애플·알리페이 사건 제재 불복소송 본궤도 
개인정보 제3자제공·처리위탁 판단 '관심'

카카오페이 로고

카카오페이가 '애플·알리페이 사건'으로 개인정보보호위원회에 제기한 제재처분 불복소송이 본궤도에 오르면서 양측의 공방이 점화했다. 실무에서 흔한 개인정보 '제3자 제공'과 '처리위탁'의 기준이 핵심 쟁점으로 떠오르면서 판결의 향방에 관심이 쏠린다.

서울행정법원 행정12부(부장판사 강재원)는 10일 카카오페이가 개인정보위를 상대로 낸 시정명령·과징금·공표명령 처분 취소소송의 1차 변론을 주재했다. 재판부는 이날 양측의 기본입장을 확인하고 올 9월 2차 변론을 거쳐 이르면 11월 중순쯤 변론을 종결하겠다고 예고했다.

사건은 카카오페이가 애플의 결제수단으로 입점한 2019년으로 거슬러 올라간다. 애플은 한 사용자의 여러 구매내역을 묶어 대금을 청구하는 방식으로 결제 수수료를 절감했는데, 잔고가 부족한 결제수단을 등록한 뒤 구매대금을 부도내는 사용자를 가려내기 위해 개인별로 부도 확률을 예측하는 'NSF(Non-sufficient Fund·잔고부족) 점수'를 고안했다. NSF 점수가 낮은 사용자에게는 청구 주기를 좁히는 식이다.

한편 애플은 국가마다 결제수단을 제각각 연동하는 수고를 덜기 위해 알리페이를 일종의 중간업체로 세웠다. 결제수단을 카카오페이로 등록한 애플 사용자는 앱·음원 등을 구입하면 결제정보가 카카오페이에서 알리페이를 거쳐 애플로 전달되는 구조다.

알리페이는 일정한 예측모델에 따라 사용자별 NSF 점수를 산출해 애플로 넘기는 업무도 담당했는데, 카카오페이는 점수 산출에 필요한 이용자의 연락처와 충전잔고·결제횟수 등을 알리페이에 넘긴 것으로 드러났다.

국내 개인정보보호법을 보면 정보주체로부터 개인정보를 수집한 기업·기관 등 개인정보처리자는 다른 처리자에게 개인정보를 넘길 때 '제3자제공'이나 '처리위탁' 규정을 따라야 한다. 제3자제공은 정보주체의 별도 동의가 필요하지만 관리·감독 책임이 개인정보를 넘겨받는 쪽에 발생하고, 처리위탁은 별도의 동의절차가 필요 없지만 개인정보를 넘겨주는 쪽이 관리·감독 책임을 져야 한다. 이 밖에 개인정보보호법에는 개인정보를 외국으로 넘길 경우 정보주체의 별도 동의를 받으라는 '국외이전' 제한규정도 있다.

개인정보위 조사결과에 따르면 카카오페이는 NSF 점수를 산출하기 위해 알리페이가 개인정보를 넘겨받는다고 명시한 제3자제공 동의서를 받지 않았다. 오히려 애플 서비스에서 카카오페이 이외 결제수단을 택한 사용자나 안드로이드폰을 가진 사용자까지 합쳐 약 4000만명의 개인정보를 알리페이에 제공했다. 이에 개인정보위는 카카오페이가 제3자제공·국외이전 규정을 위반했다며 지난 1월 과징금 59억6800만원과 시정명령·공표명령을 부과하기로 의결했다.

고학수 개인정보보호위원장이 지난달 25일 서울 종로구 정부서울청사에서 열린 개인정보보호위원회 2025년 제14회 전체회의에 참석해 발언하고 있다./사진=뉴시스

카카오페이는 알리페이에 개인정보를 넘긴 행위가 제3자제공이 아닌 처리위탁에 해당하고, 그 과정도 적법했다며 지난 4월 소송을 냈다. 이날 법정에서 카카오페이의 대리인은 "개인정보 수집·이용 동의서를 보면 개인정보를 부정결제 방지목적으로 이용한다는 내용이 들어 있다"며 "동의받은 수집·이용 범위 안에서 개인정보를 위탁한 것"이라고 변론했다.

개인정보위는 처리위탁이 자신의 책임 아래 타인에게 일을 맡기는 법률관계라는 특성에 비춰보면 카카오페이가 한 행위를 처리위탁으로 볼 수 없다는 입장이다. 이날 개인정보위의 대리인은 "재판부 명령에 따라 제출할 계약서에 카카오페이와 알리페이의 관계가 명확히 나와있다"고 진술했다.

카카오페이가 낸 집행정지 신청이 지난 5월 법원에서 받아들여진 데 따라 개인정보위가 부과한 시정명령·공표명령의 효력은 1심 판결 전까지 정지된 상태다. 다만 개인정보위의 본안소송 승소율이 90%를 상회하는 탓에 카카오페이가 최종적으로 처분을 면할 수 있을지는 불투명한 실정이다.

정보기술(IT) 업계에선 소송 여파를 주시한다. 기업·기관 실무에서 제3자제공·처리위탁은 모두 흔한 개인정보 취급방법인데다 약관 작성 실수가 곧바로 각종 제재까지 이어질 수 있어서다. 한 법조계 관계자는 "개인정보보호법이 2023년 큰 폭으로 개정돼 참고할 만한 선례가 많지 않다"고 말했다.

성시호 기자 shsung@mt.co.kr

Copyright © 머니투데이 & mt.co.kr. 무단 전재 및 재배포, AI학습 이용 금지.