카카오페이가 고객 동의 없이 앤트그룹(알리) 계열사 알리페이에 국내 가입자 개인신용정보를 넘긴 사실이 금감원에 의해 적발됐다.

13일 금감원은 "현장검사 과정에서 카카오페이가 가입자 개인신용정보를 알리페이에 제공한 사실을 확인했다"며 "법률검토를 거쳐 제재 절차를 밟을 것"이라고 말했다. 금감원은 지난 5월부터 지난달까지 카카오페이 해외결제부문 현장검사를 실시했다.

금감원 현장검사 결과 2018년부터 현재까지 총 542억건(누적 4045만명)의 정보가 카카오페이에서 알리페이로 넘어갔다. 제공된 정보는 카카오페이 계정 ID, 휴대전화 번호 등 개인 정보와 카카오페이 가입·거래내역이다.

카카오페이는 개인신용정보 재가공 업무를 맡기는 과정에서 고객 신용정보를 알리페이에 넘겼다. 애플 앱스토어 입점을 하기 위해서는 고객 개인 정보 등을 바탕으로 재가공된 데이터를 전달해야 하는데 카카오페이가 해당 업무를 알리페이 계열사에 맡기면서 정보가 알리페이 측으로 이전됐다.

금감원은 카카오페이가 필요한 정보 외에 광범위하게 고객 정보를 알리페이로 넘겼다고 보고 있다. 알리페이가 애플사 입점 선결조건인 NSF 스코어 산출을 목적으로 고객 신용정보를 요청하자 해외결제를 이용하지 않는 고객까지 포함한 전체 고객의 신용정보를 제공했다는 것이다. NSF 스코어는 애플사의 일괄결제시스템 운영 시 필요한 고객별 신용점수다. 애플사와 제휴하기 위해 입점 업체는 애플사에 고객 개인 정보 등을 바탕으로 재가공된 데이터를 전달해야 한다.

또 금감원은 알리페이와 대금정산 시 주문·결제정보만 공유하면 됐음에도 카카오페이가 해외결제고객 신용정보를 불필요하게 알리페이 측에 제공했다고 판단했다. 2019년 11월부터 현재까지 알리페이에 제공된 해외결제고객 신용정보는 5억5000건에 달하는 것을 밝혀졌다.

카카오페이는 "불법으로 고객 정보를 제공하지 않았다"고 주장했다. 카카오페이는 이날 배포한 설명자료를 통해 "카카오페이-알리페이-애플 간 업무 위·수탁 관계에 따라 필요한 정보만을 이전한 것"이라며 "정보 이전 과정에서 고객 정보는 철저한 암호화를 통해 전달되기에 부정 결제 탐지 이외 목적으로는 활용할 수 없다"고 주장했다. 신용정보법은 개인신용정보의 처리 위탁으로 정보가 이전될 때는 정보 주체의 동의가 요구되지 않는 것으로 규정하고 있다

하지만 금감원은 카카오페이와 알리페이가 업무 위·수탁 관계에 해당하지 않고, 암호화를 하더라도 가명정보에 해당해 고객 동의가 필요하므로 관련법 위반이라고 설명했다.