다. 개인정보 활용/동의 원칙 및 절차
□ GLBA가 취하고 있는 기본 원칙은 Opt-out 방식이며, 소비자권익 보호를 위해서 금융정보를 제공하는 회사는 소비자에 대해 제공사실이나 거부권 행사에 대해 통지해야 할 의무를 부과하고 있음.
○ 즉 금융회사가 외부에 금융소비자의 금융정보를 제공하기 위해서는 미리 금융소비자에게 이러한 제공사실 및 거부권을 통지하여야 하고, 일단 통지한 이상 금융소비자로부터 특별한 반대의사표시가 없는 이상 제3자에게 금융정보를 제공 가능
□ 또한 동일인(광의의 의미)에 의해 지배받는 관련회사(affiliated firm)와는 소비자의 거부권 행사에도 불구하고 정보를 공유할 수 있으며, 공동마케팅(joint marketing)을 위한 목적일 경우 소비자 거부권과 무관하게 비관련회사에도 제공할 수 있도록 함(GLBA 6802조 (b)(2)).
○ GLBA에서 비관련회사와의 정보공유 시 소비자 거부권을 규정하고 있고, 관련회사에 대해서는 어떤 규정도 없어 관련회사와는 자유롭게 정보공유가 가능한 것으로 해석
○ 공동마케팅과 관련해서는 해당회사 간 정식 서면으로 작성된 공동약정이 있어야 하고, 금융정보를 제공받는 제3자의 비밀유지를 의무화하는 약정도 체결해야 함(GLBA 6809조 (10)).
○ 뿐만 아니라 이러한 정보공유에 관해 소비자에게 통지해야 하며, 이는 비관련회사뿐만 아니라 관련회사와의 정보공유에 모두 적용
○ 한편 관련회사들 전체를 하나의 단위로 보아 자유롭게 공유를 인정하되 정보의 원래 수령자가 이용할 수 있는 범위 내에서만 다른 공유자가 이용할 수 있도록 규정
* 즉 각종 감독기구의 명령(regulation)에는 제공받은 정보의 다른 용도에의 이용금지 등 추가적인 요건이 부가
□ GLBA에 따라 금융회사들은 고객에게 연간 개인정보 고지(Annual Privacy Notice)를 제공해야 하나(2000년에 도입), 이러한 의무는 소비자편익은 적으나 금융회사의 비용은 너무 크다는 단점이 존재
○ 협회들은 연간 개인정보 고지가 개인정보 고지 의무(privacy notice requirements) 가운데 가장 효용이 적은 것으로 평가함.
* 특히 금융회사가 법적으로 허용된 정보공유를 시행하지 않거나 정보공유 방침이 이미 고객에게 공시한 데에서 벗어나지 않을 때 연간 보고는 불필요한 비용이 발생
□ 이러한 문제에 대응하여 CFPB(Consumer Financial Protection Bureau)는 2014년에 Regulation P를 개정하고 연간 개인정보 보고의 대안을 제공한 바 있음.