01

먼저 알아둘 결론

금융위원회는 은행의 API를 이용하는 업체가 개인신용정보를 은행에 제공하려면 제공받는 자와 목적·내용·보유기간 등을 알리고 동의를 받아야 한다고 답했습니다.[1] 은행과 서비스 업체가 계약했다는 사실만으로 고객의 정보제공 동의가 자동으로 대체되지는 않는다는 뜻입니다. 기술적으로 연결되어 있는지와 법적으로 어떤 근거로 정보를 전달하는지는 나누어 살펴야 합니다.

02

질문은 정보가 은행으로 가는 경우였습니다

질의자는 은행과 계약하여 API 기반 금융서비스를 제공하는 업체가 고객의 동의 없이 개인신용정보를 은행에 줄 수 있는지 물었습니다.[1] 은행이 외부 앱에 정보를 보내는 모든 경우를 다룬 질문과 방향이 다릅니다. API는 시스템이 정보를 주고받는 방법을 가리키지만, 그것만으로 정보처리의 법적 성격이 결정되지는 않습니다. 어느 업체가 어떤 정보를 누구에게 보내는지 먼저 확인해야 합니다.

03

동의에 필요한 안내

회신은 개인신용정보를 타인에게 제공할 때 미리 개별적으로 동의를 받고, 제공받는 자, 그 자의 이용 목적, 제공 정보의 내용, 보유·이용기간을 알리도록 설명했습니다.[1] 현행 시행령에도 이들 항목과 동의 거부권 및 불이익에 관한 안내가 규정되어 있습니다.[3] ‘서비스 이용에 동의합니다’라는 문장만 보고 모든 정보 이동을 이해했다고 생각하지 말고 세부 제공 항목을 읽는 것이 좋습니다.

04

현재 원칙과 예외의 구분

현행 신용정보법 제32조제1항도 타인 제공에 대한 사전 개별 동의 원칙을 두고 있습니다.[2] 다만 실제 서비스가 제3자 제공인지 업무 위탁인지, 별도 법정 예외나 전송요구 근거가 있는지는 따로 확인할 문제입니다. 이 회신은 모든 정보 이동에 예외 없이 동일한 동의서를 받아야 한다는 완결된 목록을 제시하지 않았습니다. 은행과의 제휴만으로 동의를 생략할 수 있다고 읽지 않는 것이 핵심입니다.

05

앱에서 확인할 내용

회원가입과 계좌 연결 화면에서 정보를 받는 회사의 이름과 역할을 확인하세요. 은행 이름만 크게 표시되어 있어도 실제 운영자가 다른 회사일 수 있습니다. 제공 목적이 계좌 연결인지 신용심사인지 상품 소개인지 구별하고 필요한 정보 항목과 보유기간을 살펴보세요. 동의를 거부하면 어떤 기능이 제한되는지 안내도 확인하면 자신이 사용하려는 기능과 불필요한 추가 동의를 구분하는 데 도움이 됩니다.

06

이미 정보가 제공됐다면

동의 당시 화면이나 문서와 실제 제공 내역을 비교하고, 업체에 어떤 근거로 어느 은행에 어떤 정보를 전달했는지 확인을 요청할 수 있습니다. 이 회신은 특정 앱의 정보처리가 위법하다고 판단한 자료는 아니므로 은행과 연결됐다는 사실만으로 위반을 단정해서도 안 됩니다. 동의가 있었는지뿐 아니라 그 범위와 실제 목적이 일치하는지도 함께 살펴야 구체적인 문제를 설명하기 쉽습니다.

07

이 해석의 활용 범위

2017년 회신은 API 기반 서비스에서 은행에 정보를 제공하는 질문에 관한 답입니다. 이후 도입되거나 바뀐 개별 서비스의 법적 근거까지 전부 판단한 것은 아닙니다. 이용자는 기술 명칭이나 제휴 로고보다 정보의 발신자·수신자·목적을 확인하는 데 활용할 수 있습니다. 사업자 사이 계약, 고객의 동의, 법정 처리 근거를 서로 구별하면 금융앱의 정보제공 안내를 더 정확하게 읽을 수 있습니다.

주요 금융법령해석 전체 목록금융제도로