[비즈한국] 在个人信息相关法律和制度不断强化的背景下，政府对个人信息管理出现漏洞的企业采取的制裁也愈发严厉。今年5月，因违反《个人信息保护法》而被处以国内企业史上最大规模罚款的Kakao035720再次站在了舆论的风口浪尖。原因在于，金融监督院认定Kakao Pay377300未经用户同意向中国支付宝（Alipay）提供了个人信用信息，并已启动相关制裁程序。尽管对违规行为的“轻惩”正在逐步改善，但有观点指出，即便是那些以客户信息为经营基础的企业，对于制度的变革依然应对懈怠。
“正常委托业务” vs “漏掉独立同意程序的第三方提供”
针对Kakao Pay为了提供Apple App Store支付服务而未经客户同意向支付宝提供个人信用信息一事，金融监督院与Kakao Pay的立场存在尖锐分歧。金融监督院将其定性为“向第三方提供”，而Kakao Pay则辩称这是无需客户同意的业务性信息转移。
金融监督院在今年5月至7月进行的现场检查中发现，自2018年4月起的6年间，Kakao Pay向支付宝提供了累计4045万名用户的Kakao账号ID、电话号码、电子邮箱、注册记录以及Kakao Pay交易记录（充值、提现、支付、汇款、余额）等，共计542亿条个人信用信息。
在Kakao Pay通过说明资料主张这是“委托与受托方之间的信息转移”后，金融监督院发布了参考资料进行积极反驳。由于两家公司的合同关系及最初提供信息的目的，是判定违法与否的核心争点，双方目前正展开激烈的逻辑博弈。根据相关法律，若是委托关系，则无需取得客户同意，只需通知即可；但如果是向第三方提供，则必须履行单独的客户同意程序。在委托关系中，转移的信息仅用于受托人（支付宝）代处理委托人（Kakao Pay）的业务，但如果客户信息是为了接受方（支付宝）自身的经营目的被使用，则由于其脱离了原始收集目的，因此必须获取单独的同意。
金融监督院称：没有“信用评分委托合同”的实据……
有观点认为，在此次事件中，区分“业务委托”与“第三方提供”的流程可以相对清晰地进行。嘉泉大学法学系教授崔京镇（音）解释称：“委托合同有标准化的框架。如果将Kakao Pay与支付宝之间的合同与Kakao Pay和其他国内企业签订的委托合同进行比较，如果类似，则可能是委托关系；相反，如果内容存在差异，那么就与Kakao Pay的说法存在脱节。”
金融监管部门认定，根据双方的合同书，Kakao Pay未经许可提供客户信用信息的事实非常明确。金融监督院表示：“经查实Kakao Pay与支付宝签订的所有合同（9份），完全没有关于Kakao Pay委托支付宝进行‘NSF得分（信用评分）计算与提供业务’的内容。”金融监督院认为Kakao Pay违法处理信用信息的依据还在于：入驻Apple Store对双方均有利益，转移个人信息不仅是为了Kakao Pay，也是为了支付宝的利益，且Kakao Pay作为委托方从未对支付宝进行过管理监督。
在委托关系中，委托人对受托人有管理监督义务；而在向第三方提供信息的情况下，企业仅需对通过合法程序提供信息负责，管理监督义务则由接收方承担。此外，即使存在委托合同，若能证明支付宝为了自身利益处理了信息，事态可能会变得更加复杂。
向支付宝提供信息的范围是否适当也是关键问题。Kakao Pay在说明资料中明确表示：“向支付宝提供信息时，采用了将信息更改为随机代码的加密方式进行去标识化处理，因此除检测非法支付外，无法用于其他目的。”由于目前调查仍在进行中，Kakao Pay在发布说明资料后，已克制额外回应，专注于向监管当局进行解释。
即使个人信息制裁加强，企业依然原地踏步
Kakao Pay转移给支付宝的信息是经过“假名处理”的假名信息，旨在让内容无法被识别。假名信息在应用复杂的加密算法时识别度较低，但如果能通过组合多种信息还原原始数据，则存在安全性问题。2016年，在市民社会的反对下，允许对去标识化信息进行目的外提供的“个人信息去标识化指南”最终废弃；随后，将假名处理后的信息也视为个人信息的“数据三法”开始实施，在概念确立过程中经历了不少波折。2020年8月为促进数据产业发展而引入的假名信息制度，规定假名信息属于受《个人信息保护法》管辖的个人信息，并根据是委托还是第三方提供，对其管理和利用进行了不同规定。
考虑到近期针对民营企业的个人信息制裁力度不断上升的趋势，外界预测Kakao Pay可能会面临沉重的罚款处罚。金融监管部门认为Kakao Pay同时违反了《个人信息保护法》和《信用信息法》。此前的《信用信息法》规定，违法时课以事发年度“相关销售额的3%”以下的罚款，但随着去年9月修订法的实施，罚款规模大幅扩大至“整体销售额的3%”以下。此前在今年5月，Kakao因违反针对开放聊天室参与者信息的安全保护义务，被处以151.4196亿韩元的罚款。虽然适用的是修订前的法律，但这已是史上最大规模的处罚案例。由于双方观点针锋相对，预计在处罚决定下达后，双方仍可能诉诸法律手段，最终结论可能需要数年时间。
业界内外出现了批评企业应对迟缓、跟不上制度变化的声音。一位专家指出：“向支付宝提供信息时，若被视为‘向海外转移’，则需要额外获取单独同意。从信息主体的普遍情绪来看，人们对信息转移至海外，尤其是中国企业，存在抵触感。这种压力可能发挥了作用。”但他同时也补充说：“鉴于这甚至可能触犯刑事处罚，我认为故意遗漏的可能性不大，但这反映出企业在个人信息保护与处理方面意识淡薄。”
市民社会中也有人指出制度存在局限性。消费者主权市民会议强调：“很难将Kakao Pay的个人信用信息泄露仅看作是Kakao Pay的问题。近期不同领域个人信息泄露事故不断，却见不到确切的防范措施或严厉的警示性制裁。”也有观点认为，虽然针对个人信息管理疏忽的制裁正在加强，但政府在个人信息方面的政策方向依然模糊。进步网络中心代表吴炳一（音）指出：“企业倾向于缩减个人信息的范围和义务，而政府也倾向于从产业角度进行宽松的解读。”