제4장 신용정보의 유통 및 관리

학술, 종교, 자선, 기예, 사교 기타 영리아닌 사업을 목적으로 하는 사단 또는 재단은 주무관청의 허가를 얻어 이를 법인으로 할 수 있다.

이 법에서 사용하는 용어의 뜻은 다음과 같다. <개정 2011.5.19, 2013.3.23, 2013.8.13, 2014.10.15, 2017.7.26, 2018.12.24, 2020.6.9, 2022.6.10, 2023.7.18, 2025.1.21>

1. "전기통신"이란 유선ㆍ무선ㆍ광선 또는 그 밖의 전자적 방식으로 부호ㆍ문언ㆍ음향 또는 영상을 송신하거나 수신하는 것을 말한다.

2. "전기통신설비"란 전기통신을 하기 위한 기계ㆍ기구ㆍ선로 또는 그 밖에 전기통신에 필요한 설비를 말한다.

3. "전기통신회선설비"란 전기통신설비 중 전기통신을 행하기 위한 송신ㆍ수신 장소 간의 통신로 구성설비로서 전송설비ㆍ선로설비 및 이것과 일체로 설치되는 교환설비와 이들의 부속설비를 말한다.

4. "사업용전기통신설비"란 전기통신사업에 제공하기 위한 전기통신설비를 말한다.

5. "자가전기통신설비"란 사업용전기통신설비 외의 것으로서 특정인이 자신의 전기통신에 이용하기 위하여 설치한 전기통신설비를 말한다.

6. "전기통신역무"란 전기통신설비를 이용하여 타인의 통신을 매개하거나 전기통신설비를 타인의 통신용으로 제공하는 것을 말한다.

7. "전기통신사업"이란 전기통신역무를 제공하는 사업을 말한다.

8. "전기통신사업자"란 이 법에 따라 등록 또는 신고(신고가 면제된 경우를 포함한다)를 하고 전기통신역무를 제공하는 자를 말한다.

9. "이용자"란 전기통신역무를 제공받기 위하여 전기통신사업자와 전기통신역무의 이용에 관한 계약을 체결한 자를 말한다.

10. "보편적 역무"란 모든 이용자가 언제 어디서나 적절한 요금으로 제공받을 수 있는 기본적인 전기통신역무를 말한다.

11. "기간통신역무"란 전화ㆍ인터넷접속 등과 같이 음성ㆍ데이터ㆍ영상 등을 그 내용이나 형태의 변경 없이 송신 또는 수신하게 하는 전기통신역무 및 음성ㆍ데이터ㆍ영상 등의 송신 또는 수신이 가능하도록 전기통신회선설비를 임대하는 전기통신역무를 말한다. 다만, 과학기술정보통신부장관이 정하여 고시하는 전기통신서비스(제6호의 전기통신역무의 세부적인 개별 서비스를 말한다. 이하 같다)는 제외한다.

12. "부가통신역무"란 기간통신역무 외의 전기통신역무를 말한다.

12의2. "온라인 동영상 서비스"란 정보통신망을 통하여 「영화 및 비디오물의 진흥에 관한 법률」 제2조제12호에 따른 비디오물 등 동영상 콘텐츠를 제공하는 부가통신역무를 말한다.

13. "앱 마켓사업자"란 부가통신역무를 제공하는 사업 중 모바일콘텐츠 등을 등록ㆍ판매하고 이용자가 모바일콘텐츠 등을 구매할 수 있도록 거래를 중개하는 사업을 하는 자를 말한다.

14. "특수한 유형의 부가통신역무"란 다음 각 목의 어느 하나에 해당하는 업무를 말한다.

가. 「저작권법」 제104조에 따른 특수한 유형의 온라인서비스제공자의 부가통신역무

나. 문자메시지 발송시스템을 전기통신사업자의 전기통신설비에 직접 또는 간접적으로 연결하여 문자메시지를 발송하는 부가통신역무

15. "전기통신번호"란 전기통신역무를 제공하거나 이용할 수 있도록 통신망, 전기통신서비스, 지역 또는 이용자 등을 구분하여 식별할 수 있는 번호를 말한다.

16. "와이파이"란 무선 접속 장치가 설치된 곳에서 전파 등을 이용하여 일정 거리 안에서 인터넷을 사용할 수 있는 근거리 통신망을 말한다.

17. "사물인터넷"이란 「지능정보화 기본법」 제2조제8호에 따른 정보통신망을 통하여 사물에 관한 정보를 전자적 방식으로 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신ㆍ수신 및 활용하거나 사물을 관리 또는 제어하는 등의 방식으로 사물과 사람을 상호 연결하는 것을 말한다.

18. "이동통신서비스"란 「전파법」에 따라 할당받은 주파수를 사용하는 기간통신역무를 말한다.

19. "이동통신사업자"란 이동통신서비스를 제공하는 전기통신사업자를 말한다.

20. "이동통신단말장치"란 이용자가 이동통신서비스를 이용하기 위하여 필요한 단말장치를 말한다.

21. "중고 이동통신단말장치"란 이용자가 이미 이용하였거나 이동통신서비스에 가입한 이력이 있는 이동통신단말장치를 말한다.

22. "이동통신단말장치 제조업자"란 이동통신단말장치를 제조ㆍ생산하는 자를 말한다.

23. "중고 이동통신단말장치 유통사업자"란 중고 이동통신단말장치를 매입하거나 판매하는 것을 업으로 하는 자를 말한다.

24. "대리점"이란 이동통신사업자와의 협정에 따라 이동통신사업자와 이용자 간의 계약 체결(체결된 계약 내용을 변경하는 것을 포함한다) 등을 대리 또는 위탁받아 처리하는 자를 말한다.

25. "판매점"이란 대리점과의 협정에 따라 이동통신사업자와 이용자 간의 계약 체결(체결된 계약 내용을 변경하는 것을 포함한다) 등을 복대리 또는 재위탁받아 처리하는 자를 말한다.

26. "출고가"란 이동통신단말장치 제조업자, 이동통신사업자 또는 이동통신사업자의 계열회사(「독점규제 및 공정거래에 관한 법률」 제2조제12호에 따른 계열회사를 말한다. 이하 같다) 등이 대리점에 이동통신단말장치를 공급하는 가격을 말한다.

27. "지원금"이란 이동통신단말장치 구매가격 할인, 현금 지급, 가입비 보조 등 이동통신단말장치의 구입비용을 지원하기 위하여 이용자에게 제공된 모든 경제적 이익을 말한다.

28. "장려금"이란 다음 각 목의 어느 하나에 해당하는 것을 말한다.

가. 이동통신단말장치 제조업자가 이동통신사업자(그 계열회사를 포함한다), 대리점 또는 판매점 등에 이동통신단말장치 판매에 관하여 제공하는 모든 경제적 이익

나. 이동통신사업자(그 계열회사를 포함한다)가 대리점 또는 판매점 등에 이동통신단말장치 판매에 관하여 제공하는 모든 경제적 이익

29. "대규모유통업자"란 「대규모유통업에서의 거래 공정화에 관한 법률」 제2조제1호에 따른 대규모유통업자, 「대ㆍ중소기업 상생협력 촉진에 관한 법률」 제2조제2호에 따른 대기업 또는 대기업 계열회사에 속하는 대리점ㆍ판매점을 말한다.

① 개인정보처리자는 개인정보의 처리 및 보호에 관한 업무를 총괄해서 담당할 개인정보 보호책임자를 지정하여야 한다. 다만, 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다. <개정 2023.3.14, 2026.3.10>

② 제1항 단서에 따라 개인정보 보호책임자를 지정하지 아니하는 경우에는 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다. <신설 2023.3.14>

③ 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 다음 각 호의 사항을 준수하여야 한다. <신설 2026.3.10>

1. 개인정보 보호책임자를 지정하거나 그 지정을 변경 또는 해제할 때에는 이사회(법인인 경우로 한정한다. 이하 같다)의 의결을 거칠 것

2. 보호위원회에 대통령령으로 정하는 바에 따라 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 사항을 신고할 것

④ 개인정보 보호책임자는 다음 각 호의 업무를 수행한다. <개정 2023.3.14, 2026.3.10>

1. 개인정보 보호 계획의 수립 및 시행

2. 개인정보 보호에 필요한 전문 인력의 관리 및 예산의 확보

3. 사업주 또는 대표자 및 이사회에 대한 개인정보 보호 현황 및 주요 사항의 보고

4. 개인정보 처리 및 보호의 실태와 관행에 대한 정기적인 조사 및 개선

5. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

6. 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축

7. 개인정보 보호 교육 계획의 수립 및 시행

8. 개인정보파일의 보호 및 관리ㆍ감독

9. 그 밖에 개인정보의 적절한 처리 및 보호를 위하여 대통령령으로 정한 업무

⑤ 개인정보 보호책임자는 제4항 각 호의 업무를 수행함에 있어서 필요한 경우 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다. <개정 2023.3.14, 2026.3.10>

⑥ 개인정보 보호책임자는 개인정보 보호와 관련하여 이 법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고하여야 한다. <개정 2023.3.14, 2026.3.10>

⑦ 개인정보처리자는 개인정보 보호책임자가 제4항 각 호의 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며, 개인정보 보호책임자가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다. <개정 2023.3.14, 2026.3.10>

⑧ 개인정보처리자는 개인정보의 안전한 처리 및 보호, 정보의 교류, 그 밖에 대통령령으로 정하는 공동의 사업을 수행하기 위하여 제1항에 따른 개인정보 보호책임자를 구성원으로 하는 개인정보 보호책임자 협의회를 구성ㆍ운영할 수 있다. <신설 2023.3.14, 2026.3.10>

⑨ 보호위원회는 제8항에 따른 개인정보 보호책임자 협의회의 활동에 필요한 지원을 할 수 있다. <신설 2023.3.14, 2026.3.10>

⑩ 제1항에 따른 개인정보 보호책임자의 자격요건, 제3항제2호에 따른 신고의 방법 및 절차, 제4항에 따른 업무 및 제7항에 따른 독립성 보장 등에 필요한 사항은 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정한다. <개정 2023.3.14, 2026.3.10>

① 개인정보처리자는 법 제15조제3항 또는 제17조제4항에 따라 정보주체의 동의 없이 개인정보를 이용 또는 제공(이하 "개인정보의 추가적인 이용 또는 제공"이라 한다)하려는 경우에는 다음 각 호의 사항을 고려해야 한다.

1. 당초 수집 목적과 관련성이 있는지 여부

2. 개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능성이 있는지 여부

3. 정보주체의 이익을 부당하게 침해하는지 여부

4. 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부

② 개인정보처리자는 개인정보의 추가적인 이용 또는 제공이 지속적으로 발생하는 경우에는 제1항 각 호의 고려사항에 대한 판단 기준을 법 제30조제1항에 따른 개인정보 처리방침에 공개하고, 법 제31조제1항에 따른 개인정보 보호책임자가 해당 기준에 따라 개인정보의 추가적인 이용 또는 제공을 하고 있는지 여부를 점검해야 한다. <개정 2023.9.12>

① 법 제31조제1항 단서에서 "종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자"란 「소상공인기본법」 제2조제1항에 따른 소상공인에 해당하는 개인정보처리자를 말한다. <신설 2024.3.12>

② 개인정보처리자는 법 제31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우에는 다음 각 호의 구분에 따라 지정해야 한다. 이 경우 제3항에 따른 개인정보처리자는 다음 각 호의 구분에 따른 사람 중 별표 1에 따른 개인정보 보호책임자의 자격을 갖춘 사람을 개인정보 보호책임자로 지정해야 한다. <개정 2016.7.22, 2024.3.12, 2026.9.10>

1. 공공기관: 다음 각 목의 구분에 따른 기준에 해당하는 공무원 등

가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관: 고위공무원단에 속하는 공무원(이하 "고위공무원"이라 한다) 또는 그에 상당하는 공무원

나. 가목 외에 정무직공무원을 장(長)으로 하는 국가기관: 3급 이상 공무원(고위공무원을 포함한다) 또는 그에 상당하는 공무원

다. 가목 및 나목 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로 하는 국가기관: 4급 이상 공무원 또는 그에 상당하는 공무원

라. 가목부터 다목까지의 규정에 따른 국가기관 외의 국가기관(소속 기관을 포함한다): 해당 기관의 개인정보 처리 관련 업무를 담당하는 부서의 장

마. 시ㆍ도 및 시ㆍ도 교육청: 3급 이상 공무원 또는 그에 상당하는 공무원

바. 시ㆍ군 및 자치구: 4급 이상 공무원 또는 그에 상당하는 공무원

사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정사무를 총괄하는 사람. 다만, 제3항제2호에 해당하는 경우에는 교직원을 말한다.

아. 가목부터 사목까지의 규정에 따른 기관 외의 공공기관: 개인정보 처리 관련 업무를 담당하는 부서의 장. 다만, 개인정보 처리 관련 업무를 담당하는 부서의 장이 2명 이상인 경우에는 해당 공공기관의 장이 지명하는 부서의 장이 된다.

2. 공공기관 외의 개인정보처리자: 다음 각 목의 어느 하나에 해당하는 사람

가. 사업주 또는 대표자

나. 임원(「상법」 제401조의2제1항제3호에 따라 회사의 업무를 집행한 자와 같은 법 제408조의2제1항에 따른 집행임원을 포함하며, 임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장을 말한다)

③ 법 제31조제3항 각 호 외의 부분에서 "대통령령으로 정하는 기준에 해당하는 개인정보처리자"란 다음 각 호의 어느 하나에 해당하는 개인정보처리자(공공기관의 경우에는 제2조제2호, 제3호, 제3호의2, 제4호 및 제5호에 해당하는 경우로 한정한다)를 말한다. <신설 2026.9.10>

1. 연간 매출액등이 1,800억원을 초과하는 자(제2조제5호에 따른 각급 학교 및 「의료법」 제3조에 따른 의료기관은 제외한다)로서 다음 각 목의 어느 하나에 해당하는 자

가. 5만명 이상의 정보주체에 관하여 민감정보 또는 고유식별정보를 처리하는 자

나. 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 자

2. 전년도 말 기준 재학생 수(대학원 재학생 수를 포함한다)가 2만명 이상인 「고등교육법」 제2조에 따른 학교

3. 「의료법」 제3조의4에 따른 상급종합병원

4. 공공시스템운영기관

④ 제3항에 따른 개인정보처리자는 법 제31조제3항제2호에 따라 개인정보 보호책임자를 지정ㆍ변경 또는 해제하는 경우 그 사유가 발생한 날부터 6개월 이내에 보호위원회 고시로 정하는 개인정보 보호책임자 지정ㆍ변경ㆍ해제 신고서를 보호위원회에 제출해야 한다. 다만, 보호위원회는 경영상의 이유로 이사회가 소집되기 어려운 경우 등 부득이한 사유로 기간 내에 신고서를 제출할 수 없다고 인정하는 경우 개인정보처리자의 요청에 따라 1년의 범위에서 기간을 연장할 수 있다. <개정 2026.9.10>

⑤ 법 제31조제4항제9호에서 "대통령령으로 정한 업무"란 다음 각 호와 같다. <개정 2024.3.12, 2026.9.10>

1. 법 제30조에 따른 개인정보 처리방침의 수립ㆍ변경 및 시행

2. 개인정보 처리와 관련된 인적ㆍ물적 자원 및 정보의 관리

3. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기

⑥ 보호위원회는 개인정보 보호책임자가 법 제31조제4항의 업무를 원활히 수행할 수 있도록 개인정보 보호책임자에 대한 교육과정을 개설ㆍ운영하는 등 지원을 할 수 있다. <개정 2013.3.23, 2014.11.19, 2017.7.26, 2020.8.4, 2024.3.12, 2026.9.10>

⑦ 개인정보처리자(법 제31조제2항에 따라 사업주 또는 대표자가 개인정보 보호책임자가 되는 경우는 제외한다)는 법 제31조제7항에 따른 개인정보 보호책임자의 독립성 보장을 위해 다음 각 호의 사항을 준수해야 한다. <신설 2024.3.12, 2026.9.10>

1. 개인정보 처리와 관련된 정보에 대한 개인정보 보호책임자의 접근 보장

2. 개인정보 보호책임자가 개인정보 보호 계획의 수립ㆍ시행 및 그 결과에 관하여 정기적으로 대표자 또는 이사회에 직접 보고할 수 있는 체계의 구축

3. 개인정보 보호책임자의 업무 수행에 적합한 조직체계의 마련 및 인적ㆍ물적 자원의 제공

① 삭제 <2015.12.30>

② 보호위원회는 법 제68조제1항에 따라 법 제24조의2제4항에 따른 대체가입수단 제공의 지원에 관한 업무를 다음 각 호의 기관에 위탁할 수 있다. <개정 2013.3.23, 2014.11.19, 2015.12.30, 2017.7.26, 2020.8.4, 2022.7.19>

1. 「전자정부법」 제72조제1항에 따른 한국지역정보개발원

2. 한국인터넷진흥원

3. 대체가입수단의 개발ㆍ제공ㆍ관리 업무를 안전하게 수행할 수 있는 기술적ㆍ재정적 능력과 설비를 보유한 것으로 인정되어 보호위원회가 정하여 고시하는 법인ㆍ기관ㆍ단체

③ 보호위원회(제10호의 경우 보호위원회 외의 지정권자를 포함한다. 이하 제4항 각 호 외의 부분 및 제5항에서 같다)는 법 제68조제1항에 따라 다음 각 호의 사항에 관한 업무를 제4항에 따른 기관에 위탁할 수 있다. <개정 2013.3.23, 2014.11.19, 2015.12.30, 2017.7.26, 2020.8.4, 2022.7.19, 2023.9.12, 2025.2.25, 2025.9.23, 2026.9.10>

1. 법 제7조의8제5호에 따른 개인정보 보호를 위한 국제기구와 외국의 개인정보 보호기구와의 교류ㆍ협력

2. 법 제7조의8제6호에 따른 개인정보 보호에 관한 법령ㆍ정책ㆍ제도ㆍ실태 등의 조사ㆍ연구

3. 법 제7조의8제7호에 따른 개인정보 보호에 관한 기술개발의 지원ㆍ보급

4. 법 제11조의2제1항에 따른 개인정보 보호수준 평가 및 같은 조 제2항에 따른 평가 자료의 제출 요청

5. 법 제13조제1호에 따른 개인정보 보호에 관한 교육ㆍ홍보

6. 법 제13조제2호에 따른 개인정보 보호와 관련된 기관ㆍ단체의 육성 및 지원

7. 법 제13조제3호에 따른 개인정보 보호 인증마크의 시행 지원

8. 법 제13조제4호에 따른 개인정보처리자의 자율적인 규약의 시행 지원

8의2. 법 제31조제3항제2호에 따른 개인정보 보호책임자 지정ㆍ변경 또는 해제에 관한 신고의 접수 및 처리

9. 법 제33조제6항에 따른 관계 전문가의 육성 및 영향평가 기준의 개발

10. 법 제35조제2항에 따른 열람 요구의 접수 및 처리

10의2. 법 제35조의3에 따른 개인정보관리 전문기관의 지정에 관한 다음 각 목의 사항

가. 제42조의10제1항에 따른 개인정보관리 전문기관 지정 신청의 접수 및 신청 내용의 확인

나. 제42조의10제4항에 따른 개인정보관리 전문기관 지정에 관한 예비심사

다. 제42조의12제1항 후단에 따른 지정 조건의 이행 여부 확인

10의3. 법 제35조의4제2항에 따른 개인정보전송지원플랫폼의 운영

11. 법 제63조에 따른 자료제출 요구 및 검사 중 다음 각 목의 사항과 관련된 자료제출 요구 및 검사

가. 법 제34조제3항 전단에 따른 신고에 대한 기술지원

나. 법 제62조에 따라 개인정보침해 신고센터에 접수된 신고의 접수ㆍ처리 및 상담

12. 제36조제2항에 따른 평가기관 지정신청서의 접수 및 같은 조 제6항에 따른 신고 사항의 접수

④ 보호위원회가 제3항 각 호의 사항에 관한 업무를 위탁할 수 있는 기관은 다음 각 호와 같다. <신설 2022.7.19>

1. 한국인터넷진흥원

2. 개인정보 보호 분야에 전문성을 갖춘 것으로 인정되어 보호위원회가 정하여 고시하는 법인ㆍ기관 또는 단체

⑤ 보호위원회가 제2항부터 제4항까지의 규정에 따라 업무를 위탁하는 경우에는 위탁받는 기관과 위탁업무의 내용을 관보나 보호위원회의 인터넷 홈페이지에 공고해야 한다. <개정 2022.7.19>

① 법 제31조제8항에서 "대통령령으로 정하는 공동의 사업"이란 다음 각 호의 사업을 말한다. <개정 2026.9.10>

1. 개인정보처리자의 개인정보 보호 강화를 위한 정책의 조사, 연구 및 수립 지원

2. 개인정보 침해사고 분석 및 대책 연구

3. 개인정보 보호책임자 지정ㆍ운영, 업무 수행 현황 등 실태 파악 및 제도 개선을 위한 연구

4. 개인정보 보호책임자 교육 등 개인정보 보호책임자의 개인정보 보호 역량 및 전문성 향상

5. 개인정보 보호책임자의 업무와 관련된 국내외 주요 동향의 조사, 분석 및 공유

6. 그 밖에 개인정보처리시스템 등의 안전한 관리를 위해 필요한 사업

② 보호위원회는 법 제31조제9항에 따라 예산의 범위에서 개인정보 보호책임자 협의회의 운영과 사업에 필요한 행정적ㆍ기술적 지원을 할 수 있다. <개정 2026.9.10>

① 금융지주회사등은 「금융실명거래 및 비밀보장에 관한 법률」 제4조제1항 및 「신용정보의 이용 및 보호에 관한 법률」 제32조ㆍ제33조에도 불구하고 「금융실명거래 및 비밀보장에 관한 법률」 제4조에 따른 금융거래의 내용에 관한 정보 또는 자료(이하 "금융거래정보"라 한다) 및 「신용정보의 이용 및 보호에 관한 법률」 제32조제1항에 따른 개인신용정보를 다음 각 호의 사항에 관하여 금융위원회가 정하는 방법과 절차(이하 "고객정보제공절차"라 한다)에 따라 그가 속하는 금융지주회사등에게 신용위험관리 등 대통령령으로 정하는 내부 경영관리상 이용하게 할 목적으로 제공할 수 있다. <개정 2009.7.31, 2014.5.28, 2015.3.11>

1. 제공할 수 있는 정보의 범위

2. 고객정보의 암호화 등 처리방법

3. 고객정보의 분리 보관

4. 고객정보의 이용기간 및 이용목적

5. 이용기간 경과 시 고객정보의 삭제

6. 그 밖에 고객정보의 엄격한 관리를 위하여 대통령령으로 정하는 사항

② 금융지주회사의 자회사등인 「자본시장과 금융투자업에 관한 법률」에 따른 투자매매업자 또는 투자중개업자는 해당 투자매매업자 또는 투자중개업자를 통하여 증권을 매매하거나 매매하고자 하는 위탁자가 예탁한 금전 또는 증권에 관한 정보 중 다음 각 호의 어느 하나에 해당하는 정보(이하 "증권총액정보등"이라 한다)를 고객정보제공절차에 따라 그가 속하는 금융지주회사등에게 신용위험관리 등 대통령령으로 정하는 내부 경영관리상 이용하게 할 목적으로 제공할 수 있다. <개정 2009.7.31, 2014.5.28>

1. 예탁한 금전의 총액

2. 예탁한 증권의 총액

3. 예탁한 증권의 종류별 총액

4. 그 밖에 제1호부터 제3호까지에 준하는 것으로서 금융위원회가 정하여 고시하는 정보

③ 제1항 및 제2항에 따라 자회사등이 금융거래정보ㆍ개인신용정보 및 증권총액정보등(이하 "고객정보"라 한다)을 제공하는 경우에는 「신용정보의 이용 및 보호에 관한 법률」 제32조제10항을 적용하지 아니한다. <개정 2009.7.31, 2015.3.11>

④ 제1항 및 제2항에 따라 고객정보를 그가 속하는 금융지주회사등에게 제공하는 경우에는 그 제공내역을 고객에게 통지하여야 한다. 다만, 연락처 등 통지할 수 있는 개인정보를 수집하지 아니한 경우에는 그러하지 아니하다. <신설 2014.5.28>

⑤ 제4항에 따라 통지하여야 하는 정보의 종류, 통지 주기 및 방법, 그 밖에 필요한 사항은 대통령령으로 정한다. <신설 2014.5.28>

⑥ 금융지주회사등은 고객정보의 엄격한 관리를 위하여 그 임원 중에 1인 이상을 고객정보를 관리할 자(이하 "고객정보관리인"이라 한다)로 선임하여야 한다. <개정 2009.7.31, 2014.5.28>

⑦고객정보관리인은 고객정보의 엄격한 관리를 위하여 금융위원회가 정하는 바에 따라 업무지침서를 작성하고, 그 내용을 금융위원회에 보고하여야 한다. <개정 2008.2.29, 2009.7.31, 2014.5.28>

⑧금융지주회사등은 대통령령이 정하는 바에 따라 고객정보의 취급방침을 정하여야 하며, 이를 당해 금융지주회사등의 거래상대방에게 통지하거나 공고하고 영업점에 게시하여야 한다. <개정 2009.7.31, 2014.5.28>

⑨ 제1항부터 제8항까지의 규정에 따른 적용을 받는 금융지주회사등 및 자회사등의 구체적인 범위는 대통령령으로 정한다. <신설 2009.7.31, 2014.5.28>

① 금융회사등에 종사하는 자는 명의인(신탁의 경우에는 위탁자 또는 수익자를 말한다)의 서면상의 요구나 동의를 받지 아니하고는 그 금융거래의 내용에 대한 정보 또는 자료(이하 "거래정보등"이라 한다)를 타인에게 제공하거나 누설하여서는 아니 되며, 누구든지 거짓 또는 그 밖의 부정한 수단이나 방법으로 금융회사등에 종사하는 자에게 거래정보등의 제공을 요구하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우로서 그 사용 목적에 필요한 최소한의 범위에서 거래정보등을 제공하거나 그 제공을 요구하는 경우에는 그러하지 아니하다. <개정 2013.5.28, 2019.11.26, 2020.12.29, 2025.4.1>

1. 법원의 제출명령 또는 법관이 발부한 영장에 따른 거래정보등의 제공

2. 조세에 관한 법률에 따라 제출의무가 있는 과세자료 등의 제공과 소관 관서의 장이 상속ㆍ증여 재산의 확인, 조세탈루의 혐의를 인정할 만한 명백한 자료의 확인, 체납자(체납액 5천만원 이상인 체납자의 경우에는 체납자의 재산을 은닉한 혐의가 있다고 인정되는 다음 각 목에 해당하는 사람을 포함한다)의 재산조회, 「국세징수법」 제9조제1항 각 호의 어느 하나에 해당하는 사유로 조세에 관한 법률에 따른 질문ㆍ조사를 위하여 필요로 하는 거래정보등의 제공

가. 체납자의 배우자(사실상 혼인관계에 있는 사람을 포함한다)

나. 체납자의 6촌 이내 혈족

다. 체납자의 4촌 이내 인척

3. 「국정감사 및 조사에 관한 법률」에 따른 국정조사에 필요한 자료로서 해당 조사위원회의 의결에 따른 금융감독원장(「금융위원회의 설치 등에 관한 법률」 제24조에 따른 금융감독원의 원장을 말한다. 이하 같다) 및 예금보험공사사장(「예금자보호법」 제3조에 따른 예금보험공사의 사장을 말한다. 이하 같다)의 거래정보등의 제공

4. 금융위원회(증권시장ㆍ파생상품시장의 불공정거래조사의 경우에는 증권선물위원회를 말한다. 이하 이 조에서 같다), 금융감독원장 및 예금보험공사사장이 금융회사등에 대한 감독ㆍ검사를 위하여 필요로 하는 거래정보등의 제공으로서 다음 각 목의 어느 하나에 해당하는 경우와 제3호에 따라 해당 조사위원회에 제공하기 위한 경우

가. 내부자거래 및 불공정거래행위 등의 조사에 필요한 경우

나. 고객예금 횡령, 무자원(無資源) 입금 기표(記票) 후 현금 인출 등 금융사고의 적발에 필요한 경우

다. 구속성예금 수입(受入), 자기앞수표 선발행(先發行) 등 불건전 금융거래행위의 조사에 필요한 경우

라. 금융실명거래 위반, 장부 외 거래, 출자자 대출, 동일인 한도 초과 등 법령 위반행위의 조사에 필요한 경우

마. 「예금자보호법」에 따른 예금보험업무 및 「금융산업의 구조개선에 관한 법률」에 따라 예금보험공사사장이 예금자표(預金者表)의 작성업무를 수행하기 위하여 필요한 경우

5. 동일한 금융회사등의 내부 또는 금융회사등 상호간에 업무상 필요한 거래정보등의 제공

6. 금융위원회 및 금융감독원장이 그에 상응하는 업무를 수행하는 외국 금융감독기관(국제금융감독기구를 포함한다. 이하 같다)과 다음 각 목의 사항에 대한 업무협조를 위하여 필요로 하는 거래정보등의 제공

가. 금융회사등 및 금융회사등의 해외지점ㆍ현지법인 등에 대한 감독ㆍ검사

나. 「자본시장과 금융투자업에 관한 법률」 제437조에 따른 정보교환 및 조사 등의 협조

7. 「자본시장과 금융투자업에 관한 법률」에 따라 거래소허가를 받은 거래소(이하 "거래소"라 한다)가 다음 각 목의 경우에 필요로 하는 투자매매업자ㆍ투자중개업자가 보유한 거래정보등의 제공

가. 「자본시장과 금융투자업에 관한 법률」 제404조에 따른 이상거래(異常去來)의 심리 또는 회원의 감리를 수행하는 경우

나. 이상거래의 심리 또는 회원의 감리와 관련하여 거래소에 상응하는 업무를 수행하는 외국거래소 등과 협조하기 위한 경우. 다만, 금융위원회의 사전 승인을 받은 경우로 한정한다.

8. 그 밖에 법률에 따라 불특정 다수인에게 의무적으로 공개하여야 하는 것으로서 해당 법률에 따른 거래정보등의 제공

② 제1항제1호부터 제4호까지 또는 제6호부터 제8호까지의 규정에 따라 거래정보등의 제공을 요구하는 자는 다음 각 호의 사항이 포함된 금융위원회가 정하는 표준양식에 의하여 금융회사등의 특정 점포에 이를 요구하여야 한다. 다만, 제1항제1호에 따라 거래정보등의 제공을 요구하거나 같은 항 제2호에 따라 거래정보등의 제공을 요구하는 경우로서 부동산(부동산에 관한 권리를 포함한다. 이하 이 항에서 같다)의 보유기간, 보유 수, 거래 규모 및 거래 방법 등 명백한 자료에 의하여 대통령령으로 정하는 부동산거래와 관련한 소득세 또는 법인세의 탈루혐의가 인정되어 그 탈루사실의 확인이 필요한 자(해당 부동산 거래를 알선ㆍ중개한 자를 포함한다)에 대한 거래정보등의 제공을 요구하는 경우 또는 체납액 1천만원 이상인 체납자의 재산조회를 위하여 필요한 거래정보등의 제공을 대통령령으로 정하는 바에 따라 요구하는 경우에는 거래정보등을 보관 또는 관리하는 부서에 이를 요구할 수 있다.

1. 명의인의 인적사항

2. 요구 대상 거래기간

3. 요구의 법적 근거

4. 사용 목적

5. 요구하는 거래정보등의 내용

6. 요구하는 기관의 담당자 및 책임자의 성명과 직책 등 인적사항

③ 금융회사등에 종사하는 자는 제1항 또는 제2항을 위반하여 거래정보등의 제공을 요구받은 경우에는 그 요구를 거부하여야 한다.

④ 제1항 각 호[종전의 금융실명거래에관한법률(대통령긴급재정경제명령 제16호로 폐지되기 전의 것을 말한다) 제5조제1항제1호부터 제4호까지 및 금융실명거래및비밀보장에관한긴급재정경제명령(법률 제5493호로 폐지되기 전의 것을 말한다. 이하 같다) 제4조제1항 각 호를 포함한다]에 따라 거래정보등을 알게 된 자는 그 알게 된 거래정보등을 타인에게 제공 또는 누설하거나 그 목적 외의 용도로 이용하여서는 아니 되며, 누구든지 거래정보등을 알게 된 자에게 거짓 또는 그 밖의 부정한 수단이나 방법으로 그 거래정보등의 제공을 요구하여서는 아니 된다. 다만, 금융위원회 또는 금융감독원장이 제1항제4호 및 제6호에 따라 알게 된 거래정보등을 외국 금융감독기관에 제공하거나 거래소가 제1항제7호에 따라 외국거래소 등에 거래정보등을 제공하는 경우에는 그러하지 아니하다. <개정 2013.5.28, 2025.4.1>

⑤ 제1항 또는 제4항을 위반하여 제공 또는 누설된 거래정보등을 취득한 자(그로부터 거래정보등을 다시 취득한 자를 포함한다)는 그 위반사실을 알게 된 경우 그 거래정보등을 타인에게 제공 또는 누설하여서는 아니 된다.

⑥ 다음 각 호의 법률의 규정에 따라 거래정보등의 제공을 요구하는 경우에는 해당 법률의 규정에도 불구하고 제2항에 따른 금융위원회가 정한 표준양식으로 하여야 한다. <개정 2020.3.24>

1. 「감사원법」 제27조제2항

2. 「정치자금법」 제52조제2항

3. 「공직자윤리법」 제8조제5항

4. 삭제<2020.12.29>

5. 「상속세 및 증여세법」 제83조제1항

6. 「특정 금융거래정보의 보고 및 이용 등에 관한 법률」 제13조제3항

7. 「과세자료의 제출 및 관리에 관한 법률」 제6조제1항

① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다. <개정 2023.3.14>

② 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

③ 개인정보처리자가 제1항 단서에 따라 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장ㆍ관리하여야 한다.

④ 개인정보의 파기방법 및 절차 등에 필요한 사항은 대통령령으로 정한다.

①개인정보처리자는 법 제21조에 따라 개인정보를 파기할 때에는 다음 각 호의 구분에 따른 방법으로 해야 한다. <개정 2014.8.6, 2022.7.19>

1. 전자적 파일 형태인 경우: 복원이 불가능한 방법으로 영구 삭제. 다만, 기술적 특성으로 영구 삭제가 현저히 곤란한 경우에는 법 제58조의2에 해당하는 정보로 처리하여 복원이 불가능하도록 조치해야 한다.

2. 제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각

② 제1항에 따른 개인정보의 안전한 파기에 관한 세부 사항은 보호위원회가 정하여 고시한다. <신설 2014.8.6, 2014.11.19, 2017.7.26, 2020.8.4>