카카오페이 홈페이지 캡쳐

[헤럴드경제=손인규 기자]김범수 창업자의 구속으로 창사 후 최대 위기에 몰린 카카오 그룹에 개인정보 유출 사태라는 악재까지 더해졌다.

지난 5월 카카오가 개인정보위원회로부터 오픈채팅방의 개인정보 유출 문제로 151억원의 과징금을 부과받은 데 이어 이번엔 카카오페이에 문제가 터졌다.

13일 금융감독원에 따르면 카카오페이 해외결제 부문에 대한 지난 5~7월 현장검사 결과, 카카오페이가 고객 동의 없이 제3자인 알리페이에 개인정보를 제공한 사실이 적발됐다.

카카오페이가 2018년 4월부터 현재까지 매일 1차례 누적 4045만명의 카카오계정 ID와 휴대전화 번호, 이메일, 카카오페이 가입내역, 카카오페이 거래내역 등 542억건의 개인 신용정보를 알리페이에 제공했다는 게 금감원 조사 결과다.

카카오페이는 금감원 발표에 대해 알리페이나 애플에 고객 동의 없이 불법으로 정보를 제공했다는 것은 사실이 아니란 입장이다.

이 같은 입장 차이는 정보 제공의 '성격'과 개인 식별 가능성에 대한 금감원과 카카오페이의 시각 차이에 기인한다.

신용정보법상 카카오페이가 개인 신용정보를 타인에 제공할 경우 당사자 동의를 받아야 하며, 특히 알리페이가 중국 앤트그룹 계열사로 해외 법인인 만큼 개인정보 국외 이전 동의도 받아야 한다는 게 금감원 판단이다.

반면 카카오페이는 알리페이, 애플과의 3자 협력을 통해 애플 앱스토어에서 부정 결제 방지를 위해 정보를 이전한 것이고 이는 카카오페이-알리페이-애플 간 업무 위수탁 방식으로 이뤄졌다고 설명하고 있다. 신용정보법 제17조 제1항은 개인신용정보의 처리 위탁으로 정보가 이전되는 경우 정보 주체의 동의가 요구되지 않는 것으로 규정한다.

정보기술(IT) 업계 한 관계자는 “업계에서 정보 제공과 관련한 위탁 이슈는 그동안 없었던 것 같다”며 “이번 사안이 정보 위수탁 문제인지를 놓고 법리 공방이 벌어질 수 있다”고 말했다.

SM엔터테인먼트 인수 과정에서 주가 시세조종 혐의를 받고 있는 김범수 카카오 경영쇄신위원장이 구속되며 카카오의 사법 리스크가 더욱 커지고 있다. 23일 오전 경기도 성남시 카카오 판교아지트에 먹구름이 드리워져 있다. 성남=임세준 기자

알리페이에 제공한 개인정보의 식별 위험성과 관련해서도 카카오페이와 금감원 입장이 충돌한다.

카카오페이는 알리페이에 정보를 제공하면서 무작위 코드로 변경하는 암호화 방식을 적용해 사용자를 특정할 수 없고 원문 데이터를 유추해낼 수 없다고 주장한다. 정보를 일련의 숫자 조합으로 암호화해 부정 결제 탐지 이외 목적으로는 활용이 불가능하다는 것이다.

반면 금감원은 “일반인도 공개된 암호화 프로그램으로 복호화(해독)가 가능한 수준”이라고 반박했다. 또 해시 처리를 하더라도 관련법상 가명정보에 해당해 고객 동의가 필요하다고 금감원은 보고 있다.

정보 이전의 고객 동의, 정보의 식별 가능 여부 등의 문제에서 양측 의견이 충돌하고 있지만 카카오가 고객 정보 보호에 소홀했다는 지적을 받을 여지는 있다는 게 IT 업계의 시각이다.

카카오페이가 알리페이에 정보를 제공한 것은 애플이 제휴 선결조건으로 요청한 'NSF 스코어'(애플에서 일괄결제시스템 운영시 필요한 고객별 신용점수) 산출 때문이었다. 그런데 NSF 스코어 산출이 목적이면 평가 모형이 구축된 2019년 6월 이후에는 제공 신용정보를 평가 대상 고객에 한정해야 하는데, 카카오페이는 전체 고객의 신용정보를 계속 제공했다는 게 금감원 현장 조사 결과에 담겨있다.

한편, 카카오는 유출된 정보가 개인식별이 불가능해 개인정보 유출이 아니라는 점 등을 들어 제재 처분이 내려질 경우 행정소송을 포함해 적극적인 대응을 검토할 방침으로 알려졌다.