참여연대, 금융위에 금융분야 빅데이터 인프라 구축 현황에 대해 질의서 발송

6월 시행된 일반신용DB 서비스의  개인정보보호법 및 신용정보보호법 위반 여부, 금융빅데이터인프라구축에서 신용정보주체 보호 대책 등에 대해 질의해

참여연대 정보인권사업단(소장 한상희 교수, 건국대법학전문대학원)은 오늘(10월 3일) 금융위원회(위원장 은성수)에 금융분야 빅데이터 인프라 구축 현황과 관련한 질의서를 발송했다.

지난 6월 4일부터  종합신용정보 집중기관인 신용정보원이 보유한 4000만명의 5%에 해당하는 200만명의 차주, 대출, 연체 및 카드개설 정보 등과 같은 금융빅데이터의 일반신용DB가 일반 기업 등에 개방되었다. 이는 지난 2015년부터 본격 논의되기 시작한 금융분야 빅데이터 활성화 정책이 구체화된 금융 빅데이터 개방시스템의 주요 서비스 중 하나이다. 금융위는 보도자료를 통해 앞으로 기업신용DB, 보험신용 DB 서비스도 하반기나 내년 초 등 순차적으로 이어나갈 것이라고 밝힌 바 있다.

그러나 이와 같은 금융위원회의 금융 빅데이터 인프라 구축은 법적 근거가 없다. 신용정보보호와 이용에 관한 법률에는 신용정보 수집은 정보주체의 동의를 받아야 하고, 제3자에게 수집, 처리 등을 위탁할 경우에도 정보주체의 동의를 받아야 한다.

또한  신용정보의 안전한 활용을 표방하고 있지만 금융소비자 권리보호에 관한 내용은 보이지 않는다. 무엇보다 4,000만 명의 신용정보를 보유하고 있는 신용정보 집중기관인 한국신용정보원이 중개역할을 하면서 보험사, 금융사 등 민간기업에 데이터를 활용하도록 서비스한다는 것은 신용정보원이 설립된 당시 배경을 몰각한 처사다. 2014년 롯데카드, 국민카드, 농협카드의 고객정보 대량 유출사고로 카드사의 정보관리행태에 대한 사회적 공분이 커지자 당시 전국은행연합회 등 6개 기관에서 관리하여 보안 등이 부실하던 신용정보를 체계적이고 안전하게 관리하겠다는 취지로 설립되었다.

이 같은 배경과 취지에서 설립된 한국신용정보원이 개인의 특성(소비,투자행태, 위험성향 등)을 나타내는 금융데이터를 비록 비식별처리한다고는 하나 상업적 목적을 위해 기업 등에 제공할 수 있는지는 의문이다. 비식별조치는 안전조치의 하나이지 비식별조치했다고 해서 개인정보보호법의 보호를 받지 않는 것은 아니기 때문이다. 특히 지난 2017년 4월에 발표된  에 따르면  비식별조치한 신용도와 관련된 전체 기록 791만 천 여건 가운데 숫자로 된 민감정보로 대조를 했더니 765만 6천여 건의 개인이 식별될 수 있는 것으로 드러났다. 그렇다면 이러한 비식별조치 데이터들도 목적제한적이어야 하고 제3자 제공시 동의가 필수이다. 이에 참여연대는 금융소비자의 가장 핵심적인 개인정보를 안전하게 관리하고 보호하여야 할 금융위원회가 추진하는 금융빅데이터 인프라 구축 등이 어떤 법적 근거에 따라, 어떻게 준비하고 있는지에 대해 질의하게 되었다.

참여연대는 질의서에서, ▶ 박근혜 정부 때 추진하던 금융빅데이터 활용 정책과 현정부의 금융빅데이터 활용 정책은 차이가 있는지, 있다면 무엇인지 밝혀 줄 것,▶금융빅데이터 인프라 구축방안의 소비자 신용정보 보호방안이 보이지 않는데 준비 중인 것이 있는지 있다면 밝혀 줄것, ▶ 비식별조치가이드라인에 따른 비식별조치라고 하더라도 개인정보보호법의 적용을 받는 개인정보이므로 이와 같이 원래 금융거래 등의 목적으로 수집한 차주, 연체, 대출 및 카드개설정보 등 일반신용DB를 서비스하기 위해 정보주체로부터 동의를 받았는지 여부,  ▶금융빅데이터 인프라 구축 방에서 금융소비자 보호 대책은 무엇인지 등을 밝혀 줄 것을 요구했다.

금융데이터는 개인의 소비특성, 투자행태, 소득규모 등을 파악할 수 있는 고도의 사적인 정보이다. 따라서 엄격한 법의 보호가 필요하고 목적제한적, 최소수집원칙 등 개인정보보호 원칙이 지켜져야 할 것이다. 그러나 금융분야 빅데이터 개방 정책 등은 금융 산업 활성화를 명분으로 추진되고 있을 뿐 빅데이터 활용으로 위협받게 될 시민의 개인정보 자기결정권 보호에 대해서는 무관심하다. 개인정보에 대한 안전망없이 현정부가 추진하고 있는 금융분야 빅데이터 인프라 구축때문에  적지 않은 국민들과 전문가들은 지난 2014년에 발생한 1억건에 이르는 금융개인정보의 유출사건이 되풀이 될 수 있다고 우려한다. 더 늦기 전에 금융정보 안전 대책을 마련해야 하는 것은 물론이고 정보주체 없이 제공되는 일반 신용DB 서비스 등 현행 개인정보보호법, 신용보호법 위반 행위는 즉각 중단되어야 할 것이다. 끝. 

▣ 붙임 : 질의서 

금융위원회의 금융빅데이터 인프라 구축 관련 질의서

금융위원회의 빅데이터 활성화 정책

금융빅데이터 활성화 방안은 금융위원회가 지난 2015년부터 본격적으로 논의를 시작한 것으로 알려지고 있습니다.

• 2015년 6월 3일 : 외국은 모든 업권에서 빅데이터가 새로운 방법으로 다양하게 활용되는 반면, 우리나라의 경우 빅데이터 활용이 한정되어 있다고 진단하면서 빅데이터활성화 방안을 추진하겠다는 보도자료를 발표함
• 2016년 5월 25일  한국신용정보원 보유 중인 전 업권의 신용정보를 빅데이터 분석에 활용하여 금융업계 및 핀테크회사 등을 지원하기 위한 기본계획을 마련하고 발표
• 2016년 6월 30일 행정자치부, 방송통신위원회, 금융위원회 등 6개 부처 공동으로  “개인정보 비식별 조치 가이드라인”을 발간함(이상 박근혜 정부)
• 2017년 12월 11일 정부, 각계 전문가, 유관기관 등으로  구성, 빅데이터 활성화를 위한 금융분야 추진방안 논의
• 2018년 3월 19일 금융분야 데이터활용 및 정보보호 종합방안’을 발표
• 2019년 6월 3일 금융위원회는 금융분야 빅데이터 인프라 구축방안 발표.

이후 금융위원회는 신용정보법령 개정, 빅데이터 활성 인프라 구축,  비식별화 조치를 마련하는 등 관련 정책을 추진하여 왔습니다.  금융위원회는 2016년 8월 31일 한국신용정보원을 금융분야 개인정보 비식별 전문기관으로 지정하여 금융기관, 일반기업 등이 보유한 데이터 정보집합물 결합 지원, 비식별 조치 적정성 평가 등의 지원을 하기에 이르렀습니다. 그런데 당시 비식별조치는 법률적 근거가 미비하다는 지적이 있었습니다. 또한 신용정보법 시행령을 개정하여 전국은행연합회, 생명·손해보험협회, 여신협회 등의 신용정보집중기관을 종합신용정보집중기관으로 통합하고 금융권, 핀테크 기업 등의 빅데이터 업무 활용을 지원하는 역할을 맡기는 것은 법률의 위임 범위를 벗어난다는 지적도 있었습니다.  

이후 문재인정부가 들어선 후 임명된 최종구 위원장은  2017년 12월 11일 정부, 각계 전문가, 유관기관 등으로  를 구성하고 빅데이터 활성화를 위한 금융분야 추진방안을 논의하기 시작, 2018년 3월 19일 금융분야 데이터활용 및 정보보호 종합방안’을 발표하였습니다. 그리고 올해 2019년 6월 3일 금융위원회는 금융분야 빅데이터 인프라 구축방안을 발표하고  일반신용DB서비스 등 금융빅데이터 개방을 시작하였습니다. 또한 올해 말까지 데이터 거래소를 오픈, 시범서비스 실시 및 2020년 상반기부터는 서비스를 본격 실시하겠다는 계획을 밝혔습니다. 

그런데, 문재인 대통령은 대통령후보시절  “개인정보 보호 체계 효율화, 개인정보보호위원회의 위상 강화”를 공약으로 발표하였고, 2017년 8월에 발표한 100대 국정과제로 (개인정보 보호 강화) ’18년부터 개인정보 보호 거버넌스 강화 및 개인정보 보호 체계 효율화, 무분별한 개인정보 이용에 대한 제재 강화’를 표방한 바도 있습니다.이와 같은 정책과제 선정은, 이전 정부의 무분별한 개인정보 활용 정책이 충분한 사회적 합의 과정 없이 일방적으로 추진된 데 대한 성찰과 민주적 의사결정 과정을 거쳐야 한다는 시민사회의 요구를 반영한 것으로 보입니다.

잘 아시다시피 박근혜 정부가 추진하였던 빅데이터 활용정책과 그 일환으로 제시된 비식별화조치가이드라인은 법적 근거가 명확하지 않는 등 개인정보보호법을 위반한다는 지적이 끊이지 않았습니다. 특히 2017년 국정감사에서는  비식별조치가인드라인에 따라 20개 기업과 4개 공공기관이 보유한 고객정보를 무단결합, 제공한 사실이 밝혀져 이들 기업들과 공공기관이 개인정보보호법 위반 혐의로 시민단체들이 고발하기도 했습니다.

질의1)대체로 새로운 정부가 들어서면 그 표방하는 국정 철학에 따라 정책도 달라지는 것이 일반적일 것입니다. 더욱이 이전 정부의 잘못으로 밝혀진 정책의 경우, 새로운 정부는 그 정책을 폐기하는 것이 상식적일 것입니다. 사정이 이러한데 금융위원회는 전술한 바와 같이  이전 박근혜 정부 시기 추진하던 금융빅데이터 활용 정책을 그대로 이어서 진행하고 있는 것으로 보입니다.  이전 정부의 빅데이터 활용 정책은 명확한 법적 근거도 없이 진행되어 개인정보보호법을 위반하였다는 지적이 끊이지 않았는데, 지금 추진하고 있는 금융위원회의 금융분야 빅데이터 활성화 정책들의 근거 법률은 구체적으로 무엇입니까? 또한 이전 박근혜 정부가 추진하던 금융분야 빅데이터 활성화 정책과 차이점이 있는지, 있다면 무엇인지 밝혀 주십시오.

질의2)또한 금융위원회는 「신용정보보호와 이용에 관한 법률」과 「금융위원회의 설치 등에 관한 법률」 등에 따라 금융소비자의 보호에 관한 방안도 모색해야 하는데, 빅데이터 활성화 방안과 함께 금융소비자의 보호를 위한 어떤 대책을 수립하고 추진하고 있는지도 밝혀주시기 바랍니다.

질의 3) 위에서 지적한대로 신용정보 집중기관에 대한 공적 통제를 제고하겠다는 취지로 2015년 신용정보법이 개정되었으나, 금융위가  시행령을 개정하여 종합신용정보집중기관을 신설하고 빅데이터 활용 업무를 지원하는 역할을 맡기는 것은 당시 법개정 취지를 무력화시키는 것이라는 지적이 있었습니다.  이에 대한 지적은 여전히 유효하다고 보는데 이에 대해 금융위원회는 어떤 입장을 갖고 있습니까?

금융위원회의 금융 빅데이터 인프라 구축현황

지난 6월 3일 발표한 에 따르면, 금융위원회는 한국신용정보원을 데이터 전문기관으로 지정하고 데이터결합, 적정성평가 등의 업무를 수행하도록 하겠다고 밝혔으며, 6월 4일부터 일반신용DB서비스를 개시한다고 설명하였습니다. 이어 올 하반기 중 보험신용DB, 기업신용DB 서비스도 오픈하겠다고 하였습니다.

안전하게 비식별조치를 한 DB로 일반 기업 등 필요한 기관이 언제든 활용할 수 있도록 하자는 것입니다. 그러나 2017년 4월 발표된  에 따르면 , 비식별조치한 신용도와 관련된 전체 기록 791만 천 여건 가운데 숫자로 된 민감정보로 대조를 했더니 765만 6천여 건의 개인이 식별될 수 있는 것으로 드러났습니다(2018.9.15.MBC 뉴스데스크 보도). 민감정보의 경우는 정보를 결합했을 경우 99% 정도까지 식별이 가능한 것으로 나타났습니다. 따라서 비식별조치라 했다고 하더라도 다른 정보들과 결합했을 때 개인식별이 가능하다면, 신용정보법 제15조, 17조, 개인정보보호법 제17조에 따라 목적 외 이용 및 제3자 제공시 정보주체의 동의를 받아야 할 것입니다. 

질의 4) 금융위원회의 지난 6월 3일 보도자료에 따르면 일반신용DB 서비스 개시 이후 하반기 중 보험신용DB 서비스를 시작한다고 하였습니다. 2019년 10월 현재 어느 단계까지 추진 중인지 밝혀 주시기 바랍니다.

질의 5) 이와 같은 다양한 신용DB서비스를 개시할 수 있는 법적 근거는 무엇인지 밝혀 주시기 바랍니다. 개인신용정보 표본DB는 전체 신용활동 인구의 5%인 약 200만명을 무작위 추출하여 차주, 연체, 대출 및 카드개설정보 등의 정보로 구성됩니다. 프라이버시 보호를 위한 비식별조치(데이터 범주화, 총계처리, 데이터삭제, 저빈도값보정 등)를 취했다고는 하나 원래 수집 목적이 아닌 금융서비스 개발 등에 이용하고자 하는 기업에 제공하는 것이라면 목적외 이용 및 제3자 제공이라고 할 수 있습니다. 그렇다면 현행 개인정보보호법에 따라 정보주체에게 이와 같은 목적 외 이용에 대해 동의를 받았는지 여부와  동의를 받지 않고 영리사업자인 제3자 제공과 목적 외 이용을 하는 법적 근거가 무엇인지를 구체적으로  밝혀 주시기 바랍니다.

한국신용정보원은 「신용정보의 이용 및 보호에 관한 법률」 제25조(신용정보집중기관)에 따라 설립된 종합신용정보집중기관으로서 신용정보의 집중관리 및 활용 등의 업무수행을 통하여 신용정보 및 신용정보주체를 보호하는 역할을 위해 설립되었음을 홈페이지 등을 통해 밝히고 있습니다.

신용정보원의 업무는 「신용정보의 이용 및 보호에 관한 법률 시행령」 제21조의2(종합신용정보집중기관의 업무)1항의 1호 “집중관리하는 신용정보를 활용하여 통계작성 및 학술연구 등의 목적을 위하여 특정 신용정보주체를 식별할 수 없는 형태로 제공하는 업무”을 포함합니다. 이 조항에 따르면, 신용정보는 “통계작성 및 학술연구 등의 목적을 위해 개인을 식별하지 못하는 형태로 제공”하여야 합니다. 

질의 6) 이 법률 등에 따르면, 신용정보원은 보유하고 있는 개인신용정보를  “ 통계작성 및 학술연구 등의 목적”으로 비식별처리하여 제공할 수 있습니다. 그런데  6월 4일부터 오픈한 일반신용DB는 신용정보원이 보유한 4,000만건의 신용정보 중 5%에 해당하는 표본을 추출하여 비식별조치를 한 후 기업 등이 활용할 수 있게 서비스하고 있습니다.이는 개인정보보호법 제2조 1항에 따라 개인정보이며 따라서 수집 목적외 이용 및 제3자 제공을 위해서는 정보주체에게 동의를 받아야 하는 법위반이 아닌지 의견을 밝혀 주십시오.

또한 하반기 중 서비스를 시작할 것이라고 밝힌 보험신용DB 역시 근거 규정이 있는지, 있다면 무엇인지 밝혀 주십시오.

개인정보보호법 제15조, 17조, 18조 및 신용정보보호법 제15조, 17조 에 따르면, 수집 목적 외 이용 및 제3자 제공을 위해서는 정보주체의 동의를 받아야 합니다.

질의 7) 올 6월 4일부터 시작한 일반신용DB 서비스는 이용 신청을 하면 비식별정보제공 심의원회를 통한 심사를 거쳐 서비스를 제공하는 것이라고 밝히고 있습니다.(2019.6.3.금융분야데이터활용 및 정보보호종합방안 세부추진방안④). 지금까지 이 프로세스에 의해 제공된 서비스는 어떤 것인지 밝혀 주십시오. 또한 심사를 하는 비식별정보제공 심의위원회의 법적 근거, 위원회 명단, 운영규정에 대해 밝혀 주십시오.

질의 8) 금융위의 6월 3일 보도자료(금융분야 데이터활용 및 정보보호 종합방안 세부추진 방안4의 7페이지)에는 미국은 2,500개 이상의 데이터 중개상이 FTC규정 등에 따라 민간 공공부문의 데이터를 수집 결합하여 수요자에게 판매한다고 예시를 들었습니다.그러나 미국은 ECOA(Equal Credit Opportunity Act),FCRA(Fair Credit Report Act) 등에 따라 신용정보의 사용을 엄격히 제한하고 있습니다. 이에 따라 사전 통지의무, 사후 통지 의무도 부과받고 있습니다. 이는 금융위의 보도자료의 내용에 빠져 있습니다. 6월 3일자 보도자료 등을 통해 발표한 미국에서는 민간・공공부문의 데이터 수집 결합 후 판매할 수 있도록 한다고 예시하였는데 어떤 내용인지 그리고 그 근거는 정확히 무엇인지 구체적인 내용을 밝혀 주시기 바랍니다. 

보도자료 https://docs.google.com/document/d/1T0hqkjsqypcjKoDQdgEN2gRTGrbnLuKyXRFy... rel="nofollow">원문보기/다운로드