‘카카오페이 정보유출’ 애플까지 들여다본다

■ 개인정보위도 조사 착수
알리페이에 542억건 정보 제공
애플 NSF스코어 산출 위탁 명목
알리페이→애플 이전여부 조사
애플 조사？ 사실관계 명확해져

이용자 동의 없이 휴대전화 번호, 거래 내역 등 개인신용정보를 중국 알리페이로 이전했다는 혐의를 받는 카카오페이에 대해 개인정보보호위원회가 본격 조사에 착수했다. 금융감독원과 경찰 조사에 이은 것으로, 카카오페이와 알리페이는 물론 애플까지 조사 대상에 포함됐다. 현재 쟁점인 카카오페이와 알리페이의 위·수탁 관계 여부에 대해 더 명확히 파악하기 위해서다.

개인정보위 관계자는 5일 “카카오페이에 요구한 자료 제출이 끝났고 조사에 착수한 상황”이라며 “현재 카카오페이·알리페이·애플 등으로 조사 업무를 나눠 조정 중”이라고 말했다. 개인정보위는 연내 조사를 마무리한다는 목표로 속도를 낸다는 방침이다.

개인정보위에 따르면 카카오페이는 알리페이에 고객 개인신용정보를 넘기는 과정에서 별도 동의가 필요함에도, 개인정보 처리방침을 통한 고지만 하는 등 관련 법규를 위반한 혐의를 받는다. 현행 개인정보보호법 제28조의 8 제1항 등에 따르면 개인정보를 국외로 이전하려는 개인정보처리자는 정보주체로부터 이와 관련해 별도 동의를 받아야 한다.

다만, 정보주체와의 계약 체결 및 이행을 위해 필요한 경우 △이전되는 개인정보 항목 △개인정보가 이전되는 국가, 시기 및 방법 △개인정보를 이전받는 자의 성명(법인이면 명칭과 연락처) △개인정보를 이전받는 자의 개인정보 이용목적 및 보유·이용 기간 △개인정보 이전을 거부하는 방법, 절차 및 거부의 효과 등을 개인정보 처리방침이나 전자우편 등을 통해 정보주체에 알려야 한다.

카카오페이와 알리페이 관계가 카카오페이의 업무를 수행하기 위한 위·수탁 관계라면 별도 동의 없이 고지로 갈음할 수 있다. 카카오페이는 지난달 13일 “알리페이와의 업무 위·수탁 관계에 따라 개인을 특정할 수 없도록 비식별화된 정보를 제공하고 애플에서 해당 데이터를 활용해 부정 결제 여부 등을 판단할 수 있도록 한다”고 주장했다. 반면 금감원은 카카오페이와 알리페이의 관계를 업무상 필요한 위·수탁 계약관계로 보기엔 어렵다는 견해다. 개인정보위 관계자도 “통상의 업무 위·수탁 계약과 개인정보 위·수탁 계약이 둘 다 있어야 한다”며 “위탁하는 업무와 기술적인 개인정보 처리 방법 및 범위 등을 함께 명시했어야 하는데 미흡해 보인다”고 말했다.

앞서, 금감원은 카카오페이가 애플이 제휴 조건으로 요청한 고객별 신용점수 ‘NSF 스코어’를 산출한다는 명목으로 알리페이에 총 542억 건에 달하는 고객 신용정보를 제공해왔다고 밝힌 바 있다. 금감원은 다만, 애플이 금융회사가 아니기 때문에 NSF 스코어 정보가 애플에 넘어갔는지를 확인하지는 못한 것으로 전해졌다. 만일, 알리페이가 카카오페이로부터 받은 고객 개인정보를 바탕으로 NSF 스코어를 산출하지 않았거나 애플에 제출하지 않았다면 문제는 더 커진다.

개인정보위 관계자는 “위·수탁 관계 여부를 확인하기 위해서는 계약으로 누가 이익을 보는지를 파악해야 하고, 이를 위해서는 계약서와 제반 사항을 살펴봐야 한다”며 “개인정보위는 금감원과 달리 비금융회사인 애플까지 살펴볼 수 있어 더 명확한 사실관계를 알 수 있을 것”이라고 말했다. 그는 “(고객 개인정보를) 카카오페이가 필요해서 맡긴 건지, 알리페이나 애플이 필요해서 준건지를 보고 있다”고 덧붙였다.

구혁 기자 gugija@munhwa.com