2.7 감독당국(소속 직원 및 현재 또는 과거에 감독당국을 대리한 제3자 포함)은 법규에 따라 감독당국이 취득한 기밀정보를 보호할 의무가 있다.
2.7.1 감독당국이 보호해야 하는 기밀정보의 종류는 법규에 구체적으로 명시되어야 한다. 일반적으로, 여타 감독당국이 제공한 정보(ICP 3〈정보교환 및 비밀유지〉 참조)를 포함하여 감독대상 기관과 관련하여 취득한 모든 비공개 정보는 기밀정보에 해당한다. 감독당국이 기밀정보를 제공할 수 있는 상황 및 해당 정보를 제공할 수 있는 대상도 법규에 구체적으로 명시되어야 한다.
2.7.2 감독당국은 기밀정보를 보호하여야 한다. 물리적 형태, 전자적 형태 등 어떤 형태에 보관된 정보인가에 관계없이 모든 기밀정보에 안전장치가 적용되어야 한다. 감독당국은 자신이 보유하고 있는 정보의 민감도를 다양한 유형별로 평가하여야 하며, 각 유형별 정보보유 기간 등 해당 정보 유형에 적절한 정보보안 요건을 마련해야 한다.
2.7.3 감독당국 및 소속 직원(퇴직자 포함), 현재 또는 과거에 감독당국을 대리한 모든 자는 기밀정보를 위법적으로 취득·활용·공개할 경우 처벌을 받아야 한다. 이는 감독당국과 용역 계약을 체결한 외부 전문가나 감독당국의 감독기능을 위임받은 자에게도 적용된다. 관련 위법행위에 따른 처벌은 법규에 구체적으로 명시되어야 하고, 면직, 형사소송 등의 징계가 포함될 수 있다. 기밀정보에 대한 비밀유지 의무는 고용관계나 고용 계약 등이 종료된 이후에도 지속적으로 적용되어야 한다.