카카오페이, 개정위로부터 과징금 60억원…금감원 제재 촉각

[한국금융신문 김하랑 기자] 지난해 4000만명의 고객 정보를 동의 없이 알리페이에 전송한 카카오페이가 개인정보보호위원회로부터 60억원의 과징금 부과 처분을 받게 됐다. 카카오페이는 약 한달 뒤 개정위 공문을 받은 후 수용·이의신청·소송을 결정할 것으로 관측된다. 데이터 무단제공과 관련한 금융감독원 처분이 남아있는 만큼 카카오페이는 안심할 수 없는 상황이다.

24일 금융권에 따르면, 개인정보보호위원회는 개인정보보호법을 위반한 카카오페이에 대한 과징금과 시정명령 처분을 22일 전체회의에서 의결했다.

개인정보위 조사 결과 카카오페이는 약 4000만명인 전체 이용자 개인정보를 이들의 동의 없이 애플의 서비스 이용자 평가를 위해 알리페이에 제공했다.
애플이 결제·개인정보 처리 업무를 알리페이에 위탁, 알리페이는 카카오페이와 위탁 관계를 맺고 있는 구조로 고객정보는 카카오페이-알리페이-애플로 이동했다.

전송된 개인정보에는 이용자의 휴대전화번호, 이메일주소, 자금부족 가능성과 관련된 정보(카카오페이 가입일, 충전 잔고 등) 총 24개 항목이 포함됐다. 이 기간 누적 전송 건수는 약 542억건으로, 중복제거 시 4000만명으로 추산된다.

개정위는 카카오페이가 범위 외 고객 정보까지 무단 제공했단 점을 지적했다. 카카오페이 전체 이용자 가운데 애플에 결제수단을 등록한 비율은 20% 미만이었음에도, 카카오페이는 애플 이용자뿐만 아니라 안드로이드 사용자 등 애플 미이용자까지 포함된 전체 이용자의 정보를 알리페이에 전송했다.

개정위는 이러한 점을 근거로 카카오페이가 전체 이용자의 개인정보를 동의 없이 애플에 제공한 행위에 대해 '적법 처리 근거 없는 국외이전'으로 판단해 과징금 59억6800만원을 부과했다. 아울러 국외 이전에 대한 적법성을 갖추도록 시정명령하고, 홈페이지와 애플리케이션에 관련 사실을 공표토록 했다.

이에 대해 카카오페이는 "이번 사안에 대해 안전한 결제 환경을 제공하기 위해 꼭 필요한 절차라는 점과 그 처리 근거를 성실히 소명했지만, 이러한 결과를 맞게 되어 매우 안타깝게 생각한다"며 "향후 대응 방안을 신중히 검토해 소명해 나갈 것"이라고 말했다.
개정위는 알리페이가 자신의 수탁자여서 수탁자 관리·감독상의 과실은 있더라도 본 처분보다는 위법성 정도가 가볍다는 카카오페이 항변을 수용하지 않았다.

전승재 개인정보위 조사3팀장은 지난 22일 브리핑에서 이번 의결에 대해 "데이터 이전의 성격과 전체적인 구도를 봤을 때 카카오페이의 책임 영역을 떠나서 제3자인 애플과 그 수탁자인 알리페이에 제공됐다"고 설명했다.

이번 개정위 과징금 처분은 60억원에 육박하는 만큼 이의신청이나 소송으로 이어질 가능성도 있다. 카카오페이가 과징금 처분을 수용할 경우 바로 60억원을 토해내야 해 손실과 직결된다. 하지만 이의신청·소송을 택할 경하면 소명과 당분간의 손실을 막을 수 있다.

금감원 검사 결과와 조치로 추가 제재 가능성도 남아있다.

전승재 개인정보위 조사3팀장은 지난 22일 브리핑에서 "이 사건의 처분은 국외 이전과 관련된 부분에 한정되며, 데이터의 무단 제공 사안에 대해서는 주무 부처인 금융감독원과 금융위원회가 조만간 처분할 것으로 보인다"고 말했다.

실제 금감원은 카카오페이가 고객 동의 없이 신용정보를 제3자에게 제공했다는 점을 두고 위법 여부를 검토하고 있다. 정보 주체인 개인이 동의한 정보 사용 범위를 넘으면 안 되고, 위탁 내용도 공개해야 하는데 카카오페이 사례가 여기에 해당하는지는 따져봐야 한다는 것이다.

'신용정보의 이용 및 보호에 관한 법률'을 보면 개인신용정보를 수집하거나 수집된 정보를 다른 곳에 제공할 경우 반드시 당사자 동의를 받아야 한다. 하지만 카카오페이는 해당 법을 지키지 않은 것으로 금감원은 파악했다.

이에 대해 카카오페이는 위법은 아니라는 입장이다. 카카오페이는 설명자료를 통해 "불법적 정보제공을 한 바 없으며, 앱스토어 결제 수단 제공을 위해 필요한 정보 이전은 사용자의 동의가 필요 없는 카카오페이-알리페이-애플 간 업무 위수탁 관계에 따른 처리 위탁방식일 뿐"이라고 강조했다.

신용정보법 제17조 제1항에 따라 개인신용정보의 처리위탁으로 정보가 이전되는 경우 정보주체의 동의가 필요없다는 것이다.

카카오페이는 "알리페이에 정보를 제공할 때 무작위 코드로 변경하는 암호화 방식을 적용해 비식별 조치하고 있어, 부정 결제 탐지 이외의 목적으로는 활용이 불가능하다"고 주장했다.

김하랑 한국금융신문 기자 rang@fntimes.com