'개인정보' 해외로 무단 반출…카카오페이·애플, 과징금 84억원 철퇴

개인정보위, 카카오페이·애플에 과징금·과태료 부과
애플 수탁받아 개인정보 처리한 알리페이에는 시정명령

이용자들의 개인정보를 국외로 무단 반출한 카카오페이와 애플이 총 84억원 규모의 과징금을 물게 됐다. 애플과 계약해 고객 개인정보를 활용, 고객의 지불능력점수를 매긴 알리페이는 시정명령을 받았다.

개인정보보호위원회(개보위)는 22일 전체회의를 열고 개인정보 보호법상 국외이전 규정을 위반한 카카오페이 와 애플에 각각 59억6800만원과 24억500만원의 과징금을 부과했다고 23일 밝혔다. 애플은 220만원의 과태료도 부과받았다.

고학수 개인정보보호위원회 위원장

지난해 8월 카카오페이가 고객 동의 없이 개인정보를 알리페이에 넘겼다는 의혹이 불거지면서 개보위는 조사에 착수했다. 그 결과, 카카오페이가 약 4000만명에 달하는 전체 이용자의 개인정보를 이용자 동의 없이 알리페이로 제공했음을 확인했다. 아울러 애플이 제3국 수탁자인 알리페이를 통해 개인정보를 국외로 반출해 처리하는 사실을 이용자에게 알리지 않은 점도 확인했다.

카카오페이, 전체 이용자 정보 애플·알리페이에 넘겨…사용자 동의 없었다

이번 사태는 애플의 서비스를 카카오페이로 결제할 수 있도록 하는 과정에서 발생했다. 양사 간 협업을 통해 국내 사용자들은 ▲아이클라우드(iCloud) 등 애플의 구독형 서비스 ▲앱스토어에서의 유료 앱 구매 ▲앱 내 서비스 구매(인앱결제) 시 카카오페이 간편결제를 결제수단으로 활용할 수 있다.

결제수단을 등록하는 과정에서 카카오페이는 이용자 개인정보를 알리페이에 전송했다. 알리페이는 애플의 위탁을 받고 카카오페이를 결제수단으로 등록한 고객의 지불능력을 점수화하는 데 개인정보를 활용했다.

이 과정에서 카카오페이가 전체 이용자의 개인정보를 동의 없이 알리페이에 제공하면서 문제가 불거졌다. 카카오페이는 애플의 수탁사인 알리페이가 점수 산출 모델 구축을 할 수 있도록 전체 카카오페이 이용자의 개인정보를 2018년 4월부터 7월까지 총 3차례에 걸쳐 동의 없이 알리페이에 전송했다. 전송된 개인정보는 최소 1590만명 분량에 달하는데, 암호화된 형태의 휴대폰 번호와 이메일 주소, 카카오페이 충전 잔고 등이 포함됐다.

특히 안드로이드 스마트폰을 사용해 애플과 무관한 이용자들의 개인정보까지 알리페이에 전송된 것으로 조사됐다. 카카오페이 전체 이용자 중 애플에 카카오페이를 결제수단으로 등록한 이용자는 20% 미만인데, 80% 이상을 차지하는 나머지 이용자들의 정보까지 알리페이에 넘어간 셈이다.

카카오페이로부터 개인정보를 받은 애플 역시 개인정보 처리 위탁 및 국외이전 사실을 이용자들에게 고지하지 않았다. 애플은 카카오페이 결제수단 연동을 위한 통신 API 개발 등 시스템통합 업무를 알리페이에 위탁했는데, 이 과정에서 카카오페이 이용자의 개인정보를 처리하면서도 고객들에게 알리지 않았다. 정보통신망법 제63조에 따르면 개인정보를 국외로 이전하기 위해서는 개인정보처리방침 등을 통해 개인정보 처리 위탁과 국외이전 사실을 이용자에게 고지하고 동의를 받아야 한다.

개보위는 알리페이에는 카카오페이 이용자의 점수 산출 모델을 파기하도록 시정명령했다. 알리페이는 2019년 6월27일부터 올해 5월21일까지 매일 카카오페이로부터 전체 이용자의 정보를 자동 전송받아 이용자별 점수를 산출했고, 애플이 조회를 요청하는 이용자의 점수를 전송했다.

개보위 관계자는 "이번 조사는 최근 글로벌 플랫폼 서비스의 확대로 개인정보 국외이전이 증가하고 있는 상황에서 개인정보 국외 이전의 범위를 명확히 하고 사업자가 국외 이전의 적법 요건을 반드시 준수해야 함을 재확인한 점에서 의의가 있다"면서 "사업자는 개인정보 국외 이전이 수반되는 서비스 제공 시 정보 주체의 별도 동의를 받거나 개인정보처리방침 등을 통해 개인정보가 국경을 넘어 이전되는 사실을 반드시 알려야 한다"고 강조했다.

카카오페이와 애플은 금융당국으로부터도 별도의 제재를 받을 것으로 전망된다. 전승재 개보위 조사3팀장은 "개보위의 처분이 종국적인 처분은 아니다"라며 "금융위원회와 금융감독원 등에서 별도로 신용정보법 위반으로 처분할 것으로 예상된다"고 말했다.

카카오페이에 부과된 과징금 규모에 대해서는 "알리페이와 애플 이외에 다른 곳으로 개인정보가 유출되지 않았고, 두 곳 모두 나름의 통제를 하고 있었다는 사정을 고려했다"면서도 "검토가 충분히 이뤄지지 않은 대규모 개인정보 전송이 이뤄졌음에도 관리·감독이 효과적으로 이뤄지지 않았음을 감안했다"고 설명했다.

카카오페이 관계자는 "안전한 결제 환경을 제공하기 위해 꼭 필요한 절차라는 점과 그 처리 근거를 소명했지만 이러한 결과를 맞게 돼 매우 안타깝게 생각한다"면서 "향후 대응 방안을 신중히 검토해 계속해서 소명해 나갈 것"이라고 밝혔다.

이명환 기자 lifehwan@asiae.co.kr