금융감독원은 지난 13일 카카오페이가 알리페이에 개인정보를 이전한 것이 위법하다고 발표했다.
이에 대해 카카오페이는 '애플/알리페이 정보제공 관련 기사에 대한 안내'라는 글을 홈페이지에 게시하며 즉시 해명 입장을 발표했다.
금융감독원과 카카오페이의 입장은 첨예하게 대립하고 있다.

금융감독원의 조사 결과에 따르면 이 사건은 크게 두 가지 사안으로 나뉜다.
첫 번째 사안은 카카오페이가 NSF(Non-Sufficient-Funds) 스코어 산출을 목적으로 알리페이에 개인정보를 제공한 것이다.
NSF 스코어란 애플이 일괄 결제시스템 운영 시 필요한 고객별 신용점수다.
알리페이는 NSF 스코어 산출을 명목으로 카카오페이에 전체 고객의 신용정보를 요청했으며, 카카오페이는 해외결제를 이용하지 않은 고객까지 포함해 전체 고객의 개인신용정보를 고객 동의 없이 2018년 4월부터 지금까지 매일 1회, 총 542억 건(누적 4045만명) 제공했다.
두 번째 사안은 국내 고객이 해외 가맹점에서 카카오페이로 결제할 때, 카카오페이가 알리페이에 대금 정산을 위해 필요한 주문 결제정보를 넘어 불필요한 고객 신용정보까지 제공한 것이다.

이번 사건의 핵심은 첫 번째 사안이다.
카카오페이는 이 개인정보 제공이 정보 주체의 동의가 필요 없는 신용정보 처리위탁에 해당하므로 위법하지 않다고 주장했다.
그러나 금융감독원은 이 개인정보 제공이 위수탁 관계가 아니라, 개인정보의 제3자 제공 관계에 해당한다고 판단했다.
개인정보 처리위탁은 수탁자가 위탁자의 이익을 위해 정보를 처리하는 반면, 제3자 제공은 제3자의 이익을 위해 정보를 처리한다.
개인정보 처리위탁은 정보 주체가 사전에 예측할 수 있지만, 제3자 제공은 사전예측이 어렵다.
개인정보 처리위탁의 경우 위탁자가 수탁자를 관리·감독할 권한이 있어야 하며, 개인정보를 처리 위탁할 때는 위탁자와 수탁자가 반드시 위탁계약을 체결하고 이를 금융위원회에 보고해야 한다.

금융감독원은 애플스토어 입점이 카카오페이와 알리페이 모두에게 이익이 되는 업무라고 판단했다.
따라서 카카오페이가 알리페이에 NSF 스코어 산출을 목적으로 개인정보를 제공한 것은 위탁자 본인의 이익을 위한 것이 아니라, 카카오페이와 알리페이 각자의 이익을 위한 것으로 봤다.
또한 카카오페이 고객이 자신의 개인정보가 애플스토어 입점 때문에 국외로 제공될 수 있다는 사실을 가입 시 인지하기 어려웠다고 판단했다.
금융감독원이 확인한 바에 따르면 카카오페이는 위탁자로서 알리페이를 관리·감독한 적이 없었으며 알리페이 측 보안을 이유로 업무 내역도 확인하지 못했다.
게다가 카카오페이와 알리페이가 NSF 스코어 산출을 위해 개인정보를 위탁한다는 취지의 계약을 체결한 사실도 확인되지 않았다.
이러한 점을 종합해 금융감독원은 이 정보 이전이 개인정보 처리위탁이 아닌 제3자 제공이라고 판단했다.

개인정보 처리위탁과 제3자 제공은 이렇게 큰 차이가 있다.
개인정보 처리위탁은 정보 주체의 동의가 필요 없지만, 제3자 제공은 정보 주체의 동의를 받아야 한다.
이를 이해하지 못하고 신용정보를 이전하면 금융위원회는 전체 매출액의 3% 이하에 해당하는 금액을 과징금으로 부과할 수 있다.
카카오페이의 2023년 매출은 연결 재무제표 기준 6154억원, 별도 재무제표 기준 5556억 원이므로, 카카오페이가 알리페이에 신용정보를 이전한 것이 개인정보 처리위탁으로 해석되지 않고 제3자 제공으로 해석된다면, 카카오페이는 최대 약 180억원의 과징금까지 부과받을 수 있다.

카카오페이가 신용정보법이나 개인정보 보호법을 실제로 위반했는지는 향후 추가적인 조사와 법적 분쟁을 통해 밝혀질 것으로 보인다.
다만 금융감독원이 카카오페이의 개인정보 이전 행위를 위법하다고 판단한 이상, 카카오페이 경영은 큰 타격을 입을 가능성이 크다.
카카오페이의 사례를 잘 살펴 개인정보 위탁과 제3자 제공의 차이점을 제대로 이해하고, 개인정보를 적법하게 처리해야 한다.

안희철 변호사｜법무법인 디엘지

現 포항공과대학교 산업경영공학과 겸직교수

現 사단법인 한국엔젤투자협회 이사

現 중소벤처기업부 스타트업 온라인 법률지원사업 법률 자문단 위원

現 스타트업법률지원단 단장