농협, 1900만건 '개인신용정보' 부실 관리

금감원, 과태료 3000만원 부과 제재…관련 임원 '주의' 조치
상거래관계 종료된 정보 '분리 보관 의무'도 위반
개인신용정보 '익명처리 조치기록' 보존 의무도 미이행

농협중앙회 전경

농업협동조합중앙회(농협)가 보존기간이 경과한 1955만건이 넘는 개인신용정보를 삭제하지 않고 보관해 온 것으로 드러났다. 또한 상거래관계가 종료된 1964만건이 넘는 고객의 개인신용정보를 상거래관계가 종료되지 않은 고객정보와 분리해 보관하지 않아 관련 규정을 위반한 것으로 확인됐다.

10일 금융감독원에 따르면 중소금융검사2국은 농협중앙회의 이 같은 규정 위반 사실을 검사과정에서 적발했다. 금감원은 이 같은 검사 내용을 근거로 농협에 과태료 3000만원을 부과하고, 관련 임원 1명에 대해서는 '주의' 조치를 하는 한편, 추가로 2명의 임원에 대해서도 주의에 상당하는 '퇴직자위법·부당사항' 조치를 내렸다.

검사 결과 농협은 상거래 고객의 개인신용정보를 현저하게 부실하게 관리해 온 것으로 나타났다. 현행 신용정보법은 신용정보제공·이용자가 금융거래 등 상거래관계가 종료된 날부터 5년 이내에 해당 개인신용정보를 삭제하도록 하고 있다. 예외적으로 상법에 따라 특정한 의무를 이행해야 하는 경우에만 10년 동안 보존한 후 삭제하도록 명시했다.

그러나 농협은 2018년 11월24일부터 2023년 4월28일까지 기간 중 상거래관계가 종료된 날부터 5년이 경과하거나 상법에 따른 의무를 이행하기 위해 필요한 보존기간 10년이 경과했음에도 1955만6276건에 달하는 개인신용정보를 삭제하지 않았다.

상거래관계가 종료된 대량의 개인신용정보를 별도로 분리 보관해야 하는 법규도 위반했다. 현행 신용정보법 제20조에 따르면 신용정보제공·이용자는 금융거래 등 상거래관계가 종료된 날부터 법령이 정하는 기한까지 해당 개인신용정보가 안전하게 보호될 수 있도록 대통령령이 정하는 규정에 따라 관리해야 한다. 대통령령은 상거래관계의 설정과 유지에 필수적인 개인신용정보의 경우 상거래관계가 종료되지 않은 다른 정보와 별도로 분리하는 방법으로 관리하도록 하고 있다.

금감원 검사결과 농협은 2018년 11월24일부터 2023년 4월28일까지 상거래 관계 설정·유지에 필요한 개인신용정보 1964만6188건을 상거래관계가 종료되지 않은 다른 고객의 정보와 별도로 분리해 보관하지 않았던 것으로 확인됐다.

서울 여의도 금융감독원 건물. 사진=허영한 기자 younghan@

여기에 농협은 개인신용정보의 익명처리 조치기록에 대한 보존 의무도 이행하지 않았다. 신용정보법 제40조는 개인신용정보를 취급하는 기관이 해당 정보를 익명처리한 경우 익명 처리한 날짜를 포함해 정보의 항목, 사유와 근거 등 조치기록을 3년 동안 보존하도록 하고 있다.

그럼에도 농협은 2022년 4월21일부터 2023년 3월28일까지 고객번호가 포함된 조합 고객의 신용사업·경제사업 이용실적을 조합별·고객별로 통합 후 고객번호를 삭제하고 집계하는 방식으로 익명처리 하고, 익명처리 정보를 분석한 자료를 빅데이터 분석 플랫폼에서 계열회사 두 곳에 조회하도록 하면서도 해당 정보의 익명처리 기록을 작성하고 보존하지 않았던 것으로 확인됐다.

한편 금감원은 이 같은 법률·시행령 위반 사실을 근거로 기관제재와 임원제재에 이어 관련 직원에 대해서도 1건의 '자율처리필요사항' 제재조치를 내렸다.