[개인정보보호위원회]개인정보위, 금융분야 불필요한 주민등록번호 처리 관행 개선

개인정보보호위원회는 2026년 4월 1일부터 은행, 생명보험, 손해보험, 신용카드, 저축은행, 증권 등 금융 6개 분야 220개사를 대상으로 사전 실태점검을 실시하였습니다. 점검 결과, 금융거래와 직접 관련이 없는 회원정보 관리·계정관리 등 일반 업무에서 법령상 근거 없이 주민등록번호를 처리하던 관행을 확인하고, 해당 사업자들이 자율적으로 이를 모두 개선하도록 하였습니다.

「개인정보 보호법」 제24조의2는 법령에서 구체적으로 허용한 경우 등을 제외하고는 주민등록번호 처리를 원칙적으로 금지하고 있습니다. 그러나 금융분야는 「금융실명거래 및 비밀보장에 관한 법률」 등에 따라 금융거래 과정에서 주민등록번호를 처리해야 하는 경우가 많아, 주민등록번호를 기본적인 본인 식별수단으로 활용하는 관행이 형성되었습니다. 그 결과 법령상 근거가 없는 일반 업무, 즉 단순 온라인 서비스 회원가입, 아이디 찾기·비밀번호 재설정 등 계정관리, 민간인증서 등록·연계 과정에서도 주민등록번호를 처리하는 절차가 관행적으로 남아 있었습니다.

개인정보보호위원회는 이번 사전 실태점검을 통해 금융 6개 분야 220개사가 다음 세 가지 유형의 불필요한 주민등록번호 처리 절차를 자율적으로 개선하도록 하였습니다. 첫째, 금융거래 없이 단순 온라인 서비스 회원가입 시 주민등록번호를 요구하던 절차를 개선하였습니다. 둘째, 아이디 찾기·비밀번호 재설정 등 계정관리 업무에서 주민등록번호를 요구하던 절차를 개선하였습니다. 셋째, 민간인증서 등록·연계 과정에서의 주민등록번호 요구를 개선하였습니다. 민간인증서는 연계정보(CI, Connecting Information) 기반으로 동작하기 때문에 등록·연계 과정에서 주민등록번호가 반드시 필요하다고 보기 어렵다는 것이 개인정보보호위원회의 판단입니다. 개인정보보호위원회는 점검 과정에서 사업자가 자체적으로 필요한 조치를 완료한 경우에는 별도의 처분 없이 점검을 종결한다는 입장을 밝혔습니다.

이번 점검은 신용카드사에 대한 「개인정보 보호법」 제24조의2 위반 제재(2026년 3월 11일)의 후속 조치로 이루어진 것으로, 개인정보보호위원회가 금융분야 전반으로 주민등록번호 처리 관행 점검을 확대하고 있음을 보여줍니다. 금융회사 입장에서는 이번 점검 결과가 향후 유사 점검의 기준점이 될 수 있습니다. 법령상 근거 없이 주민등록번호를 처리하는 절차가 남아 있는 경우, 자율 개선 기회를 놓치면 시정권고 또는 개선권고 등 공식 처분으로 이어질 수 있으므로 내부 점검이 필요합니다. 특히 민간인증서 연계 과정에서의 주민등록번호 수집이 불필요하다는 개인정보보호위원회의 판단은, 본인인증 절차를 설계하거나 운영 중인 금융회사 및 핀테크 사업자 모두에게 직접적인 영향을 미칩니다. 연계정보(CI) 기반 인증으로 전환하거나 대체 수단을 마련하지 않은 경우 향후 점검에서 지적 대상이 될 수 있습니다. 개인정보보호위원회는 앞으로도 국민 생활과 밀접한 분야를 중심으로 사전 실태점검을 지속할 방침을 밝혔으므로, 금융분야 외 다른 업종으로도 유사한 점검이 확대될 가능성이 있습니다.