1. 사건 개요
가. 바른이 대리한 당사자
개인정보보호위원회
나. 사건의 배경
주식회사 카카오페이(이하 "카카오페이")는 2018년 4월부터 7월까지 3회에 걸쳐, 해시처리한 내부고객번호·핸드폰 번호·이메일, 카카오페이 가입일시 등 총 24종의 정보(이하 "이 사건 정보")를 고객의 동의 없이 Alipay Singapore E-commerce Private Limited(이하 "알리페이")에 전송하였으며, 동 기간 동안 약 1,592만 명의 정보가 알리페이에 이전되었습니다. 이후 카카오페이는 2019년 6월부터 2024년 5월까지 매일 이 사건 정보를 알리페이에 전송하였으며, 동 기간 동안 약 4,045만 명, 합계 약 542억 건의 정보가 알리페이로 이전되었습니다(이하 총칭하여 "이 사건 정보 이전").
알리페이는 카카오페이로부터 이전받은 이 사건 정보를 바탕으로 'NSF 점수'를 산출하여 이를 Apple Distribution International Limited(이하"애플")에 전달하였고, 애플은 전달받은 NSF 점수를 이용자의 결제 실패 위험 판단 및 일괄 청구 여부 결정에 이용하였습니다.
개인정보보호위원회는 이 사건 정보 이전이 애플의 수탁자인 알리페이를 통하여 국외의 '애플'에게 개인정보를 '제3자 제공'한 것임에도 카카오페이가 정보주체의 동의를 받지 않았음을 이유로, 2025. 1. 22. 카카오페이에게 과징금 5,968,000,000원, 시정조치 및 공표명령을 내렸습니다(이하 "이 사건 처분").
다. 소송 내용
카카오페이는 이 사건 정보 이전은 '애플'에 대한 '개인정보 제3자 제공'이 아니며, 부정거래 방지 등 카카오페이의 업무를 위탁받은 '알리페이'에 대한 '개인정보 처리위탁'므로, 이 사건 처분은 처분사유가 부존재하여 전부 취소되어야 한다는 취지의 소송을 제기하였습니다.
2. 판결
서울행정법원은 카카오페이의 청구를 모두 기각하였습니다.
3. 판결의 근거
이 사건의 핵심 쟁점은 ① '이 사건 정보'와 'NSF 점수'의 규범적 동일성을 인정할 수 있는지 및 ② 이 사건 정보 이전이 카카오페이의 '알리페이에 대한 개인정보 처리위탁' 인지 아니면 '애플에 대한 개인정보 제3자 제공'에 해당하는지 두 가지입니다.
먼저 법원은 개인정보의 이전에 있어서 이전된 정보와 그 정보를 이전받아 처리한 결과가 사실상 객관적으로 구분되는 개념의 정보라 하더라도, 각 정보의 독자적 기능 내지 가치 등에 비추어 '규범적 의미'에서 개별적 의미를 갖는지 여부를 기준으로 그 관계를 판단하여야 한다고 판시하였습니다. 그리고 이 사건 정보와 NSF 점수가 사실상 객관적으로 구분되는 정보라 하더라도, '이 사건 정보의 제공 내지 처리 목적과 의도, 이로 인해 발생하는 이익의 내용 및 귀속 주체, 지배·관리권의 행사자'에 비추어 두 정보는 그 정보의 이전이 개인정보의 제3자 제공인지 처리위탁인지를 판단함에 있어서는 규범적으로 동일한 정보라고 판단하였습니다.
한편 법원은 NSF 점수(이 사건 정보) 처리에 따른 이익이 애플에 귀속되는 점, 애플과 알리페이 사이에는 개인정보 처리위탁을 위한 계약관계가 존재하나, 카카오페이와 알리페이 사이에는 개인정보 처리위탁을 위한 계약관계가 존재하지 않는 점 등을 근거로 애플과 알리페이 사이에는 개인정보 처리위탁관계가 존재하나, 카카오페이와 알리페이 사이에는 개인정보 처리위탁관계가 존재하지 않는다고 판단하였습니다.
위와 같은 판단에 기초하여 법원은 카카오페이가 이 사건 정보를 애플의 수탁자인 알리페이에 이전함으로써, 이 사건 정보를 애플에 제3자 제공한 것이라고 판단하였으며 카카오페이가 이와 관련하여 정보주체의 동의를 받지 않았으므로 이 사건 처분은 적법한 처분이라고 판단하였습니다.
4. 바른의 주장 및 역할
이 사건 정보가 NSF 점수 산출을 위해서 제공 및 처리된 점, 이 사건 정보에는 NSF 점수를 산출 외의 독자적 이익이 존재하지 않고, 산출된 NSF 점수로 인한 이익은 애플에 귀속된 점, 애플이 이 사건 정보에 대한 지배·관리권을 행사한 점 등을 주장하여 이 사건 정보와 NSF 점수의 규범적 동일성을 입증하였습니다. 또한, 대법원 판례로 정리된 개인정보 처리위탁과 제3자 제공의 구분에 관한 법리를 중심으로 사실관계를 철저히 분석하여 애플과 알리페이 사이에는 개인정보 처리위탁 관계가 존재하나 카카오페이와 알리페이 사이에는 그러한 관계가 존재하지 않는다는 점을 입증하였습니다.
5. 판결의 의미
정보주체의 사전 동의 필요성, 위반 시 제재의 차이 등으로 인해 개인정보 처리위탁과 제3자 제공의 구분은 개인정보 보호 실무상 가장 첨예하게 다투어지는 쟁점입니다. 이번 판결은 개인정보 처리위탁과 제3자 제공을 구별할 때, 실제 목적, 산출물의 이용과 이익 귀속, 정보의 통제권 등에 기초하여 규범적·실질적으로 판단하여야 하다는 기준을 제시하였습니다.
ㅁ 담당 변호사: 최진혁, 김준영 변호사
