핀테크·인터넷은행 개인정보보호법 완전 가이드
토스·카카오페이·네이버페이 같은 핀테크 서비스와 카카오뱅크·케이뱅크 같은 인터넷은행은 금융 데이터를 핵심 자산으로 운영합니다. PIPA(개인정보보호법)와 함께 신용정보법, 전자금융거래법, 금융소비자보호법이 교차 적용되며, 이 중 가장 엄격한 기준을 따라야 합니다.
1. 핀테크 서비스의 개인정보 처리 특수성
금융 데이터 = 민감정보?
PIPA는 금융 거래 내역 자체를 민감정보로 명시하지 않지만, 금융 거래 정보가 건강·종교·정치적 성향 등을 추론할 수 있는 경우 실질적 민감정보로 취급해야 합니다.
- 병원 결제 내역 → 질병 추론 가능
- 종교 단체 후원 내역 → 종교 추론 가능
- 특정 정치 후원 내역 → 정치 성향 추론 가능
신용정보법 우선 적용
개인신용정보(신용평점, 대출 이력, 연체 기록)는 신용정보의 이용 및 보호에 관한 법률이 PIPA에 우선 적용됩니다. 신용정보법이 더 엄격한 규제를 두고 있는 경우 신용정보법 기준 따릅니다.
2. 회원가입·본인인증 단계
비대면 실명확인
인터넷은행·핀테크 계좌 개설 시 비대면 실명확인 절차:
허용 방법 (금융위원회 지침):
① 신분증 사본 제출 + 영상통화
② 기존 계좌 활용 (1원 인증)
③ 신용카드 본인 확인
④ 공인인증 등 전자서명
⑤ 생체인증 (지문·안면인식)
주민등록번호 처리
핀테크 서비스에서 주민등록번호 처리는 금융실명거래법 근거로 가능하지만:
- 수집 후 즉시 해시·암호화 저장 의무
- 평문(원문) 저장 절대 금지
- 주민등록번호를 내부 식별자로 사용하는 구조 지양
3. 금융 거래 데이터 보관
법정 보관 기간
| 데이터 유형 | 근거 법령 | 보관 기간 | |-------------|-----------|-----------| | 금융 거래 기록 | 전자금융거래법 | 5년 | | 전자지급 거래 기록 | 전자금융거래법 | 5년 | | 신용정보 | 신용정보법 | 거래 종료 후 5년 | | AML(자금세탁방지) 기록 | 특정금융정보법 | 5년 | | 고객 확인(KYC) 기록 | 특정금융정보법 | 5년 |
서비스 종료 시 데이터 처리
핀테크 스타트업이 서비스를 종료하는 경우:
- 법정 의무 보관 데이터: 기간까지 안전하게 보관
- 법적 의무 없는 데이터: 서비스 종료 즉시 파기
- 사용자에게 60일 전 서비스 종료 및 데이터 처리 계획 공지 권고
4. 오픈뱅킹·마이데이터 연동
오픈뱅킹
금융결제원 오픈뱅킹을 통해 타 은행 계좌 정보에 접근하는 경우:
- 사용자의 명시적 동의 + 접근 목적 명시 필수
- 동의 철회 시 즉시 접근 토큰 파기
- 수집 가능 범위: 동의한 항목에 한정 (잔액 조회만 동의했으면 거래 이력 수집 불가)
마이데이터(본인신용정보관리업)
마이데이터 사업자는 금융위원회 허가 대상이며, 추가 규제 적용:
- 전송 요구권: 사용자가 금융사에 자기 데이터를 마이데이터 사업자에게 전송 요구 가능
- 목적 외 사용 금지: 마이데이터로 수집한 정보를 대출 심사·보험 가입 불이익에 활용 금지
- 데이터 결합: 다른 데이터와 결합해 프로파일링 시 동의 필요
5. 간편결제·간편송금 서비스
결제 시 수집 정보
간편결제(페이) 서비스에서 처리하는 정보:
필수:
- 카드번호 (토큰화 필수, 원번호 저장 금지)
- 결제 금액·가맹점 정보
- 결제 단말기·기기 정보
선택 (별도 동의):
- 결제 패턴 분석 (소비 습관 추천)
- 위치 기반 가맹점 추천
- 소비 리포트 생성
카드 정보 토큰화 의무
신용카드 번호 원본을 저장하는 것은 여신전문금융업법 위반입니다. PCI-DSS 준수 또는 카드사 토큰 발급 방식을 사용해야 합니다.
6. 신용평가·대출 심사
대안 데이터 활용
통신비 납부 이력, 쇼핑 패턴 등 비금융 데이터를 신용평가에 활용하는 경우:
- 해당 데이터 활용에 대한 명시적 동의 필요
- 신용점수에 부정적 영향을 미치는 자동화 결정에 대한 설명 요구권 보장
- 신용평가 결과에 이의 제기 절차 마련 의무
대출 거절 시 사유 고지
신용정보법에 따라 자동화된 심사로 대출이 거절된 경우 거절 사유를 설명해야 합니다(2024년 신용정보법 개정).
7. AML·KYC와 개인정보
자금세탁방지(AML) 모니터링
특정금융정보법에 따라 이상 거래를 모니터링하고 금융정보분석원(KoFIU)에 보고하는 경우:
- 법령 의무에 따른 처리 → 고객 동의 불필요
- 보고 사실을 고객에게 알려서는 안 됨 (수사 방해 방지)
- 의심 거래 보고 기록: 5년 보관
KYC 정보 활용 제한
신원확인(KYC) 목적으로 수집한 신분증·생체정보는 KYC 목적 외 사용 금지입니다. 마케팅 프로파일링에 활용하는 것은 위반입니다.
8. 보안 조치 의무
전자금융거래법 보안 기준
핀테크·인터넷은행에는 일반 기업보다 강화된 보안 기준이 적용됩니다.
| 보안 항목 | 기준 | |-----------|------| | 암호화 | 전송 구간 TLS 1.2 이상, 저장 데이터 AES-256 | | 접근 통제 | 다중인증(MFA) 의무 | | 취약점 점검 | 연 2회 이상 모의해킹 | | 침해사고 대응 | 72시간 이내 금융위 보고 + 개인정보보호위원회 보고 | | 접속 기록 | 1년 이상 보관 |
9. PipaGuard 핀테크 지원
PipaGuard는 핀테크 스타트업의 개인정보·신용정보 관리를 지원합니다.
- 마이데이터 동의 템플릿: 전송 요구권 동의 표준 문구
- 오픈뱅킹 동의 철회 프로세스: 즉시 토큰 파기 절차 가이드
- 서비스 종료 시 데이터 처리 플로우: 단계별 파기·이관 체크리스트
- AML 기록 관리: 5년 보관 기한 자동 알림
👉 pipaguard.vercel.app에서 무료로 시작하세요.
마치며
핀테크·인터넷은행은 PIPA 외에도 신용정보법, 전자금융거래법, 특정금융정보법이 중첩 적용되는 복잡한 규제 환경에 있습니다. 가장 엄격한 기준을 기본값으로 설계하면 대부분의 규제 리스크를 사전에 차단할 수 있습니다. 특히 카드 번호 토큰화, 마이데이터 목적 외 사용 금지, AML 기록 보관 — 이 세 가지는 타협 없이 준수해야 합니다.