바른이 공개한 최근업무사례에 따르면 카카오페이는 2018년 4월부터 7월까지 3차례에 걸쳐 해시처리한 내부고객번호, 휴대전화 번호, 이메일, 가입일시 등 24종의 정보를 고객 동의 없이 Alipay Singapore E-commerce Private Limited에 전송했다. 바른은 이후 2019년 6월부터 2024년 5월까지도 매일 관련 정보가 전송돼 약 4045만명에 대한 합계 약 542억건의 정보가 이전됐다고 설명했다.
바른에 따르면 알리페이는 이 정보를 바탕으로 'NSF 점수'를 산출해 Apple Distribution International Limited에 전달했고, 애플은 이를 이용자의 결제 실패 위험 판단과 일괄 청구 여부 결정에 활용했다. 개인정보보호위원회는 2025년 1월 22일 카카오페이에 과징금 59억6800만원과 시정조치, 공표명령을 내렸다.
서울행정법원은 카카오페이의 청구를 모두 기각했다. 바른은 법원이 이전된 정보와 그 처리 결과의 '규범적 동일성'을 인정하고, 카카오페이와 알리페이 사이에는 개인정보 처리위탁 관계가 아니라 애플에 대한 제3자 제공이 문제 된다고 판단했다고 소개했다.
바른은 이번 판단이 개인정보 처리위탁과 제3자 제공을 구별할 때 실제 목적, 산출물의 이용과 이익 귀속, 정보 통제권 등을 실질적으로 살펴야 한다는 기준을 제시한 사례라고 평가했다. 이 사건은 바른의 최진혁·김준영 변호사가 맡았다.
※ 이 기사는 공개된 자료를 바탕으로 AI 기술을 활용해 분석·정리한 기사입니다.
