신용정보의 이용 및 보호에 관한 법률 시행령 제17조의2(개인신용정보의 관리방법 등)
Enforcement Decree of the Credit Information Use and Protection Act, Article 17-2 (Methods of Managing Personal Credit Information, etc.)
① 신용정보제공ㆍ이용자는 법 제20조의2제1항에 따라 다음 각 호의 구분에 따른 방법으로 금융거래 등 상거래관계(고용관계는 제외한다. 이하 같다)가 종료된 신용정보주체의 개인신용정보를 관리하여야 한다.
(1) Pursuant to Article 20-2 (1) of the Act, a credit information provider/user shall manage the personal credit information of a credit information subject whose commercial relationship, such as a financial transaction (excluding an employment relationship; hereinafter the same applies), has terminated, by the methods according to the following classification:
1. 금융거래 등 상거래관계의 설정 및 유지 등에 필수적인 개인신용정보의 경우: 다음 각 목의 방법
1. Personal credit information essential for establishing and maintaining a commercial relationship such as a financial transaction: The following methods:
가. 상거래관계가 종료되지 아니한 다른 신용정보주체의 정보와 별도로 분리하는 방법
(a) Separating it from the information of other credit information subjects whose commercial relationships have not terminated;
나. 금융위원회가 정하여 고시하는 절차에 따라 신용정보제공ㆍ이용자의 임직원 중에서 해당 개인신용정보에 접근할 수 있는 사람을 지정하는 방법
(b) Designating, from among the officers and employees of the credit information provider/user, persons who can access the personal credit information, according to the procedures determined and publicly notified by the Financial Services Commission;
다. 그 밖에 해당 신용정보주체의 개인신용정보가 안전하게 보호될 수 있는 방법으로서 금융위원회가 정하여 고시하는 방법
(c) Other methods determined and publicly notified by the Financial Services Commission by which the personal credit information of the credit information subject can be safely protected;
2. 제1호 외의 개인신용정보의 경우: 그 정보를 모두 삭제하는 방법
2. Personal credit information other than that in subparagraph 1: Deleting all of the information.
② 신용정보제공ㆍ이용자는 금융거래 등 상거래관계가 종료된 경우 제1항 각 호의 구분에 따른 필수적인 개인신용정보와 그 밖의 개인신용정보로 구분한 때에는 다음 각 호의 사항 등을 고려하여야 한다.
(2) When a commercial relationship such as a financial transaction has terminated and the credit information provider/user classifies personal credit information into essential personal credit information and other personal credit information under the subparagraphs of paragraph (1), it shall consider the following, among other matters:
1. 해당 개인신용정보가 없었다면 그 종료된 상거래관계가 설정ㆍ유지되지 아니하였을 것인지 여부
1. Whether the terminated commercial relationship would not have been established or maintained without that personal credit information;
2. 해당 개인신용정보가 그 종료된 상거래관계에 따라 신용정보주체에게 제공된 재화 또는 서비스(신용정보주체가 그 신용정보제공ㆍ이용자에게 신청한 상거래관계에서 제공하기로 한 재화 또는 서비스를 그 신용정보제공ㆍ이용자와 별도의 계약 또는 약정 등을 체결한 제3자가 신용정보주체에게 제공한 경우를 포함한다)와 직접적으로 관련되어 있는지 여부
2. Whether that personal credit information is directly related to the goods or services provided to the credit information subject under the terminated commercial relationship (including cases where a third party that has concluded a separate contract or agreement with the credit information provider/user provides to the credit information subject the goods or services that were to be provided under the commercial relationship the credit information subject applied for with that credit information provider/user);
3. 해당 개인신용정보를 삭제하는 경우 법 또는 다른 법령에 따른 의무를 이행할 수 없는지 여부
3. Whether deleting that personal credit information would make it impossible to perform obligations under the Act or other statutes.
③ 법 제20조의2제2항제2호의2에서 "대통령령으로 정하는 기간"이란 다음 각 호의 사항을 고려하여 가명처리한 자가 가명처리 시 정한 기간을 말한다. <신설 2020.8.4>
(3) The term "period prescribed by Presidential Decree" in Article 20-2 (2) 2-2 of the Act means the period set at the time of pseudonymization by the person who pseudonymized, taking into account the following:
1. 추가정보 및 가명정보에 대한 관리적ㆍ물리적ㆍ기술적 보호조치 수준
1. The level of administrative, physical, and technical protective measures for additional information and pseudonymized information;
2. 가명정보의 재식별 시 정보주체에 미치는 영향
2. The impact on the data subject in the event of re-identification of the pseudonymized information;
3. 가명정보의 재식별 가능성
3. The possibility of re-identification of the pseudonymized information;
4. 가명정보의 이용목적 및 그 목적 달성에 필요한 최소기간
4. The purpose of use of the pseudonymized information and the minimum period necessary to achieve that purpose.
④ 법 제20조의2제2항제3호에서 "대통령령으로 정하는 경우"란 다음 각 호의 어느 하나에 해당하는 경우를 말한다. <개정 2016.9.22, 2020.8.4, 2025.1.21>
(4) The term "cases prescribed by Presidential Decree" in Article 20-2 (2) 3 of the Act means any of the following cases:
1. 「서민의 금융생활 지원에 관한 법률」 제2조제3호에 따른 휴면예금등의 지급을 위해 필요한 경우
1. Where necessary for payment of dormant deposits, etc. under Article 2, subparagraph 3 of the Act on Support for the Financial Life of Ordinary People;
2. 대출사기, 보험사기, 거짓이나 부정한 방법으로 알아낸 타인의 신용카드 정보를 이용한 거래, 그 밖에 건전한 신용질서를 저해하는 행위를 방지하기 위하여 그 행위와 관련된 신용정보주체의 개인신용정보가 필요한 경우
2. Where the personal credit information of the credit information subject related to loan fraud, insurance fraud, transactions using another person's credit card information obtained by false or improper means, or other acts impairing sound credit order is necessary to prevent such acts;
3. 위험관리체제의 구축과 신용정보주체에 대한 신용평가모형 및 위험관리모형의 개발을 위하여 필요한 경우. 이 경우 다른 법률에 따른 의무를 이행하기 위하여 불가피한 경우 등을 제외하고 개인인 신용정보주체를 식별할 수 없도록 조치해야 한다.
3. Where necessary to establish a risk management system and to develop credit assessment models and risk management models for credit information subjects. In such cases, measures shall be taken so that individual credit information subjects cannot be identified, except where unavoidable to perform obligations under other statutes;
4. 신용정보제공ㆍ이용자 또는 제3자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 신용정보주체의 권리보다 우선하는 경우. 이 경우 신용정보제공ㆍ이용자 또는 제3자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우로 한정한다.
4. Where necessary to achieve the legitimate interests of the credit information provider/user or a third party and those interests clearly take precedence over the rights of the credit information subject. In such cases, this is limited to cases where the interests are substantially related to the legitimate interests of the credit information provider/user or the third party and do not exceed a reasonable scope;
5. 신용정보주체가 개인신용정보(제15조제4항 각 호의 개인신용정보는 제외한다)의 삭제 전에 그 삭제를 원하지 아니한다는 의사를 명백히 표시한 경우
5. Where the credit information subject has clearly expressed the intention not to have personal credit information (excluding personal credit information under the subparagraphs of Article 15 (4)) deleted before its deletion;
6. 개인신용정보를 처리하는 기술의 특성상 개인신용정보 삭제 시 신용정보전산시스템의 안전성, 보안성 등을 해치는 경우로서 금융위원회가 정하여 고시하는 보호 조치를 하는 경우
6. Where, due to the characteristics of the technology processing personal credit information, deleting it would impair the safety, security, etc. of the credit information computer system, and the protective measures determined and publicly notified by the Financial Services Commission are taken.
⑤ 법 제20조의2제1항 및 제2항에 따른 금융거래 등 상거래관계가 종료된 날은 신용정보제공ㆍ이용자와 신용정보주체 간의 상거래관계가 관계 법령, 약관 또는 합의 등에 따라 계약기간의 만료, 해지권ㆍ해제권ㆍ취소권의 행사, 소멸시효의 완성, 변제 등으로 인한 채권의 소멸, 그 밖의 사유로 종료된 날로 한다. <개정 2020.8.4>
(5) The date on which the commercial relationship such as a financial transaction under Article 20-2 (1) and (2) of the Act terminates shall be the date on which the commercial relationship between the credit information provider/user and the credit information subject terminates due to expiration of the contract period, exercise of a right of termination, rescission, or cancellation, completion of extinctive prescription, extinguishment of a claim by repayment, or another cause, according to relevant statutes, terms and conditions, or agreement.
⑥ 신용정보제공ㆍ이용자는 법 제15조제2항 각 호 외의 부분 본문 및 법 제32조제2항 전단에 따른 동의를 받을 때 제5항에 따른 금융거래 등 상거래관계가 종료된 날을 신용정보주체에게 알려야 한다. <개정 2020.8.4>
(6) When obtaining consent under the main sentence of the part preceding the subparagraphs of Article 15 (2) of the Act and the first sentence of Article 32 (2) of the Act, a credit information provider/user shall notify the credit information subject of the date on which the commercial relationship such as a financial transaction terminates under paragraph (5).
⑦ 신용정보제공ㆍ이용자는 제1항제2호 및 법 제20조의2제2항 각 호 외의 부분 본문에 따라 신용정보주체의 개인신용정보를 삭제하는 경우 그 삭제된 개인신용정보가 복구 또는 재생되지 아니하도록 조치하여야 한다. <개정 2020.8.4>
(7) When deleting the personal credit information of a credit information subject pursuant to paragraph (1) 2 and the main sentence of the part preceding the subparagraphs of Article 20-2 (2) of the Act, a credit information provider/user shall take measures so that the deleted personal credit information cannot be restored or regenerated.
⑧ 법 제20조의2제3항에 따라 신용정보제공ㆍ이용자가 개인신용정보를 관리하는 경우에는 제1항제1호 각 목의 방법에 따른다. <개정 2020.8.4>
(8) Where a credit information provider/user manages personal credit information pursuant to Article 20-2 (3) of the Act, the methods under each item of paragraph (1) 1 apply.
영어는 이 사이트가 원문에서 옮긴 비공식 번역으로, 영어 공부를 돕기 위한 것입니다. 법적 효력은 한국어 원문에만 있습니다. 낱말 위 한글은 소리 나는 대로 적은 발음이며 굵은 글자가 강세입니다.
시행 2026.9.11 · 대통령령 · 금융위원회 소관