소비자 금융 보호 회람 2022-04

민감한 소비자 정보에 대한 데이터 보호 또는 보안 미흡

제시된 질문

기업이 데이터 보호 또는 정보 보안이 불충분한 경우 소비자금융보호법(CFPA)의 불공정 행위 또는 관행 금지 규정을 위반할 수 있나요?

요약 답변

예. 금융 기관의 데이터 보안에 관한 기타 연방법(예: 그램 리치-블라일리 법(GLBA)에 따라 제정된 세이프가드 규칙)과 더불어 ‘대상자’ 및 ‘서비스 제공업체’는 CFPA의 불공정 행위 또는 관행 금지 규정을 준수해야 합니다. 기업이 수집, 처리, 유지 또는 저장하는 민감한 소비자 정보에 대한 보안이 불충분한 경우 12 U.S.C. 5536(a)(1)(B)를 위반하는 불공정 관행에 해당할 수 있습니다. 이러한 요건은 종종 중복되는 경우가 있지만, 서로 상충되는 것은 아닙니다.

행위 또는 관행이 소비자 또는 경쟁사에 대한 상쇄적 이익보다 합리적으로 피할 수 없거나 상쇄할 수 없는 상당한 피해를 야기하거나 야기할 가능성이 있는 경우 불공정합니다. 부적절한 인증, 비밀번호 관리 또는 소프트웨어 업데이트 정책이나 관행은 소비자가 합리적으로 피할 수 없는 상당한 피해를 야기할 가능성이 높으며, 금융 기관은 소비자 또는 경쟁사에 대한 상쇄적 이익을 근거로 취약한 데이터 보안 관행을 성공적으로 정당화할 수 없을 것입니다. 부적절한 데이터 보안은 침해나 침입이 없는 상황에서 불공정한 관행이 될 수 있습니다.