韩国法院维持PIPC对Kakao Pay 59.68亿韩元罚款：向支付宝传输4000万用户数据被认定向第三方提供而非外包处理

韩国Asia Business Daily 9月23日刊发对代理PIPC应诉的Barun律所律师崔镇赫的访谈。法院维持了PIPC对Kakao Pay作出的59.68亿韩元行政罚款、纠正命令与公开告示命令。Kakao Pay曾向支付宝提供用户数据，包括邮箱地址、手机号、账户余额、充值记录、支付与转账次数，用于计算Apple合并支付服务所需的NSF评分，即用于评估账户余额不足风险的客户专属评分。

案件核心争点是数据从Kakao Pay流向支付宝究竟属于外包处理还是向第三方提供。Kakao Pay主张支付宝受托从事防范欺诈性支付的工作；律所则聚焦于该个人信息实际上服务于谁的工作与利益。NSF评分由Apple用于决定账单按单笔处理还是批量处理。律师指出，如果连产品是如何生成的都不了解，就很难将其视为自己的工作，这一情节有力证明信息是为Apple的工作而非Kakao Pay的工作提供的。

另一争点是Kakao Pay此前就客户识别、身份验证与计费目的收集的同意，能否被视为对数据境外传输及NSF评分使用的同意。律所主张这些同意不足以覆盖后续用途，法院予以采纳。律所进一步主张，原始个人信息与由此产生的NSF评分虽形式不同，但提供目的仅为计算NSF评分，在判断目的、所服务利益与控制关系时应视为单一处理过程，法院同样支持该主张。

法院认定，Kakao Pay在约五年间每日向境外主体传输约4000万用户的个人数据，信息累计量达542亿条，侵害了信息主体的信息自决与控制权。律师评价该判决的意义在于明确：外包处理与向第三方提供的区分，应基于实际目的、利益归属与控制关系，而非仅看形式安排，这将直接影响跨境数据处理协议的定性方式。