카카오페이-개보위 최종 공방…“NSF 점수, 누구를 위한 모델인가?”

카카오페이와 개인정보보호위원회(개보위) 공방이 막바지에 이르렀다. 이용자 4000만명의 개인정보가 중국 알리페이에 이전됐다는 의혹을 받은 카카오페이가 '부당한 오명'을 벗길 수 있을지가 최대 관심사다.

서울행정법원 행정12부(재판장 강재원)는 최근 행정소송 최종변론에서 '알리페이로 정보 이전이 제3자 제공인지 처리위탁인지', '정보 관리와 이익 귀속'이 핵심 쟁점으로 정리했다.

재판부는 최종 변론 시작 전에 “처분 사유는 원고가 이 사건정보를 애플에 제공했다는 점”이라며, “사건정보와 NSF 점수는 동일한 정보가 아니고, 사건정보를 물리적으로 이전받은 주체는 알리페이”라고 밝혔다. 재판부가 1,2차 변론 내내 이어진 논쟁을 정리해 전제를 분명하게 제시했다. 이는 카카오페이에 유리한 흐름으로 해석된다.

앞서 개보위는 카카오페이가 개인정보 국외이전 과정에서 고객 동의를 받지 않았다며 지난 1월 과징금 59억6800만원을 부과했다. 카카오페이는 이에 불복해 행정소송을 제기했다.

문제가 되는 '이 사건정보'는 카카오페이 이용자의 서비스 이용 패턴을 범주화한 24개 항목의 데이터다. 카카오페이는 암호화한 뒤 업무수탁자인 알리페이 싱가포르 법인에 전달했다. NSF 점수는 알리페이가 '이 사건정보'를 기반으로 산출한 '부정결제 위험도 지표'다. 애플은 이 점수를 활용해 결제 승인 방식을 판단하고 FDS 목적으로도 활용했다.

◇알리페이에 준 정보는 '처리위탁'인가, '제3자 제공'인가

카카오페이는 “애플에 전달된 것은 NSF 점수뿐, 이 사건정보가 물리적으로도, 법적으로도 애플에 전달된 사실이 없다”고 밝혔다. 애플은 산출물만 조회하며, 원천데이터에는 접근할 수 없다는 것이다. 카카오페이는 알리페이와 NSF 모델 구축과 스코어 산출을 위해 기밀유지협약(NDA)·개인정보보호약정서를 체결한 처리위탁 관계라고 강조했다.

반면 개보위는 “사건정보는 NSF 점수 산출을 위한 입력값이고, 두 정보는 규범적으로 동일하게 취급해야 한다”고 주장했다. 애플이 NSF 점수 산출을 알리페이에 위탁했으므로, 카카오페이가 알리페이에 정보를 넘긴 것은 곧 애플에 제공한 것과 같다는 논리다.

재판부는 “두 정보는 동일하지 않다”며 “물리적 전달과 법적 제공을 동일시할 근거를 제출하라”고 요구했다.

◇정보를 지배·관리하고, 이익을 본 주체는?

제3자 제공 여부는 정보가 누구의 목적을 위해 처리됐는지, 누가 통제했는지, 어떤 경제적 이익이 발생했는지에 따라 달라진다. 카카오페이는 NSF 모델 구축은 결제 안정성 확보·가맹점 확대·고객 편의 향상 등 “카카오페이 이익을 위한 업무”라 주장했다. 정보도 암호화한 뒤 위탁자 지위를 유지한 만큼, “통제권 역시 카카오페이가 갖고 있다”고 강조했다.

반면 개보위는 “NSF 점수는 애플의 일괄청구 비용절감을 위한 도구로, 혜택은 애플이 본다”고 반박했다. 카카오페이가 정보 제공을 중단한 후에도 알리페이가 애플 요청에 따라 NSF 점수를 제공한 사례를 들며 “통제권도 카카오페이에 없었다”고 주장했다.

◇NSF 점수는 언제 활용되는가

최종 변론에서 NSF점수의 사용 시점도 새로운 쟁점으로 떠올랐다. 개보위는 “NSF 점수는 애플의 내부 청구방식 결정 지표이며, 카카오페이 이용자 결제 여부에 영향을 주지 않는다”고 주장했다.

카카오페이는 이에 “NSF점수는 결제수단 등록 단계뿐 아니라, 일정 금액 이상 결제, 의심 거래 판단 등 개별 결제에도 쓰인다”며 “이용자의 결제 경험에도 실질적인 영향을 미친다”고 반박했다.

재판부는 “사건정보는 물리적으로 알리페이에 갔고, 이를 어떤 기준으로 애플에 제공한 것이지 중요하다”라 밝혔다. 정보 통제, NSF 점수 산출 주체, 이익 귀속 등 세 요소를 종합적으로 판단하겠다는 방침이다.

이번 판결은 글로벌 결제 연동, 이상거래 탐지(FDS) 시스템, AI 기반 분석 모델 등이 금융 서비스에서 보편화되면서, 개인정보와 산출물의 경계, 처리위탁관계, 국외 이전의 법적 성격을 판단하는 중요한 판례가 될 전망이다.

박두호 기자 walnut_park@etnews.com