기보·중진공 ‘5년 파기 의무’ 역행, 신용정보 260만 건 방치

기술보증기금(이하 기보)과 중소벤처기업진흥공단(이하 중진공)이 대출금 전액 상환 등으로 상거래가 종료된 지 5년이 지난 금융소비자와 기업의 신용정보 260만 건을 파기하지 않고 보유해 온 것으로 나타났다. 두 기관은 신용평가모형 개발 등 법이 허용한 예외 조항을 근거로 내세웠지만, 무분별한 데이터 축적으로 잠재적 보안 위험을 키웠다는 비판이 제기된다.

국민의힘 최수진 의원이 지난 10월 15일 국회 산업통상자원중소벤처기업위원회 국정감사에서 지적한 실태에 따르면 기보는 31만 건, 중진공은 229만 건 이상의 5년 초과 신용정보를 보유하고 있다. 특히 중진공이 보관 중인 내역에는 채무 관계를 청산하고 거래를 끝낸 정상 차주의 신용정보까지 대거 포함돼 장기간 서버에 묶여 있던 것으로 파악됐다.

「신용정보의 이용 및 보호에 관한 법률」(이하 신용정보법) 제20조의2는 금융거래가 끝난 날부터 최장 5년 이내에 해당 신용정보를 파기하도록 규정한다. 개인과 기업의 프라이버시를 보호하고 대규모 데이터 유출 및 오남용 사고를 차단하기 위한 법적 안전장치다. 민간 시중은행이 전산 파기 시스템을 구축해 5년 경과 정보를 주기적으로 소멸시키는 것과 비교하면 공적 자금을 운용하는 정책기관의 컴플라이언스 인식이 지나치게 안이했다는 지적을 피하기 어렵다.

두 기관은 그동안 신용정보법의 예외 단서 조항을 파기 의무 우회로로 활용했다. 기보는 대위변제 후 미상환 기업 등 보증금지 대상을 사후 검증해야 한다는 이유로 단서 조항을 적용했다. 중진공 역시 부실 위험 대응과 신용평가모형 고도화를 명분으로 내세웠다. 그러나 모형 개발에 과거 데이터가 필요하다면 원천 식별 정보를 없애고 통계적 가공 정보만 남기는 것이 데이터 거버넌스의 원칙이다. 두 기관은 ▲주민등록번호 ▲주소 ▲급여 ▲재무제표 등 차주의 내밀한 정보를 원형에 가깝게 보관해 온 것으로 확인됐다.

비판이 일자 두 기관은 5일 거래 종료 5년이 지난 신용정보 관리 체계를 재정비하겠다는 사후 수습책을 냈다. 기보는 기준을 정립해 삭제할 정보를 선별하겠다는 입장을 보였고, 중진공은 법률 자문과 연구용역을 거쳐 내년 중에 단계적 삭제 계획을 수립하겠다고 물러섰다. 그러나 즉각적인 정보 일괄 파기 대신 수개월 이상의 시차를 두는 ‘단계적 처리’를 고수하면서 문제의 본질을 외면하고 있다는 지적이 잇따른다.

공공과 금융권을 겨냥한 해킹 공격이 정교해지는 상황에서 260만 건에 달하는 미파기 신용정보는 대형 뇌관과 다름없다. 대출 상환을 마치고 정책금융기관과 거래를 끝낸 중소기업인과 개인의 정보를 기약 없이 서버에 보관하는 것은 명백한 프라이버시 침해 소지가 있다. 정책금융기관이 낡은 데이터 축적 관행에서 벗어나 언제 실질적인 전산 폐기 시스템을 가동할지, 금융당국이 어떤 수준의 후속 점검에 나설지가 향후 보안 위험을 통제할 핵심 지표가 될 전망이다.

※ 이 기사는 랑펀미디어 AI 시스템을 통해 수집된 정보를 바탕으로 작성되었습니다.