'알리페이에 고객 정보 유출' 카카오페이…법원 "60억 과징금 정당"

국민 4000만명의 동의 없이 금융·개인정보를 중국 알리페이에 넘긴 카카오페이에 과징금 60억원을 부과한 개인정보보호위원회(개보위)의 처분이 정당했다는 법원 판단이 나왔다.

서울행정법원 행정12부(부장판사 강재원)는 11일 카카오페이가 개인정보보호위원회를 상대로 낸 시정명령 등 처분 취소 청구 소송에서 원고 패소로 판결했다. 재판부는 "지난해 1월22일 개보위가 카카오페이에 한 과징금 부과, 시정명령, 공표 명령 처분의 취소를 구하는 카카오페이의 청구를 모두 기각한다"고 밝혔다.

개보위는 지난해 1월 전체 이용자 전체 이용자 약 4045만명의 개인정보를 동의 없이 알리페이에 제공한 카카오페이에 시정명령과 함께 과징금 59억6천여만원을 부과했다. 개보위 조사에 따르면 카카오페이는 2019년 6월27일부터 2024년 5월21일까지 애플이 알리페이에 위탁한 미충당자금(NSF) 점수 산출 모델 구축을 위해 전체 이용자 정보를 제공한 것으로 파악됐다.

NSF 점수란 애플 서비스에서 소비자들이 결제할 때 잔액 부족으로 결제가 거절될 가능성을 예측하기 위해 활용하는 고객별 신용 점수를 뜻한다. 애플은 NSF 점수를 직접 계산하는 데 대한 어려움 때문에 글로벌 결제 네트워크를 가진 알리페이 등 회사에 위탁해 점수를 산출해왔다.

카카오페이는 개보위로부터 시정명령·과징금을 받은 뒤 "개인정보의 '위수탁'과 '제3자 제공'에 대한 기준이 명료하지 않아 업계의 혼란이 계속된다"며 법리적 검토를 받기 위해 서울행정법원에 소송을 제기했다.

재판부는 "애플로부터 NSF 관련 업무를 수탁한 알리페이를 통해 제3자인 애플에게 정보를 국외 이전한 것으로 인정된다"고 밝혔다.

이어 "그럼에도 카카오페이는 정보주체인 고객들로부터 개인정보보호법 제28조의8 제1조 제1항 에 따른 동의를 받지 않았으므로 개보위의 처분 사유가 모두 인정된다"며 카카오페이의 청구를 모두 기각했다. 해당 조항에 따르면 개인정보처리자(카카오페이)는 개인정보를 국외로 제공해서는 안 된다. 다만 정보주체(고객)로부터 별도의 동의를 받은 경우 국외 이전이 가능하다.

재판부는 카카오페이 고객 정보로 인한 이익의 귀속 주체는 국외 기업인 애플이라고 판단했다. 재판부는 △카카오페이 이용자의 NSF 점수가 오로지 애플 내 서비스 이용에 필요한 점 △NSF 점수를 전제로 한 결제 체계를 사용해 향후 결제 부도 위험을 최소화한 점 등을 고려했다.

카카오페이가 정보를 넘긴 건 알리페이에 NSF 점수 계산을 위탁한 것이므로 고객의 동의를 받지 않아도 된다는 주장도 받아들여지지 않았다. 카카오페이는 개인정보보호법상 업무위탁에 따른 개인정보의 처리에 있어선 '동의받아야 한다'는 말이 없다고 주장해왔다.

이에 대해 재판부는 "카카오페이와 알리페이 사이의 NSF 관련 업무 위탁관계는 인정되지 않는다"고 판단했다. 재판부는 △카카오페이와 알리페이 사이에 개인정보 보호법령이 정한 위탁문서가 작성되지 않은 점 △카카오페이가 개보위 조사 전까지 애플의 결제 시스템 및 NSF 점수의 산출 방식과 의미를 정확히 파악하지 못한 점 등을 고려했다.

이 밖에도 카카오페이 고객들은 자신들의 개인정보가 애플 내 서비스에 활용되는 NSF 점수로 치환돼 애플의 이익을 위해 사용될 가능성을 예측할 수 없었다고 지적했다. 재판부는 "정보화 사회에서 정보 주체(고객)가 자기 결정권을 실제로 구체화하는 거의 유일한 방법은 개인정보의 수집·이용 ·제공에 대한 동의"라며 "개인정보처리자(카카오페이)는 이용목적을 명확하게 제시한 상태에서 동의받아야만 한다"고 부연했다.