I. 개요
금융위원회는 2025. 11. 10. 신용정보의 이용 및 보호에 관한 법률(이하 “신용정보법”) 시행령 일부개정령안(이하 “본건 시행령 개정안”)을 입법예고하였습니다.
본건 시행령 개정안에는 가상자산의 거래에 관한 정보를 신용정보의 범위에 포함하고(제2조 제7항 제7호 신설), 가상자산사업자를 신용정보제공ㆍ이용자에 포함하는(제2조 제18항 제8호 신설) 내용이 포함되어 있습니다.
의견제출 기간은 2025. 12. 22.까지입니다.
II. 본건 시행령 개정안의 입법예고 경위
금융위원회는 지난 2024. 12. 2. 가상자산사업자의 이용자의 거래정보1가 이용자의 거래내용을 판단할 수 있는 정보(신용정보법 제2조 제1호 나목)로서 신용정보법에 따른 신용정보 내지는 개인신용정보에 해당하고, 가상자산사업자는 신용정보인 이용자의 거래정보를 본인의 영업에 이용하는 신용정보제공ㆍ이용자에 해당한다는 취지의 법령해석을 회신한 바 있습니다(2024. 12. 2.자 회신문, 일련번호 240423).
위 법령해석에 따라 그간 개인정보 보호법에 따른 의무를 준수하고 있던 가상자산사업자들이 신용정보법을 준수할 의무를 부담하게 되었습니다. 다만, 현실적으로 가상자산사업자들이 신용정보법상 의무를 이행하기 위해서는 준비가 필요한 상황이므로 계도기간을 부여할 필요가 인정되어, 금융감독원은 2025. 3. 24. 금융위원회의 법령해석 이후 12개월이 경과하는 시점(2024. 12. 2. ~ 2025. 12. 1.)까지 발생한 가상자산사업자의 신용정보법 위반행위로서, 개인정보 보호법 대비 차이가 있는 신용정보법상 규제 위반행위에 대해서는 한시적으로 제재조치를 면제한다는 취지의 비조치의견을 회신한 바 있습니다(2025. 3. 24.자 회신문, 일련번호 250016).
III. 본건 시행령 개정안의 내용 및 영향
위에서 설명 드린 바와 같이, 본건 시행령 개정안에는 가상자산의 거래에 관한 정보를 신용정보의 범위에 포함하고(제2조 제7항 제7호 신설), 가상자산사업자를 신용정보제공ㆍ이용자에 포함하는(제2조 제18항 제8호 신설) 내용이 포함되어 있습니다. 본건 시행령 개정안이 입법되는 경우, 가상자산사업자는 신용정보제공ㆍ이용자로서 다음을 포함한 신용정보법에 따른 제반 의무를 이행하여야 합니다.
- 신용정보 처리 위탁 시 준수사항(제17조): 신용정보회사등(신용정보제공ㆍ이용자를 포함)은 수탁자에게 신용정보의 처리 업무를 위탁하는 경우, 개인정보 보호법 및 신용정보법의 준용 규정을 준수하여야 하고, 특정 신용정보주체를 식별할 수 있는 정보에 대해서는 신용정보법 시행령이 정하는 바에 따라 암호화 등의 보호 조치를 하여야 함
- 신용정보전산시스템의 안전보호(제19조): 신용정보회사등은 신용정보전산시스템에 대한 제3자의 불법적인 접근, 입력된 정보의 변경ㆍ훼손 및 파괴, 그 밖의 위험에 대하여 신용정보법 시행령 및 신용정보업감독규정 등에서 정하는 바에 따라 따라 기술적ㆍ물리적ㆍ관리적 보안대책을 수립ㆍ시행하여야 함
- 신용정보 관리책임 명확화 및 업무처리기록의 보존(제20조): 신용정보회사등은 신용정보업감독규정에 따른 신용정보 관리기준을 준수하여야 하고, 신용정보처리에 대한 기록을 3년간 보존하여야 함
- 개인신용정보 보유기간(제20조의2): 신용정보제공ㆍ이용자는 원칙적으로 상거래관계가 종료된 날부터 최장 5년 이내(해당 기간 이전에 정보수집ㆍ제공 등의 목적이 달성된 경우에는 그 목적이 달성된 날부터 3개월 이내)에 해당 신용정보주체의 개인신용정보를 관리대상에서 삭제하여야 함
- 정보주체 권리보장(제37조, 제38조의3): 개인인 신용정보주체는 일정한 요건이 충족되는 경우 개인신용정보의 제공 동의를 철회할 수 있고, 신용정보주체는 일정한 요건이 충족되는 경우 본인의 개인신용정보의 삭제를 요구할 수 있음
- 신용정보 누설 시 통지 및 신고 의무(제39조의4): 신용정보회사등은 개인신용정보가 업무 목적 외로 누설되었음을 알게 된 때에는 지체 없이 해당 신용정보주체에게 통지하여야 하며, 1만명 이상의 신용정보주체에 관한 개인신용정보가 누설된 경우 지체 없이 금융위원회 또는 금융감독원에 신고하여야 함
IV. 시사점
본건 시행령 개정안은 지난 2024. 12. 2. 회신된 금융위원회의 법령해석(일련번호 240423)의 내용을 명확히 하는 취지의 개정안입니다. 가상자산사업자가 부담하는 신용정보법상의 의무들 가운데는 위반 시 경우에 따라서 전체 매출액 100분의 3 이하에 해당하는 금액 또는 50억원 이하의 과징금이 부과(신용정보법 제19조 제1항을 위반하여 개인신용정보를 분실ㆍ도난ㆍ누출ㆍ변조 또는 훼손당한 경우)되거나 형사처벌의 대상이 되는 의무(예컨대, 권한 없이 신용정보를 검색, 복제하거나 그 밖의 방법으로 이용한 경우) 등이 포함되어 있으므로, 가상자산사업자들은 개인신용정보 처리 업무가 신용정보법 상 의무에 부합하는지 여부를 면밀히 검토할 필요가 있습니다.
- 이용자의 성명, 생년월일, 주소, 전화번호, 이메일 주소, 원화예치금 금액, 가상자산 종류 및 수량, 계좌인증정보, 입금용 핫월렛 주소 등
