[디지털데일리 김보민기자] 금융권이 정보보호와 관련된 신용정보법·개인정보보호법을 준수하기 위해 부담을 안고 있는 것으로 나타났다. 각 법이 위반 사업자에게 대규모 과징금을 부과할 개정 조항을 마련한 만큼, 대응 전략을 강화해야 한다는 의견도 제기됐다.

주민석 변호사(법무법인 화우)는 15일 서울 영등포구 한국금융투자협회에서 금융보안원이 개최한 '개인(신용)정보보호 세미나'에 참석해 "이제 금융회사는 (정보법 준수를 위해) 사전 검토를 충실히 이행하고, 사후 점검 또한 강화할 필요가 있다"고 밝혔다.

현재 정보보호와 관련된 법으로는 금융위원회 소관 신용정보법과 개인정보보호위원회(이하 개인정보위) 소관 개인정보보호법이 있다. 두 법안 모두 개정을 통해 과징금 상한 기준을 높였다. 신용정보법의 경우 법 위반 시 최대 과징금 상한을 관련 매출의 3%에서 전체 매출의 3%로 변경했고, 개인정보보호법 또한 정보보호 의무 등을 위반할 시 과징금 상한을 '전체 매출액 3%'로 확대했다.

신용정보법과 개인정보보호법은 다루는 '정보'에 차이가 있다. 신용정보법은 기업신용정보를, 개인정보보호법은 개인신용정보를 제외한 개인정보를 다룬다. 다만 개인신용정보더라도 신용정보법 규정이 없으나 개인정보보호법 규정이 있을 경우, 개인정보보호법에서 다뤄질 수 있다.

주 변호사는 "과거에는 '치킨 한 마리를 주문하는 것도 신용정보일까?'에 대한 논의가 있었고 금융위는 '상거래정보는 당연히 신용정보'라는 의견을, 개인정보위는 '(정보의 범위를) 넓게 볼 시 산업계에 부담을 줄 수 있다'고 이야기 하기도 했다"고 말했다. 이어 "금융당국에서는 개인신용정보가 아닌 개인정보의 경우에는 금융 관련 법령에서 별도 정한 내용이 없는 경우에는 개인정보보호법에 따르도록 하고 있다"고 설명했다.

최근 매출 대비 과징금 등 제재 수위가 높아진 것에 대해서는 "전체 매출액의 3%라는 과징금 기준이 있기 때문에, 제재를 피하는 것이 곧 매출액을 지키는 것이라고 바라봐야 한다"며 "정보보호는 수익과 직결되는 이슈"라고 평가했다.

금융위원회의 제재 사례를 살펴보면 ▲개인신용정보 부당 제공 ▲개인신용정보의 업무 목적 외 누설 ▲파기·삭제 의무 위반 등이 있다. 개인정보위의 제재 사례의 경우 ▲개인정보 수집 시 동의사항 구분 누락 ▲개인정보 목적 외 이용 ▲홍보 및 판매 권유 목적 미고지 ▲법정대리인 동의절차 위반 ▲동의 없는 개인정보 국외 이전 등이 있다. 위반 수준 및 법 기준에 따라 과징금 뿐만 아니라 과태료, 시정명령이 내려진 사례가 은행, 카드사, 보험사에서도 포착되고 있다.

금융보안원은 이러한 제재 흐름에 맞춰, 금융권 대응 전략도 고도화돼야 한다고 강조했다. 고규만 금융보안원 개인정보기획팀장은 "금융권의 경우 개인신용정보 등에 대한 (처벌이) 많이 부과되고 있고, 제재 사례도 늘어나는 추세"라며 "실질적인 리스크 대응 전략을 갖추는 것이 중요한 과제가 됐다"고 진단했다.

이날 고 팀장은 금융권이 법 준수 및 정보보호를 위해 살펴봐야 할 요소로 위탁 및 제3자 제공을 구분하고, 개인신용정보 처리 목적을 구체화해야 한다고 제언했다. 모두 금융권 제재 사례가 많았던 요소다.

한편 금융보안원은 법 준수 및 정보보호에 대한 금융권 인식을 제고하고, 애로사항을 해소하기 위해 지원 전략을 전개할 방침이다. 그 일환으로 개인(신용)정보 보호 협의회를 구성 및 운영하고, 최신 최신 유출사고와 제재 사례를 분석하는 작업을 추진한다. 아울러 금융권 개인신용정보 보호 가이드와 안내서를 발간해 이해를 높이고, 세미나와 교육을 정기적으로 실시할 계획이다.

박상원 금융보안원 원장은 "금융보안원은 개인신용정보 보호와 관련해 금융회사가 컴플라이언스(compliance)를 준수하고, 금융소비자를 보호할 수 있도록 적극 지원하겠다"며 "금융권 개인정보보호 수준을 제고하기 위해 이슈 논의와 대응을 위한 협의회 조성 및 가이드라인 개발 등을 추진할 것"이라고 강조했다.