카카오페이 알리페이 개인신용정보 무단 국외제공 사건

2024년 8월 13일 카카오페이가 고객의 개인신용정보를 중국 최대 핀테크 기업 앤트그룹의 계열사인 알리페이에 넘긴 사실이 금융감독원 현장검사를 통해 드러났다. 금감원은 카카오페이가 고객 동의 절차 없이 정보를 국외로 이전했다고 판단했다. 카카오페이는 애플 앱스토어 결제 서비스를 위한 정상적 업무 위탁이라고 반박했다. 그러나 금감원은 위탁이 아니라 제3자 제공에 해당한다고 봤다. 이로써 국내 대표 간편결제 사업자의 개인정보 처리 관행을 둘러싼 논란이 촉발됐다.

금감원 검사 결과 카카오페이는 2018년부터 2024년까지 약 6년에 걸쳐 4045만 명의 개인신용정보 542억 건을 싱가포르 소재 알리페이에 전송한 것으로 집계됐다. 제공된 정보에는 카카오계정 아이디, 휴대전화번호, 이메일과 함께 카카오페이 가입내역 및 잔고 충전·출금·결제·송금 등 거래내역이 포함됐다. 알리페이는 이 정보를 바탕으로 고객 리스크 점수(NSF)를 산출했다. 산출된 점수는 애플 앱스토어 결제 심사에 활용된 것으로 확인됐다. 이용자 대다수가 자신의 금융정보가 해외로 넘어간 사실을 인지하지 못했다는 점에서 파장이 컸다.

2024년 10월 국정감사에서 이복현 금융감독원장은 카카오페이가 알리페이와 애플에 개인정보를 사실상 유출했다고 지적하며 제재 방침을 시사했다. 국회에서는 위탁과 제3자 제공의 경계, 국외이전 동의 절차의 적법성을 두고 공방이 벌어졌다. 카카오페이는 결제 프로세스상 필수적인 정보 처리였다는 입장을 고수했다. 반면 금융당국과 개인정보보호위원회는 명확한 동의가 없었다는 점을 문제 삼았다. 이 사건은 빅테크 금융사의 데이터 국외이전 규율 강화 논의로 확산됐다.

2025년 1월 23일 개인정보보호위원회는 개인정보 보호법상 국외이전 규정을 위반한 카카오페이에 59억6800만 원의 과징금을 부과했다. 정보를 최종적으로 넘겨받은 애플에도 24억500만 원의 과징금과 함께 데이터 파기 명령이 내려졌다. 개인정보위는 이용자의 별도 동의 없이 민감한 금융정보가 국외로 이전된 점을 위법으로 판단했다. 이는 국외이전 위반에 대한 대표적 제재 사례로 기록됐다. 카카오페이는 결정문을 검토한 뒤 대응 방침을 정하겠다고 밝혔다.

2026년 1월 28일 금융감독원은 카카오페이에 대한 제재 내용을 공시했다. 제재에는 기관경고와 함께 과징금 129억7600만 원, 과태료 4800만 원이 포함됐다. 금감원은 카카오페이의 개인신용정보 국외 제공이 신용정보법 등 관련 규정을 위반했다고 결론지었다. 개인정보위 제재에 이어 금융당국 차원의 제재까지 더해지면서 카카오페이는 이중의 행정처분을 받게 됐다. 이 사건은 간편결제·핀테크 업계의 데이터 거버넌스 전반을 되돌아보는 계기가 됐다.