이대호 변호사 법무법인(유) 세종

핀테크 산업과 및 핀테크 사업자의 개인정보보호

인도네시아 금융감독청(Otoritas Jasa Keuangan; OJK)의 2022년 보고서에 따르면, 인도네시아의 P2P 대출 사업자의 총 자산은 전통적인 소액 대출 위주의 금융기관이 보유한 총 자산의 약 4배에 이르고 있다. 인도네시아 P2P 대출 산업의 급속한 성장이라는 긍정적 측면과 별개로, 그동안 P2P 대출 산업 내에서 채권 회수방법의 위법성, 다소 높은 이자율, 개인정보보호의 미비, P2P 대출 사업자의 난립 등의 문제로 인하여 P2P 대출 산업에 대한 비판도 꾸준히 제기돼 왔다. 특히, OJK의 허가를 받지 않은 불법적인 P2P 대출 사업자의 존재 등으로 인하여 P2P 대출 산업에 대한 불신이 확산되기도 하였다. 이에 P2P 대출 산업의 성장에 따른 규제 공백을 보완하고 소비자 보호를 제고하며 개인정보보호의 강화 등을 위하여 2022년7월 4일 「2022년 제10호 정보기술기반 자금조달서비스에 관한 OJK규정」(PERATURAN OTORITAS JASA KEUANGAN REPUBLIK INDONESIA NOMOR 10/POJK.05/2022 TAHUN 2022 TENTANG LAYANAN PENDANAAN BERSAMA BERBASIS TEKNOLOGI INFORMASI, 이하 “POJK 10/2022”)이 제정 및 공포되었다.

POJK 10/2022에 의하면, P2P 방식의 대출에 있어서 자금제공자(대주)와 자금수령자(차주) 사이의 대출계약은 ‘전자문서’에 의하도록 하고 있고 그러한 ‘전자문서’의 내용에는 “당사자의 신원”이 필수적으로 포함돼야 한다. 그리고 POJK 10/2022에서는 핀테크 사업자들 사이의 데이터 교환행위를 가능하도록 규정하면서 그러한 데이터의 교환 협력은 개인정보보호에 관한 법령의 규정에 따르도록 하고 있다. 즉, P2P사업자의 경우 자금제공자 및 자금수령자의 금융정보를 보유하고 있는 자로서 인도네시아 개인정보보호에 관한 법률(UNDANG-UNDANG REPUBLIK INDONESIA NOMOR 27 TAHUN 2022 TENTANG PELINDUNGAN DATA PRIBADI, 이하 “개인정보보호법”) 상의 ‘개인정보관리자’에 해당하는 자로서 개인정보를 보호하여야 하는 의무를 부담한다고 보는 것이 타당하다.

핀테크 사업자의 개인정보보호 의무

핀테크 사업자는 인도네시아 개인정보보호법상의 ‘개인정보관리자’로서의 지위를 보유하고 있으므로 온라인 P2P대출의 과정에서 개인정보를 처리함에 있어서 개인정보의 주체로부터 명시적으로 개인정보의 수집 등에 관한 명시적인 승인을 받아야 한다.

개인정보에 대한 주체의 명시적 승인은 전자적 또는 비전자적인 방법으로 행해질 수 있는데, 구체적으로 전자적인 문서 또는 오프라인의 서면 문서에 서명을 하거나 또는 문서가 아니더라도 녹음과 같은 기록의 방식으로도 행해질 수 있다. 만약, 개인정보에 대한 주체의 명시적인 승인을 받지 않은 상태에서 개인정보의 처리를 가능하도록 하는 계약이 체결된다면, 그러한 계약은 인도네시아 개인정보보호법에 의하여 무효가 된다.

개인정보보호법에 따른, 핀테크 사업자의 개인정보의 처리는 다음과 같은 개인정보보호의 원칙에 따라 수행되어야 한다.