제3장 신용정보의 수집 및 처리

① 신용정보회사등은 신용정보전산시스템(제25조제6항에 따른 신용정보공동전산망을 포함한다. 이하 같다)에 대한 제3자의 불법적인 접근, 입력된 정보의 변경ㆍ훼손 및 파괴, 그 밖의 위험에 대하여 대통령령으로 정하는 바에 따라 기술적ㆍ물리적ㆍ관리적 보안대책을 수립ㆍ시행하여야 한다. <개정 2015.3.11>

② 신용정보제공ㆍ이용자가 다른 신용정보제공ㆍ이용자 또는 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사와 서로 이 법에 따라 신용정보를 제공하는 경우에는 금융위원회가 정하여 고시하는 바에 따라 신용정보 보안관리 대책을 포함한 계약을 체결하여야 한다. <개정 2020.2.4>

① 신용정보회사등은 신용정보의 수집ㆍ처리ㆍ이용 및 보호 등에 대하여 금융위원회가 정하는 신용정보 관리기준을 준수하여야 한다. <개정 2015.3.11>

② 신용정보회사등은 다음 각 호의 구분에 따라 개인신용정보의 처리에 대한 기록을 3년간 보존하여야 한다. <개정 2020.2.4>

1. 개인신용정보를 수집ㆍ이용한 경우

가. 수집ㆍ이용한 날짜

나. 수집ㆍ이용한 정보의 항목

다. 수집ㆍ이용한 사유와 근거

2. 개인신용정보를 제공하거나 제공받은 경우

가. 제공하거나 제공받은 날짜

나. 제공하거나 제공받은 정보의 항목

다. 제공하거나 제공받은 사유와 근거

3. 개인신용정보를 폐기한 경우

가. 폐기한 날짜

나. 폐기한 정보의 항목

다. 폐기한 사유와 근거

4. 그 밖에 대통령령으로 정하는 사항

③ 신용정보회사, 본인신용정보관리회사, 채권추심회사, 신용정보집중기관 및 대통령령으로 정하는 신용정보제공ㆍ이용자는 제4항에 따른 업무를 하는 신용정보관리ㆍ보호인을 1명 이상 지정하여야 한다. 다만, 총자산, 종업원 수 등을 감안하여 대통령령으로 정하는 자는 신용정보관리ㆍ보호인을 임원(신용정보의 관리ㆍ보호 등을 총괄하는 지위에 있는 사람으로서 대통령령으로 정하는 사람을 포함한다)으로 하여야 한다. <개정 2015.3.11, 2020.2.4>

④ 제3항에 따른 신용정보관리ㆍ보호인은 다음 각 호의 업무를 수행한다. <신설 2015.3.11, 2020.2.4, 2023.3.14, 2026.3.10>

1. 개인신용정보의 경우에는 다음 각 목의 업무

가. 「개인정보 보호법」 제31조제4항제1호 및 같은 항 제4호부터 제7호까지에 따른 업무

나. 임직원 및 전속 모집인 등의 신용정보보호 관련 법령 및 규정 준수 여부 점검

다. 그 밖에 신용정보의 관리 및 보호를 위하여 대통령령으로 정하는 업무

2. 기업신용정보의 경우 다음 각 목의 업무

가. 신용정보의 수집ㆍ보유ㆍ제공ㆍ삭제 등 관리 및 보호 계획의 수립 및 시행

나. 신용정보의 수집ㆍ보유ㆍ제공ㆍ삭제 등 관리 및 보호 실태와 관행에 대한 정기적인 조사 및 개선

다. 신용정보 열람 및 정정청구 등 신용정보주체의 권리행사 및 피해구제

라. 신용정보 유출 등을 방지하기 위한 내부통제시스템의 구축 및 운영

마. 임직원 및 전속 모집인 등에 대한 신용정보보호 교육계획의 수립 및 시행

바. 임직원 및 전속 모집인 등의 신용정보보호 관련 법령 및 규정 준수 여부 점검

사. 그 밖에 신용정보의 관리 및 보호를 위하여 대통령령으로 정하는 업무

3. 삭제<2020.2.4>

4. 삭제<2020.2.4>

5. 삭제<2020.2.4>

6. 삭제<2020.2.4>

7. 삭제<2020.2.4>

⑤ 신용정보관리ㆍ보호인의 업무수행에 관하여는 「개인정보 보호법」 제31조제5항 및 제7항을 준용한다. <개정 2020.2.4, 2023.3.14, 2026.3.10>

⑥ 대통령령으로 정하는 신용정보회사등의 신용정보관리ㆍ보호인은 처리하는 개인신용정보의 관리 및 보호 실태를 대통령령으로 정하는 절차와 방법에 따라 정기적으로 점검하고, 그 결과를 금융위원회에 제출하여야 한다. <신설 2020.2.4>

⑦ 제3항에 따른 신용정보관리ㆍ보호인의 자격요건과 그 밖에 지정에 필요한 사항, 제6항에 따른 제출 방법에 대해서는 대통령령으로 정한다. <개정 2015.3.11, 2020.2.4>

⑧ 「금융지주회사법」 제48조의2제6항에 따라 선임된 고객정보관리인이 제6항의 자격요건에 해당하면 제3항에 따라 지정된 신용정보관리ㆍ보호인으로 본다. <개정 2015.3.11, 2020.2.4>

① 신용정보제공ㆍ이용자는 금융거래 등 상거래관계(고용관계는 제외한다. 이하 같다)가 종료된 날부터 금융위원회가 정하여 고시하는 기한까지 해당 신용정보주체의 개인신용정보가 안전하게 보호될 수 있도록 접근권한을 강화하는 등 대통령령으로 정하는 바에 따라 관리하여야 한다.

② 「개인정보 보호법」 제21조제1항에도 불구하고 신용정보제공ㆍ이용자는 금융거래 등 상거래관계가 종료된 날부터 최장 5년 이내(해당 기간 이전에 정보 수집ㆍ제공 등의 목적이 달성된 경우에는 그 목적이 달성된 날부터 3개월 이내)에 해당 신용정보주체의 개인신용정보를 관리대상에서 삭제하여야 한다. 다만, 다음 각 호의 경우에는 그러하지 아니하다. <개정 2020.2.4>

1. 이 법 또는 다른 법률에 따른 의무를 이행하기 위하여 불가피한 경우

2. 개인의 급박한 생명ㆍ신체ㆍ재산의 이익을 위하여 필요하다고 인정되는 경우

2의2. 가명정보를 이용하는 경우로서 그 이용 목적, 가명처리의 기술적 특성, 정보의 속성 등을 고려하여 대통령령으로 정하는 기간 동안 보존하는 경우

3. 그 밖에 다음 각 목의 어느 하나에 해당하는 경우로서 대통령령으로 정하는 경우

가. 예금ㆍ보험금의 지급을 위한 경우

나. 보험사기자의 재가입 방지를 위한 경우

다. 개인신용정보를 처리하는 기술의 특성 등으로 개인신용정보를 보존할 필요가 있는 경우

라. 가목부터 다목까지와 유사한 경우로서 개인신용정보를 보존할 필요가 있는 경우

③ 신용정보제공ㆍ이용자가 제2항 단서에 따라 개인신용정보를 삭제하지 아니하고 보존하는 경우에는 현재 거래 중인 신용정보주체의 개인신용정보와 분리하는 등 대통령령으로 정하는 바에 따라 관리하여야 한다.

④ 신용정보제공ㆍ이용자가 제3항에 따라 분리하여 보존하는 개인신용정보를 활용하는 경우에는 신용정보주체에게 통지하여야 한다.

⑤ 제1항 및 제2항에 따른 개인신용정보의 종류, 관리기간, 삭제의 방법ㆍ절차 및 금융거래 등 상거래관계가 종료된 날의 기준 등은 대통령령으로 정한다.

신용정보회사등(신용정보제공ㆍ이용자는 제외한다)이 폐업하려는 경우에는 금융위원회가 정하여 고시하는 바에 따라 보유정보를 처분하거나 폐기하여야 한다. <개정 2020.2.4>

① 개인신용평가회사가 개인인 신용정보주체의 신용상태를 평가할 경우 그 신용정보주체에게 개인신용평가에 불이익이 발생할 수 있는 정보 외에 개인신용평가에 혜택을 줄 수 있는 정보도 함께 고려하여야 한다.

② 개인신용평가회사가 개인신용평가를 할 때에는 다음 각 호의 행위를 하여서는 아니 된다.

1. 성별, 출신지역, 국적 등으로 합리적 이유 없이 차별하는 행위

2. 개인신용평가 모형을 만들 때 특정한 평가항목을 합리적 이유 없이 유리하게 또는 불리하게 반영하는 행위

3. 그 밖에 신용정보주체 보호 또는 건전한 신용질서를 저해할 우려가 있는 행위로서 대통령령으로 정하는 행위

③ 전문개인신용평가업을 하는 개인신용평가회사는 계열회사(「독점규제 및 공정거래에 관한 법률」 제2조제12호에 따른 계열회사를 말한다. 이하 같다)로부터 상품 또는 서비스를 제공받는 개인인 신용정보주체의 개인신용평점을 높이는 등 대통령령으로 정하는 불공정행위를 하여서는 아니 된다. <개정 2020.12.29>

① 개인사업자신용평가회사가 개인사업자의 신용상태를 평가할 경우에는 다음 각 호의 사항을 따라야 한다.

1. 해당 개인사업자에게 평가에 불이익이 발생할 수 있는 정보 외에 평가에 혜택을 줄 수 있는 정보도 함께 고려할 것

2. 개인사업자신용평가회사와 금융거래 등 상거래 관계가 있는 자와 그 외의 자를 합리적 이유 없이 차별하지 아니할 것

② 개인사업자신용평가회사는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.

1. 개인사업자의 신용상태를 평가하는 과정에서 개인사업자신용평가회사 또는 그 계열회사의 상품이나 서비스를 구매하거나 이용하도록 강요하는 행위

2. 그 밖에 신용정보주체 보호 또는 건전한 신용질서를 저해할 우려가 있는 행위로서 대통령령으로 정하는 행위

③ 개인사업자신용평가회사는 그 임직원이 직무를 수행할 때 지켜야 할 적절한 기준 및 절차로서 다음 각 호의 사항을 포함하는 내부통제기준을 정하여야 한다. 다만, 개인신용평가회사가 제11조제2항에 따라 개인사업자신용평가업을 하는 경우로서 자동화평가의 방법으로 개인사업자의 신용상태를 평가하는 경우에는 제1호를 포함하지 아니할 수 있다.

1. 평가조직과 영업조직의 분리에 관한 사항

2. 이해상충 방지에 관한 사항

3. 불공정행위의 금지에 관한 사항

4. 개인사업자의 특성에 적합한 신용상태의 평가기준에 관한 사항

5. 그 밖에 내부통제기준에 관하여 필요한 사항으로서 대통령령으로 정하는 사항

① 기업신용조회회사(기업정보조회업무만 하는 기업신용조회회사는 제외한다. 이하 제2항 및 제3항에서 같다)가 기업 및 법인의 신용상태를 평가할 경우에는 해당 기업 및 법인에게 평가에 불이익이 발생할 수 있는 정보 외에 평가에 혜택을 줄 수 있는 정보도 함께 고려하여야 한다.

② 기업신용조회회사는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.

1. 기업신용조회회사와 일정한 비율 이상의 출자관계에 있는 등 특수한 관계에 있는 자로서 대통령령으로 정하는 자와 관련된 기업신용등급 및 기술신용정보를 생성하는 행위

2. 기업신용등급 및 기술신용정보의 생성 과정에서 기업신용조회회사 또는 그 계열회사의 상품이나 서비스를 구매하거나 이용하도록 강요하는 행위

3. 그 밖에 신용정보주체 보호 또는 건전한 신용질서를 저해할 우려가 있는 행위로서 대통령령으로 정하는 행위

③ 기업신용조회회사는 그 임직원이 직무를 수행할 때 지켜야 할 적절한 기준 및 절차로서 다음 각 호의 사항을 포함하는 내부통제기준을 정하여야 한다.

1. 평가조직과 영업조직의 분리에 관한 사항

2. 이해상충 방지에 관한 사항

3. 불공정행위의 금지에 관한 사항

4. 기업 및 법인의 특성에 적합한 기업신용등급의 생성기준 또는 기술신용평가의 기준에 관한 사항

5. 그 밖에 내부통제기준에 관하여 필요한 사항으로서 대통령령으로 정하는 사항

④ 기업정보조회업무를 하는 기업신용조회회사는 신용정보의 이용자 관리를 위하여 대통령령으로 정하는 바에 따라 이용자관리규정을 정하여야 한다.

① 신용조사회사는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.

1. 의뢰인에게 허위 사실을 알리는 행위

2. 신용정보에 관한 조사 의뢰를 강요하는 행위

3. 신용정보 조사 대상자에게 조사자료의 제공과 답변을 강요하는 행위

4. 금융거래 등 상거래관계 외의 사생활 등을 조사하는 행위

② 신용조사업에 종사하는 임직원이 신용정보를 조사하는 경우에는 신용조사업에 종사하고 있음을 나타내는 증표를 지니고 이를 상대방에게 내보여야 한다.

① 본인신용정보관리회사는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.

1. 개인인 신용정보주체에게 개인신용정보의 전송요구를 강요하거나 부당하게 유도하는 행위

2. 그 밖에 신용정보주체 보호 또는 건전한 신용질서를 저해할 우려가 있는 행위로서 대통령령으로 정하는 행위

② 본인신용정보관리회사는 제11조제6항에 따른 업무 및 제11조의2제6항제3호에 따른 업무를 수행하는 과정에서 개인인 신용정보주체와 본인신용정보관리회사 사이에 발생할 수 있는 이해상충을 방지하기 위한 내부관리규정을 마련하여야 한다.

③ 본인신용정보관리회사는 다음 각 호의 수단을 대통령령으로 정하는 방식으로 사용ㆍ보관함으로써 신용정보주체에게 교부할 신용정보를 수집하여서는 아니 된다.

1. 대통령령으로 정하는 신용정보제공ㆍ이용자나 「개인정보 보호법」에 따른 공공기관으로서 대통령령으로 정하는 공공기관 또는 본인신용정보관리회사(이하 이 조 및 제33조의2에서 "신용정보제공ㆍ이용자등"이라 한다)가 선정하여 사용ㆍ관리하는 신용정보주체 본인에 관한 수단으로서 「전자금융거래법」 제2조제10호에 따른 접근매체

2. 본인임을 확인 받는 수단으로서 본인의 신분을 나타내는 증표 제시 또는 전화, 인터넷 홈페이지의 이용 등 대통령령으로 정하는 방법

④ 신용정보제공ㆍ이용자등은 개인인 신용정보주체가 본인신용정보관리회사에 본인에 관한 개인신용정보의 전송을 요구하는 경우에는 정보제공의 안전성과 신뢰성이 보장될 수 있는 방식으로서 대통령령으로 정하는 방식으로 해당 개인인 신용정보주체의 개인신용정보를 그 본인신용정보관리회사에 직접 전송하여야 한다.

⑤ 제4항에도 불구하고 신용정보제공ㆍ이용자등의 규모, 금융거래 등 상거래의 빈도 등을 고려하여 대통령령으로 정하는 경우에 해당 신용정보제공ㆍ이용자등은 대통령령으로 정하는 중계기관을 통하여 본인신용정보관리회사에 개인신용정보를 전송할 수 있다.

⑥ 신용정보제공ㆍ이용자등은 제33조의2제4항에 따라 개인신용정보를 정기적으로 전송할 경우에는 필요한 범위에서 최소한의 비용을 본인신용정보관리회사가 부담하도록 할 수 있다.

⑦ 제4항 및 제5항의 전송의 절차ㆍ방법, 제6항에 따른 비용의 산정기준 등에 대해서는 대통령령으로 정한다.

① 신용정보회사등은 다음 각 호의 행위를 하여서는 아니 된다. <개정 2015.3.11, 2020.2.4>

1. 삭제<2020.2.4>

2. 삭제<2020.2.4>

3. 삭제<2020.2.4>

4. 특정인의 소재 및 연락처(이하 "소재등"이라 한다)를 알아내는 행위. 다만, 채권추심회사가 그 업무를 하기 위하여 특정인의 소재등을 알아내는 경우 또는 다른 법령에 따라 특정인의 소재등을 알아내는 것이 허용되는 경우에는 그러하지 아니하다.

5. 정보원, 탐정, 그 밖에 이와 비슷한 명칭을 사용하는 일

6. 삭제<2013.5.28>

7. 삭제<2020.2.4>

② 신용정보회사등이 개인신용정보 또는 개인을 식별하기 위하여 필요한 정보를 이용하여 영리목적의 광고성 정보를 전송하는 경우에 대하여는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제50조를 준용한다. <신설 2020.2.4>

① 신용정보회사등과 그로부터 신용정보를 제공받은 자가 이 법을 위반하여 신용정보주체에게 손해를 가한 경우에는 해당 신용정보주체에 대하여 그 손해를 배상할 책임이 있다. 다만, 신용정보회사등과 그로부터 신용정보를 제공받은 자가 고의 또는 과실이 없음을 증명한 경우에는 그러하지 아니하다. <개정 2020.2.4>

② 신용정보회사등이나 그 밖의 신용정보 이용자(수탁자를 포함한다. 이하 이 조에서 같다)가 고의 또는 중대한 과실로 이 법을 위반하여 개인신용정보가 누설되거나 분실ㆍ도난ㆍ누출ㆍ변조 또는 훼손되어 신용정보주체에게 피해를 입힌 경우에는 해당 신용정보주체에 대하여 그 손해의 5배를 넘지 아니하는 범위에서 배상할 책임이 있다. 다만, 신용정보회사등이나 그 밖의 신용정보 이용자가 고의 또는 중대한 과실이 없음을 증명한 경우에는 그러하지 아니하다. <신설 2015.3.11, 2020.2.4>

③ 법원은 제2항의 배상액을 정할 때에는 다음 각 호의 사항을 고려하여야 한다. <신설 2015.3.11>

1. 고의 또는 손해 발생의 우려를 인식한 정도

2. 위반행위로 인하여 입은 피해 규모

3. 위반행위로 인하여 신용정보회사등이나 그 밖의 신용정보 이용자가 취득한 경제적 이익

4. 위반행위에 따른 벌금 및 과징금

5. 위반행위의 기간ㆍ횟수 등

6. 신용정보회사등이나 그 밖의 신용정보 이용자의 재산상태

7. 신용정보회사등이나 그 밖의 신용정보 이용자의 개인신용정보 분실ㆍ도난ㆍ누출 후 해당 개인신용정보 회수 노력의 정도

8. 신용정보회사등이나 그 밖의 신용정보 이용자의 피해구제 노력의 정도

④ 채권추심회사 또는 위임직채권추심인이 이 법을 위반하여 「채권의 공정한 추심에 관한 법률」에 따른 채무자 또는 관계인에게 손해를 가한 경우에는 그 손해를 배상할 책임이 있다. 다만, 채권추심회사 또는 위임직채권추심인이 자신에게 고의 또는 과실이 없음을 증명한 경우에는 그러하지 아니하다. <개정 2015.3.11, 2020.2.4>

⑤ 신용정보회사가 자신에게 책임 있는 사유로 의뢰인에게 손해를 가한 경우에는 그 손해를 배상할 책임이 있다. <개정 2015.3.11, 2020.2.4>

⑥ 제17조제1항에 따라 신용정보의 처리를 위탁받은 자가 이 법을 위반하여 신용정보주체에게 손해를 가한 경우에는 위탁자는 수탁자와 연대하여 그 손해를 배상할 책임이 있다. <개정 2015.3.11, 2020.2.4>

⑦ 위임직채권추심인이 이 법 또는 「채권의 공정한 추심에 관한 법률」을 위반하여 「채권의 공정한 추심에 관한 법률」에 따른 채무자 또는 관계인에게 손해를 가한 경우 채권추심회사는 위임직채권추심인과 연대하여 그 손해를 배상할 책임이 있다. 다만, 채권추심회사가 위임직채권추심인 선임 및 관리에 있어서 자신에게 고의 또는 과실이 없음을 증명한 경우에는 그러하지 아니하다. <개정 2015.3.11, 2020.2.4>

① 신용정보주체는 신용정보회사등이나 그로부터 신용정보를 제공받은 자가 이 법의 규정을 위반한 경우에는 신용정보회사등이나 그로부터 신용정보를 제공받은 자에게 제43조에 따른 손해배상을 청구하는 대신 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다. 이 경우 해당 신용정보회사등이나 그로부터 신용정보를 제공받은 자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다. <개정 2020.2.4>

1. 삭제<2020.2.4>

2. 삭제<2020.2.4>

② 제1항에 따른 손해배상 청구의 변경 및 법원의 손해액 인정에 관하여는 「개인정보 보호법」 제39조의2제2항 및 제3항을 준용한다. <개정 2020.2.4>

③ 삭제 <2020.2.4>

① 금융위원회는 신용정보회사등(데이터전문기관을 포함하며, 다음 각 호에 해당하는 자 외의 자로서 대통령령으로 정하는 자는 제외한다. 이하 이 조 및 제45조의2에서 같다)에 대하여 이 법 또는 이 법에 따른 명령의 준수 여부를 감독한다. <개정 2020.2.4>

1. 신용정보회사 및 채권추심회사

2. 본인신용정보관리회사

3. 신용정보집중기관

4. 신용정보제공ㆍ이용자로서 「금융위원회의 설치 등에 관한 법률」 제38조 각 호의 어느 하나에 해당하는 자

5. 제4호 외의 자로서 대통령령으로 정하는 금융업 또는 보험업을 하는 자

② 금융위원회는 제1항에 따른 감독에 필요하면 신용정보회사등에 대하여 그 업무 및 재산상황에 관한 보고 등 필요한 명령을 할 수 있다.

③ 금융감독원장은 그 소속 직원으로 하여금 이 법에 따른 신용정보회사등의 업무와 재산상황을 검사하도록 할 수 있다.

④ 금융감독원장은 제3항에 따른 검사에 필요하다고 인정하면 자료의 제출, 관계자의 출석 및 의견의 진술을 신용정보회사등에 요구할 수 있다.

⑤ 제3항에 따라 검사를 하는 자는 그 권한을 표시하는 증표를 지니고 이를 관계인에게 내보여야 한다.

⑥ 금융감독원장은 제3항에 따른 검사를 마치면 그 결과를 금융위원회가 정하는 바에 따라 금융위원회에 보고하여야 한다.

⑦ 금융위원회는 신용정보회사등이 이 법(채권추심회사의 경우에는 「채권의 공정한 추심에 관한 법률」을 포함한다. 이하 이 항에서 같다) 또는 이 법에 따른 명령을 위반하여 신용정보 관련 산업의 건전한 경영과 신용정보주체의 권익을 해칠 우려가 있다고 인정하면 다음 각 호의 어느 하나에 해당하는 조치를 하거나, 금융감독원장으로 하여금 제1호부터 제3호까지의 규정에 해당하는 조치를 하게 할 수 있다. <개정 2017.4.18, 2020.2.4>

1. 신용정보회사등에 대한 주의 또는 경고

2. 임원에 대한 주의 또는 경고

3. 직원에 대한 주의 및 정직, 감봉, 견책 등의 문책 요구

4. 임원에 대한 해임권고, 직무정지 또는 직원에 대한 면직 요구

5. 위반행위에 대한 시정명령

6. 신용정보제공의 중지

⑧ 금융위원회는 개인신용정보가 유출되는 등 신용질서의 중대한 침해가 발생하지 않도록 관리할 책임을 진다. <신설 2020.2.4>

금융위원회는 신용정보주체를 보호하고 건전한 신용질서를 확립하기 위하여 신용정보회사등에 다음 각 호의 사항에 관하여 자료제출, 처리중단, 시정조치, 공시 등 필요한 조치를 명할 수 있다.

1. 신용정보회사등이 보유하는 신용정보에 관한 사항

2. 신용정보의 처리에 관한 사항

3. 신용정보회사등의 업무 개선에 관한 사항

4. 신용정보활용체제의 공시에 관한 사항

5. 그 밖에 신용정보주체 보호 또는 건전한 신용질서 확립을 위하여 필요한 사항으로서 대통령령으로 정하는 사항

① 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 제45조에 따라 금융위원회의 감독을 받지 아니하는 신용정보제공ㆍ이용자(이하 "상거래기업 및 법인"이라 한다)에게 관계 물품ㆍ서류 등 자료를 제출하게 할 수 있다.

1. 상거래기업 및 법인이 다음 각 목의 규정(이하 "상거래정보보호규정"이라 한다)을 위반하는 사항을 발견하거나 혐의가 있음을 알게 된 경우

가. 제15조 및 제17조

나. 제19조 및 제20조의2

다. 제32조ㆍ제33조ㆍ제34조ㆍ제36조ㆍ제37조ㆍ제38조ㆍ제38조의3ㆍ제39조의4ㆍ제40조의2 및 제42조

2. 상거래기업 및 법인의 상거래정보보호규정 위반에 대한 신고를 받거나 민원이 접수된 경우

3. 그 밖에 개인신용정보 보호를 위하여 필요한 경우로서 대통령령으로 정하는 경우

② 보호위원회는 상거래기업 및 법인이 제1항에 따른 자료를 제출하지 아니하거나 상거래정보보호규정을 위반한 사실이 있다고 인정되면 소속 공무원으로 하여금 상거래기업 및 법인 및 상거래정보보호규정 위반사실과 관련한 관계인의 사무소나 사업장에 출입하여 업무 상황, 장부 또는 서류 등을 조사하게 할 수 있다. 이 경우 검사를 하는 공무원은 그 권한을 나타내는 증표를 지니고 이를 관계인에게 내보여야 한다.

③ 보호위원회는 제1항에 따라 제출받거나 수집한 서류ㆍ자료 등을 이 법에 따른 경우를 제외하고는 제3자에게 제공하거나 일반에게 공개하여서는 아니 된다.

④ 보호위원회는 정보통신망을 통하여 자료의 제출 등을 받은 경우나 수집한 자료 등을 전자화한 경우에는 개인신용정보ㆍ영업비밀 등이 유출되지 아니하도록 제도적ㆍ기술적 보안조치를 하여야 한다.

① 신용정보회사등은 가명처리에 사용한 추가정보를 대통령령으로 정하는 방법으로 분리하여 보관하거나 삭제하여야 한다.

② 신용정보회사등은 가명처리한 개인신용정보에 대하여 제3자의 불법적인 접근, 입력된 정보의 변경ㆍ훼손 및 파괴, 그 밖의 위험으로부터 가명정보를 보호하기 위하여 내부관리계획을 수립하고 접속기록을 보관하는 등 대통령령으로 정하는 바에 따라 기술적ㆍ물리적ㆍ관리적 보안대책을 수립ㆍ시행하여야 한다.

③ 신용정보회사등은 개인신용정보에 대한 익명처리가 적정하게 이루어졌는지 여부에 대하여 금융위원회에 그 심사를 요청할 수 있다.

④ 금융위원회가 제3항의 요청에 따라 심사하여 적정하게 익명처리가 이루어졌다고 인정한 경우 더 이상 해당 개인인 신용정보주체를 알아볼 수 없는 정보로 추정한다.

⑤ 금융위원회는 제3항의 심사 및 제4항의 인정 업무에 대해서는 대통령령으로 정하는 바에 따라 제26조의4에 따른 데이터전문기관에 위탁할 수 있다.

⑥ 신용정보회사등은 영리 또는 부정한 목적으로 특정 개인을 알아볼 수 있게 가명정보를 처리하여서는 아니 된다.

⑦ 신용정보회사등은 가명정보를 이용하는 과정에서 특정 개인을 알아볼 수 있게 된 경우 즉시 그 가명정보를 회수하여 처리를 중지하고, 특정 개인을 알아볼 수 있게 된 정보는 즉시 삭제하여야 한다.

⑧ 신용정보회사등은 개인신용정보를 가명처리나 익명처리를 한 경우 다음 각 호의 구분에 따라 조치 기록을 3년간 보존하여야 한다.

1. 개인신용정보를 가명처리한 경우

가. 가명처리한 날짜

나. 가명처리한 정보의 항목

다. 가명처리한 사유와 근거

2. 개인신용정보를 익명처리한 경우

가. 익명처리한 날짜

나. 익명처리한 정보의 항목

다. 익명처리한 사유와 근거

① 금융위원회는 제17조의2에 따른 정보집합물의 결합 및 제40조의2에 따른 익명처리의 적정성 평가를 전문적으로 수행하는 법인 또는 기관(이하 "데이터전문기관"이라 한다)을 지정할 수 있다.

② 데이터전문기관은 다음 각 호의 업무를 수행한다.

1. 신용정보회사등이 보유하는 정보집합물과 제3자가 보유하는 정보집합물 간의 결합 및 전달

2. 신용정보회사등의 익명처리에 대한 적정성 평가

3. 제1호 및 제2호와 유사한 업무로서 대통령령으로 정하는 업무

③ 데이터전문기관은 제2항제1호 및 제2호의 업무를 전문적으로 수행하기 위하여 필요하면 대통령령으로 정하는 바에 따라 적정성평가위원회를 둘 수 있다.

④ 데이터전문기관은 다음 각 호의 어느 하나에 해당하는 경우에는 대통령령으로 정하는 위험관리체계를 마련하여야 한다.

1. 제2항제1호의 업무와 같은 항 제2호의 업무를 함께 수행하는 경우

2. 제2항 각 호의 업무와 이 법 또는 다른 법령에 따른 업무를 함께 수행하는 경우

⑤ 제1항에 따른 지정의 기준 및 취소, 제3항에 따른 적정성평가위원회의 구성ㆍ운영에 관하여 필요한 사항은 대통령령으로 정한다.