개보위, 금융권 주민등록번호 불필요 수집 관행 개선 착수…ISMS-P 인증 핵심 점검 대상

핵심 요약

- 개인정보보호위원회가 2026년 8월 27일 금융분야의 불필요한 주민등록번호 처리 관행 개선 방침을 발표 - 법적 근거 없이 주민등록번호를 수집·보유하는 금융기관 관행이 주요 개선 대상 - 고유식별정보 처리 최소화 원칙 준수 여부가 ISMS-P 인증심사의 핵심 점검항목으로 부각

주요 내용

개인정보보호위원회(이하 개보위)는 2026년 8월 27일 금융분야에서 관행적으로 이루어지고 있는 주민등록번호의 불필요한 처리 실태를 개선하기로 했다고 밝혔다. 이번 조치는 개인정보보호법 제24조의2(고유식별정보의 처리 제한)에 따라 법령에 구체적 근거가 있거나 정보주체의 동의가 있는 경우에만 주민등록번호를 처리할 수 있음에도 불구하고, 일부 금융기관들이 오래된 관행을 이유로 과도하게 주민번호를 수집·보유하고 있다는 판단에 따른 것이다.

개보위는 특히 금융실명제 등 법적 의무가 있는 경우를 제외하고, 단순 편의성이나 시스템 관성 등을 이유로 주민등록번호를 요구하는 사례를 집중 점검할 방침이다. 실제로 일부 금융상품 가입, 부가서비스 신청, 고객 식별 등의 과정에서 주민번호 대체수단(CI, DI 등)으로 충분함에도 불구하고 주민번호를 필수항목으로 요구하는 관행이 지속되어 왔다는 지적이 있어왔다.

개보위의 이번 조치는 2023년 개정된 개인정보보호법 시행령에서 고유식별정보 처리 근거를 더욱 엄격히 규정한 흐름과 맥을 같이 한다. 금융위원회와 금융감독원도 이와 연계하여 금융분야 개인정보 처리 가이드라인을 재정비할 것으로 예상된다. 개보위는 향후 실태점검을 통해 위반 사례를 적발할 경우 시정명령, 과징금 부과 등 법적 조치를 취할 계획이며, 중대한 위반의 경우 형사고발도 검토할 방침이다.

금융기관들은 이번 발표를 계기로 자체 개인정보 처리 실태를 전면 재점검하고, 주민등록번호 수집·보유 목록을 전수 조사하여 법적 근거가 불충분한 항목은 즉시 파기하거나 대체수단으로 전환해야 할 것으로 보인다. 특히 ISMS-P 인증을 보유하고 있거나 취득을 준비 중인 금융기관의 경우, 이번 이슈는 인증심사 시 치명적 부적합 사항으로 지적될 수 있어 선제적 대응이 필수적이다.

전문가 시각

ISMS-P 선임심사원으로서 다수의 금융기관 인증심사를 수행한 경험에 비추어 볼 때, 주민등록번호 처리 관행은 여전히 많은 조직에서 개선이 필요한 영역이다. 특히 레거시(legacy) 시스템을 운영 중인 금융기관의 경우, 과거 주민번호를 기본 키(primary key)로 설계한 데이터베이스 구조를 그대로 유지하면서 형식적으로만 동의를 받는 사례가 적지 않다. 이는 개인정보보호법 제3조의 '개인정보 처리 최소화 원칙'과 제16조의 '목적 외 이용·제공 금지' 원칙을 정면으로 위배하는 것으로, 단순히 법률 위반을 넘어 정보주체의 기본권을 침해하는 중대한 사안이다.

실무적으로 금융기관들은 우선 개인정보 처리 목록(inventory)을 재작성하면서 각 처리 항목별로 법적 근거를 명확히 문서화해야 한다. 특히 '금융실명거래 및 비밀보장에 관한 법률' 제3조, '신용정보의 이용 및 보호에 관한 법률' 제32조 등 개별 법령에서 명시적으로 주민번호 처리를 요구하는 경우를 제외하고는, 모두 대체식별자(연계정보 CI, 중복가입확인정보 DI, 내부 고객번호 등)로 전환하는 로드맵을 수립해야 한다. 아울러 이미 수집한 주민번호에 대해서는 암호화(SEED, ARIA 등 안전한 알고리즘 적용), 접근권한 최소화, 주기적 접근로그 모니터링 등 기술적·관리적 보호조치를 강화해야 한다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.3.2 (개인정보 수집 시 필요한 최소한의 정보 외 정보수집 동의 거부 시 서비스 이용 제한 금지)
- 주민등록번호가 법적으로 필수가 아닌 서비스에서 주민번호 미제공 시 서비스 이용을 제한하는지 점검
- 개인정보 수집 동의서에서 필수항목과 선택항목이 명확히 구분되어 있는지, 주민번호가 법적 근거 없이 필수로 표시되어 있지 않은지 확인
- 관련 법조항: 개인정보보호법 제16조(개인정보의 수집 제한), 제22조(동의를 받는 방법)

2. 인증기준 2.5.4 (고유식별정보 처리 제한)
- 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 등 고유식별정보 처리 시 법령상 근거 또는 정보주체 동의 확보 여부 검증
- 고유식별정보 처리 목록(inventory)이 최신 상태로 관리되고 있는지, 각 처리 건별로 법적 근거(법령명, 조항)가 명시되어 있는지 확인
- 관련 법조항: 개인정보보호법 제24조의2(고유식별정보의 처리 제한), 시행령 제19조(고유식별정보의 안전성 확보 조치)

3. 인증기준 2.8.1 (개인정보 파기)
- 보유기간이 경과하였거나 처리 목적 달성 후에도 법적 근거 없이 주민번호를 계속 보유하고 있는지 점검
- 주민번호의 경우 일반 개인정보보다 엄격한 파기 기준 적용 여부 확인 (예: 즉시 파기 원칙, 예외적 보관 시 별도 분리보관 및 암호화)
- 관련 법조항: 개인정보보호법 제21조(개인정보의 파기), 제58조(금융·신용정보의 특례)

위반 조항

개인정보보호법 제24조의2(고유식별정보의 처리 제한)
- 제1항: "개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하는 정보(이하 "고유식별정보"라 한다)를 처리할 수 없다."
- 1호: 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우
- 2호: 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우

개인정보보호법 제3조(개인정보 보호 원칙)
- 제1항: "개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다."

개인정보보호법 제71조(벌칙) 및 제75조(과태료)
- 제3항 제6호: 제24조의2를 위반하여 고유식별정보를 처리한 자는 3년 이하의 징역 또는 3천만원 이하의 벌금
- 제5항 제1호: 제21조제1항을 위반하여 개인정보를 파기하지 아니한 자는 3천만원 이하의 과태료

금융실명거래 및 비밀보장에 관한 법률 제3조(금융실명거래)
- 제1항: 금융회사등은 실명이 확인되지 아니하는 계좌를 개설하거나 금융거래를 하여서는 아니 된다.
- 이 조항은 주민번호 처리의 법적 근거가 될 수 있으나, 실명확인이 가능한 다른 수단(운전면허증, 여권 등)이 있는 경우 반드시 주민번호를 수집해야 하는 것은 아님

CPPG·ISMS-P 연계 포인트

1. 고유식별정보 처리의 법적 요건 (CPPG 필수, ISMS-P 2.5.4)
고유식별정보(주민등록번호, 여권번호, 운전면허번호, 외국인등록번호)는 개인정보보호법 제24조의2에 따라 ① 법령에서 구체적으로 처리를 요구하거나 허용하는 경우, ② 정보주체로부터 별도 동의를 받은 경우에만 처리 가능하다. '구체적 법령 근거'란 단순히 업무 수행을 위한 포괄적 근거가 아니라, 해당 법령에서 명시적으로 고유식별정보 처리를 규정한 경우를 의미한다. 금융분야의 경우 금융실명법, 전자금융거래법, 자본시장법 등 개별 법률에서 실명확인 의무를 규정하고 있으나, 이는 '실명확인'을 요구하는 것이지 반드시 '주민번호 수집'을 강제하는 것은 아니므로, 대체수단(CI, DI 등) 활용 가능성을 항상 검토해야 한다.

2. 개인정보 최소수집 원칙과 수집 제한 (CPPG 핵심, ISMS-P 2.3.2)
개인정보보호법 제3조 제1항과 제16조는 개인정보 처리의 목적을 명확히 하고, 그 목적에 필요한 최소한의 정보만 수집하도록 규정한다. 특히 제16조 제2항은 "최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다"고 명시하여, 필수/선택 항목 구분을 의무화하고 있다