技術保証基金・中小ベンチャー企業振興公団、5年経過の信用情報260万件を放置

技術保証基金（以下、技保）と中小ベンチャー企業振興公団（以下、中振公）が、貸出金の全額返済などで取引が終了してから5年を経過した金融消費者と企業の信用情報260万件を破棄せずに保有してきたことが分かった。両機関は信用評価モデル開発など法律が認める例外条項を根拠に挙げたが、無分別なデータ蓄積で潜在的なセキュリティーリスクを高めたとの批判が出ている。

国民の力の崔守珍（チェ・スジン）議員が10月15日の国会産業通商資源中小ベンチャー企業委員会の国政監査で指摘した実態によると、技保は31万件、中振公は229万件以上の5年超過信用情報を保有している。特に中振公が保管中の内訳には、債務関係を清算して取引を終えた正常な借り手の信用情報まで大量に含まれ、長期間サーバーに置かれていたことが把握された。

「信用情報の利用及び保護に関する法律」（以下、信用情報法）第20条の2は、金融取引が終了した日から最長5年以内に該当信用情報を破棄するよう規定している。個人と企業のプライバシーを保護し、大規模データ流出や誤用・悪用事故を防ぐための法的安全装置だ。民間の市中銀行が電算破棄システムを構築し、5年経過情報を定期的に消去しているのと比較すると、公的資金を運用する政策機関のコンプライアンス意識が過度に甘かったとの指摘を免れない。

両機関はこれまで信用情報法の例外但し書き条項を破棄義務の迂回路として活用してきた。技保は代位弁済後に未返済企業など保証禁止対象を事後検証する必要があるとして但し書き条項を適用した。中振公も不良リスク対応と信用評価モデル高度化を名分に掲げた。しかしモデル開発に過去データが必要ならば、源泉識別情報を除去し統計的加工情報だけを残すのがデータガバナンスの原則だ。両機関は▲住民登録番号▲住所▲給与▲財務諸表など借り手の内密な情報をほぼ原形のまま保管してきたことが確認された。

批判が起きると両機関は5日、取引終了から5年を経過した信用情報の管理体系を再整備するという事後収拾策を出した。技保は基準を定めて削除する情報を選別する立場を示し、中振公は法律諮問と研究用役を経て来年中に段階的削除計画を策定すると後退した。しかし即時の情報一括破棄ではなく数カ月以上の時間差を置く「段階的処理」に固執し、問題の本質を無視しているとの指摘が相次ぐ。

公共・金融圏を狙ったハッキング攻撃が巧妙化する中、260万件に達する未破棄信用情報は大型の火種にほかならない。貸出返済を終えて政策金融機関との取引を終えた中小企業人や個人の情報を期限なくサーバーに保管することは、明白なプライバシー侵害の恐れがある。政策金融機関が古いデータ蓄積慣行から脱し、いつ実質的な電算破棄システムを稼働するか、金融当局がどの水準の後続点検に乗り出すかが、今後のセキュリティーリスクを統制する核心指標になる見通しだ。

※ この記事は韓国信用新聞（韓国語）の記事をAIが翻訳し、日本語版編集部が自動配信したものです。