카카오페이·개보위 공방…알리페이 거쳐 애플로 간 개인정보 동일성 여부 쟁점

카카오페이가 개인정보보호위원회에 제기한 행정소송에서 고객 개인정보와 애플의 부정결제 방지 지표인 NSF 점수의 동일성 여부가 핵심 쟁점으로 부각됐다.

서울행정법원 행정12부(재판장 강재원)는 최근 열린 2차 변론기일에서 “원천정보인 개인정보에는 수십 개 항목이 포함돼 있고 이를 기반으로 NSF 점수가 산출된다”며 “원천 정보와 산출물을 같은 정보로 볼 수 있는지 여부가 이 사건의 핵심 쟁점”이라고 정리했다.

카카오페이는 2019년부터 애플 앱스토어 결제 과정에서 부정거래를 막기 위해 알리페이 시스템을 활용해 왔다. 국내 약 4000만명 고객의 개인정보를 암호화시켜 알리페이 싱가포르 법인에 이전했고, 알리페이는 이를 NSF 점수라는 '결제 리스크 지표'로 산출했다. 애플은 이를 활용해 결제 승인 여부를 판단했다.

개보위는 카카오페이가 개인정보 국외이전 과정에서 고객 동의를 받지 않았다며 지난 1월 과징금 59억6800만원을 부과했다. 애플과 알리페이에도 각각 제재가 내려졌다. 카카오페이는 이에 불복해 행정소송을 제기했다.

카카오페이는 개인정보와 NSF 점수는 전혀 다른 정보라고 강조했다. 카카오페이 측은 “알리페이에 이전한 개인정보는 단순히 NSF 점수 산출을 위한 위탁 행위일 뿐이며, 실제 애플과 거래된 것은 NSF 점수”라며 “카카오페이는 NSF 점수를 직접 산출할 능력이 없어 경험이 많은 알리페이에 맡긴 것으로 적법한 위·수탁”이라고 강조했다.

반면 개보위는 이 과정을 '제3자 제공'이라며 맞섰다. 개보위 측은 “알리페이가 애플의 수탁자이므로, 카카오페이가 알리페이에 정보를 제공한 것은 곧 애플에 제공한 것과 같다”며 “개인정보와 NSF 점수를 규범적으로 동일하게 봐야 한다”는 입장이다. 원천 정보와 산출물을 구분하지 않고 동일한 법적 책임을 부과해야 한다는 맥락이다.

이에 카카오페이 측은 “애플은 NSF 점수만 조회했을 뿐 개인정보에 접근할 권한이 없다”며 “규범적 동일성 개념은 제재 근거를 과도하게 확장하는 결과를 낳는다”고 반박했다.

재판부는 “정보 흐름을 보면 카카오페이에서 애플로 직접 전달된 것은 아니지만, 알리페이를 거쳤다는 점에서 제3자 제공에 해당하는지가 문제”라며 “다음 변론기일에 개인정보와 NSF 스코어의 차이를 더 분명하게 설명할 필요가 있다”고 강조했다.

이번 재판은 개인정보와 산출물의 경계, 국외 이전의 법적 성격을 판단하는 중요한 분수령이 될 전망이다.

박두호 기자 walnut_park@etnews.com