카카오페이가 고객들의 개인신용정보를 중국 최대 전자상거래 업체인 앤트그룹(알리)의 계열사 알리페이로 넘긴 사실을 금융감독원이 검사를 통해 적발했다. 금감원은 고객 동의 없이 불법으로 넘어간 것으로 보고, 제재 수위를 고민하고 있다. 또 다른 국내 간편 결제 업체(페이사)에도 비슷한 문제가 없는지 확인하겠다는 방침이다.

12일 금융당국에 따르면 카카오페이가 알리페이 측에 고객 개인신용정보를 넘긴 것은 애플 앱스토어에 결제 서비스를 제공하기 위해서다. 애플은 자사 앱스토어 입점을 원하는 결제 업체에게 고객과 관련된 데이터를 요구한다. 이 때 해당 데이터는 고객 개인 정보 등을 바탕으로 재가공해서 만들어지는데, 카카오페이가 이 재가공 업무를 알리페이 계열사에 맡기면서 개인신용정보가 넘어간 것이다. 하지만 정작 재가공된 정보는 애플 측에 제공되지 않은 것으로 알려졌다.

사진 카카오페이 홈페이지 캡처

‘신용정보의 이용 및 보호에 관한 법률(신용정보법)’에 따르면 개인신용정보를 수집하거나 수집된 정보를 다른 곳에 제공할 경우 반드시 당사자 동의를 받아야 한다. 또 ‘개인정보 보호법’에 따르면 알리페이는 해외에 지점을 둔 회사이기 때문에 개인 정보 국외 이전 동의도 받아야 한다. 하지만 카카오페이는 이 두 가지 모두 지키지 않은 것으로 금감원은 파악하고 있다.

카카오페이 측은 법 위반이 아니라는 입장이다. 카카오페이는 알리페이 쪽에 제공된 개인신용정보에 대해 “알리페이 측과 업무위수탁 계약 관계에서 제공된 처리위탁 정보”라면서 “신용정보법 제17조 제1항에 따르면 개인신용정보의 처리위탁으로 정보가 이전되는 경우 정보주체의 동의가 요구되지 않는 것으로 규정하고 있다”고 해명했다.

하지만 금감원은 업무위수탁 범위를 넘어선 것으로 보고 있다. 금감원 제재심 위원으로 활동했던 한 법조계 관계자는 “업무위수탁은 전자상거래 업체가 택배사에 고객 주소를 제공하는 것처럼, 원래 본업과 관련해 개인 정보를 위탁해 쓸 수밖에 없을 때 하는 것”이라며 “이 경우 정보 주체가 동의한 개인 정보 사용 범위를 넘으면 안 되고, 위탁 내용도 공개해야 하는데 카카오페이 사례가 여기에 해당하는지는 의문”이라고 말했다.

카카오페이 측은 '개인신용정보 위탁을 한 사실'을 공개했었는지 묻는 질문에 “밝힐 수 없다”고 답변했다.

알리페이 측에 넘어간 개인 정보의 양과 종류에 대해서는 정확하게 알려지지 않았지만, 규모가 클 것으로 예상된다. 카카오페이는 최근 누적 이용자가 4000만명이 넘고 한 달에 서비스를 이용한 사용자(MAU)도 지난 7월 기준 2470만명에 달하는 ‘국민페이’이다. 또 카카오페이는 마이데이터 사업자로 민감한 고객 금융 정보도 가지고 있다.

신재민 기자

업계에서는 한국 업체와 경쟁 중인 중국 최대 전자상거래업체 계열사에 한국 고객 개인신용정보가 넘어간 것 자체가 문제라는 지적이 나온다. 익명을 요구한 업계 관계자는 “개인정보 보호 개념이 상대적으로 부족하다보니 민감한 개인 정보를 어디에 어떻게 사용할지 모르는 것이 문제”라며 “페이사가 가진 개인신용정보를 바탕으로 마케팅에 나서면 상대적으로 국내 업체는 불리한 상황에 부닥칠 수 밖에 없다”고 말했다.

다만 카카오페이 측은 “해당 정보들은 암호화해서 제공했고, 알리페이 쪽에서 암호를 풀거나 제공한 정보를 마케팅에 이용하지 않았다는 사실을 확인했다”고 해명했다.

카카오페이가 개인신용정보를 제공한 배경에는 지배구조와 연관이 있다는 분석도 나온다. 카카오페이의 2대 주주는 지분 32.06%를 보유한 ‘알리페이싱가포르홀딩스’다. 알리페이싱가포르홀딩스는 앤트그룹의 알리페이 관련 계열사다. 또 카카오페이는 알리의 글로벌 모바일 결제 서비스인 ‘알리페이플러스’의 초창기 파트너로 국내 고객의 해외 결제뿐 아니라 해외 알리페이 고객의 국내 결제까지 지원하고 있다.

이에 대해 카카오페이 측은 “당시 애플이 세계 최고 핀테크 업체인 알리페이를 통해 애플이 원하는 방식으로 고객 정보를 재가공해 달라고 권유해 이를 따른 것”이라며 “알리페이가 주요 주주라서 그런 것은 아니다”라고 해명했다.

신재민 기자

카카오페이의 개인신용정보 유출이 불법으로 확인될 경우 제재수위가 올라갈 것으로 보인다. 금융당국 관계자는 “신용보호법 위반은 형사처벌 대상이기도 하지만, 금융당국 제재로도 중징계까지 가능한 사안”이라고 했다. 금감원은 다른 페이사에도 비슷한 형태의 개인신용정보 유출이 없었는지 확인할 방침이다.