금융회사의 정보처리 업무 위탁에 관한 규정

제1조(목적) 이 규정은 금융회사가 「금융위원회의 설치 등에 관한 법률」 제17조제3호에 따라 인가ㆍ허가 또는 등록 등(이하 "인가등"이라 한다)을 받은 금융업을 영위함에 있어 정보처리 업무의 위탁 등에 관한 사항을 규정함을 목적으로 한다. <개정 2015. 7. 22., 2018. 6. 28.> 제2조(정의) 이 규정에서 사용하는 용어의 정의는 다음과 같다. ① "금융회사"라 함은 다음 각 호와 같다. 1. 「은행법」에 따른 은행 <개정 2015. 7. 22.> 2. 「한국산업은행법」에 따른 한국산업은행 3. 「중소기업은행법」에 따른 중소기업은행 4. 「한국수출입은행법」에 따른 한국수출입은행 5. 「자본시장과 금융투자업에 관한 법률」에 따른 금융투자업자, 종합금융회사 6. 「보험업법」에 따른 보험회사 7. 「상호저축은행법」에 따른 상호저축은행 8. 「신용협동조합법」에 따른 신용협동조합 9. 「여신전문금융업법」에 따른 여신전문금융회사 10. 「농업협동조합법」에 따른 농협은행 11. 「수산업협동조합법」에 따른 수협은행 <개정 2018. 6. 28.> 12. 「전자금융거래법」에 따라 허가를 받거나 등록한 전자금융업자 13. 「온라인투자연계금융업 및 이용자 보호에 관한 법률」에 따른 온라인투자연계금융업자 <개정 2020. 8. 27.> 14. 「금융소비자 보호에 관한 법률」에 따라 등록한 금융상품자문업자 <신설 2021.3.25.> ② "외국계 금융회사"라 함은 외국법령에 따라 설립되어 외국에서 금융업을 경영하는 자의 국내 지점 또는 계열사인 전항의 금융회사를 말한다. ③ "계열사"라 함은 해당 금융회사와 주식보유 등을 통하여 하나 이상의 법인이 개재되어 있고, 이들이 모두 상법상의 모회사 또는 자회사의 출자관계로 연결된 경우를 말한다(다만, 상장된 회사의 경우 소유지분 요건을 발행주식 총수의 100분의 30 이상으로 한다). ④ "금융거래정보"라 함은 금융회사(제2조제2항의 외국계 금융회사를 포함한다. 이하 같다)가 인가등을 받은 금융업을 영위하기 위하여 고객과 「특정 금융거래정보의 보고 및 이용 등에 관한 법률」 제2조제2호 가목 및 나목에 규정된 금융거래행위를 함으로써 거래상대방인 고객으로부터 수집한 해당 고객의 정보 및 금융거래행위의 결과로 생성된 고객의 거래내역 정보를 의미한다. <개정 2015. 7. 22.> ⑤ "정보처리"라 함은 금융회사가 전산설비를 활용하여, 정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기 및 기타 이와 유사한 행위를 하는 것을 말한다. <개정 2015. 7. 22.> ⑥ "정보처리의 위탁"이라 함은 금융회사가 자신의 정보처리 업무를 제3자로 하여금 계속적으로 처리하도록 하는 행위를 말한다. <개정 2015. 7. 22.> ⑦ "전산사고"라 함은 정보처리 및 전산설비의 장애, 재해, 파업, 테러 등의 사유로 발생하는 업무의 중단 또는 지연 및 해킹 등 전자적 침해행위가 발생하는 경우를 말한다. ⑧ 이 규정에서 사용하는 용어의 정의는 특별히 정한 경우 외에는 관련법령에서 정하는 바에 따른다. 제3조(적용범위 등) ① 금융회사의 정보처리 위탁과 관련해서는 다른 법령에 특별한 규정이 있는 경우를 제외하고는 이 규정에서 정하는 바에 따른다. <개정 2015. 7. 22.> ② 금융관련 법령에 따라 금융업의 인가등을 신청한 자에게도 이 규정을 적용한다. <개정 2015. 7. 22.> ③ 삭제 <2015. 7. 22.> 제4조(정보처리의 위탁) ① 금융회사는 인가등을 받은 업무를 영위함에 있어 정보처리가 요구되는 경우 이를 제3자에게 위탁할 수 있다. <개정 2015. 7. 22.> ② 제1항의 규정에도 불구하고 다음 각 호의 어느 하나에 해당하는 경우는 정보처리를 위탁할 수 없다. 다만, 다음 제2호의 경우 금융감독원장이 허용하는 방식에 따라 코스콤 또는 저축은행중앙회에 원장 등의 관리를 위탁하는 경우는 제외한다. 1. 관련 법령에서 해당 업무의 위탁을 금지하고 있는 경우 2. 최근 3년 이내에 금융이용자의 정보관리, 감독관련 자료 제출 등 감독기관의 검사와 관련한 사항으로 기관경고 이상의 제재 또는 형사처벌을 2회 이상 받은 경우 <개정 2015. 7. 22.> 3. 기타 업무의 위탁으로 인하여 당해 금융회사의 건전성 또는 신인도를 크게 저해하거나, 금융질서의 문란 또는 금융이용자의 피해 발생이 심히 우려되는 경우 ③ 금융회사는 제1항에 따른 정보처리 위탁계약을 체결할 경우 데이터에 대한 접근통제, 전산사고 등에 따른 이용자 피해에 대한 위ㆍ수탁회사간의 책임관계, 수탁회사에 대한 감독당국의 감독ㆍ검사 수용의무, 수탁회사의 분쟁해결 과정에서의 재판관할 등을 계약 내용에 반드시 포함하여 위탁에 따라 발생할 수 있는 책임관계를 명확히 하여야 한다. <개정 2015. 7. 22.> ④ 제1항에 따라 정보처리를 위탁받은 자는 위탁받은 업무를 제3자에게 재위탁할 수 있다. 이 경우 본조 제2항ㆍ제3항ㆍ제5항ㆍ제6항, 제5조, 제7조, 제8조를 준용한다. <개정 2015. 7. 22.> ⑤ 제1항에 따라 정보처리를 위탁받은 자는 정보처리 과정에서 이전받은 정보를 당초 위탁의 범위를 초과하여 다른 목적으로 활용할 수 없다. 다만, 해당 정보 주체의 동의를 얻은 경우는 동의의 범위 내에서 활용할 수 있다. ⑥ 제1항에 따라 정보처리를 위탁하는 경우 위탁된 처리와 관련한 전산설비 및 인력 등은 관련 법령상 인허가를 위한 전산설비 및 인력 구비 요건 등의 충족 여부를 판단시 고려한다. <개정 2015. 7. 22.> ⑦ 제1항에 따라 정보처리를 위탁하는 경우(제4항에 따라 재위탁하는 경우를 포함한다) 위탁회사는 수탁회사가 이 규정 등 관계법령 및 제3항에 따른 위탁계약 내용상의 의무를 위반하여 발생하는 정보주체 및 이용자의 손해에 대하여 수탁회사와 연대하여 책임을 진다. <개정 2015. 7. 22.> 제5조(특정정보의 보호) ① 제4조에 따라 정보처리를 위탁하는 경우 금융회사는 각 관련 법령상의 안전성 확보조치를 충실히 이행하여야 한다. 이 때 개인고객의 고유식별정보는 암호화 등의 보호 조치를 하여야 하며, 특히 국외로 이전되지 않도록 하여야 한다. <개정 2015. 7. 22.> ② 금융회사는 위탁 처리되는 정보의 보호를 위한 안전성 확보조치의 구체적 내용을 홈페이지 등을 통해 공시하여야 한다. 또한 민감정보의 처리를 위탁할 경우에는 정보주체에게 금융감독원장이 정하는 방법에 따라 개별 고지하여야 한다. 제6조 삭제 <2015. 7. 22.> 제7조(보고) ① 금융회사가 제4조제1항에 따라 개인고객의 금융거래정보(금융거래의 내용이 누구의 것인지를 알 수 없는 경우를 제외한다) 처리업무를 위탁하고자 하는 경우로서 업무를 수탁받는 자가 국외에 소재하는 경우에는 그 사실을 업무를 위탁받은 자가 그 위탁받은 업무를 실제로 수행하려는 날의 30영업일 이전에 다음 각 호의 서류를 첨부하여 금융감독원장에게 보고하여야 한다. <개정 2015. 7. 22., 2018. 6. 28.> 1. 위탁계약서(안) 사본 2. 「금융기관의 업무위탁 등에 관한 규정」 제3조의2에 따라 금융기관이 마련하고 준수하여야 할 ‘업무위수탁 운영기준’<개정 2018. 6. 28.> 3. 업무위탁 계약이 이 규정 등 관련법령에 위배되지 아니한다는 준법감시인(준법감시인이 없는 경우, 감사 등 이에 준하는 자)의 검토의견 및 관련자료 사본 4. 위탁의 필요성 및 기대효과 5. 위탁에 따른 업무처리절차의 주요 변경내용 6. 정보처리업무 운영에 대한 감독기관의 실질적 감독가능성을 확인할 수 있는 서류 7. 위탁계약 상대방(재위탁 예정시 재위탁계약 상대방 포함)에 관한 사항(상호, 자본금 규모, 소재지, 주된 업종, 개인의 경우 대표자 인적사항 등) [본호신설 2015. 7. 22.] 8. 전산사고 및 정보유출 등 발생시 피해자 구제절차 [본호신설 2015. 7. 22.] ② 금융회사가 제4조제1항에 따라 개인고객의 금융거래정보(금융거래의 내용이 누구의 것인지를 알 수 없는 경우를 제외한다) 처리업무를 위탁하고자 하는 경우로서 업무를 수탁받는 자가 국내에 소재하는 경우에는 그 사실을 업무를 위탁받은 자가 그 위탁받은 업무를 실제로 수행하려는 날의 7영업일 이전에 제1항 각 호의 서류를 첨부하여 금융감독원장에게 보고하여야 한다. <개정 2015. 7. 22., 2018. 6. 28.> ③ 금융회사가 제1항 및 제2항에 따른 보고의 대상이 되는 금융거래정보를 제외한 금융거래정보의 처리를 위탁하는 경우에는 그 사실을 업무를 위탁받은 자가 그 위탁받은 업무를 실제로 수행하는 날로부터 10영업일 이내에 제1항 각 호의 서류를 첨부하여 금융감독원장에게 보고하여야 한다. <개정 2018. 6. 28.> [본항신설 2015. 7. 22.] ④ 금융회사는 다음 각 호의 구분에 따라 정보처리 위탁에 관한 반기 현황을 그 금융회사의 설립근거가 되는 법률 등에 따른 업무보고서에 포함하여 금융감독원장에게 반기별로 사후보고하여야 한다. <개정 2018. 6. 28.> 1. 제2조제4항에 따른 금융거래정보의 처리업무를 위탁하는 경우로서 다음 각 목에 해당하는 경우 가. 해당 금융회사 또는 동일한 금융업을 영위하는 다른 금융회사가 금융감독원장에게 보고한 내용과 동일한 경우로서, 위탁 상대방의 업종이 동일한 경우 나. 이미 보고한 내용을 일부 변경하는 경우로서, 변경되는 내용이 경미한 경우 2. 제2조제4항에 따른 금융거래정보 이외의 정보 처리업무를 위탁하는 경우(다만, 전자금융업자가 위탁하는 경우는 제외) <개정 2018. 6. 28.> [본항신설 2015. 7. 22.] ⑤ 금융감독원장은 이 규정에 따른 보고 절차 등과 관련하여 필요한 경우「금융기관의 업무위탁 등에 관한 규정」의 서식을 사용하도록 할 수 있다. [종전 제3항에서 이동] 제8조(감독 및 검사) ① 위탁 금융회사 및 해당 업무의 수탁회사는 제4조에 따라 위탁 운영되는 정보처리 업무와 관련하여 금융감독원장의 자료 제출 등 감독 및 검사를 위한 요구에 응하여야 한다. <개정 2015. 7. 22.> ② 삭제 <2015. 7. 22.> ③ 금융감독원장은 이 규정에 따른 금융회사의 업무 위탁 현황을 매 반기 금융위원회에 보고하여야 한다. ④ 금융감독원장은 위탁회사 또는 수탁회사의 정보처리 위탁행위 또는 위탁된 업무의 수행과 관련된 행위가 이 규정 등 관계법령, 제7조제1항제2호의 ‘업무위수탁 운영기준’에 적합하지 아니하다고 판단하는 경우에는 위탁회사 또는 수탁회사에 대하여 그 내용의 자료제출 및 보완요구, 변경권고 등 필요한 조치를 할 수 있다. <개정 2015. 7. 22., 2018. 6. 28.> 제9조(재검토기한) 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」(대통령훈령 제334호)에 따라 이 규정 발령 후의 법령이나 현실여건의 변화 등을 검토하여 이 규정의 유지, 폐지, 개정 등의 조치를 하여야 하는 기한은 2018년 7월 1일을 기준으로 매 3년이 되는 시점(매 3년째의 6월 30일까지를 말한다)으로 한다. <개정 2015. 7. 22., 2018. 6. 28.>