최근 경찰이 고객 동의 없이 개인정보를 중국 알리페이에 제공한 혐의를 받는 카카오페이에 대한 수사에 착수했다. 2024년부터 이어져 온 개인정보 국외 이전 논란이 개인정보보호위원회와 금융감독원 제재를 거쳐 형사수사 단계로까지 이어진 것이다.
14일 경기남부경찰청에 따르면 반부패경제범죄수사대는 신용정보법 위반 혐의로 카카오페이를 수사 중이다. 경찰은 금융감독원으로부터 관련 자료를 넘겨받아 지난 3월부터 수사에 착수한 것으로 알려졌다.
금융당국 등에 따르면 카카오페이는 2018년부터 2024년 5월까지 약 4000만명 고객의 개인정보 542억건을 중국 간편결제 서비스 알리페이 측에 전송한 혐의를 받고 있다. 해당 정보는 애플 아이폰 이용자가 카카오페이를 결제 수단으로 등록하는 과정에서 전달된 것으로 조사됐다.
당시 카카오페이는 알리페이 중계를 통해 애플에 고객 결제 정보를 전달하는 과정에서 암호화된 휴대전화 번호와 이메일 주소, 충전 잔고 등의 정보를 알리페이에 넘긴 것으로 파악됐다. 금융당국은 알리페이가 이를 고객 신용점수인 'NSF 스코어' 산출 등에 사용한 것으로 보고 있다.
이 논란은 개인정보보호위원회가 지난해 1월 카카오페이에 과징금 59억6800만원을 부과하면서 본격적으로 공론화됐다. 개인정보위는 당시 카카오페이가 이용자 동의 없이 개인정보를 국외 사업자인 알리페이에 제공했다고 판단했다.
이후 금융감독원 역시 검사를 거쳐 올해 2월 기관경고와 함께 과징금 129억7600만원, 과태료 4800만원을 부과했다. 금감원은 특히 카카오페이 측이 주장한 '업무 위수탁' 논리를 공개적으로 반박하며 강경한 입장을 보였다.
금감원은 지난해 보도 참고자료를 통해 "카카오페이가 알리페이에 고객별 NSF 스코어 산출·제공 업무를 위탁했다는 내용의 계약은 존재하지 않는다"고 밝혔다. 또 회원 가입 약관과 해외 결제 동의서 등을 확인한 결과 NSF 스코어와 관련한 고객정보 제공 근거 역시 확인되지 않았다고 설명했다.
금감원은 대법원 판례를 근거로 "위탁은 위탁자 본인의 업무 처리와 이익을 위한 경우여야 하고 수탁자가 독자적 이익을 가져서는 안 된다"며 "이번 사안은 이에 해당하지 않는다"고 지적했다. 사실상 카카오페이 설명과 달리 단순 업무 위수탁이 아닌 제3자 정보 제공에 해당한다고 판단한 셈이다.
암호화 방식에 대해서도 문제를 제기했다. 금감원은 "SHA256 방식의 암호화 기술(정보를 알아보기 어려운 형태로 바꾸는 기술)을 사용했지만 랜덤값을 추가하지 않은 단순 암호화에 불과하다"며 "원래 정보를 다시 식별할 수 있다"고 설명했다. 즉 개인정보를 암호화해 전송했다고 하더라도 다시 특정 개인을 알아볼 수 있는 상태였다는 게 금감원 판단이다. 이어 "알리페이가 애플 아이디와 고객 정보를 연결하기 위해서는 결국 개인 식별이 가능해야 한다"고 덧붙였다.
카카오페이는 금융당국 제재에 불복해 행정소송도 진행 중이다. 회사는 지난 3월 금융위원회를 상대로 과징금 부과 처분 취소 소송을 제기했으며, 개인정보보호위원회의 과징금 처분에 대해서도 별도 취소 소송을 낸 상태다.
카카오페이 측은 스포츠조선에 "현재로서는 별도의 공식 입장이 없다"며 말을 아꼈다. 경찰 연락이나 자료 요청 여부 등에 대해서도 "밝히기 어려운 상황"이라고 했다.
다만 진행 중인 행정소송과 관련해서는 "기존 입장과 달라진 부분은 없다"고 설명했다. 카카오페이는 "애플 서비스 이용 과정에서 발생 가능한 부정거래 위험 탐지를 위해 관련 정보를 암호화해 처리했다"며 "해당 정보 처리는 업무 위수탁 관계에 따른 것으로 보고 있다"고 밝혔다.
업계에서는 가입자 수가 4000만명에 달하는 국내 대표 핀테크 플랫폼에서 수년간 대규모 개인정보 이전이 이뤄졌다는 점 자체를 이례적으로 보고 있다. 특히 카카오페이가 간편결제 시장 상위 사업자인 만큼 개인정보 보호와 내부 통제 체계 역시 업계 최고 수준의 관리 기준이 요구된다는 지적이다.
개인정보보호위원회와 금융감독원 제재에 이어 경찰 수사까지 이어지면서 단순 실무상 오류를 넘어 내부 의사결정과 관리 체계 전반의 문제 아니냐는 시각도 있다. 업계 관계자는 "이용자 규모와 시장 영향력을 고려하면 개인정보 처리와 국외 이전 과정 역시 그에 걸맞은 수준의 관리 체계가 작동했어야 한다는 지적이 나온다"고 말했다.
문지연 기자 lunamoon@sportschosun.com