[비즈한국] 個人情報に関連する法・制度が強化される中、顧客の個人情報管理に綻びを見せた企業に対する政府の制裁も厳しさを増している。今年5月、個人情報保護法違反の疑いで国内企業として過去最大規模の課徴金が科されたカカオ035720が、またしても論争の中心に立った。カカオペイ377300が、中国のアリペイ（Alipay）に顧客の信用情報を無断で提供したと判断した金融監督院が、制裁手続きに着手したためだ。違反行為に対する「なまぬるい」処罰は改善傾向にあるが、肝心の顧客情報がビジネスの源泉である企業側でさえ、制度の変化に安易に対応しているとの指摘が出ている。
「正常な委託業務」対「個別の同意が欠落した第三者提供」
カカオペイがアップル（Apple）App Store決済サービスのために、顧客の同意なくアリペイに個人信用情報を提供した事実をめぐり、金融監督院とカカオペイの立場は真っ向から対立している。金融監督院はこれを「第三者提供」とみなす一方、カカオペイはそもそも顧客の同意が不要な業務上の情報移転であると反論する。
金融監督院は今年5月から7月にかけて実施した現場検査で、カカオペイが2018年4月から約6年間にわたり、累積4045万人分のカカオアカウントID、電話番号、メールアドレス、加入履歴、およびカカオペイ取引履歴（チャージ・出金・決済・送金・残高）など、542億件もの個人信用情報をアリペイに提供していた事実を把握した。
カカオペイが説明資料を通じて「委託・受託会社間の情報移転」であることを主張すると、金融監督院は報道参考資料を出して積極的に反論した。両社の契約関係と、当初の情報提供目的が違法性の有無を分ける核心争点であるため、激しい論理戦が繰り広げられている。関連法上、委託・受託であれば顧客の同意は不要で告知のみで代替できるが、第三者提供の場合は別途の顧客同意手続きが義務となる。委託・受託関係では、移転された情報は単に委託者（カカオペイ）の業務を受託者（アリペイ）が代行して処理する目的で使用されるが、もし顧客情報が提供を受けた事業者（アリペイ）自身の目的のために使用されるのであれば、最初に収集された目的とは無関係であるため、別途の同意を得なければならない。
金融監督院は「信用スコア委託契約」の物証はないと主張するが…
今回の事案において、業務委託と第三者提供を区分するプロセスは比較的明確に行うことができるとの見方がある。嘉泉（カチョン）大学法学科のチェ・ギョンジン教授は、「委託・受託契約書には定型化されたツールがある。カカオペイとアリペイ間の契約を、カカオペイが他の国内企業と結んだ委託・受託契約と比較して類似していれば委託・受託の可能性があるが、逆に契約内容に違いがあれば、カカオペイの主張とは乖離があるということだ」と説明した。
金融当局は両社の契約書上、カカオペイの顧客信用情報の無断提供は明白であると判断している。金融監督院は「カカオペイがアリペイと締結した一切の契約書（9件）を確認した結果、カカオペイがアリペイに『NSFスコア（信用スコア）算出・提供業務』を委託する内容は全く存在しない」と明らかにした。Apple Storeへの入店が両社双方にとって利益となる業務であり、個人情報の移転はカカオペイだけでなくアリペイの利益のためでもあるという点、またカカオペイが委託者としてアリペイを管理・監督した形跡がないことも、金融監督院がカカオペイの信用情報処理を違法とみなす根拠である。
委託・受託関係では、委託者が受託者に対する管理・監督義務を負うが、第三者提供の場合は合法的な手続きを経て情報を提供したことに対してのみ責任を負い、管理・監督義務は提供を受けた側が負う。これに加え、委託・受託契約があったとしても、アリペイが自らの利益のために情報を処理したことが立証されれば、事案はさらに複雑になる可能性がある。
アリペイに提供した情報の範囲の妥当性も重要な問題だ。カカオペイは説明資料で「アリペイに情報を提供する際、ランダムなコードに変更する暗号化方式を適用して非識別措置をとっており、不正決済の検知以外の目的での利用は不可能だ」と一線を画した。カカオペイは現在調査が進行中の事案であるため、説明資料を出した後は追加の対応を控え、当局への釈明に集中している。
個人情報の制裁が強化されても企業は足踏み
カカオペイがアリペイに移転した情報は、内容を識別できないように「仮名処理」された仮名情報だ。仮名情報は複雑な暗号化を適用すれば識別性が低くなるが、複数の情報を組み合わせて元のデータを特定できるレベルであれば安全性の問題がある。2016年に非識別処理をすれば目的外提供ができるようにした「個人情報非識別化ガイドライン」が市民社会の反発の末に形骸化し、その後、仮名処理された情報も個人情報とみなす「データ3法」が施行されるなど、概念の確立までには多くの試行錯誤があった。2020年8月にデータ産業育成のために導入された仮名情報制度は、仮名情報を個人情報保護法の適用を受ける個人情報と規定し、委託か第三者提供かによって管理や利用などを異なって定めている。
最近、民間企業を対象とした個人情報関連の制裁レベルが上昇する傾向を考慮すると、カカオペイが重い課徴金処分を受ける可能性が予測される。金融当局はカカオペイが個人情報保護法と信用情報法の両方に違反したとみなしている。従来の信用情報法では、法違反時に事案が発生した年の「関連売上の3％」以下で課徴金を科していたが、昨年9月に改正法が施行され、当年度の「全体売上の3％」以下へと課徴金規模が大幅に拡大された。先月5月、カカオはオープンチャット参加者の情報に対する安全措置義務違反で151億4196万ウォンの課徴金という制裁を受けたばかりだ。改正前の法が適用されたが、過去の事例の中で最大規模にあたる。双方の主張が真っ向から対立しており、制裁レベルが確定した後も法廷闘争に持ち込まれる可能性がある。最終的な結論までには数年を要するとの見通しが出ている。
業界内外では、制度の変化についていけない企業の鈍い対応を指摘する声が出ている。ある専門家は「アリペイへの第三者提供時には『国外移転』が適用され、別途の同意を新たに追加で得なければならない。情報主体たちの一般的な心情として、国内企業による処理よりも海外、特に中国にある業者へ情報が移転されることに対する反感がある。こうした負担感が働いた可能性がある」としつつも、「ただし、刑事処罰さえも可能な行為であるだけに、故意に漏らした可能性は低いとみる。個人情報の保護および処理に対する意識レベルの低さを露呈した事例だ」と指摘した。
市民社会からは、制度的な限界を指摘する声も上がっている。消費者主権市民会議は「カカオペイの個人信用情報流出を、カカオペイだけの問題として見るのは難しい」とし、「最近、様々な分野で個人情報の流出事故が絶え間なく起きているにもかかわらず、確実な再発防止対策や厳しい警告となるような制裁は見当たらない」と強調した。個人情報管理の怠慢などに対する制裁は強化されているが、個人情報に関する政府の政策方針は依然として曖昧だという見方もある。進歩ネットワークセンターのオ・ビョンイル代表は、「企業は個人情報の範囲と義務を縮小しようとし、政府も産業的な側面を考慮して緩和された解釈をしようとする傾向がある」と指摘した。