[단독]경찰, '개인정보 유출' 카카오페이 연이틀 압수수색

이틀에 걸쳐 카카오페이 본사 압수수색 실시
알리페이에 동의 없이 고객정보 542억건 넘겨
과징금 취소 소송 패소했지만 다시 항소 제기

고객 동의 없이 542억건에 달하는 개인정보를 중국 간편결제 서비스인 알리페이 측에 넘긴 카카오페이를 상대로 경찰이 최근 압수수색을 벌였다. 금융감독원이 적발한 대규모 정보 유출 의혹이 강제수사 국면으로 전환되면서 개인정보 처리 적법성을 규명하는 데 속도가 붙고 있다.

경기남부경찰청 반부패경제범죄수사대는 신용정보법 위반 혐의로 경기 성남시 카카오페이 본사에 수사관을 보내 압수수색을 실시했다고 9일 밝혔다. 압수수색은 지난 6~7일 이틀에 걸쳐 이뤄졌다. 경찰은 카카오페이가 알리페이에 막대한 양의 고객 정보를 제공하게 된 경위와 이용자 동의 절차의 적법성을 규명하는 데 필요한 내부 문건, 전산 자료 등을 확보한 것으로 전해졌다.

경기 성남시 카카오페이 본사 내부. 카카오페이

경찰과 금감원에 따르면 카카오페이는 2018년부터 2024년 5월까지 고객 약 4000만명의 개인정보 542억건을 고객의 동의 없이 중국 알리페이 측에 무단으로 전송한 혐의를 받고 있다.

이 같은 대규모 개인정보 유출은 애플 아이폰 이용자가 카카오페이를 결제 수단으로 등록하는 과정에서 발생했다. 당시 카카오페이는 알리페이 중계를 거쳐 애플에 고객의 결제 정보를 전송했다. 이 과정에서 암호화된 휴대전화 번호, 이메일 주소, 충전 잔고 등 정보가 알리페이에 무단으로 넘어간 것으로 드러났다. 알리페이는 전송받은 정보를 NSF 점수(자금 부족 가능성을 판단하기 위해 책정하는 고객별 점수) 산출 모델을 구축하는 작업 등에 활용한 것으로 조사됐다.

이 사건은 개인정보보호위원회가 지난해 1월 카카오페이에 과징금 59억6800만원을 부과했다고 발표하면서 알려졌다. 이후 금감원은 카카오페이에 대한 조사를 벌여 올해 2월 중징계에 해당하는 기관 경고를 내리고, 과징금 129억7600만원과 과태료 480만원을 부과했다. 나아가 금감원은 지난 3월 경찰에 수사를 의뢰했고, 경기남부청은 금감원으로부터 넘겨받은 자료를 분석해왔다.

카카오페이에 대한 경찰 수사가 본격화하면서 카카오페이의 정보 제공을 업무 위수탁으로 인정할 수 있는지 여부가 주요 쟁점으로 꼽힌다. 신용정보법에 따르면 수집된 개인신용정보를 타인에 제공하기 위해서는 당사자 동의를 받아야 한다. 해외 법인에 해당하는 알리페이의 경우 개인정보 국외 이전 동의까지 받아야 한다. 알리페이가 카카오페이로부터 넘겨받은 정보를 결제 업무를 넘어 NSF 점수 산출 모델 구축 등에 활용한 것으로 드러난 만큼 본업에 해당하는 대금결제 업무 범위를 벗어난 정보 활용은 위수탁 관계가 성립하지 않는다는 지적이 제기되고 있다.

카카오페이는 이 같은 신용정보법을 두고 위탁업체를 통해 정보가 이전될 경우 정보 주체의 동의를 구하지 않아도 된다고 해석하고 있다. 그러나 개인정보보호위원회는 지난해 1월 이 사건과 관련한 과태료 부과 조치를 발표하며 "카카오페이가 위탁자로서 계속 책임을 부담한다는 약정이나 안전장치가 없었던 만큼 양사가 위수탁 관계에 해당하지는 않는다고 판단했다"고 설명했다.

카카오페이는 업무 위수탁에 따른 적법한 정보 제공이었다는 입장을 고수하며 개인정보위로부터 받은 제재 처분에 불복하는 행정소송을 제기했지만, 서울행정법원은 지난달 11일 원고 청구를 모두 기각했다. 개인정보위가 부과한 과징금 등 처분도 유지했다. 그러나 카카오페이는 지난달 24일 과징금 부과가 정당하다고 인정한 법원 판단에 재차 불복하고 항소를 제기한 상태다.

한편 1심 법원은 "카카오페이가 이용자 전체에 받은 동의는 고객 식별, 본인 확인·인증, 요금 정산 등을 위한 것으로, 그 동의만으로는 개인정보 주체가 정보 이전을 인지하거나 NSF 점수로 산출되는 점에 명확하게 동의했다고 볼 수 없다"며 "NSF 점수 산출 과정에서 개인정보에 관한 자기 통제권이 무력화됐기 때문에 개인정보 주체의 동의가 있었다고 할 수 없다"고 판시했다.

장희준 기자 junh@asiae.co.kr