금융 서비스를 운영하면 **개인정보보호법(PIPA)**과 신용정보의 이용 및 보호에 관한 법률(신용정보법) 두 개의 법을 동시에 적용해야 합니다. 어떤 법이 우선하는지, 어떤 조항이 중복 적용되는지 정리합니다.
두 법의 기본 구조
| 구분 | 개인정보보호법(PIPA) | 신용정보법 | |------|-------------------|----------| | 소관 기관 | 개인정보보호위원회 | 금융위원회 | | 적용 대상 | 모든 개인정보 처리자 | 신용정보업자, 금융회사, 신용정보주체 | | 보호 대상 | 개인정보 | 개인신용정보 | | 특별법 관계 | 일반법 | 금융 분야 특별법 |
특별법 우선 원칙: 신용정보법이 특별법으로 PIPA에 우선 적용됩니다. 단, 신용정보법에 없는 사항은 PIPA를 따릅니다.
개인신용정보란?
신용정보법 제2조에 따른 개인신용정보:
개인신용정보 = 신용정보 중 개인을 식별할 수 있는 것
포함 항목:
- 대출 기록, 카드 사용 내역
- 연체 정보
- 신용 평점
- 보증 내역
- 금융 거래 내역
- 신용정보회사가 생성한 신용 등급 정보
일반 개인정보(이름, 이메일, 주소 등)와 겹칠 수 있으며, 금융 맥락에서 수집한 경우 신용정보법이 우선 적용됩니다.
적용 주체별 정리
신용정보법만 적용 (실질적으로 두 법 모두)
| 사업자 유형 | 설명 | |------------|------| | 신용정보회사 | 나이스평가정보, KCB 등 | | 신용조회업자 | 금융 결정에 쓰이는 정보 제공 | | 신용평가업자 | 신용 등급 평가 | | 채권추심업자 | 부채 추심 | | 금융회사 | 은행, 카드사, 보험사, 증권사 | | 마이데이터 사업자 | 개인신용정보 전송 서비스 |
PIPA만 적용
- 신용정보를 처리하지 않는 일반 서비스
- 금융 관련성이 없는 개인정보 처리자
두 법 모두 적용 (교차 영역)
- 핀테크 서비스 (결제, 대출 연계, 투자)
- 전자상거래 (결제 정보 처리)
- 마이데이터 활용 서비스
주요 차이점: 동의 요건
PIPA 동의
- 수집 시 목적·항목·보관기간 고지
- 필수·선택 분리
- 마케팅 별도 동의
신용정보법 동의 (더 엄격)
- 신용정보 제공·활용 동의서 별도 징구 의무
- 조회 목적 명시
- 신용조회 동의: 조회 회사, 조회 목적, 조회 항목 구체적 명시
- 마케팅 목적 제공: 별도 동의 + 연 1회 이상 철회 기회 부여
[신용정보 조회 동의서 필수 항목]
조회 대상 신용정보업자: OOO신용정보(주)
조회 목적: 대출 심사
조회 항목: 신용 등급, 연체 이력, 대출 잔액
보관 기간: 조회 목적 달성 후 3개월
동의 철회: 언제든지 가능 (단, 이미 실행된 조회는 철회 불가)
마이데이터 — 신용정보법 핵심 제도
2021년 신용정보법 개정으로 도입된 마이데이터(본인신용정보관리업):
마이데이터 사업자 의무
- 금융위원회 허가 취득
- 전송받은 개인신용정보는 서비스 목적 외 사용 금지
- 정보주체 동의 없이 제3자 제공 금지
- 마이데이터 앱 내 내 정보 현황 열람 기능 제공
PIPA와의 교차 적용
마이데이터 서비스에서 수집하는 개인정보(행동 데이터, 분석 결과 등)는 PIPA도 동시에 적용됩니다.
신용정보법 특유의 의무
| 의무 | 내용 | PIPA 대응 여부 | |------|------|--------------| | 신용정보 관리·보호인 지정 | 금융회사는 임원급 지정 | PIPA CPO 별도 지정 | | 내부통제기준 수립 | 신용정보 처리 내부 규정 | PIPA 내부관리계획과 별도 | | 신용조회 기록 보관 | 5년 보관 | PIPA 보관 기간과 별도 적용 | | 신용정보 누설 시 신고 | 금융위원회·금감원에 즉시 신고 | PIPA 개보위 신고와 별도 | | 손해배상 보험 의무 | 일부 사업자 보험 가입 필수 | PIPA에 없는 의무 |
금융회사 실무 체크리스트
□ 신용정보 처리 목적·항목 PIPA + 신용정보법 이중 고지 확인
□ 신용조회 동의서 별도 징구 절차 수립
□ 신용정보 관리·보호인 지정 (금융회사)
□ 마이데이터 전송 API 개방 여부 확인 (해당 사업자)
□ 신용정보 처리방침과 개인정보처리방침 별도 또는 통합 게시
□ 신용정보 유출 시 금융위·금감원 보고 절차 구축
□ 신용조회 기록 5년 보관 시스템 확인
두 법 위반 시 제재 비교
| 구분 | PIPA 위반 | 신용정보법 위반 | |------|---------|--------------| | 과태료 | 최대 3천만 원 | 최대 1억 원 (더 높은 경우 있음) | | 과징금 | 매출 3% 이하 또는 20억 이하 | 수익의 50% 이하 (중대 위반) | | 형사처벌 | 5년 이하 징역 또는 5천만 원 벌금 | 10년 이하 징역 또는 1억 원 벌금 (더 중함) | | 제재 기관 | 개인정보보호위원회 | 금융위원회, 금융감독원 |
신용정보법 위반이 PIPA 위반보다 제재가 더 무거운 경우가 많습니다.
PIPAGuard로 금융 서비스 처리방침 점검하기
처리방침의 신용정보 관련 기재, 동의 항목, 조회 목적 고지 현황을 자동으로 점검합니다.