카카오페이 개인정보 유출 논란, “엇갈린 해석에 개인정보 법리 공백 드러나”

카카오페이, 알리페이, 애플을 둘러싼 개인정보 이전 논란이 장기화되고 있다. 금융위원회는 5월 초 금감원 제재안건에 최종 의결을 내릴 예정이었으나, 법리적 검토가 더 필요하다는 판단에 추가 검토에 들어간 상태다.

업계에 따르면, 개인정보 유출과 정당한 위수탁 계약에 따른 처리인지에 대한 해석이 정부 부처 간은 물론 사법부와도 엇갈렸다. 개인정보 활용을 둘러싼 법리 기준의 공백이 여실히 드러나고 있다.

카카오페이가 애플의 앱스토어 결제 서비스 연동을 위해, 전체 고객 약 4000만명의 개인정보를 알리페이(싱가포르 법인)에 암호화된 형태로 전송한 데서 시작됐다. 알리페이는 이 정보로 고객별 신용 점수를 산출하고, 애플은 이를 활용해 일괄결제 승인 여부를 판단했다.

이번 사안은 개인정보 처리에 따른 이익과 통제권을 가진 주체를 가리는 것이 핵심 쟁점이다.

카카오페이는 이 과정이 부정결제 방지 목적의 기술적 절차이고, 알리페이가 업무 수탁자라고 주장한다. 하지만 금융감독원과 개인정보위원회는 모두 '제3자 개인정보 제공'으로 결론을 내렸고, 판단 기준은 달랐다.

금감원은 실질적 이익은 알리페이에 있다고 판단했고, 개인정보위원회는 애플이 정보를 통제하고 최종 책임을 지는 구조로 해석했다. 이 자체가 현행 법제에서 제3자 제공과 위수탁 구분의 모호성을 보여준다는 지적이 나온다.

사법부도 해석이 다르다. 카카오페이는 개보위 제재에서 시정·공표 명령에 대해 행정소송을 제기했고, 서울행정법원은 카카오페이의 손을 들었다. 재판부는 “회복하기 어려운 손해가 발생할 수 있다”고 집행정지의 필요성을 인정했다.

문제는 같은 사안을 보고 기관별로 차이가 있을 뿐 아니라 각 기관 내부에서 해석이 크게 엇갈렸다. 개보위 내 심의에서도 “처리위탁으로도 볼 수 있다”는 의견이 나와 팽팽한 대립이 있었고, 금융위원회 역시 정례회의에서 “제3자 정보 제공과 위수탁 업무의 경계가 불명확하다”며 가이드라인 정비 필요성을 인정했다.

업계와 법조계에선 현행 개인정보 보호법과 신용정보법의 해석 기준이 실무 현실을 따라가지 못하고 있다고 지적한다. 글로벌 결제 연동, 이상거래 탐지(FDS) 시스템, AI 기반 분석 모델 등 기술이 결합된 금융 서비스 구조에서는 명확한 기준이 없다면, 기업은 법적 리스크를 감수해야 하고, 감독기관의 자의적 해석 논란에 휘말릴 수밖에 없다.

업계 관계자는 “카카오페이 사례는 단순한 행정 처분의 문제가 아니라, 개인정보 이전과 활용의 경계선에 대한 본질적인 질문을 던지고 있다”며 “법적 책임 여부를 가리는 것을 넘어, 향후 금융·플랫폼 산업 전반의 데이터 활용 기준을 설정하는 분기점이 될 수 있다”고 말했다.

이어 “금융사의 사업 방향도 크게 달라질 수 있는 만큼 명확한 기준, 가이드라인을 세우는 게 필요하다”고 덧붙였다.

박두호 기자 walnut_park@etnews.com