한하고 있으므로,
-기업은행이 소속 직원 가족의 성명, 생년월일을 이용하지 않더라도 은행이용자에게 정상적인 수준을 초과하여 재산상 이익을 제공하거나 소속 직원에게 대출하는 행위의 방지라는 「은행법」상 소관 업무의 수행이 불가능한 경우에 해당한다고 볼 수 없음
또한, 「은행법」은 은행이 은행이용자에게 정상적인 수준을 초과하여 재산상 이익을 제공하거나 그 임직원에게 대출하는 행위를 금지하고 있을 뿐 소속 직원이 자신의 가족에 대한 대출을 직접 취급하는 행위 자체를 제한하고 있지는 않음
-따라서 소속 직원 가족의 성명, 생년월일은 기업은행의 「은행법」상 소관 업무와 관련되거나 이를 수행하는 데 필요한 정보라고 볼 수 없고, 위 정보를 이용하지 않으면 위 소관 업무의 수행이 현저히 곤란한 경우에 해당한다고 볼 수도 없음
한편, 금융사지배구조법 제24조의 위임을 받은 같은 법 시행령 제19조 제1항 및 「금융회사 지배구조 감독규정」 제11조 제2항은 내부통제기준에 포함되어야 하는 사항을 규정하고 있는데, 이에 따르면 내부통제기준에 본 건의 제한에 관한 사항이 반드시 포함되어야 하는 것이 아닌바,
-기업은행은 소속 직원 가족의 성명, 생년월일을 이용하지 않더라도 위 규정에 따른 사항들을 모두 포함하는 내부통제기준을 마련할 수 있음
-따라서 기업은행이 위 정보를 이용하지 않으면 내부통제기준의 마련이라는 금융사지배구조법상 소관 업무를 수행할 수 없는 경우에 해당한다고 볼 수 없음
4) 소결론
기업은행은 불건전 영업행위 방지 등을 목적으로 본 건의 제한을 위하여 소속 직원 가족의 성명, 생년월일을 이용할 수 없음
나.기업은행이 불건전 영업행위 방지 등을 목적으로 본 건의 제한을 위하여 직원 가족의 주민등록번호를 보호법 제24조의2 제1항 제1호에 따라 이용할 수 있는지 여부
보호법 제24조의2 제1항 제1호는 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용하는 경우 주민등록번호를 처리할 수 있다고 규정하고 있음
-「은행법 시행령」 제29조 제2항 제4호는 은행이 「은행법」 제34조 제2항 제4호 및 「은행법 시행령」 제20조 제1항 제5호에 따른 경영의 건전성 확보를 위한 경영지도기준 준수에 관한 사무를 수행하기 위하여 불가피한 경우 주민등록번호가 포함된 자료를 처리할 수 있다고 규정하고 있으나,
-위 규정의 위임을 받은 「은행업감독규정」 제6장 제1절 경영지도기준에서는 은행이 건전경영을 위하여 유지해야 하는 경영지도비율, 담보인정비율 등에 관한 사항과 「은행법」 제34조의2 제1항 제3호에 따른 '정상적인 수준’의 범위 등을 규정하고 있을 뿐, 본 건의 제한에 관하여 별도로 규정하고 있지 않음
따라서 기업은행이 소속 직원 가족의 주민등록번호를 이용하는 것은 경영지도기준 준수에 관한 사무를 수행하기 위하여 불가피하다고 볼 수 없고, 기업은행이 불건전 영업행위 방지 등을 목적으로 주민등록번호를 처리할 수 있는 다른 근거는 확인되지 않는바, 기업은행은 본 건의 제한을 위하여 직원 가족의 주민등록번호를 이용할 수 없음
다.금융감독원, 국회의 요청이 있는 경우, 기업은행이 보호법 제18조 제2항 제2호에 따라 소속 직원 가족의 성명, 생년월일과 대출자의 성명, 생년월일을 이용하여 상호 일치하는 대출별 대출금액 및 일시를 제공할 수 있는지 여부
기업은행이 보유하고 있는 소속 직원 가족의 성명, 생년월일과 대출자의 성명, 생년월일, 대출금액, 대출일시는 직원의 채용이나 연말정산 또는 기업은행의 업무에 관하여 기록할 목적 등으로 수집한 개인정보이므로, 이를 금융감독원의 검사, 국회의 국정감사를 위한 요청에 따른 자료의 제출을 위하여 이용ㆍ제공하는 것은 개인정보의 목적 외 이용ㆍ제공에 해당함
보호법 제18조 제2항 제2호는 다른 법률에 특별한 규정이 있는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있도록 규정하고 있고,
-'다른 법률에 특별한 규정이 있는 경우’란 법률에서 개인정보의 목적 외 이용ㆍ제공을 구체적으로 허용하고 있는 경우를 말하며, 해당 법률에 목적 외 이용ㆍ제공되는 개인정보 항목이 구체적으로 열거되어 있지 않더라도 당해 업무의 목적, 성격 등을 고려하였을 때 목적 외 이용ㆍ제공 대상에 개인정보가 포함될 것이 합리적으로 예견되는 경우를 포함함(개인정보위 2018. 7. 23. 제2018-14-133호 결정 참조)
1) 다른 법률에 특별한 규정이 있는 경우에 해당하는지 여부
「금융위원회의 설치 등에 관한 법률」(이하 '금융위원회법’) 제40조 제1항은 금융감독원의 원장(이하 '원장’)은 업무 수행에 필요하다고 인정할 때에는 금융감독원에 검사가 위탁된 대상 기관 등에 대하여 업무 또는 재산에 관한 보고, 자료의 제출, 관계자의 출석 및 진술을 요구할 수 있다고 규정하고 있고, 기업은행은 「중소기업은행법」 제48조 제4항에 따라 금융감독원에 검사가 위탁된 대상 기관임
또한, 「국회에서의 증언ㆍ감정 등에 관한 법률」(이하 '국회증언감정법’) 제2조는 국회에서 안건심의 또는 국정감사나 국정조사와 관련하여 보고와 서류 등의 제출 요구를 받은 때에는 이 법에 특별한 규정이 있는 경우를 제외하고는 다른 법률에도 불구하고 누구든지 이에 따라야 한다고 규정하고 있음
금융위원회법 제40조 및 국회증언감정법 제2조에는 목적 외 이용 또는 제공되는 개인정보 항목이 구체적으로 열거되어 있지 않으나,
-기업은행에 대한 금융감독원의 검사, 국회의 국정감사를 위해서는 기업은행이 취급한 대출 중 특정 조건을 충족하는 대출내역 등의 개인정보가 포함될 것이 합리적으로 예견되는바, 위 규정들은 보호법 제18조 제2항 제2호에 따른 '다른 법률에 특별한 규정’에 해당함
2) 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있는지 여부
기업은행이 보유 중인 소속 직원 가족과 대출자의 성명, 생년월일은 금융감독원이나 국회에 제출되는 것이 아니라, 제출할 자료의 생성을 위한 상호 대조ㆍ조회*에만 이용되는 점,
<img src="/LSW/flDownload.do?flSeq=117366893" alt="1번째 이미지"></img>
-기업은행이 제출할 자료는 대출별 대출금액, 일시, 건수총계로서 이를 제공받는 금융감독원과 국회로서는 해당 자료를 통하여 특정 개인을 알아보기 어려운 점,
-금융감독원과 국회가 기업은행에 자료 제출을 요청하는 취지는 부정한 대출을 적발하고 특정 개인에게 부당한 재산상 이익이 제공되지 않도록 하려는 것이므로 공익성이 인정되는 점 등을 고려하면,
-해당 자료의 제출로 제한되는 정보주체 또는 제3자의 권리보다 이로 인해 달성되는 공익이 더 크다고 볼 수 있어 정보주체 또는 제3자의 이익을 부당하게 침해하지 않을 것으로 판단됨
3) 소결론
기업은행은 보호법 제18조 제2항 제2호에 따라 소속 직원 가족의 성명, 생년월일과 대출자의 성명, 생년월일을 이용하여 상호 일치하는 대출별 대출금액 및 일시를 금융감독원, 국회에 제출할 수 있음
라.금융감독원, 국회의 요청이 있는 경우, 기업은행이 보호법 제24조의2 제1항 제1호에 따라 요청에 관한 자료를 제출할 목적으로 직원 가족과 대출자의 주민등록번호를 처리할 수 있는지 여부
앞서 검토한 바와 같이, 주민등록번호는 보호법 제24조의2 제1항 제1호에 따라 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 처리를 요구하거나 허용하는 경우 등에 한하여 처리할 수 있음
1) 금융감독원의 자료 제출 요청 관련
금융위원회법 시행령 제22조의2 제1항 제3의2호는 원장이 같은 법 제40조에 따른 검사, 자료 제출과 이에 따른 사후 조치 등에 관한 사무를 수행하기 위하여 불가피한 경우 주민등록번호가 포함된 자료를 처리할 수 있다고 규정하고 있고,
-금융감독원이 정확한 검사 업무를 수행하기 위해서는 자료의 진실성, 객관성, 충분성의 확보가 필수적이며, 성명과 생년월일만으로는 개인을 정확하게 구분하지 못할 가능성이 있음을 고려할 때,
-기업은행은 금융위원회법 제40조에 따라 금융감독원이 요청한 자료를 생성ㆍ제출할 목적으로 직원 가족 및 기업은행이 대출한 자의 주민등록번호를 대조하는 것이 불가피한 경우에 한하여 주민등록번호를 이용할 수 있음
2) 국회의 자료 제출 요청 관련
보호법은 주민등록번호가 행정서비스, 금융, 의료 등 사회 전 분야에서 개인 식별을 위한 기초 자료로 널리 활용되고 있는 점, 유일성, 변경의 어려움 등으로 각종 서비스의 Key 값으로 기능하는 점, 다른 개인정보에 비해 유출 시 피해나 문제의 심각성이 크고 지속적인 점 등을 고려하여 제24조의2에 '주민등록번호 법정주의’를 신설하여 주민등록번호의 처리를 원칙적으로 금지하였고,
-그 처리를 허용하는 법령의 범위를 법률, 대통령령, 국회규칙 등으로 한정함으로써 주민등록번호의 처리를 보다 엄격히 제한하고, 정보주체의 권리를 두텁게 보호하고 있음
-또한 법제처는 국회로부터 국회증언감정법 제2조에 따라 국정감사나 국정조사와 관련한 서류 등의 제출을 요구받은 경우 보호법 제18조 등을 이유로 이를 거부할 수 없으나, 해당 서류 등의 제출은 「헌법」이 보장하고 있는 기본권의 본질적 내용의 침해금지 취지, 보호법에서 보호하고자 하는 개인정보 보호의 취지 및 「국정감사 및 조사에 관한 법률」(이하 '국감국조법’) 제8조에 따른 개인의 사생활 침해나 재판 중 사건에 관여할 목적을 배제하는 등의 취지에 따른 한계가 있다고 해석한 바 있음(법제처 2014. 9. 17. 안건번호 14-0411 참조)
-이러한 입법취지, 관계 기관의 유권해석 등을 고려할 때, 국회증언감정법 제2조가 보호법 제24조의2에 따른 주민등록번호 법정주의를 배제한다고 보기 어려움
그런데 국회증언감정법 제2조는 보고나 서류 등의 제출을 요구할 뿐 주민등록번호의 처리를 구체적으로 요구하거나 허용하는 규정에 해당하지 않고, 국감국조법 등을 추가로 검토하였으나 국회의 자료제출 요구와 관련하여 주민등록번호의 처리를 구체적으로 요구하거나 허용하는 규정은 없는 것으로 확인되며, 「중소기업은행법」, 「은행법」, 금융사지배구조법 등 관계법령에도 국회의 자료제출 요구와 관련하여 기업은행의 주민등록번호의 처리를 구체적으로 요구하거나 허용하는 규정은 존재하지 않음
따라서, 기업은행은 국회증언감정법 제2조에 따른 국회의 자료 제출 요청에 대하여 요청한 자료를 생성ㆍ제출할 목적으로 직원 가족 및 기업은행이 대출한 자의 주민등록번호를 이용할 수 없음
3) 소결론
기업은행은 금융감독원이 검사 업무의 수행을 목적으로 금융위원회법 제40조에 따라 요청한 “특정 기간 내 소속 직원 가족에게 대출한 건수, 해당 대출별 대출금액 및 일시”의 제출을 위하여 소속 직원 가족과 대출자의 주민등록번호를 이용하여 상호 일치하는 대출별 대출금액 및 일시를 제공할 수 있음
기업은행은 국회가 국정감사를 목적으로 국회증언감정법 제2조에 따라 요청한 “특정 기간 내 소속 직원 가족에게 대출한 건수, 해당 대출별 대출금액 및 일시”의 제출을 위하여 소속 직원 가족과 대출자의 주민등록번호를 이용할 수 없음
3. 참고의견
기업은행은 개인정보를 목적 외 이용ㆍ제공하는 과정에서 보호법 제29조에 따라 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 조치를 하여야 하며, 금융감독원 및 국회에 자료를 제공할 때에도 보호법 제18조 제5항에 따라 제공받는 자에게 이용 목적, 방법 등에 대한 제한을 하거나 개인정보의 안전성 확보에 필요한 조치를 마련하도록 요청하여야 함
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).