개인정보보호위원회(개인정보위)는 개인정보보호법상 국외이전 규정을 위반한 카카오페이에 과징금 59억6800만원, 애플에 과징금 24억500만원과 과태료 220만원을 각각 부과한다고 23일 밝혔다.
또한 애플과 위수탁 관계인 알리페이에는 카카오페이 이용자에 대한 NSF(Non Sufficient Funds Score) 점수의 산출 모델을 파기하도록 시정명령했다. 이 NSF 점수는 애플 서비스 내 여러 건의 소액결제를 한 건으로 묶어 일괄청구하는 경우 자금부족 가능성 등을 판단하기 위한 고객별 점수다.
개인정보위 조사 결과, 카카오페이는 전체 이용자 약 4000만명의 개인정보를 동의 없이, 애플의 서비스 이용자 평가 목적으로 알리페이로 제공했다. 이용자는 자신의 어떤 개인정보가 왜 국외로 이전되고 있는지를 알 수 없었다. 애플이 제3국의 수탁자인 알리페이를 통해 개인정보를 국외로 이전해 처리하는 사실을 이용자들에 알리지 않은 것도 확인됐다.
애플은 간편결제 등 국가별 결제수단과 일일이 시스템을 연동하는 부담을 덜고자 권역별로 해당 업무를 위탁하는 구조를 취한다. 알리페이는 애플의 한국 권역 수탁사 중 하나로, NSF 점수 산출을 포함한 결제 처리에 수반된 개인정보 처리 업무를 맡았다. 알리페이가 카카오페이로부터 개인정보를 매일 자동으로 전송받아 이용자별 NSF 점수를 산출하고 모델을 현행화, 애플이 결제 이용자의 점수를 조회하면 즉시 회신하는 식으로 운영됐다.
특히 여기에는 애플 서비스를 전혀 쓰지 않는 안드로이드 이용자들의 개인정보까지 포함됐다. 카카오페이 이용자 중 애플에서 결제를 하는 이용자는 약 20% 미만에 불과함에도 애플과 무관한 80% 이상 이용자들의 정보까지 전송했다. 또 애플과 연동된 국내 결제수단 중 알리페이에서 NSF 점수를 산출하는 곳은 카카오페이가 유일했다.
이날 브리핑에서 전승재 개인정보위 조사3팀장은 "애플 또는 알리페이가 카카오페이에게 전체 이용자 정보를 반드시 달라고 요구한 게 아니고, 이용자 동의를 받거나 적법 근거를 갖춰서 달라고 요청했다. 그럼에도 카카오페이가 충분한 검토 없이 전체 이용자 정보를 전송하기로 속단한 것으로 보인다"고 지적했다.
애플은 카카오페이 결제수단 연동을 위한 통신 응용프로그램인터페이스(API) 개발 등 시스템통합(SI) 업무를 알리페이에 위탁했음에도 이를 개인정보처리방침에 고지하지 않았다. 개인정보 처리 업무의 국외 수탁자로 NHN KCP만 기재하고 알리페이가 누락된 사실이 적발됐다. 이 알리페이에 카카오페이 개인정보 기반 NSF 점수 산출 및 제공 등을 맡겨왔다.
개인정보위는 카카오페이와 애플에 과징금·과태료를 부과하면서 적법한 국외이전 요건을 갖추도록 시정명령을 내렸다. 또 알리페이가 위법하게 제공받은 개인정보로 구축한 NSF 점수 산출 모델을 파기하도록 명령했다.
전 팀장은 "이번 조사는 최근 글로벌 플랫폼 서비스의 확대로 개인정보 국외이전이 증가하는 상황에서 그 범위를 명확히 하고 사업자가 적법 요건을 반드시 준수해야함을 재확인한 점에서 의의가 있다. 개인정보 처리를 외부에 위탁하는 경우 위탁자가 정보주체에 대한 책임을 부담해야 한다"며 "이 사건에 대해 개인정보위 처분은 개인정보 국외이전 관련에 한하고, 무단 제공에 대해선 신용정보법에 따라 금감원·금융위가 조만간 처분을 내릴 것"이라 덧붙였다.팽동현기자 dhp@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
