신용정보 수집과 활용, 동의 없이 가능한가? 위반 시 대처법!

신용정보 수집과 활용, 동의 없이 가능한가? 위반 시 대처법!

우리 생활에 없어서는 안 될 ‘신용정보’. 대출을 받거나 신용카드를 발급받을 때, 혹은 통신 서비스를 이용할 때도 우리의 신용정보는 끊임없이 활용됩니다. 하지만 이러한 신용정보 수집과 활용, 과연 정보주체의 동의 없이도 가능한 걸까요? 그리고 만약 내 신용정보가 부당하게 이용되고 있다면, 어떻게 대처해야 할까요?

최근 개인정보 보호 및 신용정보법 강화로 정보주체의 권리가 더욱 중요해지고 있습니다. 이 글에서는 「신용정보의 이용 및 보호에 관한 법률」(이하 ‘신용정보법’)과 「개인정보 보호법」을 바탕으로 신용정보 수집·활용의 원칙과 동의 없이 가능한 경우, 그리고 위반 시 강력한 대처법까지 자세히 알아보겠습니다. 소중한 내 신용정보, 이제는 제대로 알고 지켜낼 때입니다!

1. 신용정보 수집 및 활용의 기본 원칙: “사전 동의”가 필수!

대부분의 경우, 신용정보를 수집하고 활용하기 위해서는 정보주체(당사자)의 명확한 동의가 필요합니다. 이는 개인정보 보호의 가장 기본적인 원칙 중 하나입니다.

가. 매번, 미리, 개별적으로 동의 (신용정보법 제32조 ①, ②)
신용정보제공ㆍ이용자(금융회사, 신용평가회사, 통신회사 등 개인신용정보를 제공하거나 제공받는 자)는 개인신용정보를 타인에게 제공하거나 제공받으려는 경우, 대통령령으로 정하는 방식에 따라 해당 신용정보주체로부터 매번 미리 개별적으로 동의를 받아야 합니다. 특히 신용정보 조회 시 신용평점이 하락할 수 있는 경우에는 이를 미리 고지해야 합니다.

나. 동의의 방식
동의는 다음의 방식으로 이루어져야 하며, 그 어떤 방식이든 안정성과 신뢰성이 확보되어야 합니다.
1. 서면: 가장 기본적인 방식으로, 직접 서명하는 형태입니다.
2. 전자서명: 「전자서명법」에 따른 전자서명이 있는 전자문서를 통한 동의입니다.
3. 유무선 통신: 개인비밀번호 입력 등 본인 확인 절차를 거쳐 동의하는 방식입니다.
4. 음성 녹음: 전화 등으로 동의 내용을 알리고 동의를 받는 경우, 본인 여부 및 동의 내용, 답변을 음성으로 녹음하여 증거 자료를 확보해야 합니다.
5. 그 외 대통령령으로 정하는 방식: 기술 발전에 따라 다양한 동의 방식이 인정될 수 있습니다.

다. 필수적 동의와 선택적 동의의 구분 (신용정보법 제32조 ④, ⑤)
신용정보를 제공받을 때 모든 동의가 똑같은 중요도를 가지는 것은 아닙니다. 신용정보회사 등은 동의를 받을 때 다음과 같이 구분하여 설명하고 동의를 받아야 합니다.
* 필수적 동의: 서비스 제공에 반드시 필요한 정보에 대한 동의입니다. 이 경우, 해당 정보가 서비스 제공에 어떻게 관련되는지 상세히 설명해야 합니다.
* 선택적 동의: 부가 서비스나 마케팅 활용 등 서비스 제공과 직접적인 관련은 없지만, 정보주체의 편의를 높일 수 있는 정보에 대한 동의입니다. 정보주체는 선택적 동의를 거부할 수 있으며, 동의하지 않았다는 이유로 서비스 제공을 거부당해서는 안 됩니다.

라. 동의 여부 증명 책임 (신용정보법 제32조 ⑪)
만약 동의를 받았는지 여부에 대해 다툼이 발생한다면, 해당 신용정보를 제공한 신용정보제공ㆍ이용자에게 이를 증명할 책임이 있습니다. 즉, 정보주체가 동의하지 않았다고 주장하면, 금융회사 등이 동의를 받았음을 입증해야 한다는 뜻입니다. 이는 정보주체의 권리 보호를 위한 강력한 조치입니다.

2. 예외적으로 “동의 없이” 신용정보 수집 및 활용이 가능한 경우

원칙은 사전 동의이지만, 법률은 특정 공익적 목적이나 불가피한 상황에 한해 동의 없이도 신용정보를 수집·활용할 수 있도록 예외를 두고 있습니다. 이는 「개인정보 보호법」과 「신용정보법」에 구체적으로 명시되어 있습니다.

가. 「개인정보 보호법」 상 동의 예외 (일반 개인정보에 대한 참고)
개인정보 보호법은 정보주체와의 계약 체결 및 이행을 위해 불가피하게 필요한 경우, 법률에 특별한 규정이 있거나 법률상 의무를 준수하기 위해 불가피한 경우 등에 한해 동의 없이 개인정보 처리가 가능하다고 규정합니다. (2023년 9월 개정된 개인정보 보호법에서는 계약 이행 목적의 동의 예외 범위가 확대되기도 했습니다.) 또한, 통계 작성, 학술 연구, 공익적 기록 보존 등을 위하여 가명정보를 처리하는 경우도 동의 없이 가능합니다.

나. 「신용정보법」 상 동의 예외 (신용정보법 제32조 ⑥)
신용정보는 그 민감성 때문에 개인정보 보호법보다 더욱 엄격한 기준으로 동의 예외를 규정하고 있습니다. 다음의 경우에는 동의 없이 개인신용정보를 제공할 수 있습니다.

1. 집중 관리 및 활용: 신용정보회사나 채권추심회사가 서로 정보를 집중 관리하고 활용하기 위해 제공하는 경우.
2. 위탁 처리: 신용정보의 처리를 전문 기관에 위탁하기 위해 제공하는 경우. (수탁자는 본래 목적 외 사용 금지)
3. 영업 양수도 등: 회사의 합병, 분할, 영업양도 등으로 권리·의무가 이전될 때 관련 신용정보를 제공하는 경우.
4. 특정 목적 사용: 채권 추심, 인가·허가 목적, 기업 신용도 판단, 유가증권 양수 등 대통령령으로 정하는 특정 목적으로 사용하는 자에게 제공하는 경우.
5. 법원 및 수사기관의 요구: 법원의 제출명령, 법관이 발부한 영장, 또는 긴급한 상황에서 검사/사법경찰관의 요구(36시간 이내 영장 미발부 시 정보 폐기)에 따라 제공하는 경우.
6. 조세 관련: 조세에 관한 법률에 따른 질문·검사·조사 또는 과세자료 제공을 위하여 관할 관서의 장이 요구함에 따라 제공하는 경우.
7. 국제 협약: 국제 협약 등에 따라 외국의 금융감독기구에 정보를 제공하는 경우.
8. 신용평가 및 집중기관 제공: 특정 종류의 정보를 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사 및 신용정보집중기관에 제공하거나 그로부터 제공받는 경우.
9. 가명정보 제공: 통계 작성, 연구, 공익적 기록 보존 등을 위해 가명처리된 정보를 제공하는 경우. (시장조사 등 상업적 목적의 통계작성 및 산업적 연구 포함)
10. 데이터전문기관 통한 결합: 정보집합물의 결합 목적으로 데이터전문기관에 개인신용정보를 제공하는 경우.
11. 목적과 상충되지 않는 제공: 당초 수집 목적과 상충되지 않는 목적으로 개인신용정보를 제공하는 경우. (양 목적 간 관련성, 수집 경위, 정보주체에게 미치는 영향, 보안 대책 등을 종합적으로 고려)
12. 다른 법률에 따른 제공: 다른 법률에서 신용정보 제공을 명시적으로 허용하는 경우.
13. 그 외 대통령령으로 정하는 경우.

다. 동의 예외 시 “사후 고지” 의무 (신용정보법 제32조 ⑦)
위와 같이 동의 없이 신용정보를 제공받거나 제공할 경우에도, 해당 사실을 정보주체에게 사후에 알리는 것이 원칙입니다. 다만, 불가피한 사유가 있다면 인터넷 홈페이지 게재 등 유사한 방법으로 알릴 수 있습니다. 이처럼 예외적인 상황에서도 정보주체의 알 권리는 최대한 보장되어야 합니다.

3. 신용정보법 위반 시 “강력한 대처법”과 “처벌”

만약 나의 신용정보가 동의 없이 부당하게 수집·활용되었거나, 법률을 위반하여 유출되었다면 어떻게 대처해야 할까요? 신용정보법은 정보주체를 보호하기 위한 강력한 구제 수단과 위반 기관에 대한 엄중한 처벌 조항을 두고 있습니다.

가. 손해배상 책임 (신용정보법 제43조)

1. 일반 손해배상: 신용정보회사 등이나 그로부터 신용정보를 제공받은 자가 이 법을 위반하여 신용정보주체에게 손해를 가했다면, 당연히 그 손해를 배상할 책임이 있습니다.
2. 징벌적 손해배상: 만약 신용정보 유출, 분실, 위조 등이 고의 또는 중대한 과실로 발생하여 손해가 발생했다면, 해당 기관은 실제 손해액의 3배 내에서 배상 책임을 지게 됩니다. 이 경우, 고의 또는 중대한 과실이 없음을 증명할 책임은 신용정보회사 등에 있습니다.
3. 법정손해배상: 정보주체가 실제 손해액을 일일이 증명하기 어려운 경우를 위해, 300만 원 범위에서 상당한 금액을 손해액으로 청구할 수 있는 제도입니다. 이 또한 신용정보회사 등이 고의 또는 중대한 과실이 없음을 증명하지 못하면 배상 책임이 인정됩니다.

나. 과징금 부과 (신용정보법 제42조의2)
금융위원회는 신용정보회사 등이 개인신용정보를 분실·도난·누출·위조·변조 또는 훼손한 경우 등 특정 중대 위반행위에 대해 최대 50억 원 이하의 과징금을 부과할 수 있습니다. 이는 기업의 막대한 과실에 대한 강력한 행정적 제재입니다.

다. 형사처벌 (신용정보법 관련 조항)
신용정보법 위반 행위는 그 경중에 따라 형사처벌의 대상이 됩니다. 예를 들어, 개인신용정보를 목적 외로 이용하거나 동의 없이 제3자에게 제공한 경우 등은 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처해질 수 있습니다. 이는 개인의 신용정보를 얼마나 중요하게 다뤄야 하는지 보여주는 강력한 법적 메시지입니다.

라. 신용정보주체의 적극적인 대처법

1. 정정·삭제·열람 요구: 내 신용정보가 사실과 다르거나, 이미 목적을 달성한 경우, 또는 동의 없이 수집되었다고 판단되면 해당 신용정보회사 또는 신용정보제공·이용자에게 정확한 정보로 정정하거나 삭제, 또는 열람을 요구할 수 있습니다. (신용정보법 제38조)
2. 금융위원회·한국인터넷진흥원 신고: 신용정보법 위반이 의심되거나 피해를 입었다면, 금융감독원(금융위원회) 또는 한국인터넷진흥원(KISA) 개인정보침해신고센터에 신고하여 구제 절차를 밟을 수 있습니다. 전문가의 도움을 받아 법적 검토 및 행정처분을 유도할 수 있습니다.
3. 민사상 손해배상 청구: 실제 손해가 발생했고 이를 입증할 수 있다면, 위에서 설명한 징벌적 손해배상이나 법정손해배상 제도를 활용하여 민사 소송을 통해 금전적 피해를 보상받을 수 있습니다.
4. 권리 행사 요구에 대한 설명 요구: 신용정보회사 등은 정보주체가 자신의 권리 행사(정정·삭제·열람 등)를 요구할 경우, 지체 없이 필요한 조치를 하고 그 결과를 알려야 합니다. 조치를 취하기 어려운 경우에는 그 사유와 이의를 제기할 수 있는 방법을 정보주체에게 설명해야 합니다.

결론

신용정보는 현대 사회에서 개인의 경제생활에 지대한 영향을 미치는 매우 중요한 자산입니다. 「신용정보의 이용 및 보호에 관한 법률」은 이러한 개인신용정보를 보호하기 위한 강력한 안전장치를 마련하고 있으며, 사전 동의 원칙과 예외적 상황에서의 엄격한 제한을 통해 정보주체의 권리를 보장하고 있습니다.

신용정보회사 등은 법률에 명시된 의무를 철저히 준수하여 정보주체의 신뢰를 얻어야 하며, 정보주체인 우리는 자신의 신용정보가 어떻게 활용되는지 관심을 가지고, 만약 부당한 침해가 발생했을 때는 주저하지 않고 적극적으로 권리를 행사해야 합니다. 내 신용정보를 지키는 것은 곧 나 자신을 지키는 일임을 명심하시기 바랍니다.

핵심 키워드: 신용정보, 개인신용정보, 동의, 수집, 활용, 신용정보법, 개인정보 보호법, 손해배상, 징벌적 손해배상, 법정손해배상, 과징금, 형사처벌, 정보주체, 대처법, 금융위원회, 한국인터넷진흥원.