금융지주회사 계열사간 ‘고객정보 공유’ 제동

신용정보 관리 어떻게 바뀌나
정보공유 원칙적으로 금지
꼭 필요할 땐 한달 이내 삭제
정보관리 업무 재위탁도 금지

신용정보법 개정안 통과안돼
관리업무 통합기구 설치 무산

앞으로 금융지주회사의 계열사 간 정보 공유가 제한적으로만 허용되고, 활용한 정보를 한달 안에 삭제해야 한다.

국회 정무위원회는 1일 이런 내용을 포함한 전자금융거래법, 금융지주회사법 등의 개정안을 통과시켰다. 이번 개정안은 지난 1월 카드사 고객정보 유출 사태 이후 수개월째 여야와 금융당국이 공방을 벌여온 사안이다. 그동안 무분별하게 수집되고 광범위하게 유통되며 허술하게 관리돼온 개인 신용정보를 안전하게 보호한다는 취지로 마련된 대책들이다. 그러나 두 법안과 함께 하루 전날 법안심사소위를 나란히 통과했던 신용정보이용·보호법(신용정보법)은 이날 전체회의 문턱을 넘지 못했다.

■ 지주 계열사간 정보공유 제동 현행 금융지주회사법은 고객 동의가 없어도 여러 계열사·자회사와 개인정보를 공유할 수 있다. 카드사 정보 유출 때도 국민은행 등 금융지주 계열사의 고객 정보까지 빠져나가면서 파장이 일었다. 예를 들어 카드사 한 군데서만 고객 정보가 뚫려도 은행 고객들의 정보까지 고스란히 털리는 식이다.

이런 문제를 개선하기 위해 금융지주회사 내 계열사 간 정보 공유를 원칙적으로 금지하기로 했다. 다만 내부 경영관리에 필요한 경우는 시행령으로 정한 한도 안에서 허용되며, 한달 안에 삭제하도록 했다. 케이비(KB)·신한·우리·농협 등 금융지주 13곳에 적용된다. 하지만 이날 경제정의실천시민연합과 소비자시민모임 등 시민단체는 개정안이 한발 더 나아가야 한다는 입장을 드러냈다. “계열사 간 정보공유를 제한하는 데 그칠 것이 아니라 완전히 금지할 수 있도록 해야 한다”는 것이다.

■ 정보관리 업무 재위탁 금지 고객 정보 관리 업무를 외부업체에 맡길 때 재위탁하는 행위도 금지된다. 카드사 정보유출 사고가 터졌을 때 케이비와 농협, 롯데카드 모두 정보관리 업무를 위탁하고 있었던 것으로 나타났다. 1차 위탁은 허용하더라도 2차, 3차 위탁 등은 허용하지 않겠다는 게 개정안의 취지다. 여러 업체를 거칠수록 관리가 어렵고 정보유출 사고 위험을 높일 수 있다는 우려에서다. 다만 금융위가 허용하는 경우에만 예외적으로 재위탁할 수 있도록 했다.

금융위원회의 소관업무에 배상명령에 대한 사항을 추가하는 내용을 담은 금융위원회 설치법 개정안도 통과됐다. 배상명령은 피해자가 소송을 내지 않더라도 금융당국이 금융회사에 배상을 명령하도록 하는 제도다. 이번 개정안은 금융위에 이런 배상명령 권한을 부여하는 법적 근거를 마련했다는 의미가 있다. 애초 금융소비자 보호 업무를 맡게 될 금융소비자원에 배상명령의 실질적 권한을 부여하는 법안이 함께 제출됐다. 하지만 금소원 설치 방안에 대한 논의 자체가 무산되면서 배상명령도 제도 도입이 반쪽만 이루어진 모양새다.

■ 신용정보법은 통과 불발 이날 정무위는 금융회사가 고객 정보를 유출해 피해를 입혔을 때 손해액의 3배 이내에서 배상을 해주도록 한 ‘징벌적 손해배상제도’ 도입 방안에 대해서는 좀더 논의를 이어가기로 했다. 이 때문에 신용정보법 개정안에 담길 예정이었던 제도개선 내용들이 통째로 통과되지 못했다.

앞서 지난 30일 정무위 법안심사소위는 은행연합회를 비롯해 생명보험협회·손해보험협회·여신전문금융협회·금융투자협회 등으로 흩어져 있던 신용정보 관리 업무를 통합하는 기구를 설치하는 데 합의했다. 신용정보 관리 기관을 종전보다 공공성이 강한 기구로 일원화해야 한다는 취지다. 개별 신용정보회사에 대한 정보 제공도 까다로운 신청 절차를 거쳐야만 허용하도록 했다.

이런 방안이 마련된 것은 민간회사의 이익을 대변하는 협회 등이 신용정보를 관리하면서 부작용이 많았기 때문이다. 한 예로, 보험개발원은 2009~2012년 423만건에 이르는 제휴업체 회원들의 보험계약 정보를 고객 동의도 없이 보험사에 넘겼다. 넘어간 정보는 보험사의 전화영업 등에 활용됐다. 생명보험협회와 손해보험협회도 각각 금융위원회의 승인을 받지 않은 고객 정보를 관리·활용해 도마에 오른 바 있다.

황보연 기자 [e-mail]