신용정보업무규칙

	신용정보업무규칙

신용정보업무규칙

제정 2009.  8.  7. 규정 제18호

개정 2010.  7. 13. 규정 제63호

[시행 2017.3.31.] [규정 제285호, 2017.3.31., 전부개정]

[시행 2019.7.3.] [규칙 제22호, 2019.7.3., 일부개정]

제1장 총칙

제1조(목적) 이 규칙은 ｢신용정보의 이용 및 보호에 관한 법률｣, ｢동법 시행령｣, ｢동법 시행규칙｣  및 ｢일반신용정보관리규약｣에서 정하는 바에 따라 신용정보를 취급함에 있어 필요한 사항을 정함을 목적으로 한다. <개정 2019.7.3.>

제2조(다른 법령 등과의 관계) 신용정보의 이용 및 보호 업무에 관하여 ｢신용정보의 이용 및 보호에 관한 법률｣(이하 “법"이라 한다), ｢동법 시행령｣(이하 “영"이라 한다), ｢동법 시행규칙｣(이하 “규칙"이라 한다) 및 ｢일반신용정보관리규약｣(이하 “규약"이라 한다) 등 다른 법령에서 특별한 규정이 있는 경우를 제외하고는 이 규칙에서 정하는 바에 따른다. <개정 2019.7.3.>

제3조(정의) 이 규칙에서 사용하는 용어의 뜻은 다음과 같다. <개정 2019.7.3.>

1. “신용정보"란 금융거래 등 거래에 있어서 한국장학재단(이하 "재단"이라 한다)의 이용 고객(개인)에 대한 신용도와 신용거래능력 등을 판단할 때 필요한 정보로서 식별정보, 신용거래정보, 신용도판단정보, 신용능력정보 및 공공정보 및 이와 유사한 정보를 말한다.

2. “식별정보"란 특정 신용정보주체를 식별할 수 있는 정보로 생존하는 개인의 성명, 주소 및 전화번호 등의 연락처, 제14조 각 호의 개인식별번호, 성별, 국적 및 그 밖에 이와 유사한 정보를 말한다.

3. “신용거래정보”란 신용정보주체의 거래내용을 판단할 수 있는 정보로 대출, 보증, 담보제공, 금융거래 등 거래와 관련하여 그 거래의 종류, 기간, 금액 및 한도 등에 관한 사항을 말한다.

4. “신용도판단정보”란 신용정보주체의 신용도를 판단할 수 있는 정보로서 연체정보, 대위변제·대지급정보 및 부도정보, 금융질서문란정보 및 그 관련인정보를 말한다.

5. “신용능력정보”란 개인의 재산・채무・소득 등 신용정보주체의 신용거래능력을 판단할 수 있는 정보를 말한다.

6. “공공정보”란 법원 또는 공공기관 등이 보유하고 있는 정보로 다음 각 목의 정보를 말한다.

가. 법원의 성년후견·한정후견·특정후견과 관련된 심판, 실종선고와 관련된 심판, 회생·간이회생·개인회생과 관련된 결정, 파산선고·면책·복권과 관련된 결정, 채무불이행자명부의 등재·말소 결정 및 경매개시결정·경락허가결정 등 경매와 관련된 결정에 관한 정보

나. 국세·지방세·관세 또는 국가채권의 체납 관련 정보

다. 벌금·과태료·과징금 또는 추징금 등의 체납 관련 정보

라. 사회보험료·공공요금 또는 수수료 등 관련 정보

마. 개인의 주민등록 관련 정보로서 출생·사망·이민·부재에 관한 정보, 주민등록번호·성명의 변경 등에 관한 정보

바. 다른 법령에 따라 국가, 지방자치단체 또는 공공기관으로부터 받은 행정처분에 관한 정보 중에서 금융거래 등 상거래와 관련된 정보

사. 신용조회회사가 기록을 보존하는 정보 중에서 신용정보주체의 신용도 판단에 이용되는 정보를 제3자에게 제공한 신용조회기록

아. 신용회복위원회의 신용회복지원협약에 따른 신용회복지원 확정정보

자. 한국자산관리공사의 신용회복지원 관련 규정에 의한 채무재조정 약정정보

차. 국민행복기금이 협약금융기관등으로부터 채권을 매입한 정보 및 채무조정 약정을 체결한 정보

카. 신용정보주체의 신용정보를 종합적으로 평가·반영하여 생성한 개인신용평점 또는 개인신용등급 등

7. “신용정보주체”란 처리된 신용정보로 식별되는 자로서 그 신용정보의 주체가 되는 자를 말한다.

8. “종합신용정보집중기관"이란 한국신용정보원을 말한다.

9. “신용정보회사 등"이란 법 제2조제5호 내지 7호에서 정한 신용정보회사, 신용정보집중기관 및 신용정보제공·이용자를 말한다.

10. “금융기관"이란 영 제21조제2항에 해당하는 기관을 말한다.

11. “주관부서”란 「직제규정」에 따른 신용정보 관련 사무를 총괄하는 부서를 말한다.

12. “소관부서”란 신용정보를 수집·이용 및 처리하는 부서를 말한다.

제4조(신용정보의 관리·보호인) ① 주관부서를 관장하는 임원은 신용정보관리·보호인으로서 다음 각 호의 임무를 수행하며, 신용정보를 처리하는 각 부서의 장(이하 “분임신용정보관리·보호인”이라 한다)은 이를 보좌한다.

1. 신용정보의 수집·보유·제공·삭제 등 관리 및 보호 계획의 수립 및 시행

2. 신용정보의 수집·보유·제공·삭제 등 관리 및 보호 실태와 관행에 대한 정기적인 조사 및 개선

3. 신용정보 열람 및 정정청구 등 신용정보주체의 권리행사 및 피해구제

4. 신용정보 유출 등을 방지하기 위한 내부통제시스템의 구축 및 운영

5. 임직원 등에 대한 신용정보보호교육계획의 수립 및 시행

6. 임직원 등의 신용정보보호 관련 법령 및 규정 준수 여부 점검

② 그 밖에 신용정보관리·보호인은 신용정보전산시스템의 안전보호를 위하여 [별표1] “신용정보의 기술적·물리적·관리적 보안대책 마련 기준”에 따라 보안대책을 세워야 한다.

③ 분임신용정보관리·보호인은 해당 부서에서 신용정보를 처리하는 직원(이하 “신용정보취급자”라 한다)의 신용정보 접근 권한 통제 등 개인신용정보가 안전하게 보호될 수 있도록 관리하여야 하며, 다른 신용정보제공·이용자 또는 신용조회회사와 서로 개인신용정보를 제공하는 경우에는 [별표2]의 신용정보 보안관리 대책을 포함한 계약을 체결하여야 한다.

③ 주관부서장은 다음 각 호의 사항을 매 사업연도 종료 후 3개월 이내에 이사장 및 이사회에 보고하고 금융위원회 또는 금융감독원에 제출하여야 한다.

1. 제1항 각 호의 업무를 수행한 실적

2. 제1호의 실적을 기재한 보고서를 이사장 및 이사회에 보고한 실적

제5조(신용정보활용체제의 공시) 신용정보를 처리하는 주관부서의 장은 다음 각 호의 사항을 포함한 신용정보활용체제를 홈페이지에 공시하여야 한다.

1. 관리하는 신용정보의 종류 및 이용 목적

2. 신용정보를 제3자에게 제공하는 경우 제공하는 신용정보의 종류, 제공 대상, 제공받는 자의 이용 목적

3. 신용정보의 보유 기간 및 이용 기간이 있는 경우 해당 기간, 신용정보 파기의 절차 및 방법

4. 법 제17조에 따라 신용정보의 처리를 위탁하는 경우 그 업무의 내용 및 수탁자

5. 신용정보주체의 권리와 그 행사방법

6. 신용정보 관리·보호 관련 고충을 처리하는 직원의 성명, 부서 및 연락처

제2장 신용정보의 수집·조사 및 처리

제6조(신용정보의 수집·조사 및 처리의 원칙) ① 신용정보를 수집·조사 및 처리하는 경우에 법 또는 정관으로 정한 업무 범위에서 수집·조사 및 처리의 목적을 명확히 하여야 하며, 「개인정보 보호법」에 따라 그 목적 달성에 필요한 최소한의 범위에서 합리적이고 공정한 수단을 사용하여 신용정보를 수집·조사 및 처리하여야 한다.

② 개인신용정보를 수집하는 때에는 해당 신용정보주체의 동의를 받아야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.

1. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우

2. 신용정보주체와의 금융거래 등 거래계약의 체결 및 이행을 위하여 불가피하게 필요한 경우

3. 신용정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 신용정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

4. 재단의 정당한 이익을 달성하기 위하여 필요한 경우로서 합리적인 범위를 초과하지 아니하는 범위 내에서 명백하게 신용정보주체의 권리보다 우선하는 경우

제7조(수집·조사 및 처리의 제한) 재단은 다음 각 호의 정보를 수집·조사하여서는 아니 된다.

1. 국가의 안보와 기밀에 관한 정보

2. 개인의 정치적 사상, 종교적 신념, 그 밖에 신용정보와 관계없는 사생활에 관한 정보

3. 확실하지 아니한 개인신용정보

4. 다른 법령에 따라 수집이 금지된 정보

제8조(수집·조사 및 처리의 위탁) ① 재단은 그 업무 범위 내에서 신용정보주체의 동의를 받아 다른 신용정보회사등에 신용정보의 수집·조사를 위탁할 수 있으며, 이 경우 자본금이 1억 원  이상인 기업으로서 다음 각 호의 어느 하나에 해당하는 자에게 위탁하여야 한다.

1. 법 제23조제3항 본문에 따라 신용정보관리·보호인을 지정한 자

2. 「개인정보 보호법」 제31조에 따라 개인정보 보호책임자를 지정한 자

3. 「전자금융거래법」 제21조의2에 따라 정보보호최고책임자를 지정한 자

4. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」제27조에 따라 개인정보 관리책임자를 지정한 자

② 재단은 제1항에 따라 신용정보의 처리를 위탁하기 위하여 수탁자에게 개인신용정보를 제공하는 경우에 다음 각 호에 따른 암호화 등의 보호 조치를 하여야 한다.

1. 정보통신망 또는 보조저장매체를 통하여 제공하는 경우: 보안서버의 구축 또는 암호화

2. 제1호 외의 방법으로 제공하는 경우: 봉함(封緘)

③ 재단은 수탁자와 위탁계약을 체결하는 경우 연 1회 이상 신용정보의 분실·도난·유출·변조·훼손의 방지 및 안전한 신용정보의 처리에 관하여 수탁자의 소속 임직원에 대한 교육을 실시한다는 내용을 위탁계약에 반영하여야 하며, 그 위탁계약에 따라 교육을 실시하여야 한다.

제3장 신용정보의 유통·이용 및 관리

제9조(신용정보의 정확성과 최신성 유지) ① 재단은 신용정보를 신용정보집중기관 또는 신용조회회사에 제공하려는 경우에 그 정보의 정확성을 확인하여 처리하여야 하며, 사실과 다른 정보를 등록해서는 아니 된다.

② 재단은 신용정보의 정확성과 최신성이 유지될 수 있도록 규약에서 정한 기준과 절차에 따라 신용정보별로 등록·변경·해제·삭제 및 관리 등을 하여야 한다.

제10조(신용정보의 기록보존) ① 재단은 다음 각 호의 사항에 대한 기록을 3년간 보존하여야 한다.

1. 개인신용정보를 수집·이용한 경우: 그 정보를 수집·이용한 자, 수집·이용한 날짜, 수집·이용한 정보의 내용 및 수집·이용한 사유와 근거

2. 개인신용정보를 제공한 경우: 그 정보를 제공한 자, 제공한 날짜, 제공한 정보의 내용 및 제공한 사유와 근거

3. 개인신용정보를 폐기한 경우: 그 정보를 폐기한 자, 폐기한 날짜, 폐기한 정보의 내용 및 폐기한 사유와 근거

제11조(신용정보의 관리방법 등) ① 재단은 금융거래 등 거래관계가 종료된 경우 종료된 날부터 3개월 이내에 해당 신용정보주체의 개인신용정보가 안전하게 보호될 수 있도록 다음 각 호의 구분에 따른 방법으로 관리하여야 한다.

1. 금융거래 등 거래관계의 설정 및 유지 등에 필수적인 신용정보의 경우 다음 각 목의 방법

가. 거래관계가 종료되지 아니한 다른 신용정보주체의 정보와 별도로 분리하는 방법

나. 분임신용정보관리·보호인의 사전 승인을 얻어 재단의 임직원 중 해당 개인신용정보에 접근할 수 있는 사람을 지정하는 방법

2. 제1호 외의 개인신용정보의 경우: 그 정보를 모두 삭제하는 방법

② 재단은 금융거래 등 거래관계가 종료된 경우 제1항 각 호의 구분에 따른 필수적인 개인신용정보와 그 밖의 개인신용정보로 구분한 때에는 다음 각 호의 사항 등을 고려하여야 한다.

1. 해당 개인신용정보가 없었다면 그 종료된 거래관계가 설정·유지되지 아니하였을 것인지 여부

2. 해당 개인신용정보가 그 종료된 거래관계에 따라 신용정보주체에게 제공된 재화 또는 서비스와 직접적으로 관련되어 있는지 여부

3. 해당 개인신용정보를 삭제하는 경우 법 또는 다른 법령에 따른 의무를 이행할 수 없는지 여부

③ 재단은 제1항에 따라 별도로 분리하여 관리하고 있는 필수적인 개인신용정보를 거래관계가 종료된 날부터 최장 5년 이내(해당 기간 이전에 정보 수집·제공 등의 목적이 달성된 경우에는 그 목적이 달성된 날부터 3개월 이내)에 해당 신용정보주체의 개인신용정보를 관리대상에서 삭제하여야 한다. 다만, 다음 각 호의 경우에는 그러하지 아니하다.

1. 다른 법률에 따른 의무를 이행하기 위하여 불가피한 경우

2. 개인의 급박한 생명·신체·재산의 이익을 위하여 필요하다고 인정되는 경우

3. 건전한 신용질서를 저해하는 행위를 방지하기 위하여 그 행위와 관련된 신용정보주체의 개인신용정보가 필요한 경우

4. 위험관리체제의 구축과 신용평가모형 및 위험관리모형의 개발을 위하여 필요한 경우

5. 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 신용정보주체의 권리보다 우선하는 경우

6. 신용정보주체가 개인신용정보의 삭제 전에 그 삭제를 원하지 아니한다는 의사를 명백히 표시한 경우

제4장 신용정보주체의 보호

제12조(개인신용정보의 제공․활용에 대한 동의) ① 고객의 신용정보를 타인에게 제공하거나 제공받을 때에는 미리 개별적으로 다음 각 호의 어느 하나에 해당하는 방식으로 “개인신용정보의 수집ㆍ이용·제공 및 조회 동의서"에 의한 동의를 받아야 한다. 다만,  기존에 동의한 목적 또는 이용 범위에서 개인신용정보의 정확성·최신성을 유지하기 위한 경우에는 그러하지 아니하다.

1. 서면

2. 「전자서명법」제2조제3호에 따른 공인전자서명이 있는 전자문서

3. 유무선 통신으로 개인비밀번호를 입력하는 방식

4. 유무선 통신으로 동의 내용을 해당 개인에게 알리고 동의를 받는 방법. 이 경우 본인 여부 및 동의 내용, 그에 대한 해당 개인의 답변을 음성녹음하는 등 증거자료를 확보·유지하여야 하며, 사후 고지절차를 거쳐야 한다.

② “개인신용정보의 수집ㆍ이용·제공 및  조회 동의서" 상의 고객 동의 내용, 이용목적, 정보 활용 및 제공범위 등은 정보주체가 쉽게 이해할 수 있도록 구체적이고 상세하게 기술하여야 한다.

③ 개인신용정보의 제공 및 활용과 관련하여 동의를 받을 때에는 다음 각 호의 사항을 고려하여 필수적 동의사항과 그 밖의 선택적 동의사항을 구분하여 설명한 후 각각 동의를 받아야 하며, 선택적 동의사항에 동의하지 아니한다는 이유로 신용정보주체에게 서비스의 제공을 거부하여서는 아니 된다.

1. 신용정보주체가 그 동의사항에 대하여 동의하지 아니하면 그 신용정보주체와의 금융거래 등 거래관계를 설정·유지할 수 없는지 여부

2. 해당 신용정보주체가 그 동의사항에 대하여 동의함으로써 제공·활용되는 개인신용정보가 신용정보회사 등과의 거래관계에 따라 신용정보주체에게 제공되는 재화 또는 서비스와 직접적으로 관련되어 있는지 여부

3. 신용정보주체가 그 동의사항에 대하여 동의하지 아니하면 법 또는 다른 법령에 따른 의무를 이행할 수 없는지 여부

④ 개인신용정보를 제공하는 경우로서 다음 각 호의 어느 하나에 해당하는 경우에는 제1항부터 제3항까지를 적용하지 아니한다.

1. 계약의 이행에 필요한 경우로서 법 제17조제2항에 따라 신용정보의 처리를 위탁하기 위하여 제공하는 경우

2. 영업양도·분할·합병 등의 이유로 권리·의무의 전부 또는 일부를 이전하면서 그와 관련된 개인신용정보를 제공하는 경우

3. 채권추심(추심채권을 추심하는 경우만 해당한다) 목적으로 채권추심회사 또는 신용조회회사에게 제공하는 경우

4. 법원의 제출명령 또는 법관이 발부한 영장에 따라 제공하는 경우

5. 범죄 때문에 피해자의 생명이나 신체에 심각한 위험 발생이 예상되는 등 긴급한 상황에서 제4호에 따른 법관의 영장을 발부받을 시간적 여유가 없는 경우로서 검사 또는 사법경찰관의 요구에 따라 제공하는 경우

6. 그 밖의 법률의 규정에 의하여 제공하는 경우

⑤ 제4항 각 호에 따라 개인신용정보를 타인에게 제공할 때에는 개인신용정보의 제공 사실 및 이유 등을 사전에 해당 신용정보주체에게 알려야 한다. 다만 불가피한 경우 재단 홈페이지 게재 또는 이와 유사한 방법으로 사후에 알리거나 공시할 수 있다.

제13조(신용정보의 이용) 신용정보는 다음 각 호의 목적으로만 활용 또는 제공할 수 있다.

1. 학자금지원(금융거래 포함) 관계 설정 및 유지여부 판단을 위하여 필요한 경우

2. 신용조사, 채권추심 등의 업무수행을 위하여 필요로 하는 경우

3. 신용정보의 교환ㆍ활용을 목적으로 신용정보회사등에 제공하는 경우

4. 신용정보의 열람 및 정정청구에 응하는 경우

5. 관계법령의 규정에 따라 외부로 제공하는 경우

6. 그 밖의 신용정보주체의 동의를 받아 업무상 목적으로 제공ㆍ이용하는 경우

제14조(개인식별정보의 제공·이용) 재단이 개인을 식별하기 위하여 필요로 하는 정보로서 다음 각 호의 정보를 제공·이용하는 경우에는 제12조 및 제13조를 준용한다.

1. 생존하는 개인의 성명, 연락처

2.「주민등록법」 제7조제3항에 따른 주민등록번호

3.「여권법」 제7조제1항제1호에 따른 여권번호

4.「도로교통법」 제80조에 따른 운전면허의 면허번호

5.「출입국관리법」 제31조제4항에 따른 외국인등록번호

6.「재외동포의 출입국과 법적 지위에 관한 법률」 제7조제1항에 따른 국내거소신고번호

제15조(개인신용정보 이용 및 제공사실의 조회 등) ① 재단은 개인신용정보를 이용하거나 제공한 날로부터 7일 이내에 해당 신용정보주체가 다음 각 호의 조회사항을 인터넷을 통해 조회할 수 있도록 개인신용정보조회시스템을 구축하고, 그 이용 방법 및 절차 등을 게시하여야 한다.

1. 개인신용정보를 이용한 경우: 이용 주체, 이용 목적, 이용 날짜, 이용한 신용정보의 내용, 해당 개인신용정보의 보유기간 및 이용기간

2. 개인신용정보를 제공한 경우: 제공 주체, 제공받은 자, 제공 목적, 제공한 날짜, 제공한 신용정보의 내용, 해당 개인신용정보를 제공받은 자의 보유기간 및 이용기간

② 제1항에 따른 조회사항은 그 조회가 의뢰된 날을 기준으로 최근 3년간의 조회사항으로 한다.

③ 제1항에도 불구하고 내부 경영관리의 목적으로 이용하거나 반복적인 업무위탁을 위하여 제공하는 경우로 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다. 다만, 제도 및 서비스를 소개하거나 권유할 목적으로 이용하거나 제공하는 경우는 제외한다.

1. 신용위험관리 등 위험관리와 내부통제

2. 고객 분석과 상품 및 서비스의 개발

3. 성과관리

4. 위탁업무의 수행

5. 업무와 재산 상태에 대한 검사

6. 그 밖에 다른 법령에서 정하는 바에 따른 국가 또는 지방자체단체에 대한 자료 제공

④ 신용정보주체가 통지를 요청할 경우 그 요청한 날 이후 개인신용정보를 이용하거나 제공한 경우 신용정보 이용 및 제공사실 통지서[별지 제1호서식]에 따라 정기적으로 신용정보주체에게 통지하여야 한다.

⑤ 재단은 제1항에 따른 조회나 제4항에 따른 통지 시 발생한 비용을 신용정보주체에게 부담하게 할 수 있다. 다만, 개인신용정보조회시스템을 통하여 신용정보주체가 1년에 1회 이상 무료로 조회할 수 있도록 하여야 한다.

⑥ 제1항에 따른 조회 내용 및 제4항에 따른 통지 내용은 3년 간 보존하여야 한다.

제16조(거래 거절 근거 신용정보의 고지 등) ① 재단은 신용정보회사등으로부터 제공받은 신용정보 중 다음 각 호의 신용정보에 근거하여 상대방과의 거래관계 설정을 거절하거나 중지한 경우에는 해당 신용정보주체의 요구가 있으면 그 거절 또는 중지의 근거가 된 정보 등을 본인에게 고지하여야 한다.

1. 제3조제4호의 신용도판단정보

2. 제3조제6호의 각 목의 공공정보. 이 경우 같은 호 카목의 신용정보는 제외하며, 같은 호 라목의 경우에는 체납 관련 정보만 해당한다.

② 제1항에 따라 본인에게 고지할 경우 다음 각 호의 사항을 포함하여  고지하여야 한다.

1. 거래관계 설정의 거절이나 중지의 근거가 된 신용정보

2. 제1호의 정보를 제공한 신용정보회사등의 명칭, 주소, 연락처

3. 신용조회회사 및 신용정보집중기관이 거래관계의 설정을 거절하거나 중지하도록 결정한 것이 아니라는 사실 및 신용조회회사 또는 신용정보집중기관으로부터 제공받은 정보 외에 다른 정보를 함께 사용하였을 경우에는 그 사실과 그 다른 정보

제17조(신용정보 제공․이용 동의 철회권)  ①신용정보주체는 개인의 신용도 등을 평가하기 위한 목적 외의 목적으로 행한 개인신용정보 제공 동의 철회를 요청할 수 있다.

②신용정보주체는 제도나 서비스를 소개하거나 권유할 목적으로 본인에게 연락 하는 것을 중지하도록 요청할 수 있다.

③재단은 제1항 및 제2항에 따른 요청이 있는 경우 요청을 받은 날부터 1개월 이내에 그에 따른 조치를 완료하여야 한다. 이 경우 신용정보주체에게 권리의 내용, 동의 철회에 따른 불이익 등을 서면, 전자우편, 문자메시지, 인터넷 및 홈페이지 등을 통해 고지하여야 한다.

제18조(신용정보 열람ㆍ정정ㆍ삭제) ① 신용정보주체가 재단을 방문하거나 전화 및 인터넷 홈페이지 등을 통해서 본인임을 확인받은 경우에는 본인정보의 제공 또는 열람을 청구할 수 있으며, 본인의 정보가 사실과 다른 경우에는 정정 요청을 할 수 있다.

② 제1항의 정정청구를 받은 경우에 정당한 사유가 있다고 인정되면 지체 없이 사실 조사를 통하여 사실과 다르거나 확인할 수 없는 정보를 삭제하거나 정정하여야 한다.

③ 제2항에 따라 신용정보를 삭제하거나 정정한 경우 해당 신용정보를 최근 6개월 이내에 제공받은 자와 해당 신용정보주체가 요구하는 자에게 해당 신용정보에서 삭제하거나 정정한 내용을 알려야 한다.

④ 재단은 제2항과 제3항에 따른 처리결과를 7일 이내에 해당 신용정보주체에게 통보하여야 한다.

제19조(신용정보의 삭제 요구) ①신용정보주체는 다음 각 호의 거래관계가 종료되고 본인의 개인신용정보의 삭제를 요구할 수 있다. 다만 제11조제3항의 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.

1. 제11조제1항제1호에 따른 개인신용정보 : 5년

2. 제11조제1항제2호에 따른 개인신용정보 : 3개월

② 재단은 제1항에 따른 삭제요구에 따라 개인신용정보를 삭제함으로써 해당 신용정보주체에게 불이익이 발생하는 경우에는 그 정보를 삭제하기 전에 그러한 불이익이 발생할 수 있다는 것을 해당 신용정보주체에게 알려야 한다.

③ 재단은 신용정보주체의 요구가 제1항의 단서에 해당될 때에는 제11조제1항제1호 각 목의 방법에 따라 관리하여야 하며, 그 결과를 신용정보주체에게 통지하여야 한다.

제20조(신용정보 누설통지 등) ①신용정보취급자는 신용정보가 업무 목적 외로 누설되었음을 알게 된 때에는 지체 없이 누설된 신용정보와 그 경위를 신용정보관리·보호인에게 보고하여야 한다.

② 신용정보관리․보호인은 제1항의 통지를 받은 경우 신속히 대응조치 및 피해구제절차 등을 마련하여 해당 신용정보주체에게 서면, 전화, 전자우편 및 문자메시지 등의 방법으로 다음 각 호의 사실을 통지하여야 한다.

1. 누설된 신용정보의 항목

2. 누설된 시점과 그 경위

3. 누설로 인하여 발생할 수 있는 피해를 최소화하기 위하여 신용정보주체가 할 수 있는 방법 등에 관한 정보

4. 대응조치 및 피해 구제절차

5. 담당부서 및 연락처

③ 신용정보의 관리․보호인은 누설된 신용정보가 1만 명 이상의 규모인 경우에는 제2항에 따른 통지 및 조치결과를 지체 없이 [별지 제2호서식] “신용정보회사등의 신용정보 누설신고서”에 따라 금융위원회 또는 금융감독원에 신고하여야 하며, 다음 각 호의 어느 하나에 해당하는 방법으로 신용정보가 누설되었다는 사실을 널리 알려야 한다.

1. 인터넷 홈페이지에 그 사실을 게시하는 방법. 이 경우 최소 15일간 게시하여야 한다.

2. 본점이나 지점 등에서 해당 신용정보주체로 하여금 그 사실을 열람하게 하는 방법. 이 경우 최소 15일간 게시하여야 한다.

3. 광역시 이상의 지역을 보급지역으로 하는 일반일간신문, 일반주간신문 또는 인터넷 신문에 그 사실을 게재하는 방법. 이 경우 최소 7일간 게시하여야 한다.

④ 제1항 및 제2항에도 불구하고 신용정보 누설에 따른 피해가 없는 것이 명백하고 누설된 신용정보의 확산 및 추가 유출을 방지하기 위한 조치가 긴급히 필요하다고 인정되는 경우에는 해당 조치를 취한 후 지체 없이 신용정보주체에게 알릴 수 있다. 이 경우 그 조치의 내용을 함께 알려야 한다.

⑤ 제3항에도 불구하고 긴급히 조치가 필요한 경우에는 우선 금융위원회 또는 금융감독원에 그 신용정보가 누설된 사실을 알리고 추가 유출을 방지하기 위한 조치를 취한 후 지체 없이 신고서를 제출할 수 있다. 이 경우 그 조치의 내용을 함께 제출하여야 한다.

제21조(금지사항) 재단은 다음 각 호의 행위를 하여서는 아니 된다

1. 신용정보주체에게 허위 사실을 알리는 일

2. 신용정보에 관한 조사 의뢰를 강요하는 일

3. 신용정보 조사 대상에게 조사자료 제공과 답변을 강요하는 일

4. 특정인의 소재 및 연락처를 알아내거나 금융거래 등 거래관계 외의 사생활 등을 조사하는 일

5. 정보원, 탐정, 그 밖에 이와 비슷한 명칭을 사용하는 일

6. 개인신용정보 또는 개인식별정보를 전화, 전자우편, 문자 메시지 등을 이용하여 영리목적의 광고성 정보를 전송하는 행위에 이용하는 일

제22조(손해배상 책임의 이행을 위한 보험 등 가입) ① 재단은 신용정보 업무와 관련하여 신용정보주체에게 손해를 입힌 경우 그 손해배상책임의 이행을 위하여 보험 또는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 하여야 한다.

② 제1항에 따라 보험 또는 공제에 가입하는 경우 그 최소 가입금액은 5억 원 이상이어야 한다.

제23조(비밀유지 의무) 임직원(퇴직자를 포함한다)은 업무상 알게 된 신용정보주체의 신용정보 및 개인적 비밀을 업무 목적 외로 누설 또는 이용하여서는 아니 된다

제24조(제재) 고의 또는 중대한 과실로 개인신용정보를 무단으로 조회하는 등 재단에 손실을 끼친 자에 대한 제재는 인사 관련 규정 등에서 정한 바에 따른다.

부칙(전부개정)

이 규정은 공포한 날부터 시행한다.

부칙 <규칙 제22호, 2019.7.3.>

이 규칙은 공포한 날부터 시행한다.

[별표 1]

기술적․물리적·관리적 보안대책 마련 기준

Ⅰ. 목적

이 기준은 신용정보의 기술적·물리적·관리적 보안대책과 관련된 구체적인 기준을 정함을 목적으로 한다.

Ⅱ. 기술적·물리적 보안대책

1. 접근통제

① 개인신용정보를 처리할 수 있도록 체계적으로 구성한 전산시스템(이하 “개인신용정보처리시스템”이라 한다)에 대한 접근권한을 서비스제공을 위하여 필요한 최소한의 인원에게만 부여한다.

② 전보 또는 퇴직 등 인사이동이 발생하여 분임신용정보관리․보호인의 지휘·감독을 받아 개인신용정보를 처리하는 업무를 담당하는 자(이하 “개인신용정보취급자”라 한다)가 변경되었을 경우 지체 없이 개인신용정보처리시스템의 접근권한을 변경 또는 말소한다.

③ 제1항 및 제2항에 따른 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관한다.

④ 개인신용정보처리시스템에 침입차단시스템과 침입탐지시스템을 설치하여 보호한다.

⑤ 개인신용정보주체 및 개인신용정보취급자가 생일, 주민등록번호, 전화번호 등 추측하기 쉬운 숫자를 비밀번호로 이용하지 않도록  비밀번호 작성규칙을 수립하고 이행한다.

⑥ 취급 중인 개인신용정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람 권한이 없는 자에게 공개되지 않도록 개인신용정보처리시스템 및 개인신용정보취급자의 PC를 설정한다.

⑦ 제휴, 위탁 또는 외부주문에 의한 개인신용정보처리시스템, 신용평가모형 또는 위험관리모형 개발업무에 사용되는 업무장소 및 전산설비는 내부 업무용과 분리하여 설치·운영한다.

⑧ 업무목적을 위하여 불가피한 경우에만 외부사용자에게 개인신용정보처리시스템에 대한 최소한의 접근권한을 부여하고, 권한 부여에 관한 기록을 3년 이상 보관하는 등 적절한 통제시스템을 갖추어야 한다.

2. 접속기록의 위·변조방지

① 개인신용정보취급자가 개인신용정보처리시스템에 접속하여 개인신용정보를 처리한 경우에는 처리일시, 처리내역 등 접속기록을 저장하고 이를 월 1회 이상 정기적으로 확인·감독한다.

② 개인신용정보처리시스템의 접속기록을 1년 이상 저장하고, 위·변조되지 않도록 별도 저장장치에 백업 보관한다.

3. 개인신용정보의 암호화

① 비밀번호, 바이오정보 등 본인임을 인증하는 정보는 암호화하여 저장하며, 이는 조회할 수 없도록 하여야 한다. 다만, 조회가 불가피하다고 인정되는 경우에는 그 조회사유·내용 등을 기록·관리하여야 한다.

② 정보통신망을 통해 개인신용정보 및 인증정보를 송·수신할 때에는 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다. 보안서버는 다음 각 호의 어느 하나의 기능을 갖추어야 한다.

1. 웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 개인신용정보를 암호화하여 송․수신하는 기능

2. 웹서버에 암호화 응용프로그램을 설치하여 개인신용정보를 암호화하여 송․수신하는 기능

③ 개인신용정보를 PC에 저장할 때에는 이를 암호화해야 한다.

④ 다음 각 호의 기준에 따라 주민등록번호의 암호화 등의 조치를 취하여야 한다.

1. 정보통신망을 통하여 송수신하거나 보조저장매체를 통하여 전달하는 경우에는 암호화하여야 한다.

2. 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone) 에 저장할 때에는 암호화하여야 한다.

3. 신용정보회사등이 내부망에 주민등록번호를 저장하는 경우에는 다음 각 목의 기준에 따라 암호화의 적용여부 및 적용범위를 정하여 시행할 수 있다.

가. 「개인정보 보호법」 제33조에 따른 개인정보 영향평가의 대상이 되는 해당 개인정보 영향평가의 결과

나. 그 밖의 개인신용정보처리시스템에 적용되고 있는 개인신용정보 보호를 위한 수단과 개인신용정보 유출시 신용정보주체의 권익을 해할 가능성 및 그 위험의 정도를 분석한 결과

4. 업무용 컴퓨터 또는 모바일 기기에 저장하여 관리하는 경우에는 상용 암호화 소프트웨어 또는 안전한 알고리즘을 사용하여 암호화하여야 한다.

⑤ 개인식별번호를 제공하는 경우에는 상용 암호화 소프트웨어 또는 안전한 알고리즘을 사용하여 암호화하여야 한다.

⑥ 개인신용정보의 처리를 위탁하는 경우 개인식별번호를 암호화하여 수탁자에게 제공하여야 한다.

4. 컴퓨터바이러스 방지

① 개인신용정보처리시스템 및 개인신용정보취급자가 개인신용정보 처리에 이용하는 정보처리기기에 컴퓨터바이러스, 스파이웨어 등 악성프로그램의 침투 여부를 항시 점검·치료할 수 있도록 백신소프트웨어를 설치한다.

② 제1항에 따른 백신 소프트웨어는 월 1회 이상 주기적으로 갱신․점검하고, 바이러스 경보가 발령된 경우 및 백신 소프트웨어 제작 업체에서 업데이트 공지를 한 경우에는 즉시 최신 소프트웨어로 갱신․점검한다.

5. 출력․복사시 보호조치

① 개인신용정보처리시스템에서 개인신용정보의 출력시(인쇄, 화면표시, 파일생성 등) 용도를 특정하여야 하며, 용도에 따라 출력 항목을 최소화 한다.

② 개인신용정보를 조회(활용)하는 경우 조회자의 신원, 조회일시, 대상정보, 목적, 용도 등의 기록을 관리하여야 하며, 개인신용정보취급자가 개인신용정보를 보조저장매체에 저장하거나 이메일 등의 방법으로 외부에 전송하는 경우에는 분임신용정보관리․보호인의 사전 승인을 받아야 한다.

③ 제1항 및 제2항의 준수에 필요한 내부시스템을 구축하여야 하며 사전 승인시 개인신용정보취급자에게 관련 법령을 준수하여야 한다는 사실을 주지시켜야 한다.

Ⅲ. 관리적 보안대책

1. 개인신용정보의 조회권한 구분

① 신용정보관리․보호인은 개인신용정보 조회 권한이 직급별․업무별로 차등 부여되도록 하여야 한다.

② 개인신용정보의 조회기록에 대하여는 다음 각 호에 따라 주기적으로 그 적정성 여부를 점검하여야 하며, 점검결과를 업무에 반영하여야 한다.

1. 개인신용정보취급자의 개인신용정보 취급상황을 확인할 수 있는 수단 및 이의 점검․감사체제 정비

2. 개인신용정보 이상 과다 조회 부서 및 직원 등에 대해 수시 점검 실시

가. 조회 권한을 초과하여 고객 정보 조회를 일정횟수 이상 시도한 직원에 대한 통제장치 마련

나. 개인신용정보 조회 건수에 대해 정기적으로 점검하고 조회건수가 평소보다 급증한 부서 및 직원들을 샘플링하여 점검 실시

③ 신용정보관리․보호인은 개인신용정보취급자가 입력하는 조회사유의 정확성 등 신용조회기록의 정확성을 점검하여야 한다.

2. 개인신용정보의 이용제한 등

① 신용평가모형 또는 위험관리모형 개발 위탁시 개인신용정보를 제공할 수 없다. 다만, 모형 개발을 위하여 불가피한 경우에는 실제 개인인신용정보를 변환하여 제공한 후 모형 개발 완료 즉시 삭제하여야 한다.

② 신용평가모형 및 위험관리모형을 개발하는 경우, 개인신용정보를 사용하지 않으면 모형 개발  또는 검증 등이 불가능하여 불가피하게 필요한 경우 외에는 실제 개인신용정보를 사용하여서는 아니 된다.

3. 제재기준 마련

신용정보관리․보호인은 개인신용정보 오․남용에 대한 자체 제재기준을 마련하여야 한다.

[별표 2]

신용정보제공계약에 포함될 신용정보 보안관리 대책

1. 신용정보제공ㆍ이용자에게 신용정보를 제공하는 경우

가. 제공되는 신용정보의 범위 및 제공․이용 목적

나. 제공된 신용정보의 업무목적 외 사용 및 제3자 앞 제공 금지에 관한 사항

다. 제공된 신용정보의 이용자 제한 및 전담 관리자 지정에 관한 사항

라. 신용정보 송수신시 정보유출 방지에 관한 사항

마. 신용정보의 사용․보관 기간 및 동 기간 경과 후 신용정보의 폐기․반납에 관한 사항

바. 가목부터 마목까지를 위반한 경우의 책임소재 및 제재에 관한 사항

2. 신용조회회사에게 신용정보를 제공하는 경우

가. 1의 가목부터 마목까지의 사항

나. 신용정보를 제공받은 자에 대한 관련 법규의 준수여부 점검 등에 관한 사항

다. 개인신용정보를 조회하는 근거가 되는 자료 또는 서류 등의 보관에 관한 사항

라. 개인신용정보 조회시 조회용도에 맞는 조회사유코드를 적절하게 입력하는 것에 관한 사항

마. 신용정보 보호 등을 위한 교육에 관한 사항

바. 가목부터 마목까지를 위반한 경우의 책임소재 및 제재에 관한 사항

3. 수집된 신용정보 처리 위탁에 따라 신용정보를 제공하는 경우

가. 1의 가목부터 마목까지의 사항

나. 수탁자에 대한 관리․감독에 관한 사항

다. 신용정보주체의 신용정보 보호 및 비밀유지에 관한 사항

라. 신용정보 처리 재위탁의 제한에 관한 사항

마. 수탁자가 위탁받은 업무를 재위탁하는 경우 위탁자에 대한 보고에 관한 사항

바. 그 밖에 신용정보 보호를 위하여 필요한 사항

사. 가목부터 바목까지를 위반한 경우의 책임소재 및 제재에 관한 사항

4. 신용정보 처리의 재위탁에 따라 제공하는 경우

가. 재위탁업무의 목적과 범위, 기간 및 재위탁하는 신용정보의 내용

나. 재수탁자 및 재수탁자의 임직원의 보안서약서 작성 및 제출에 관한 사항

다. 신용정보 보호 및 안전한 처리를 위한 기술적·물리적·관리적 보안대책에 관한 사항

라. 목적 달성 후 파기, 반납에 관한 사항 및 파기확인서 등 그 결과를 원수탁자에게 통보하는 사항

마. 원수탁자가 재수탁자를 관리·감독하는 사항(실태점검을 위하여 재수탁자의 업무공간에 출입하여 점검하는 사항을 포함한다)

바. 가목부터 마목까지를 위반한 경우의 책임소재 및 제재에 관한 사항

[별지 제1호서식]  신용정보 이용 및 제공사실 통지서

신용정보 이용 및 제공사실 통지서

귀하

「신용정보의 이용 및 보호에 관한 법률」제35조에 따라 당사가  년 월 일(통지요구일)부터 최근 3년간 귀하의 개인신용정보를 이용ㆍ제공(직접 제공한 경우에 한함)한 내역을 아래와 같이 통보합니다.

□ 이용내역

이용날짜	이용목적	이용한 신용정보의 내용	보유 및 이용기간

□ 제공내역

제공받은 자	제공목적	제공한 날짜	제공한 신용정보의 내용	보유 및 이용기간

* 기재내용에 대한 상세 설명내용 별도 첨부

본 통지내용이 사실과 다르거나 기타 문의사항이 있으신 경우에는 아래 담당자에게 연락하여 주시기 바랍니다.

20  .  .  .

한국장학재단 이사장      (인)

담 당 자	직위 : 성명 : (전화번호 : )
주소

<참고 : 신용정보 이용 및 제공사실 통지서 작성 방법>

□ 이용 및 제공된 신용정보를 구체적으로 안내

◦ 식별정보, 신용거래정보, 신용능력정보, 공공정보, 신용등급(평점)정보, 신용조회정보 등으로 구분

◦ 종류별로 세부 설명을 기술할 것

□ 이용목적에 대한 안내

◦ 법 제33조제1호에 따른 동의에 근거한 이용 또는 다른 법령상 의무를 준수하기 위하여 불가피한 경우 등을 구분하여 명시

□ 제공받은 자의 범위

◦ 이용자는 금융회사, 신용정보집중기관, 신용정보회사, 공공기관, 그밖에 신용정보제공․이용자, 본인 등 당해 신용정보주체의 신용정보를 제공받은 자를 모두 포함한다는 사실 기재

□ 제공한 목적에 대한 안내

◦ 여신심사, 신용정보 집중(수집), 채권추심, 신용조사, 고용, 민원처리, 재판, 수사, 본인조회 등으로 구분

◦ 종류별로 세부 설명을 기술할 것

(예) 여신심사 : 대출, 지급보증 등의 신규 취급, 기간연장, 한도변경, 여신사후관리 등을 위해 신용정보를 조회

□ 그밖의 안내 사항

◦ 그밖에 본 통지내용과 관련하여 신용정보주체에게 안내할 필요가 있는 내용 기재

[별지 제2호서식] 신용정보 누설신고서

신용정보 누설신고서					처리기간 : 즉시
상호 또는 명칭			사업자등록번호 또는 법인등록번호(비영리법인의 경우 고유번호)
본점 또는 기관 소재지			대표자
누설된 신용정보의 항목
누설된 시점
누설 경위
누설로 인하여 발생할 수 있는 피해를 최소화하기 위하여 취한 조치
누설로 인하여 발생할 수 있는 피해와 관련한 피해구제 절차
신용정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
기타 참고사항
「신용정보업감독규정」제43조의5에 따라 위와 같이 신고합니다. 0000년 00월 00일 신고인 _____ 서명 또는 인 금융감독원장 귀하
※ 구비서류 1. 누설경위와 관련한 증거서류 등 관련문서 2. 누설로 인하여 발생할 수 있는 피해를 최소화하기 위하여 취한 조치와 관련한 증빙서류 등 관련문서						수수료
						없음