'4천만명 中에 정보 이전' 카카오페이, 항소심 쟁점은?

1심, 협약·이메일까지 살펴 위·수탁 관계 부정 정보 중단 뒤에도 NSF점수 3개월 유지…항소심 판단 주목

[파이낸셜뉴스]카카오페이가 알리페이를 경유해 이용자 개인정보를 동의 없이 이전한 데에 제재가 적법하다는 1심 판결에 불복해 항소심을 앞뒀다. 항소심에서도 '업무위탁' 여부가 최대 쟁점이 될 전망이다. 1심은 계약 문서와 이메일 내용까지 살펴 카카오페이와 알리페이 사이의 개인정보 처리 위탁관계를 인정하지 않았다.

15일 본지가 입수한 서울행정법원 행정12부(강재원 부장판사)의 1심 판결문을 보면 재판부는 카카오페이와 알리페이 사이에 개인정보보호법상 위·수탁 관계가 성립하지 않는다고 지난달 11일 판단했다.

쟁점은 카카오페이가 알리페이에 개인정보를 넘긴 행위가 '업무위탁'에 따른 것인지, 애플에 대한 '제3자 제공'인지다. 카카오페이는 2019년 6월부터 2024년 5월까지 약 4045만명의 고객번호, 휴대전화번호, 이메일 등 24개 항목을 알리페이에 전달했다. 알리페이는 이를 활용해 결제 실패 가능성을 예측하는 미충당자금(NSF) 점수를 산출했다. 애플은 이 점수를 결제 승인 여부와 결제 방식 결정에 활용했다.

재판부는 계약 문구를 중요한 근거로 제시했다. 재판부는 "원고(카카오페이)와 알리페이 사이에는 개인정보 처리위탁에 관련된 처분문서인 개인정보 처리위탁에 관한 계약서 등이 존재하지 않는다"고 판시했다. 카카오페이가 약 5년간 위탁업무와 수탁자를 홈페이지에 공개하지 않은 점도 지적했다.

카카오페이는 상호기밀유지협약과 개인정보보호약정을 근거로 실질적인 위탁관계가 있었다고 주장했지만 받아들여지지 않았다. 재판부는 "각 협약과 약정에 언급된 '기밀정보' '중요정보' '개인정보' 등의 문언만으로는 그것이 24개로 특정된 이 사건 정보를 포함하는 의미라고 보기 어렵다"고 밝혔다.

상호기밀유지협약에 대해서도 "원고와 알리페이가 거래를 논의하는 과정에서 교환되는 사업상 정보들을 기밀로 유지하기 위한 것일 뿐"이라고 판단했다. 협약 부록의 '애플의 요구사항에 따른 NSF모델 구축' 문구 역시 "당사자 사이에 제휴를 고려하고 있는 사업의 내용을 특정한 것에 불과하다"고 봤다.

법원은 카카오페이가 알리페이에 보낸 이메일에 "결제처리를 위탁하는 것으로 간주한다"는 내용에도 판단을 뒤집지 않았다. 재판부는 '결제처리 위탁'과 '개인정보 처리 위탁'는 다르다고 봤다. 또 같은 이메일의 '금융감독원에 위탁 사실을 신고해야 한다'는 문구 역시 개인정보가 아니라 금융거래정보 처리업무 위탁을 의미하는 것으로 판단했다.

개인정보를 일방향 암호화해 전달했으므로 통제권을 유지했다는 주장도 받아들여지지 않았다. 일방향 암호화가 된 이용자 정보 역시 NSF점수로 산출하는 데 제약이 없는 점, 알리페이가 기존 이용자 정보와 결합해 암호화를 무력화할 수 있는 점이 고려됐다.

정보 파기 과정도 판단 근거가 됐다. 카카오페이가 2024년 5월 정보 제공 중단과 파기를 요청했지만 알리페이는 애플이 점수 조회를 중단한 같은 해 8월에야 NSF점수를 파기했다. 재판부는 "원고에게 이 사건 정보에 대한 실효적 파기권한이 있었다고 보기 어렵다"고 판단했다.
법원은 결국 NSF점수의 이익이 애플에 귀속되는 점 등을 종합해 카카오페이가 자신의 업무를 알리페이에 맡긴 것이 아니라, 애플의 수탁자인 알리페이를 통해 제3자인 애플에 개인정보를 국외 이전한 것으로 결론 내렸다.

카카오페이는 지난달 24일 항소했고, 지난 9일 항소심 재판부에 집행정지도 신청했다. 카카오페이 측은 "디지털 서비스 환경에서 '업무 위탁'과 '제3자 제공의 범위'에 관한 법적 기준을 명확히 확인하고자 항소를 제기했다"고 밝혔다.

scottchoi15@fnnews.com 최은솔 기자