법원이 고객 동의 없이 약 4000만명의 개인정보를 중국 알리페이에 넘긴 카카오페이에 부과된 과징금 약 60억원이 정당하다고 판단했다.
서울행정법원 행정12부(강재원 부장판사)는 11일 카카오페이가 개인정보보호위원회를 상대로 낸 시정명령 등 처분 취소 청구 소송에서 원고 패소로 판결했다.
개인정보위는 지난해 1월 카카오페이가 2019년 6월부터 2024년 5월까지 정보주체 동의 없이 약 4045만명의 개인정보 약 542억건을 알리페이에 전달했다며 시정명령과 함께 과징금 59억6000여만원을 부과했다. 전달된 정보는 해쉬 처리한 내부고객번호, 휴대전화번호, 이메일, 가입일시, 연결된 계좌 여부, 충전횟수 등 24개 항목이다.
우선 재판부는 카카오페이가 알리페이에 넘긴 이용자 정보와 알리페이가 이를 바탕으로 산출한 ‘NSF 점수’를 사실상 같은 정보로 봤다. 정보를 제공·처리한 목적이 NSF 점수 산출에 있었고, NSF 점수 산출 이후 해당 정보가 카카오페이나 알리페이에 독자적인 가치를 지닌다고 보기 어렵다는 이유에서다. NSF 점수는 애플 서비스 이용자의 결제 대금 부족 가능성을 평가하는 일종의 개인 신용 지표다.
재판부는 “NSF 점수로 인해 발생하는 이익은 오로지 애플에 귀속된다”며 “이 사건 정보와 NSF 점수는 규범적인 관점에서 동일한 정보라고 볼 수 있다”고 밝혔다.
재판부는 카카오페이가 알리페이에 정보를 넘긴 행위가 결국 애플에 정보를 국외이전한 것에 해당한다고 봤다. 카카오페이와 알리페이 사이의 위탁 관계는 인정되지 않았다. 양측 간 개인정보 보호법령이 정한 위탁 문서가 작성되지 않았고, 카카오페이는 약 5년의 정보 이전 기간 동안 수탁자와 위탁 업무를 홈페이지에 게재하는 의무도 이행하지 않았다는 이유에서다.
정보주체 침해 측면에서도 위법성이 인정됐다. 재판부는 카카오페이 이용자들이 가입 시 동의한 내용은 고객 식별·본인 확인 및 인증·요금 정산 등에 한정돼 있어, 자신의 정보가 NSF 점수로 산출돼 애플의 결제 신용 평가에 쓰인다는 사실을 구체적이고 명확하게 인지하거나 동의했다고 볼 수 없다고 판단했다. 특히 애플 서비스를 이용하지 않는 이용자의 정보까지 NSF 점수 산출에 활용된 점을 문제로 삼았다.
재판부는 “정보주체들은 자신의 개인정보가 NSF 점수로 치환돼 애플의 이익을 위해 사용될 가능성이 있다는 점을 예측할 수 없었다”며 “그 과정에서 정보주체들은 정보 처리의 단순한 객체로 전락해 개인정보 자기통제권이 무력화됐다”고 지적했다.
