20정책0012

신용정보의 이용 및 보호에 관한 법률 시행령 일부개정령안에 대해 수정 의견을 제출하기로 의결함

「신용정보보호법 시행령안」이 「대한민국헌법」 제17조에서 도출되는 개인정보자기결정권, 1990. 3. 16. 대한민국이 비준한 「시민적 및 정치적 권리에 관한 국제규약」 제17조 사생활에 대한 권리 등을 제약할 소지가 있는지에 대해 「국가인권위원회법」 제19조 제1호에 따라 검토함

신용정보의 이용 및 보호에 관한 법률
시행령 일부개정령안 검토서
※ 담당자 :국가인권위원회 인권정책과 행정사무관 김민섭(02-2125-9827)
개 정 안 검 토 의 견
제12조의2(수집 및 처리의
원칙)①법제15조제2항제
2호다목에 따른 동의가 있
었다고 객관적으로 인정되
는범위란다음각호의사
정을 객관적으로 고려할
때 신용정보주체의 동의가
있었다고 객관적으로 인정
되는범위를말한다.
1.공개된개인정보의성격,
공개의형태,대상범위
2.제1호로부터추단되는신
용정보주체의 공개 의도
및목적
3.신용정보회사등의개인정
보처리의형태
4. 수집 목적이 신용정보주
체의 원래의 공개 목적과
상당한 관련성이 있는지
여부
5.정보제공으로인하여공
개의 대상 범위가 원래의
것과달라졌는지여부
6.개인정보의성질및가치
와 이를 활용하여야할 사
회ㆍ경제적필요성
○ 인터넷 이용자가 SNS에 스스로 공개한
개인정보라 하더라도 신용정보회사 등이
그 정보를 아무런 제약 없이 수집·이용할
수 있다고 보기는 어려우며, 당초 인터넷
이용자가 그 개인정보를 SNS에 공개한
맥락에 부합하는 용도와 범위 내에서만
수집,활용되어야한다고봄이상식적임
※ 헌법재판소 2005. 5. 26. 99헌마513, 2004
헌마190(병합) 결정에서 공개정보도 보호
대상이라고 판시, 대법원 2016. 8. 17. 선
고 2014다235080판결에서공개정보도일
정한범위내에서동의한것이라고판시
? 「신용정보보호법 시행령 일부개정령안」(이
하 “시행령안”이라함)제12조의2는 SNS정
보수집에 있어 "정보주체 동의가 있었다고
인정할만한범위"를제시하나,신용정보주체
가자신의 SNS정보를신용평가회사등이수
집하여신용평가에활용하도록하겠다는 "의
도와목적"을가지고공개하는경우등은현
실적으로기대하기어려우며,결국신용정보
회사등의임의적판단에따른과도한 SNS
정보수집이우려됨
○ 따라서 「시행령안」에 「개인정보 보호법」
제20조를 참고하여 신용정보주체 요구가
있을 경우 수집출처·처리목적, 「신용정보
보호법 시행령안」 제12조의2 판단 여부,
정보의 삭제 또는 처리정지를 요구할 권
리가 있다는 사실을 알리도록 하는 규정
을추가반영할필요성이있음

개 정 안 검 토 의 견
제14조의2(정보집합물의 결
합등)①법제17조의2제1
항에서 “대통령령으로 정
하는 자”란 법 제45조의3
에 따른 상거래기업 및 법
인(이하 “상거래 기업 및
법인”이라한다)을말한다.
② 법 제17조의2제1항에
따라 정보집합물을 결합하
려는 신용정보회사등과 제
3자(이하 이 조에서 “결합
의뢰기관”이라 한다)는 공
동으로 데이터전문기관에
금융위원회가 정하여 고시
하는양식에따라정보집합
물의결합을신청하여야한
다.
③ 결합의뢰기관 및 데이
터전문기관은 정보집합물
을 결합ㆍ제공ㆍ보관하는
경우에는 다음 각 호의 사
항을 모두 준수하여야 한
다.
1. 결합의뢰기관이 정보집
합물을 데이터전문기관에
제공하는경우다음각목
의조치를하여제공할것
가. 하나의 정보집합물과
다른 정보집합물간에서
둘 이상의 정보를 연계,
연동하기 위하여 사용되
는 정보는 해당 개인을
식별할수없으나구별할
수 있는정보(이하 “결합
키”라한다)로대체할것
나. 개인신용정보가 포함
? 「개인정보보호법시행령안」제29조의2제3
항은가명정보결합신청자는결합전문기관
내에안전성확보에필요한기술적,관리적,
물리적조치가된공간(분석공간)내에서만
결합가명정보를분석할수있도록하고외부
로의반출을원칙적으로허용하지않으나,「시
행령안」제14조의2는데이터전문기관이결합
된가명정보정보집합물을결합의뢰기관에직
접전달(반출)할수있도록규정하여그보호
수준에큰차이를보이고있음
? 개인신용정보는일반적개인정보에비해보
호필요성이 더 높은 점(국가인권위원회
2020. 2. 20. "「금융실명거래및비밀보장에관
한 법률일부개정법률안」에대한의견표명"
결정참조)등을고려할때,가명정보의결합
및반출에대해서도「개인정보보호법」보다
더높거나최소한동일한수준의보호조치를
적용할필요성이있음
? 따라서「시행령안」제14조의2에따른정보집
합물의결합절차는최소한「개인정보보호
법시행령안」제29조의2와동일한수준으로
전면재검토하여규정할필요성이있음

개 정 안 검 토 의 견
된 정보집합물은 가명처
리할것
2. 결합의뢰기관이 결합키
를 생성하는 절차와 방식
은 금융위원회가 정하여
고시하는 바에 따라 결합
의뢰기관간 상호 협의하
여결정할것
3. 결합의뢰기관이 데이터
전문기관에정보집합물을
제공하거나데이터전문기
관이 결합한 정보집합물
을 결합의뢰기관에 전달
하는경우에는해당정보
집합물의내용을제3자가
알 수 없도록 암호화 등
의보호조치를하여전달
할것
4. 데이터전문기관은 결합
된 정보집합물을 결합의
뢰기관에전달하기전결
합키를 삭제하거나 금융
위원회가 정하여 고시하
는방법으로대체할것
5. 데이터전문기관은 결합
된 정보집합물의 가명처
리또는익명처리의적정
성을평가한후적정하지
않다고판단되는경우다
시가명처리또는익명처
리하여전달할것
6.데이터전문기관은 결합
한 정보집합물을 결합의
뢰기관에전달한후결합
한정보집합물및결합전
정보집합물을 지체없이

개 정 안 검 토 의 견
삭제할것
④데이터전문기관은금융
위원회가 정하여 고시하는
방법에 따라 결합관련 사
항을 기록ㆍ관리하고 1년
에 1회 정기적으로 금융위
원회에보고하여야한다.
⑤데이터전문기관은데이
터 결합 등에 필요한 비용
을 결합의뢰기관에 청구할
수있다.
⑥그밖에정보집합물결
합ㆍ제공ㆍ처리ㆍ보관의
절차 및 방법과 관련하여
필요한 사항은 금융위원회
가정하여고시한다.