개인정보 국외 유출한 애플에 과징금 24억 5000만원

애플, 개인정보 받는 대리인으로 NHN KCP·알리페이 써

알리페이 쓰면서 이용자에게 고지 안해

[사진=개인정보보호위원회]

개인정보보호위원회(이하 개인정보위)가 카카오페이와 애플이 우리 국민의 개인정보를 국외로 유출한 것을 근거로 각각 과징금 59억 6800만원, 24억 5000만원·과태료 220만원을 부과했다.   

개인정보위는 22일 서울 종로구 정부청사에서 전체회의를 열고 이같이 밝혔다. 개인정보위는 이들 2개 사업자에 적법한 국외이전 요건을 갖추도록 시정명령과 함께 과징금을 부과했다. 알리페이에 대해서는 시정명령만을 내렸다.

개인정보위에 따르면 카카오페이는 지난 2019년 6월부터 전체 이용자 약 4000만 명의 개인정보를 이용자 본인 동의 없이 알리페이에 제공했다. 카카오페이가 알리페이에 제공한 데이터는 △내부 고객번호 △휴대전화 번호 △이메일 주소다.

2019년 6월은 애플 내 카카오페이 결제가 출시될 무렵인데, 이후 금융감독원 조사로 데이터 제공이 중단된 2024년 5월까지 지속됐다. 그러나 알리페이에 제공된 개인정보는 애플 서비스를 전혀 쓰지 않는 안드로이드 이용자까지도 모두 포함됐다고 개인정보위는 밝혔다.

애플은 휴대폰 결제나 간편 결제 등 결제 수단을 일일이 시스템에 연동하는 부담을 덜기 위해 해당 업무를 권역별 수탁사에게 위탁받는 구조를 가지고 있다. 알리페이는 한국 권역의 애플 수탁사 중 하나다.
 

[사진=개인정보위]

애플이 알리페이에 개인정보를 요청하면 알리페이는 카카오페이에서 받은 개인정보를 애플에게 회신했다. 즉 애플이 카카오페이로부터 이용자의 개인정보를 받을 때 대리인으로 알리페이를 세운 것. 때문에 개인정보위는 "개인정보 처리 사유는 애플만 설명할 수 있다"고 설명했다. 

이 과정에서 애플은 알리페이로 개인정보를 이전해서 처리하는 사실을 이용자에게 고지하지 않은 것으로 확인됐다. 특히 애플은 국외 수탁자로 NHN KCP와 알리페이 두 회사에 개인정보를 수탁하고 있었는데, 알리페이를 수탁자로 고지하지 않은 부분이 이번 조사에서 적발됐다. 

애플 측은 "NHN KCP와 알리페이 사이 약간의 차이점이 있어 고지하지 않았다"고 주장했다고 개인정보위는 알렸다. 

개인정보위는 "이 차이가 개인정보처리상의 차이는 아니라고 생각했다"며 "업무상 기능의 차이는 있으나 그게 개인의 데이터를 처리하는 측면에서는 기능이 같다고 판단해 알리페이도 마찬가지로 애플의 수탁자라 결론내렸다"고 답했다. 

이에 개인정보위는 애플에 개인정보를 국외로 처리하면서 국외 수탁자인 알리페이를 개인정보처리방침 등에 고지하지 않은 행위에 관해 과징금 24억 500만원, 과태료 220만원을 부과했다. 알리페이에는 카카오페이 이용자 NSF(Non Sufficient Funds Score) 점수 산출 모델을 파기하도록 시정명령했다. NSF 점수란 애플에서 일괄결제시스템 운영 시 필요한 고객별 신용점수를 일컫는다.

개인정보위는 "이번 사건은 사업자가 개인정보 국외이전의 적법 요건을 반드시 준수해야 함을 재확인한 점에서 의의가 있다"며 "사업자는 개인정보가 국경을 넘어 이전되는 사실을 반드시 이용자에게 알려야 한다"고 강조했다.