[별표 4의2]  <개정 2021.9.30.>

신용정보 관리기준(제22조제1항 관련)

구 분			관리기준
1. 신용정보처리기준	1.1. 개인식별정보의 처리에 대한 동의	1.1.1. 동의 형태	‣ 개인신용정보 처리에 대한 동의와 별도 동의
		1.1.2. 동의 사항	‣ 개인식별정보의 수집ㆍ이용 목적 ‣ 수집하려는 개인식별정보의 항목 ‣ 수집된 개인식별정보의 보유 및 이용 기간 ‣ 동의 사항 변경 시 신용정보주체에게 고지 후 동의 획득 ‣ 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용
	1.2. 개인신용정보의 수집ㆍ이용에 대한 동의	1.2.1. (공통) 동의 및 고지사항	‣ 개인신용정보의 수집ㆍ이용 목적 ‣ 수집하려는 개인신용정보의 항목 ‣ 수집된 개인신용정보의 보유ㆍ이용 기간 ‣ 동의와 관련하여 녹취 시에는 녹취사실 고지 ‣ 영 제17조의2제5항에 따른 금융거래 등 상거래관계가 종료된 날에 관한 사항 ‣ 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용
	1.3. 개인신용정보의 제공에 대한 동의	1.3.1. (공통) 동의 및 고지사항	‣ 개인신용정보를 제공받는 자 ‣ 개인신용정보를 제공받는 자의 이용 목적 ‣ 제공하는 개인신용정보의 내용 ‣ 개인신용정보를 제공받는 자의 정보 보유 기간 및 이용 기간 ‣ 동의와 관련하여 녹취 시에는 녹취사실 사전고지 ‣ 영 제17조의2제5항에 따른 금융거래 등 상거래관계가 종료된 날에 관한 사항 ‣ 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용
		1.3.2. 필수적 제3자 제공에 대한 고지사항	‣ 개인신용정보의 필수적 제3자 제공과 금융거래 등 상거래 계약 체결 및 이행과의 관련성
		1.3.3. 선택적 제3자 제공에 대한 고지사항	‣ 개인신용정보의 선택적 제3자 제공은 금융거래 등 상거래 계약 체결에 필수적이지 않다는 사실 ‣ 개인신용정보의 선택적 제3자 제공 시의 혜택
	1.4. 동의를 받는 방법	1.4.1. 동의서 양식	‣ 필수적 동의사항과 선택적 동의사항을 구분하여 동의를 받는 경우 “필수사항”과 “선택사항”을 별도 페이지로 구분하거나 각각의 동의서 양식을 구분하는 등 신용정보주체가 각각의 동의사항을 쉽게 구분하여 이해할 수 있도록 조치 ‣ 개인신용정보를 제공받는 제3자가 복수인 경우 사업내용, 연관된 부가서비스 등을 기준으로 개별 또는 다수 그룹으로 구분
	1.5. 신용정보의 제공	1.5.1. 신용정보의 제공계약	‣ 신용정보의 보안관리 대책에 대하여는 별표 4를 적용 ‣ 신용정보의 제공에 대한 신용정보의 기술적ㆍ물리적ㆍ관리적 보안조치에 관한 사항에 대하여는 별표 3을 적용
		1.5.2. 법 제32조제6항에 따른 개인신용정보의 제공	‣ 법 제32조제7항에 따라 개인신용정보 제공 사실 통지
		1.5.3. 신용정보를 제공받는 자의 확인	‣ 개인신용정보를 제공받는 자의 신원과 이용 목적을 확인 ‣ 1.5.1.에 따른 신용정보의 이용ㆍ보관 기간 및 동 기간 경과 후 신용정보의 폐기 또는 반납에 관한 사항의 결과 확인
	1.6. 신용정보의 삭제	1.6.1. 파기의 방법	‣ 삭제 후 복구 및 재생되지 않는 방법으로 조치
	1.7. 개인신용정보의 보유기간 등 (법 제20조의2)	1.7.1. 선택적 신용정보 삭제	‣ 법 제20조의2제1항에 따른 금융거래 등 상거래관계가 종료된 날부터 3개월 내에 선택적 신용정보 삭제
		1.7.2. 필수적 신용정보 분리 보관 및 접근제한	‣ 법 제20조의2제1항에 따라 필수적 신용정보(이하 “필수적 신용정보”)를 관리하는 경우 현재 거래 중인 고객 정보와 분리 보관 ‣ 필수적 신용정보를 관리하는 관리책임자 지정 ‣ 관리책임자로부터 권한을 부여받은 개인신용정보취급자에 한하여 필수적 신용정보 접근 가능 ‣ 필수적 신용정보의 취급 권한부여 및 이용 내역 기록보존 (최소 3년)
		1.7.3 신용정보 삭제	‣ 법 제20조의2제2항에 따라 금융거래 등 상거래관계가 종료된 날부터 최장 5년내에 신용정보 삭제 ‣ 개인신용정보 삭제의 시행 및 확인은 신용정보관리ㆍ보호인의 책임 하에 수행 ‣ 신용정보관리ㆍ보호인은 개인신용정보 삭제 후 파기 결과를 확인 ‣ 신용정보제공ㆍ이용자는 개인신용정보의 삭제에 관한 사항 기록ㆍ관리
		1.7.4 신용정보의 보관	‣ 1.7.2의 필수적 신용정보 취급자 제한을 준용
	1.8. 신용정보 처리의 위탁	1.8.1. 신용정보 보호 조치의무	‣ 1.5.1. 신용정보의 제공계약 준용
		1.8.2. 법 제17조제5항에 따른 수탁자의 교육의 내용	‣ 신용정보 보호 관련 법령 및 제도의 내용 ‣ 신용정보의 보호 및 안전한 처리에 관한 사항
2. 신용정보관리ㆍ 보호인	2.1. 신용정보 관리ㆍ보호인	2.1.1. 신용정보관리ㆍ보호인의 업무	‣ 법 제20조제4항에 따른 업무 ‣ 별표 3의 관리적 보안대책에서 정하는 업무 ‣ 정보유출 대응매뉴얼(contingency plan) 마련 ‣ 관리적 보안대책 시행결과에 따른 시정ㆍ개선에 필요한 조치
		2.1.2. 신용정보관리ㆍ보호인의 공개	‣ 신용정보관리ㆍ보호인을 지정하거나 변경하는 경우 신용정보관리ㆍ보호인의 지정 및 변경 사실, 성명과 부서의 명칭, 전화번호 등 연락처를 홈페이지 등을 통하여 공개 ‣ 신용정보관리ㆍ보호인을 공개하는 경우 신용정보 보호와 관련한 고충처리 및 상담을 실제로 처리할 수 있는 연락처(담당자의 성명, 부서의 명칭, 전화번호)를 함께 기재
3. 신용정보의 누설 발생시 조치	3.1. 개인신용정보의 누설의 예시	3.1.1. 신용정보회사등의 신용정보에 대한 통제 상실 또는 권한 없는 자의 접근	※ 신용정보회사등이 개인신용정보에 대하여 통제를 상실하거나 권한 없는 자의 접근을 허용한 경우로서 아래의 예시 및 이와 유사한 경우 등에는 개인신용정보 누설로 볼 수 있음 ‣ 개인신용정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우 ‣ 개인신용정보가 저장된 데이터베이스 또는 개인신용정보처리시스템에 권한 없는 자가 접근한 경우 ‣ 신용정보회사등의 고의 또는 과실로 개인신용정보가 포함된 파일 또는 종이문서, 기타 저장매체가 권한이 없는 자에게 잘못 전달된 경우
	3.2. 신용정보주체에 대한 누설의 통지	3.2.1. 통지 사항	‣ 누설된 신용정보의 항목 ‣ 누설된 시점과 그 경위 ‣ 누설로 인하여 발생할 수 있는 피해를 최소화하기 위하여 신용정보주체가 할 수 있는 방법 등에 관한 정보 ‣ 신용정보회사등의 대응조치 및 피해 구제절차 ‣ 신용정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
		3.2.2. 통지 시기 및 방법 등	‣ 신용정보회사등은 누설 발생 확인 시 3.2.1.의 사항을 서면, 전화, 전자우편 등의 방법으로 해당 신용정보주체에게 통지 ‣ 누설된 신용정보의 신용정보주체가 1만 명 이상인 경우에는 영 제34조의4제2항 각 호에 따른 추가적인 공개 조치 ‣ 3.2.1.의 사항 통지 후 미확인사실에 대하여는 확인즉시 신용정보주체에게 통지
	3.3. 누설 신고	3.3.1. 신고 방법	‣ 서면, 전자우편, 모사전송 또는 이와 유사한 방법을 통하여 금융위원회 또는 금융감독원장에게 신용정보 누설신고서를 제출 ‣ 특별한 사정이 있는 경우에는 우선 금융위원회 또는 금융감독원에 누설사실을 알리고 추가 유출방지를 위한 조치를 취한 후 신용정보 누설신고서를 제출
4. 신용정보주체의 권리보장	4.1. 신용정보 이용 및 제공 사실의 조회 (법 제35조)	4.1.1. 절차 보장	‣ 신용정보회사등은 신용정보주체가 영 제30조제3항의 방법으로 본인확인 후 개인신용정보 이용 및 제공 사실을 조회할 수 있는 개인신용정보조회시스템을 홈페이지 등을 통하여 제공 ‣ 신용정보주체가 개인신용정보조회시스템 등에 대한 접근을 용이하게 할 수 있도록 편의조치
		4.1.2. 신용정보 이용 및 제공 사실 통지 청구권 보장	‣ 법 제35조제2항에 따른 통지의 간격은 연1회 이상 가능 하도록 통지 시스템 구축 ‣ 영 제30조제8항에 따른 수수료는 필요한 인적ㆍ물적 비용을 고려하여 적정한 수준에서 채택
	4.2. 신용정보의 열람 및 정정청구권 (법 제38조)	4.2.1. 절차 보장	‣ 신용정보주체가 영 제30조제3항의 방법으로 본인확인 후 본인 신용정보를 열람ㆍ정정 청구 가능한 시스템 또는 절차 마련 ‣ 개인신용평가회사는 법 제39조 및 영 제34조에 따라 개인신용정보주체에게 본인정보에 대한 무료 열람권 제공 ‣ 신용정보의 정정청구 접수 후 7일 이내에 신용정보주체에 처리결과 및 법 제38조제5항에 따른 시정요청 절차 고지
		4.2.2. 사실 조사	‣ 정정청구를 접수받은 경우 지체 없이 사실 조사에 착수 ‣ 정정 사유 확인 즉시 해당 신용정보의 제공ㆍ이용 중단 ‣ 정정 후 최근 6개월 이내에 제공받은 자와 해당 신용정보주체가 요구하는 자에게 정정 사실 고지
	4.3. 상거래 거절 근거 신용정보의 고지 (법 제36조)	4.3.1. 절차 보장	‣ 본인확인 방법 및 신용정보주체의 요구에 따른 처리결과 고지의 업무처리방법 마련
		4.3.2. 고지 사항	‣ 영 제31조제1항 각 호에서 정하는 신용정보 중 신용정보주체와의 상거래관계 설정의 거절이나 중지의 근거가 된 신용정보 ‣ 해당 신용정보를 제공한 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사(기업정보조회업무만 하는 기업신용조회회사는 제외한다) 및 신용정보집중기관의 명칭, 주소, 연락처 ‣ 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사 및 신용정보집중기관이 상거래관계의 설정을 거절하거나 중지하도록 결정한 것이 아니라는 사실 ‣ 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사 또는 신용정보집중기관으로부터 제공받은 정보 외에 다른 정보를 함께 사용하였을 경우에는 그 사실 및 그 다른 정보
	4.4. 개인신용정보 제공ㆍ이용 의 철회권 (법 제37조)	4.4.1. 절차 보장	‣ 신용정보제공ㆍ이용자는 개인신용정보 제공ㆍ이용 동의 철회 청구 시스템 또는 절차 마련 ‣ 1.3.3.의 고지사항에 법 제37조제1항ㆍ제2항 및 영 제32조제1항 및 제2항에 따른 개인신용정보 제공ㆍ이용 동의 철회권 및 영업 목적 연락중지 청구권 행사방법 및 담당자 연락처 등을 포함
		4.4.2. 고지 사항 등	‣ 철회청구를 받은 날부터 1개월 내에 해당 제3자에 대한 신용정보의 신규 제공중단 및 신용정보의 영업 목적 연락 중지 조치 ‣ 제공동의 철회권 행사로 인하여 중단되는 서비스가 있는 경우 이에 대한 설명 의무
	4.5. 개인신용정보의 삭제 요구권 (법 제38조의3)	4.5.1. 절차 보장	‣ 개인신용정보주체가 본인 개인신용정보의 삭제를 요구할 수 있는 절차 마련
		4.5.2. 고지 사항 등	‣ 개인신용정보 삭제로 인하여 개인신용정보주체에게 불이익 발생할 경우 이에 대한 충분한 사전 설명 후 삭제 조치 ‣ 삭제 후 그 결과를 개인신용정보주체에게 통지 ‣ 삭제청구에 불구하고 개인신용정보를 법 제38조의3제1항 단서에 의하여 보관하는 경우에는 보관사유의 근거 및 안전한 보관에 관한 사항을 개인신용정보주체에 통지 ‣ 개인신용정보 삭제청구 처리 대장(최소 3년이상 보존)
	4.6. 개인신용정보의 전송요구권 (법 제33조의2)	4.6.1. 절차 보장	‣ 개인신용정보주체가 본인의 개인신용정보에 대해 전송요구권(정기적인 전송요구 포함)을 행사 및 철회ㆍ중단을 할 수 있는 절차 마련
		4.6.2. 고지 사항 등	‣ 법 제33조의2제8항에 따라 전송요구를 거절하거나 전송을 정지ㆍ중단하는 경우, 그 근거가 되는 사유
		4.6.3. 정보주체 보호	‣ 다음의 행위를 금지하기 위한 조치 - 정보주체로부터 수집ㆍ이용동의를 받지 아니하였음에도 불구하고 자신에게 전송요구를 하도록 권유하거나 유도하는 행위 제3자에게 제공하여 판매할 목적으로 자신에게 전송요구를 하도록 권유하거나 유도하는 행위 개인인 신용정보주체에게 개인신용정보의 전송요구를 강요하거나 부당하게 유도하는 행위 자신에 대해서만 전송요구를 하도록 강요하거나 부당하게 유도하는 행위 제3자에게 전송요구를 하지 않도록 강요ㆍ요구하거나 제3자에 대한 전송요구를 철회ㆍ변경하도록 강요하는 행위 정보를 전송받는 자가 자신에게 전송요구를 철회ㆍ변경한다는 이유로 정당한 이유없이 수수료, 위약금 등 금전적, 경제적 대가를 요구하는 행위
5. 신용정보활용 체제의 공시 (법 제31조)	5.1. 공시 방법	5.1.1. 신용정보활용체제의 변경	‣ 신용정보활용체제를 변경하는 경우에는 변경 및 시행의 시기, 변경된 내용을 지속적으로 공개 ‣ 변경된 내용은 정보주체가 쉽게 확인할 수 있도록 변경 전ㆍ후를 비교하여 공개
	5.2. 작성기준	5.2.1. 필수적 기재사항	‣ 관리하는 신용정보의 종류 및 이용 목적 ‣ 신용정보를 제3자에게 제공하는 경우 제공하는 신용정보의 종류, 제공 대상, 제공받는 자의 이용 목적 ‣ 신용정보의 보유 기간 및 이용 기간이 있는 경우 해당 기간, 신용정보 파기의 절차 및 방법 ‣ 법 제17조에 따라 신용정보의 처리를 위탁하는 경우 그 업무의 내용 및 수탁자 ‣ 신용정보주체의 권리와 그 행사방법 ‣ 법 제20조제3항에 따른 신용정보관리ㆍ보호인 또는 신용정보 관리ㆍ보호 관련 고충을 처리하는 사람의 성명, 부서 및 연락처 ‣ 개인신용평점, 기업신용등급 또는 기술신용정보 산정에 반영되는 신용정보의 종류, 반영비중 및 반영기간(개인신용평가회사, 개인사업자신용평가회사 및 기업신용조회회사만 해당)
		5.2.2. 임의적 기재사항	‣ 신용정보주체의 권익침해에 대한 구제방법 ‣ 신용정보의 열람청구를 접수ㆍ처리하는 부서
6. 신용정보업무(신용조사업무는 제외한다)	6.1. 정보의 수집	6.1.1. 수집의 제한	‣ 법에서 수집을 금지하는 정보가 수집되지 않도록 수집항목을 구성ㆍ관리 ‣ 수집항목의 적정성을 정기적으로 점검하고 필요시 수집항목을 조정
		6.1.2. 수집절차ㆍ방법의 표준화	‣ 표준화된 정보수집을 위한 정보수집 기준 마련 ‣ 정보 수집시 수집정보의 정확성을 확인할 수 있는 방법 및 절차 마련
		6.1.3. 수집정보의 검증 및 정정	‣ 수집된 정보의 정확성을 검증하는 방법ㆍ기준 및 업무처리절차 마련 ‣ 부정확하거나 사실과 다른 것으로 확인된 정보의 정정ㆍ삭제 기준 및 업무처리절차 마련 ‣ 검증업무가 수집업무와 독립적으로 처리될 수 있는 업무처리절차 및 기준 마련
	6.2. 개인신용평점, 기업신용등급 또는 기술신용정보의 산출 및 제공	6.2.1. 신용등급의 산출	‣ 기업평가시 평가대상 기업의 규모 및 업종에 따른 평가기준 마련 ‣ 등급산출의 적정성 심의 기준, 절차 마련(등급평정위원회 등) ‣ 심의시 독립적인 의사결정 보장을 위한 업무처리절차 및 기준 마련
		6.2.2. 모형검증 등 사후관리	‣ 연 1회 이상 평가모형의 변별력 검증을 시행하고 관련 기록을 보존(최소 3년) ‣ 평가업무와 독립적으로 검증 업무가 처리될 수 있는 업무처리절차 및 기준 마련 ‣ 모형검증 결과를 보고받는 별도 위원회 구성에 관한 사항 ‣ 기업평가이후 피평가기업의 신용상태에 중대한 영향을 미치는 상황 변화 등이 발생한 경우 기업신용등급 또는 기술신용정보 변경 기준 및 업무처리절차
		6.2.3. 이해상충 방지	‣ 등급 산출과 관련한 이해상충 방지체계 마련 ‣ 기업평가 관련 평가조직 및 영업조직의 분리
		6.2.4. 정보제공시 차별ㆍ강요금지	‣ 의뢰인에게 정보제공시 합리적 이유 없는 차별적 취급 금지 ‣ 평가서 발급 의뢰인에게 상품ㆍ서비스의 가입ㆍ이용 강제 금지