542억 건 개인신용정보가 국외로 간 경로

2018년 4~7월, 24개 항목으로 모델의 바탕을 만들었다

개인정보위에 따르면 카카오페이는 2018년 2월 28일부터 3월 31일까지 추출한 최소 1,590만 명의 이용자 정보를 알리페이가 요구한 형식으로 만들었다.

내부고객번호·휴대전화번호·이메일주소의 해시값과 가입일, 신분증 확인 여부, 충전잔고, 최근 7일 충전·결제·송금 건수 등 24개 항목이었다.

이 자료는 2018년 4월 27일, 6월 5일, 7월 11일 세 차례 전송됐다. 알리페이는 이를 애플 서비스의 결제대금 부족 가능성을 나타내는 NSF 점수 모델을 구축하는 데 사용했다.

2019년 6월~2024년 5월, 전체 이용자 정보가 매일 전송됐다

2019년 6월 27일부터 2024년 5월 21일까지 카카오페이 전체 이용자의 정보가 매일 알리페이로 전송됐다. 알리페이는 이용자별 NSF 점수를 미리 산출해 두고 애플이 특정 결제 이용자의 점수를 요청하면 회신했다.

누적 전송량은 약 542억 건이고 중복을 제거하면 약 4천만 명이다. 애플에 카카오페이를 결제수단으로 등록한 이용자는 전체의 20% 미만이었으나 안드로이드 이용자 등 애플 미이용자의 정보도 포함됐다.

카카오페이는 적법한 업무 위탁이어서 별도 동의가 필요하지 않았다고 주장했다. 개인정보위는 목적과 이용 관계를 따져 동의가 필요한 제공과 국외이전으로 판단했다.

2025년 1월, 개인정보위가 과징금과 모델 파기를 명령했다

개인정보위는 2025년 1월 22일 카카오페이에 과징금 59억 6,800만원과 시정·공표 명령을 의결했다. 애플에는 과징금 24억 500만원과 과태료 220만원, 알리페이에는 NSF 점수 산출 모델 파기를 명령했다.

이 처분은 개인정보 보호법상 국외이전 규정을 기준으로 한 것이다. 개인정보위는 동의 없는 개인신용정보 제공 부분은 금융당국이 신용정보법에 따라 별도 처분할 예정이라고 밝혔다.

2026년 2~7월, 금융제재·행정소송·형사수사가 갈라졌다

금융감독원은 2026년 2월 카카오페이에 기관경고, 과징금 129억 7,600만원과 과태료 480만원을 부과했다. 개인정보위 처분과는 적용 법률과 절차가 다른 별도 제재다.

서울행정법원은 2026년 6월 11일 개인정보위 처분 취소소송 1심에서 카카오페이의 청구를 기각했다. 카카오페이는 6월 24일 항소장을 제출해 업무 위탁과 제3자 제공의 법적 경계를 다시 다투고 있다.

경기남부경찰청은 금융감독원의 수사의뢰를 받아 수사에 착수했고 7월 6~7일 본사를 압수수색했다. 입건과 압수수색은 유죄 확정이 아니며, 2026년 8월 25일 현재 수사 결과는 발표되지 않았다.