신용정보법상 개인신용정보 보관 및 파기

개인신용정보의 보유기간 및 파기에 관한 사항

* 관련 법

 - 신용정보법 제20조의2

 - 신용정보법 시행령 제17조의2

 - 신용정보업감독규정 제22조의3

제20조의2(개인신용정보의 보유기간 등) 

① 신용정보제공·이용자는 금융거래 등 상거래관계가 종료된 날부터 금융위원회가 정하여 고시하는 기한까지 해당 신용정보주체의 개인신용정보가 안전하게 보호될 수 있도록 접근권한을 강화하는 등 대통령령으로 정하는 바에 따라 관리하여야 한다.

제22조의3(개인신용정보의 보유기간 등) ① 법 제20조의2제1항에 따른 "금융위원회가 정하여 고시하는 기한"이란 3개월을 말한다.

영 제17조의2(개인신용정보의 관리방법 등) ① 신용정보제공·이용자는 법 제20조의2제1항에 따라 다음 각 호의 구분에 따른 방법으로 금융거래 등 상거래관계가 종료된 신용정보주체의 개인신용정보를 관리하여야 한다.

1. 금융거래 등 상거래관계의 설정 및 유지 등에 필수적인 개인신용정보의 경우: 다음 각 목의 방법

가. 상거래관계가 종료되지 아니한 다른 신용정보주체의 정보와 별도로 분리하는 방법

나. 금융위원회가 정하여 고시하는 절차에 따라 신용정보제공·이용자의 임직원 중에서 해당 개인신용정보에 접근할 수 있는 사람을 지정하는 방법

다. 그 밖에 해당 신용정보주체의 개인신용정보가 안전하게 보호될 수 있는 방법으로서 금융위원회가 정하여 고시하는 방법

2. 제1호 외의 개인신용정보의 경우: 그 정보를 모두 삭제하는 방법

제22조의3(개인신용정보의 보유기간 등) ② 신용정보제공·이용자가 영 제17조의2제1항제1호나목에 따라 접근할 수 있는 임직원을 지정할 때에는 접근권한 관리책임자를 두어야 한다.

제22조의3(개인신용정보의 보유기간 등) ③ 영 제17조의2제1항제1호다목에 따라 신용정보제공·이용자는 개인신용정보가 안전하게 보호될 수 있도록 제2항에 따라 접근권한을 부여받은 자가 해당 개인신용정보를 이용하려는 경우에는 접근권한 관리책임자의 사전 승인을 얻어 그 개인신용정보를 이용하게 하고, 그 이용 내역을 3년간 보관하여야 한다.

② 신용정보제공·이용자는 금융거래 등 상거래관계가 종료된 날부터 최장 5년 이내(해당 기간 이전에 정보 수집·제공 등의 목적이 달성된 경우에는 그 목적이 달성된 날부터 3개월 이내)에 해당 신용정보주체의 개인신용정보를 관리대상에서 삭제하여야 한다. 다만, 다음 각 호의 경우에는 그러하지 아니하다.

1. 다른 법률에 따른 의무를 이행하기 위하여 불가피한 경우

2. 개인의 급박한 생명·신체·재산의 이익을 위하여 필요하다고 인정되는 경우

3. 그 밖에 예금·보험금의 지급, 보험사기자의 재가입 방지를 위한 경우 등 개인신용정보를 보존할 필요가 있는 경우로서 대통령령으로 정하는 경우

영 제17조의2(개인신용정보의 관리방법 등) ③ 법 제20조의2제2항제3호에서 "대통령령으로 정하는 경우"란 다음 각 호의 어느 하나에 해당하는 경우를 말한다.  <개정 2016. 9. 22.>

1. 휴면예금(「서민의 금융생활 지원에 관한 법률」 제2조제3호에 따른 휴면예금을 말한다)의 지급을 위하여 필요한 경우

2. 대출사기, 보험사기, 거짓이나 부정한 방법으로 알아낸 타인의 신용카드 정보를 이용한 거래, 그 밖에 건전한 신용질서를 저해하는 행위를 방지하기 위하여 그 행위와 관련된 신용정보주체의 개인신용정보가 필요한 경우

3. 위험관리체제의 구축과 법 제4조제1항제1호나목에 따른 신용평가모형 및 위험관리모형의 개발을 위하여 필요한 경우. 이 경우 다른 법률에 따른 의무를 이행하기 위하여 불가피한 경우 등을 제외하고 개인인 신용정보주체를 식별할 수 없도록 조치하여야 한다.

4. 신용정보제공·이용자 또는 제3자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 신용정보주체의 권리보다 우선하는 경우. 이 경우 신용정보제공·이용자 또는 제3자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우로 한정한다.

5. 신용정보주체가 개인신용정보(제15조제4항 각 호의 개인신용정보는 제외한다)의 삭제 전에 그 삭제를 원하지 아니한다는 의사를 명백히 표시한 경우

③ 신용정보제공·이용자가 제2항 단서에 따라 개인신용정보를 삭제하지 아니하고 보존하는 경우에는 현재 거래 중인 신용정보주체의 개인신용정보와 분리하는 등 대통령령으로 정하는 바에 따라 관리하여야 한다.

영 제17조의2(개인신용정보의 관리방법 등) ⑦ 법 제20조의2제3항에 따라 신용정보제공·이용자가 개인신용정보를 관리하는 경우에는 제1항제1호 각 목의 방법에 따른다.

④ 신용정보제공·이용자가 제3항에 따라 분리하여 보존하는 개인신용정보를 활용하는 경우에는 신용정보주체에게 통지하여야 한다.

⑤ 제1항 및 제2항에 따른 개인신용정보의 종류, 관리기간, 삭제의 방법·절차 및 금융거래 등 상거래관계가 종료된 날의 기준 등은 대통령령으로 정한다.

※ 개인신용정보의 종류(필수적 정보 구분)?

영 제17조의2(개인신용정보의 관리방법 등) ② 신용정보제공·이용자는 금융거래 등 상거래관계가 종료된 경우 제1항 각 호의 구분에 따른 필수적인 개인신용정보와 그 밖의 개인신용정보로 구분한 때에는 다음 각 호의 사항 등을 고려하여야 한다.

1. 해당 개인신용정보가 없었다면 그 종료된 상거래관계가 설정·유지되지 아니하였을 것인지 여부

2. 해당 개인신용정보가 그 종료된 상거래관계에 따라 신용정보주체에게 제공된 재화 또는 서비스(신용정보주체가 그 신용정보제공·이용자에게 신청한 상거래관계에서 제공하기로 한 재화 또는 서비스를 그 신용정보제공·이용자와 별도의 계약 또는 약정 등을 체결한 제3자가 신용정보주체에게 제공한 경우를 포함한다)와 직접적으로 관련되어 있는지 여부

3. 해당 개인신용정보를 삭제하는 경우 법 또는 다른 법령에 따른 의무를 이행할 수 없는지 여부

※ 상거래관계가 종료된 날?

영 제17조의2(개인신용정보의 관리방법 등) ④ 법 제20조의2제1항 및 제2항에 따른 금융거래 등 상거래관계가 종료된 날은 신용정보제공·이용자와 신용정보주체 간의 상거래관계가 관계 법령, 약관 또는 합의 등에 따라 계약기간의 만료, 해지권·해제권·취소권의 행사, 소멸시효의 완성, 변제 등으로 인한 채권의 소멸, 그 밖의 사유로 종료된 날로 한다.

⑤ 신용정보제공·이용자는 법 제15조제2항 각 호 외의 부분 본문 및 법 제32조제2항 전단에 따른 동의를 받을 때 제4항에 따른 금융거래 등 상거래관계가 종료된 날을 신용정보주체에게 알려야 한다.

※ 삭제 방법·절차

영 제17조의2(개인신용정보의 관리방법 등) ⑥ 신용정보제공·이용자는 제1항제2호 및 법 제20조의2제2항 각 호 외의 부분 본문에 따라 신용정보주체의 개인신용정보를 삭제하는 경우 그 삭제된 개인신용정보가 복구 또는 재생되지 아니하도록 조치하여야 한다.