カカオペイが顧客の個人信用情報を中国最大の電子商取引業者であるアントグループの系列会社アリペイに渡していた事実を韓国金融監督院が検査を通じ摘発した。金融監督院は顧客の同意なく違法に渡したとみて制裁水準を検討している。また別の決済事業者にも同様の問題がないか確認する方針だ。

◇カカオペイの顧客情報がアリペイに

金融当局によると、カカオペイがアリペイに顧客の個人信用情報を渡していたのはアップルのアプリストアに決済サービスを提供するためだ。アップルは自社のアプリストアへの出店を望む決済事業者に顧客と関連したデータを要求する。この際にデータは顧客の個人情報などを基に再加工されるが、カカオペイがこの再加工業務をアリペイ系列会社に任せて個人信用情報が渡った。だが再加工された情報はアップルに提供されていないという。

信用情報の利用と保護に関する法律によると、個人信用情報を収集したり、収集した情報を他社に提供したりする場合には必ず当事者の同意を得なければならない。また、個人情報保護法によるとアリペイは海外に支店を置く会社のため個人情報の国外移転の同意も得なければならない。だがカカオペイは両方とも守っていないものと金融監督院は把握している。

◇カカオペイ「業務委受託で情報渡したもので法違反ではない」

カカオペイは法律違反ではないという立場だ。カカオペイはアリペイに提供された個人信用情報について「アリペイと業務委受託契約関係で提供された処理委託情報。信用情報法第１７条第１項によると個人信用情報の処理委託で情報が移転される場合、情報主体の同意は要求されないものと規定している」と釈明した。

だが金融監督院は業務委受託範囲を超えたとみている。金融監督院制裁審議委員として活動したある法曹界関係者は「業務委受託は電子商取引業者が宅配会社に顧客住所を提供するように、本来の業務と関連して個人情報を委託して使うほかない時にすること。この場合情報主体が同意した個人情報の使用範囲を超えてはならず、委託内容も公開しなくてはならないが、カカオペイの事例がこれに該当するかは疑問」と話した。

カカオペイは「個人信用情報委託をした事実」を公開したのかとの質問に「明らかにすることはできない」と答えた。

◇累積利用４０００万人…敏感な情報渡ったか

アリペイに渡った個人情報の量と種類に対しては正確にわかっていないが、規模は大きいと予想される。カカオペイは最近累積利用者が４０００万人を超え、１カ月にサービスを利用した使用者（ＭＡＵ）も７月基準で２４７０万人に達する韓国の国民的決済手段だ。また、カカオペイはマイデータ事業者で敏感な顧客金融情報も持っている。

業界では韓国企業と競争する中国最大の電子商取引業者の系列会社に韓国の顧客個人信用情報が渡ったこと自体が問題という指摘が出る。業界関係者は「個人情報保護の概念が不足しており敏感な個人情報をどこにどのように使うかもわからないことが問題。決済事業者が持つ個人信用情報を基にマーケティングに出れば韓国の事業者は不利な状況に直面するほかない」と話す。

ただカカオペイは「情報は暗号化して提供しており、アリペイから暗号を解除したり提供した情報をマーケティングに利用したりはしていないという事実を確認した」と釈明した。

◇カカオペイ２大株主はアリペイ

カカオペイが個人信用情報を提供した背景にはガバナンスと関連があるとの分析も出ている。カカオペイの２大株主は株式の３２．０６％を保有するアリペイシンガポールホールディングスだ。アリペイシンガポールホールディングスはアントグループのアリペイ関連系列会社だ。また、カカオペイはアリの世界的モバイル決済サービスであるアリペイプラスの草創期パートナーで、韓国顧客の海外決済だけでなく海外アリペイ顧客の韓国国内決済まで支援している。

これに対しカカオペイは「当時アップルが世界最高のフィンテック企業であるアリペイを通じてアップルが望む方式で顧客情報を再加工してほしいというのでそれに従ったもの。アリペイが主要株主だからそうしたのではない」と釈明した。

◇「重懲戒可能な事案」…「他の決済事業者も検査拡大」

カカオペイの個人信用情報流出が違法なものと確認される場合、制裁水準が上がるものとみられる。金融当局関係者は「信用保護法違反は刑事処罰対象でもあるが、金融当局制裁でも重懲戒まで可能な事案」と話す。金融監督院は他の決済事業者にも同様の形態の個人信用情報流出がなかったか確認する方針だ。