금감원 "카카오-알리페이간 위탁계약 없어…암호화는 일반인도 풀 수준"

약관·공시·동의서에 없는 정보 '불법 제공'

[연합뉴스 제공]

금융감독원이 알리페이에 제공한 정보가 이용자 동의가 필요 없는 정보였다는 카카오페이의 반박을 재반박했다. 카카오페이와 알리페이간 계약서상 'NSF스코어'(애플에서 요구하는 고객별 신용점수) 산출 및 제공업무를 위탁하는 내용이 존재하지 않고, 카카오페이의 약관이나 공시에도 이같은 내용이 전혀 들어있지 않다는 것이다.

금감원은 14일 설명자료를 내고 "카카오페이와 알리페이가 체결한 일체의 계약서와 카카오페이의 약관, 동의서, 공시 등을 확인한 결과 NSF스코어와 관련한 고객정보 제공을 유출할 수 있는 내용이 전혀 존재하지 않았다"고 밝혔다.

카카오페이 약관에는 고객정보 관련 수집 내용만 존재해 제3자 제공에 대한 내용이 없고, 동의서에도 결제승인과 정산 등을 위해 고객식별정보나 결제정보만 제공하는 것으로 기재돼 있다.

홈페이지에 공시한 '개인신용정보 처리업무 위탁' 사항에도 NSF스코어 산출 및 제공업무는 포함되지 않았고, 경품 배송이나 홍보물 발송, 청구서 중계업무 등만 위탁했다.

금감원은 대법원 판례를 보면 '신용정보의 처리 위탁'이 되기 위해서는 위탁자 본인의 이익을 위한 경우여야 하고, 수탁자는 위탁사무처리 대가 외 독자적인 이익을 가지지 않아야 하지만 이번 사건은 이에 해당하지 않는다고 봤다.

또 금융회사가 정보처리 업무를 위탁하기 위해서는 금감원에 사전 보고해야 하지만, 카카오페이는 이번 사태와 관련한 어떠한 내용도 감독당국에 보고하지 않았다.

카카오페이가 주장하는 '철저한 암호화'도 사실과 다르다고 지적했다. 카카오페이가 사용한 암호화 프로그램은 공개된 프로그램 중 가장 일반적으로 통용되는 것으로, 암호화 과정에서 랜덤값을 추가하지 않아 일반인도 복호화가 가능한 수준이라고 설명했다. 특히 카카오페이가 암호화 함수를 지금까지 한번도 변경한 사례가 없다고 지적했다.

또 알리페이가 애초 카카오페이에 개인신용정보를 요청한 목적이 해당 정보를 애플ID에 매칭하기 위한 것이었고, 이를 위해서는 카카오페이가 제공한 개인식별정보를 복호화해야 하기 때문에 알리페이가 개인신용정보를 식별하지 않는다는 주장은 모순이라고 반박했다.

금감원 관계자는 "그동안 개인신용정보 등이 동의 없이 제3자에게 제공되는 경우 엄정하게 처리해 왔다"며 "앞으로도 유사사례 재발 방지를 위해 노력하겠다"고 말했다.

김남석기자 kns@dt.co.kr