보험계약 모집과 유지·관리 과정에서 법인보험대리점(GA) 등 외부 사업자가 취급하는 고객정보가 늘면서 정보보호 관리가 과제로 떠오르고 있다. 보험사는 고객정보 처리 업무를 맡긴 외부 업체에 대한 관리·감독 책임을 이행해야 하고 GA도 정보보호와 내부통제 역량을 높여야 한다는 지적이다.
19일 보험업계에 따르면 보험연구원은 최근 발표한 ‘보험회사의 개인정보 위탁 관련 법률문제’ 보고서에서 보험사의 개인정보 처리 위탁과 제3자 제공을 구분하는 기준, 위탁업체에 대한 관리·감독 의무 등을 짚었다.
보험사는 보험계약 모집뿐 아니라 사고 현장 출동, 긴급출동 서비스, 손해사정 등 다양한 업무를 외부 업체에 맡긴다. 특히 여러 보험사의 상품을 판매하는 GA는 다수 고객의 정보를 취급하는 만큼 정보보호 관리가 중요하다.
고객정보 이전, 위탁·제공 따라 책임 달라
보험사가 GA에 고객정보를 넘겼다고 해서 모두 같은 법적 관계로 볼 수는 없다. 보험사의 업무를 대신 처리하도록 정보를 ‘위탁’한 것인지, GA가 별도의 목적으로 정보를 이용하도록 ‘제공’한 것인지에 따라 적용되는 법적 요건과 책임이 달라진다. 또 계약서에 위탁이라고 명시했는지만으로 판단하는 것이 아니라 실제 정보 이용 목적과 처리 과정에서의 결정 권한 등을 살펴야 한다.
위탁에 해당하면 법적 요건을 충족하는 범위에서 정보주체의 별도 제공 동의 없이 정보를 처리할 수 있다. 반면 제3자 제공에 해당하는데도 필요한 동의 등 요건을 갖추지 않으면 제재 대상이 될 수 있다.
위탁으로 인정되더라도 보험사의 책임이 사라지는 것은 아니다. 개인정보보호법에 따라 위탁 계약을 문서로 작성하고 관련 내용을 공개해야 하며 수탁자에 대한 교육과 처리 현황 점검 등 관리·감독 의무도 이행해야 한다. 수탁자의 정보 처리 과정에서 문제가 발생하면 보험사에도 법적 책임이 따를 수 있다.
실제 자회사형 GA에 고객정보를 제공한 행위가 제재 쟁점이 된 사례도 있다. 금융위원회는 2026년 9월 동양생명이 고객 동의 없이 개인신용정보를 자회사 GA에 제공한 사안과 관련해 과징금 70억2300만원을 부과했다.
앞서 금융감독원 제재심의위원회는 해당 사안에 대해 과징금 1400억원대를 부과하기로 결정했다. 이후 금융위는 정보가 일반 외부업체가 아닌 보험 모집과 계약 유지·관리 등을 담당하는 자회사 GA에 제공됐다는 점 등을 고려해 과징금을 조정한 것으로 전해졌다.
보안 인력·투자 여력 차이…GA 정보보호 강화 추진
정보를 취급하는 GA의 보안 역량을 높이는 것도 과제다. 보험사와 달리 GA는 정보보호 관련 규제와 지원 체계가 동일하지 않고, 업체별 보안 인력과 시스템 투자 여력에도 차이가 있을 수 있다.
금융보안원에 따르면 사원사로 가입한 GA는 25개사로, 상반기 기준 대형 GA 73개사의 34.2%에 그쳤다.
GA업계의 보안 역량을 높이기 위한 업계 차원의 대응도 시작됐다. 금융보안원은 지난 8월 금융감독원과 보험사, GA 및 관련 협회 관계자들이 참석한 가운데 ‘보험사-GA 정보보안 협의체’를 출범했다. GA의 대형화·집중화로 고객정보가 한곳에 모이는 만큼 정보보호와 내부통제 역량을 강화하겠다는 취지다.
금융보안원은 협의체를 중심으로 GA 특화 보안점검 기준과 최소 보안기준을 마련하고 보안 컨설팅과 현장점검, 보험 모집인 대상 보안교육 등을 추진한다. 사원사로 가입한 GA에는 보안관제와 침해사고 예방·대응, 취약점 분석·평가, 모의해킹 등의 서비스도 제공한다.
GA업계 관계자는 “보안 관련 조치를 도입했다고 해서 침해사고가 발생하지 않는다고 단정할 수는 없다”며 “우선 사전 점검 체크리스트 등을 통해 내부통제와 IT 보안 관리 수준을 점검하고 업계 전반에 보안 관리의 필요성을 알리면서 참여를 확대해 신뢰를 높여 나갈 것”이라고 말했다.
