카카오페이, 알리페이 정보이전 패소…법원 "개인정보 자기통제권 침해"

[경제일보] 카카오페이가 고객 개인정보를 알리페이에 넘긴 행위는 적법한 처리위탁이 아니라 이용자 동의가 필요한 제3자 제공이라는 법원 판단이 나왔다. 법원이 개인정보보호위원회의 과징금 처분을 유지하면서 카카오페이의 국외 개인정보 이전 리스크가 다시 부각되고 있다.

서울행정법원 행정12부(재판장 강재원)는 11일 카카오페이가 개인정보위를 상대로 제기한 시정명령 등 처분 취소소송에서 원고 패소 판결했다. 개인정보위가 지난해 1월 카카오페이에 부과한 과징금 59억6800만원과 시정명령의 적법성을 인정한 것이다.

이번 사건의 쟁점은 카카오페이가 알리페이 싱가포르 법인에 넘긴 고객 정보가 ‘개인정보 처리위탁’인지, 이용자 동의가 필요한 ‘제3자 제공’인지였다. 카카오페이는 애플 결제 서비스의 부정결제 방지를 위해 정보를 암호화해 제공했고 이는 적법한 위탁 범위에 해당한다고 주장해왔다.

법원 판단은 달랐다. 재판부는 카카오페이가 제공한 휴대전화 번호, 이메일 주소 등 24개 항목의 정보와 알리페이가 산출한 NSF 점수가 개념상 별개 정보라는 점은 인정했다. 그러나 개인정보가 알리페이로 이전돼 NSF 점수로 처리되는 전체 과정을 보면 실질적으로 애플 결제 서비스 운영을 위한 정보 활용이라고 봤다.

NSF 점수는 애플 서비스 이용자의 자금 부족 가능성과 결제 위험도를 평가하기 위한 지표다. 재판부는 이 점수가 애플의 개별 청구와 일괄 청구 여부 판단, 결제 실패 위험 감소, 수수료 절감 등에 쓰였다고 판단했다. 정보 처리로 발생한 경제적 이익이 카카오페이나 알리페이가 아니라 애플에 귀속된다고 본 것이다.

이용자 동의 범위도 문제가 됐다. 재판부는 카카오페이 고객들이 본인 확인, 인증, 요금 정산 등을 위한 개인정보 처리에는 동의했더라도 정보가 알리페이로 이전돼 NSF 점수로 가공되고 애플의 결제 승인·신용평가성 지표로 활용되는 것까지 명확히 동의했다고 보기 어렵다고 판단했다.

특히 애플 서비스를 이용하지 않는 카카오페이 고객 정보까지 알리페이에 제공된 점도 처분의 적법성을 뒷받침했다. 정보주체 입장에서는 자신의 개인정보가 국외로 이전돼 별도 리스크 점수로 변환되고 애플 서비스 운영에 활용될 가능성을 예상하기 어렵다는 게 법원 판단이다. 재판부는 이 과정에서 이용자의 개인정보 자기통제권이 사실상 무력화됐다고 봤다.

이번 판결은 간편결제와 글로벌 플랫폼 연동 서비스 전반에 파장을 줄 수 있다. 국내 사업자가 해외 빅테크, 글로벌 결제망, 제3국 수탁사를 거쳐 데이터를 처리하는 구조가 늘고 있는 만큼 단순 암호화나 위탁 계약만으로 개인정보 국외이전 책임을 피하기 어렵다는 기준을 제시했기 때문이다.

카카오페이는 판결문을 검토한 뒤 향후 대응을 결정하겠다는 입장이다. 회사 측은 애플 서비스 결제 과정에서 부정결제를 방지하기 위해 필요한 절차였고 정보를 철저히 암호화해 적법하게 위탁했다는 기존 입장을 유지하고 있다. 항소 여부에 따라 법적 다툼은 이어질 가능성이 있다.

시장 시선은 금융당국의 후속 제재에도 쏠린다. 개인정보위 처분은 개인정보보호법상 국외이전 위반을 다룬 것이고 동의 없는 제3자 제공에 따른 신용정보법 위반 여부는 금융위원회가 별도로 판단할 사안이다. 이번 법원 판단은 금융위 심의에도 부담 요인으로 작용할 수 있다.