카카오페이 패소, '알리페이 경유' 왜 문제가 됐나

"NSF 점수 활용 이익은 애플 귀속"…알리페이 단순 수탁자 아니라 판단

카카오페이 "부정결제 방지 위한 위탁" vs 개보위 "제3자 제공"

"계약보다 실제 데이터 흐름 중요…정보 이전 고지 강화 필요"

카카오페이가 서울행정법원이 지난 11일 개인정보보호위원회(개보위)의 과징금 부과 처분을 유지한 데 따라 항소 여부를 검토 중이다. 해당 이미지는 AI로 제작됨.

카카오페이의 개인정보 국외 이전을 둘러싼 행정소송 1심 판결이 나오면서 개인정보 처리위탁과 제3자 제공의 경계를 둘러싼 논란이 다시 불붙고 있다.

이번 사건의 핵심은 애플·알리페이·카카오페이 간 계약 구조에서 개인정보 이전 행위를 '처리 위탁'으로 볼지, '제3자 제공'으로 볼지 여부다.

25일 금융권에 따르면 카카오페이는 서울행정법원이 지난 11일 개인정보보호위원회(개보위)의 과징금 부과 처분을 유지한 데 따라 항소 여부를 검토 중이다.

카카오페이는 최근 판결문을 전달 받아 내부 검토를 진행 중이며 조만간 항소 여부를 결정할 예정이다.

앞서 개보위는 지난해 1월 카카오페이가 2019년 6월부터 2024년 5월까지 약 4045만명의 개인정보를 알리페이에 제공했다며 59억6800만원의 과징금과 시정명령을 부과했다.

사건의 핵심은 애플 앱스토어 등에 카카오페이를 결제수단으로 등록하는 과정에서 필수 결제정보 외에 'NSF(Non-Sufficient-Funds) 점수' 관련 정보가 추가로 알리페이에 전달된 부분이다.

NSF 점수는 이용자의 과거 거래 이력 등을 토대로 결제 실패 가능성을 예측하는 지표다. 애플은 이를 결제 승인 여부와 단건·일괄 청구 방식을 결정하는 데 활용했다.

애플은 개별 국가의 결제수단을 직접 연결하기보다 아시아·태평양(APAC) 지역 등을 담당하는 권역별 결제 사업자를 통해 결제망을 운영해왔다.

국내에서는 알리페이가 애플과 카카오페이 간 중간자 역할을 수행했다.

이용자는 애플 계정에 카카오페이를 결제수단으로 등록하는 과정에서 카카오페이를 통한 정보 제공과 국외 이전에는 동의했지만, 알리페이를 거쳐 정보가 이전되고 NSF 점수 산출에 활용되는 것에 대해서는 별도의 동의를 받지 않았다.

개보위와 법원은 이를 제3자 제공으로 보고 이용자 동의가 필요했다고 판단했다.

카카오페이는 알리페이가 애플의 수탁자로서 부정결제 방지를 위한 업무를 수행했을 뿐이라고 주장해왔다.

카카오페이 측은 "해당 정보는 애플 결제 서비스에 참여하기 위한 부정결제 방지 목적의 정보였고, 암호화된 상태로 전달됐다"며 "핵심 쟁점은 정보 전달 행위를 위수탁으로 볼지, 제3자 제공으로 볼지에 대한 법적 해석의 문제"라고 설명했다.

반면 개보위와 법원은 알리페이가 NSF 점수를 산출하고 애플이 이를 결제 승인과 추가 인증 여부 결정에 활용한 만큼 단순 위탁으로 보기 어렵다고 판단했다.

법원은 NSF 점수가 애플의 결제 승인 및 청구 방식 결정에 활용됐고, 그에 따른 경제적 이익 역시 애플에 귀속된다는 점을 고려해 제3자 제공으로 판단했다.

개보위 관계자는 "일반적으로 위수탁과 제3자 제공은 해당 행위로 인한 이익이 누구에게 귀속되는지, 실질적인 정보 통제권이 누구에게 있는지를 기준으로 구분한다"며 "수탁자가 위탁자가 시키는 업무만 수행하는 경우 위수탁으로 보지만, 데이터를 자체적으로 통제하거나 독자적인 이익을 얻는다면 제3자 제공으로 판단할 수 있다"고 말했다.

위수탁과 제3자 제공을 가르는 기준이 명확하지 않다는 점에서 향후 항소심에서도 관련 법리 다툼이 이어질 가능성이 커 보인다.

전문가들은 향후 항소심이 진행될 경우 '실제 데이터 흐름'과 '이용자 인식'이 핵심 쟁점이 될 것으로 판단한다.

황석진 동국대 국제정보보호대학원 교수는 "애플과의 계약이 존재한다고 해서 개인정보 이전에 대한 적법성 책임이 자동으로 면제되는 것은 아니다"며 "항소심에서는 애플·알리페이·카카오페이 사이의 법적 구조를 어떻게 해석할 것인지, 이용자가 자신의 정보가 어떤 목적으로 어떤 경로를 거쳐 해외로 이전되는지 충분히 인식했는지가 핵심 쟁점이 될 것"이라고 진단했다.

황 교수는 특히 "계약 문구보다 실제 데이터 흐름과 정보 통제권, 이용자 인식이 더 중요하게 작용할 가능성이 크다"며 "카카오페이가 단순 전달만 했는지, 이용자 고지와 동의가 적절했는지가 항소심에서도 주요 쟁점이 될 것"이라고 덧붙였다.

학계에서는 이번 사건을 계기로 개인정보 이전 과정에서 이용자에 대한 고지 체계를 강화해야 한다는 지적도 나온다.

황 교수는 "이용자가 한 번 동의했다고 해서 정보가 여러 사업자를 거쳐 반복적으로 이전되는 구조는 한계가 있다"며 "정보가 누구에게 이전되는지, 어디까지 활용되는지, 언제까지 보관되는지를 이용자에게 보다 명확히 고지하는 체계 마련이 필요하다"고 강조했다.