제4장 신용정보의 유통 및 관리

① 개인정보처리자는 개인정보의 처리 및 보호에 관한 업무를 총괄해서 담당할 개인정보 보호책임자를 지정하여야 한다. 다만, 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다. <개정 2023.3.14, 2026.3.10>

② 제1항 단서에 따라 개인정보 보호책임자를 지정하지 아니하는 경우에는 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다. <신설 2023.3.14>

③ 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 다음 각 호의 사항을 준수하여야 한다. <신설 2026.3.10>

1. 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회(법인인 경우로 한정한다. 이하 같다)의 의결을 거칠 것

2. 보호위원회에 대통령령으로 정하는 바에 따라 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 사항을 신고할 것

④ 개인정보 보호책임자는 다음 각 호의 업무를 수행한다. <개정 2023.3.14, 2026.3.10>

1. 개인정보 보호 계획의 수립 및 시행

2. 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보

3. 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고

4. 개인정보 처리 및 보호의 실태와 관행에 대한 정기적인 조사 및 개선

5. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

6. 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축

7. 개인정보 보호 교육 계획의 수립 및 시행

8. 개인정보파일의 보호 및 관리ㆍ감독

9. 그 밖에 개인정보의 적절한 처리 및 보호를 위하여 대통령령으로 정한 업무

⑤ 개인정보 보호책임자는 제4항 각 호의 업무를 수행함에 있어서 필요한 경우 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다. <개정 2023.3.14, 2026.3.10>

⑥ 개인정보 보호책임자는 개인정보 보호와 관련하여 이 법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고하여야 한다. <개정 2023.3.14, 2026.3.10>

⑦ 개인정보처리자는 개인정보 보호책임자가 제4항 각 호의 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며, 개인정보 보호책임자가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다. <개정 2023.3.14, 2026.3.10>

⑧ 개인정보처리자는 개인정보의 안전한 처리 및 보호, 정보의 교류, 그 밖에 대통령령으로 정하는 공동의 사업을 수행하기 위하여 제1항에 따른 개인정보 보호책임자를 구성원으로 하는 개인정보 보호책임자 협의회를 구성ㆍ운영할 수 있다. <신설 2023.3.14, 2026.3.10>

⑨ 보호위원회는 제8항에 따른 개인정보 보호책임자 협의회의 활동에 필요한 지원을 할 수 있다. <신설 2023.3.14, 2026.3.10>

⑩ 제1항에 따른 개인정보 보호책임자의 자격요건, 제3항제2호에 따른 신고의 방법 및 절차, 제4항에 따른 업무 및 제7항에 따른 독립성 보장 등에 필요한 사항은 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정한다. <개정 2023.3.14, 2026.3.10>

① 금융지주회사등은 「금융실명거래 및 비밀보장에 관한 법률」 제4조제1항 및 「신용정보의 이용 및 보호에 관한 법률」 제32조ㆍ제33조에도 불구하고 「금융실명거래 및 비밀보장에 관한 법률」 제4조에 따른 금융거래의 내용에 관한 정보 또는 자료(이하 "금융거래정보"라 한다) 및 「신용정보의 이용 및 보호에 관한 법률」 제32조제1항에 따른 개인신용정보를 다음 각 호의 사항에 관하여 금융위원회가 정하는 방법과 절차(이하 "고객정보제공절차"라 한다)에 따라 그가 속하는 금융지주회사등에게 신용위험관리 등 대통령령으로 정하는 내부 경영관리상 이용하게 할 목적으로 제공할 수 있다. <개정 2009.7.31, 2014.5.28, 2015.3.11>

1. 제공할 수 있는 정보의 범위

2. 고객정보의 암호화 등 처리방법

3. 고객정보의 분리 보관

4. 고객정보의 이용기간 및 이용목적

5. 이용기간 경과 시 고객정보의 삭제

6. 그 밖에 고객정보의 엄격한 관리를 위하여 대통령령으로 정하는 사항

② 금융지주회사의 자회사등인 「자본시장과 금융투자업에 관한 법률」에 따른 투자매매업자 또는 투자중개업자는 해당 투자매매업자 또는 투자중개업자를 통하여 증권을 매매하거나 매매하고자 하는 위탁자가 예탁한 금전 또는 증권에 관한 정보 중 다음 각 호의 어느 하나에 해당하는 정보(이하 "증권총액정보등"이라 한다)를 고객정보제공절차에 따라 그가 속하는 금융지주회사등에게 신용위험관리 등 대통령령으로 정하는 내부 경영관리상 이용하게 할 목적으로 제공할 수 있다. <개정 2009.7.31, 2014.5.28>

1. 예탁한 금전의 총액

2. 예탁한 증권의 총액

3. 예탁한 증권의 종류별 총액

4. 그 밖에 제1호부터 제3호까지에 준하는 것으로서 금융위원회가 정하여 고시하는 정보

③ 제1항 및 제2항에 따라 자회사등이 금융거래정보ㆍ개인신용정보 및 증권총액정보등(이하 "고객정보"라 한다)을 제공하는 경우에는 「신용정보의 이용 및 보호에 관한 법률」 제32조제10항을 적용하지 아니한다. <개정 2009.7.31, 2015.3.11>

④ 제1항 및 제2항에 따라 고객정보를 그가 속하는 금융지주회사등에게 제공하는 경우에는 그 제공내역을 고객에게 통지하여야 한다. 다만, 연락처 등 통지할 수 있는 개인정보를 수집하지 아니한 경우에는 그러하지 아니하다. <신설 2014.5.28>

⑤ 제4항에 따라 통지하여야 하는 정보의 종류, 통지 주기 및 방법, 그 밖에 필요한 사항은 대통령령으로 정한다. <신설 2014.5.28>

⑥ 금융지주회사등은 고객정보의 엄격한 관리를 위하여 그 임원 중에 1인 이상을 고객정보를 관리할 자(이하 "고객정보관리인"이라 한다)로 선임하여야 한다. <개정 2009.7.31, 2014.5.28>

⑦고객정보관리인은 고객정보의 엄격한 관리를 위하여 금융위원회가 정하는 바에 따라 업무지침서를 작성하고, 그 내용을 금융위원회에 보고하여야 한다. <개정 2008.2.29, 2009.7.31, 2014.5.28>

⑧금융지주회사등은 대통령령이 정하는 바에 따라 고객정보의 취급방침을 정하여야 하며, 이를 당해 금융지주회사등의 거래상대방에게 통지하거나 공고하고 영업점에 게시하여야 한다. <개정 2009.7.31, 2014.5.28>

⑨ 제1항부터 제8항까지의 규정에 따른 적용을 받는 금융지주회사등 및 자회사등의 구체적인 범위는 대통령령으로 정한다. <신설 2009.7.31, 2014.5.28>

① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다. <개정 2023.3.14>

② 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

③ 개인정보처리자가 제1항 단서에 따라 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장ㆍ관리하여야 한다.

④ 개인정보의 파기방법 및 절차 등에 필요한 사항은 대통령령으로 정한다.