보고30. 삼성카드㈜ 등 3개 기관의 데이터전문기관 지정확인 결과 보고(공개용)

의안번호 제 30 호 보 고 사 항 의 결 연 월 일 2026. 7. 15. (제 13 차) 삼성카드㈜ 등 3개 기관의 데이터전문기관 지정확인 결과 보고 금융위원회회의 안건 제 출 자 금융감독원장 이 찬 진 제출 연월일 2026. 7. 15. 공 개

1. 보고주문 삼성카드㈜, ㈜신한은행, 국가데이터처에 대한 데이터전문기관 지정요건 등 확인 결과를 다음과 같이 보고한다. 2. 제안 이유 금융감독원이 삼성카드㈜, ㈜신한은행, 국가데이터처에 대해 ｢ 신용정보의 이용 및 보호에 관한 법률｣ 제26조의4의 규정에 의하여 데이터전문기관 지정요건 등 확인을 실시하여 그 결과를 금융위원회에 보고하려는 것임 3. 주요 골자 삼성카드㈜ 등 3개 기관의 데이터전문기관 지정요건 충족 여부 및 데이터 전문기관 업무수행 적정 여부에 대해 확인한 결과 ◦ 지정요건을 충족하고, 데이터전문기관 업무를 적정하게 수행할 수 없다고 인정할 수 있는 근거를 발견할 수 없었음 4. 참고 사항 가. 관계법규 :【별첨】참조 나. 관계부서 협의 : 해당사항 없음 다. 제13차 안건검토 소위원회(2026.7.9.) 심의필

【별 첨】 관 계 법 규 □ ｢ 신용정보의 이용 및 보호에 관한 법률｣ 제26조의4(데이터전문기관) ① 금융위원회는 제17조의2에 따른 정보집합물의 결합 및 제40 조의2에 따른 익명처리의 적정성 평가를 전문적으로 수행하는 법인 또는 기관(이하 “데이 터전문기관”이라 한다)을 지정할 수 있다. ② 데이터전문기관은 다음 각 호의 업무를 수행한다. 1. 신용정보회사등이 보유하는 정보집합물과 제3자가 보유하는 정보집합물 간의 결합 및 전달 2. 신용정보회사등의 익명처리에 대한 적정성 평가 3. 제1호 및 제2호와 유사한 업무로서 대통령령으로 정하는 업무 ③ 데이터전문기관은 제2항제1호 및 제2호의 업무를 전문적으로 수행하기 위하여 필요하면 대통령령으로 정하는 바에 따라 적정성평가위원회를 둘 수 있다. ④ 데이터전문기관은 다음 각 호의 어느 하나에 해당하는 경우에는 대통령령으로 정하는 위 험관리체계를 마련하여야 한다. 1. 제2항제1호의 업무와 같은 항 제2호의 업무를 함께 수행하는 경우 2. 제2항 각 호의 업무와 이 법 또는 다른 법령에 따른 업무를 함께 수행하는 경우 ⑤ 제1항에 따른 지정의 기준 및 취소, 제3항에 따른 적정성평가위원회의 구성 ㆍ 운영에 관 하여 필요한 사항은 대통령령으로 정한다. □ ｢ 신용정보의 이용 및 보호에 관한 법률 시행령｣ 제22조의4(데이터전문기관) ① 금융위원회는 법 제26조의4제1항에 따라 다음 각 호의 요건 을 모두 갖춘 법인 또는 기관을 데이터전문기관으로 지정할 수 있다. 1. 다음 각 목의 어느 하나에 해당하는 법인 또는 기관일 것 가. 「민법」 제32조에 따라 설립된 비영리법인 나. 「개인정보 보호법」 제2조제6호에 따른 공공기관

다. 금융위원회가 정하여 고시하는 자본금 및 매출액 등 요건을 갖춘 법인 2. 금융위원회가 정하여 고시하는 시설 ㆍ 설비, 인력 ㆍ 조직 및 재정능력을 갖출 것 3. 신용정보의 유출 등을 방지하기 위한 위험관리체계와 신용정보주체의 권익을 보호하기 위한 내부통제장치가 마련되어 있을 것 4. 그 밖에 금융위원회가 정하여 고시하는 요건을 갖출 것 ② 제1항에 따라 데이터전문기관 지정을 받으려는 자는 금융위원회가 정하여 고시하는 지정 신청서에 다음 각 호의 서류(전자문서를 포함한다. 이하 같다)를 첨부하여 금융위원회에 제출해야 한다. 이 경우 금융위원회는 「전자정부법」 제36조제1항에 따른 행정정보의 공 동이용을 통하여 해당 법인의 등기사항증명서(법인인 경우에만 해당한다)를 확인해야 하 며, 해당 법인이 확인에 동의하지 않는 경우에는 이를 제출하도록 해야 한다. 1. 정관 또는 이에 준하는 규정 2. 제1항에 따른 요건을 갖췄는지를 확인할 수 있는 서류 3. 그 밖에 금융위원회가 정하여 고시하는 서류 ③ 금융위원회는 제2항에 따른 신청을 받아 데이터전문기관을 지정한 경우에는 금융위원회 가 정하여 고시하는 서식에 따른 데이터전문기관 지정서를 발급하고, 법 제7조에 따라 해 당 데이터전문기관의 명칭 ㆍ 주소 ㆍ 전화번호 및 대표자의 성명을 공고해야 한다. ④ 금융위원회는 제3항에 따라 지정된 데이터전문기관이 다음 각 호의 어느 하나에 해당하 는 경우에는 데이터전문기관 지정을 취소할 수 있다. 다만, 제1호 또는 제2호에 해당하는 경우에는 데이터전문기관 지정을 취소해야 한다. 1. 거짓이나 그 밖의 부정한 방법으로 데이터전문기관 지정을 받은 경우 2. 지정된 데이터전문기관 스스로 지정 취소를 원하는 경우나 해산 ㆍ 폐업한 경우 3. 제1항에 따른 요건을 충족하지 못하게 된 경우 4. 고의 또는 중대한 과실로 데이터전문기관 업무를 부실하게 수행하는 등 그 업무를 적정 하게 수행할 수 없다고 인정되는 경우 ⑤ 금융위원회는 제4항에 따라 데이터전문기관 지정을 취소하려면 청문을 해야 한다. ⑥ 제1항부터 제5항까지의 규정에 따른 데이터전문기관 지정 및 취소에 관한 세부 사항은 금융위원회가 정하여 고시한다. ⑦ 법 제26조의4제2항제3호에서 “대통령령으로 정하는 업무”란 다음 각 호의 업무를 말한다. 1. 정보집합물 간의 결합과 가명처리 또는 익명처리에 관한 조사 ㆍ 연구 및 이와 유사한 업무

2. 정보집합물 간의 결합과 가명처리 또는 익명처리의 표준화에 관한 업무 3. 데이터전문기관 간 업무 표준화 등을 위한 상호 협력에 관한 업무 4. 그 밖에 제1호부터 제3호까지와 유사한 업무로서 금융위원회가 정하여 고시하는 업무 ⑧ 법 제26조의4제3항에 따른 적정성평가위원회(이하 “평가위원회”라 한다)의 업무는 다음 각 호와 같다. 1. 데이터전문기관이 결합한 정보집합물의 가명처리 또는 익명처리에 대한 적정성 평가 2. 신용정보회사등의 익명처리에 대한 적정성 평가 3. 그 밖에 제1호 및 제2호와 유사한 업무로서 금융위원회가 정하여 고시하는 업무 ⑨ 평가위원회의 구성 및 운영에 관한 세부 사항은 데이터전문기관의 장이 정한다. ⑩ 법 제26조의4제4항 각 호 외의 부분에서 “대통령령으로 정하는 위험관리체계”란 다음 각 호의 구분에 따른 위험관리체계를 말한다. 1. 법 제26조의4제4항제1호의 경우: 다음 각 목의 요건을 갖춘 위험관리체계 가. 법 제26조의4제2항제1호의 업무를 담당하는 직원이 같은 항 제2호의 업무를 동시에 담 당하지 않을 것. 다만, 대표자 및 부서장 등 업무의 집행을 지시하거나 감독하는 자는 그 렇지 않다. 나. 그 밖에 금융위원회가 정하여 고시하는 기준을 갖출 것 2. 법 제26조의4제4항제2호의 경우: 다음 각 목의 요건을 갖춘 위험관리체계 가. 법 제26조의4제2항 각 호의 업무(이하 “전문기관업무”라 한다)를 담당하는 직원이 「개 인정보 보호법」 제28조의3제1항에 따라 전문기관이 수행하는 업무 외에는 법 또는 다른 법령에 따른 다른 업무를 동시에 담당하지 않을 것. 다만, 대표자 및 부서장 등 업무의 집행을 지시하거나 감독하는 자는 그렇지 않다. 나. 전문기관업무를 수행하는 서버와 가목 본문에 따라 동시에 담당할 수 없는 업무를 수행 하는 서버를 별도로 분리할 것 다. 그 밖에 금융위원회가 정하여 고시하는 기준을 갖출 것 □ ｢ 신용정보업감독규정｣ 제28조의3(데이터전문기관) ① 영 제22조의4제1항제1호다목에서 "금융위원회가 정하여 고시 하는 자본금 및 매출액 등 요건"이란 다음 각 호와 같다.

1. 직전 사업연도 말 기준 자본금 50억원 이상일 것 2. 최근 5년간 개인정보 또는 신용정보의 가공 ㆍ 분석 및 제공 등과 관련한 업무의 대가로 받은 매출액의 합계액이 2억원 이상일 것 ② 영 제22조의4제1항제2호에서 "금융위원회가 정하여 고시하는 시설 ㆍ 설비, 인력 ㆍ 조직 및 재정능력"과 영 제22조의4제1항제4호에서 "그 밖에 금융위원회가 정하여 고시하는 요건" 은 별표 7과 같다. ③ 영 제22조의4제2항 각 호 외의 부분에서 "금융위원회가 정하여 고시하는 지정신청서"란 별지 제12호의4 서식을 말한다. ④ 영 제22조의4제3항에서 "금융위원회가 정하여 고시하는 서식"이란 별지 제12호의5 서식 을 말한다. ⑤ 금융위원회는 금융감독원장으로 하여금 제3항에 따른 신청내용 등 관련 사실여부를 확인 하여 신청내용이 영 제22조의4제1항에 따른 지정기준을 충족하는지 심사하게 할 수 있다. ⑥ 영 제22조의4제7항제4호에서 "금융위원회가 정하여 고시하는 업무"란 신용정보회사등의 정보집합물 간의 결합, 가명처리 또는 익명처리에 관한 지원 업무를 말한다. ⑦ 영 제22조의4제8항제3호에서 "금융위원회가 정하여 고시하는 업무"란 신용정보회사등의 가명처리가 적합하게 이루어졌는지 여부를 평가하는 등의 지원 업무를 말한다. ⑧ 금융감독원장은 제5항에 따라 내용을 확인하기 위하여 필요한 경우에는 이해관계인, 발 기인 또는 임원과의 면담 등의 방법으로 실지조사를 할 수 있으며, 신청인은 이에 적극 협조하여야 한다. ⑨ 제5항 및 제8항의 규정에 따른 심사, 확인, 조사 등을 위해 그 밖에 필요한 사항은 금융 감독원장이 정한다. ⑩ 금융감독원장은 데이터전문기관에 대하여 매 3년마다 영 제22조의4제4항 제3호 및 제4호 에 해당하는지 여부를 확인하여야 한다. 이 때, 금융감독원장은 필요한 경우 자료제출 요 구 및 이해관계인, 임직원과의 면담 등의 방법으로 실지조사를 할 수 있으며, 데이터전문 기관은 이에 적극 협조하여야 한다. ⑪ 제10항의 규정에 따른 확인, 조사 등을 위해 그 밖에 필요한 사항은 금융감독원장이 정 한다. ⑫ 금융감독원장은 제10항에 따라 확인한 결과를 금융위원회에 보고하여야 한다. ⑬ 데이터전문기관 지정을 위한 심사기간, 지정 조건부과, 예비지정 등에 대해서는 제5조제5 항부터 제12항까지의 규정을 준용한다. 이 경우 "허가" 또는 "인가"는 "지정"으로 본다.

[별표 7] 데이터전문기관의 시설 ㆍ 설비 및 인력 ㆍ 조직, 재정능력 등 요건 (제28조의3제2항 관련) 1. 인력 및 조직 가. 신용정보회사등의 데이터를 보호하고 데이터전문기관의 역할을 적절히 수행하기 위한 전문성을 갖춘 다음의 어느 하나에 해당하는 인력을 8명 이상 상시 고용하고, 데이터 및 보안 전문인력, 법률 전문인력을 각각 최소 2명 이상 포함할 것 (1) 데이터 및 보안 전문인력 가. 「국가기술자격법」에 따른 정보관리기술사, 컴퓨터시스템응용기술사, 정보통신 기술사 자격을 취득한 자로서 2년 이상 관련 업무(개인정보 보호, 데이터 가공 ㆍ 분석 ㆍ 활용, 데이터 가명 ㆍ 익명처리 및 적정성 평가 등 이하 (1)에서 같다)를 수행한 경력이 있는 자 나. 관련 분야(컴퓨터공학, 정보보호학, 데이터베이스공학, 통계학, 수학 등 이하 (1)에서 같다)에서 박사 학위를 취득한 자로서 2년 이상 관련 업무를 수행한 경력이 있는 자 다. 관련 분야에서 석사 학위를 취득한 자로서, 4년 이상 관련 업무를 수행한 경력이 있는 자 라. 관련 분야에서 학사 학위를 취득한 자로서 6년 이상 관련 업무를 수행한 경력이 있는 자 마. 관련 분야에서 8년 이상 관련 업무를 수행한 경력이 있는 자 (2) 법률 전문인력 가. 변호사의 자격을 소지한 자로서 1년 이상 관련 법률 업무(개인정보 보호, 데이터 가공 ㆍ 분석 ㆍ 활용, 데이터 가명 ㆍ 익명처리 및 적정성 평가 등 관련 법률 자문 또는 지원 업무 이하 (2)에서 같다)를 수행한 경력이 있는 자 나. 법학박사 학위를 취득한 자로서 2년 이상 관련 법률 업무를 수행한 경력이 있는 자 다. 법학석사 학위를 취득한 자로서 4년 이상 관련 법률 업무를 수행한 경력이 있는 자 라. 법학학사 학위를 취득한 자로서 6년 이상 관련 법률 업무를 수행한 경력이 있는 자 마. 8년 이상 관련 법률 업무를 수행한 경력이 있는 자 나. 데이터전문기관의 임원이 다음을 충족할 것. 다만, 국가 ㆍ 지방자치단체 및「공공 기관의 운영에 관한 법률」 제4조에 따른 공공기관은 제외한다. (1) 최근 5년간 종합신용정보집중기관에 법 제2조제1호의4나목에 해당하는 정보가 등 록되는 사실이 없을 것 (2)「금융회사의 지배구조에 관한 법률」제5조제1항 각 호의 어느 하나에 해당하지 아 니할 것. 이 경우 "금융관계법령"은 금융관계법령 및 「개인정보보호법」으로 본다.

2. 시설 및 설비 가. 다음의 정보처리 ㆍ 정보통신설비를 갖출 것 나. 업무공간과 사무장비 (1) 신용정보회사등으로부터 제공 받은 정보집합물을 안전하게 결합하고 가명 ㆍ 익명 처리하기 위한 전용 시스템 및 분리된 사무공간을 갖출 것 (2) 데이터전문기관 업무 수행 인원 대비 충분한 업무공간 및 사무장비를 갖출 것 (3) 내부기관 및 감독기관 등이 감독 ㆍ 검사업무를 수행함에 있어 법적 장애가 없을 것 다. 업무의 연속성을 유지할 수 있는 보완설비 (1) 파업 등 불시사태 또는 비상사태에 대비한 비상계획(Contingency Plan)이 마련되어 있을 것 구성 세부 요건 시스템 구성 1. 시스템 구성에 다음 항목을 포함할 것 가. 정보집합물 결합 시스템 나. 가명 ㆍ 익명처리 시스템 다. 익명처리 적정성 심사 지원 시스템 라. 보안서버 및 통신구간 암호화 시스템 2. 백업 및 복구시스템 3. 시스템 보안 및 시설 보안을 포함한 보안관리 체계 시스템 성능 1. 대용량 데이터를 결합하고 가명 ㆍ 익명처리 할 수 있는 성능을 갖출 것 2. 백업 및 복구작업이 최소한의 시간내에 가능할 것 보안체계 1. 방화벽과 침입탐지시스템을 갖출 것 2. 인터넷 구간의 네트워크와 데이터전문기관 업무 네트워크를 분리하여 운용할 것 3. 정보이용자 확인 체계(사용자 인증)를 갖출 것 4. 데이터 암호화처리 체계를 갖출 것 5. 외부침입 방지, 출입자관리 통제 및 데이터 반입 ㆍ 반출 통제에 대한 대책을 강구할 것 6. 백업 및 소산관리 대책을 강구할 것

3. 재정능력 가. 「금융산업의 구조개선에 관한 법률」 제2조제1호에 따른 금융기관에 해당하는 기관은 그 기관의 설립 ㆍ 운영 등에 관한 법령상 경영개선권고, 경영개선요구 또는 경영개선명령 등의 요건이 되는 재무기준에 해당하지 아니할 것 나. 가목 이외의 경우에는 국가 ㆍ 지방자치단체이거나, 순자산 대비 부채총액의 비율이 100분의 200이내일 것. 다만, 다음 요건을 갖춘 신청인의 재무건전성 기준은 순자산 대비 부채총액의 비율이 100분의 1500 이내일 것으로 한다. (1) 정부등(「금융산업의 구조개선에 관한 법률」 제5조제8항에 따른 정부등을 말한다. 이하 같다)이 자본금 ㆍ 출자총액 또는 기본재산의 100분의 10 이상을 소유하고 있거나 출자하고 있을 것 (2) 신청인의 사업 수행이 곤란하게 되는 경우 정부등이 해당 사업을 인수할 것을 확약하는 등 그 사업의 연속성에 대하여 정부등이 보장하고 있을 것 (3) 사업 개시 후 5년 이내 나목 본문의 재무건전성 기준을 충족하는 것을 내용으로 하는 실현가능한 재무구조개선계획을 수립하여 관련서류와 함께 제출할 것 4. 관리체계 가. 신청인의 설립취지와 현재 영위하고 있는 사업영역이 데이터전문기관 업무 수행에 적합할 것 나. 데이터전문기관 업무 수행에 적합한 이해상충방지체계를 갖출 것

< 의안 소관 부서명 > 금융위원회 금융감독원 소관부서 금융 데 이터 정 책과 디지 털 금융 총 괄국 연 락 처 02-2100-2622 02-3145-7135