Olay
Kakao Pay, Apple App Store'da ödeme yöntemi olarak kullanılıyordu; Alipay ise Apple adına iş yapan şirketti. Kakao Pay 2018'den itibaren, Apple'da ödeme aracı kaydetmemiş kişiler ve Android kullanıcıları dahil yaklaşık 40 milyon kullanıcısının hash'lenmiş kimlik numarası, telefon numarası ve e-posta adresi ile bakiye ve ödeme sayısı gibi 24 kalem bilgisini Alipay'e gönderdi; toplam aktarım yaklaşık 54,2 milyar kayda ulaştı. Alipay bu verilerle her kullanıcı için bakiye yetersizliği ihtimalini gösteren NSF puanı hesapladı ve Apple'a sundu. Kişisel Bilgileri Koruma Komisyonu (PIPC) 22 Ocak 2025 tarihli genel kurul toplantısında Kakao Pay'e 5,968 milyar won yaptırım uyguladı, Alipay'e puanlama modelini imha etmesini emretti. Kakao Pay, aktarımın veri işleme yetkisinin devri olduğunu ileri sürerek dava açtı.
Hukuki soru
Uyuşmazlığın merkezinde, Kakao Pay'in verileri Alipay'e göndermesinin kullanıcı rızası gerektirmeyen bir veri işleme yetkisi devri mi, yoksa rıza gerektiren üçüncü kişiye aktarım ve yurt dışına aktarım mı olduğu sorusu vardı. Mahkeme, taraflar arasında Kişisel Bilgilerin Korunması Kanunu'nun (PIPA) yetki devri için aradığı belgelerin ve açıklamaların bulunup bulunmadığını inceledi. Kullanıcıların hizmete kaydolurken verdiği rızanın, kendileri hakkında Apple hizmetleri için bir risk puanı üretilmesini kapsayıp kapsamadığı da tartışıldı. Apple kullanmayan kişilerin verilerinin de puanlamaya dahil edilmiş olması bu bakımdan özel bir önem taşıyordu.
Karar
Seul İdare Mahkemesi 12. İdare Dairesi 11 Haziran 2026'da Kakao Pay'in davasını reddetti. Mahkemeye göre taraflar arasında gerçek bir yetki devri ilişkisi kurulmamıştı. Kanunun aradığı belgeler hazırlanmamış, Kakao Pay de yaklaşık beş yıl boyunca veri işleyeni ve devredilen işi internet sitesinde açıklamamıştı. Mahkeme aktarılan müşteri verisi ile Alipay'in ürettiği NSF puanını özünde aynı bilgi olarak değerlendirdi ve puandan doğan yararın yalnızca Apple'a ait olduğunu belirtti. Kullanıcıların rızası müşteri kimliğinin belirlenmesi, doğrulama ve ödeme mutabakatıyla sınırlıydı. Özellikle Apple kullanmayanlar, verilerinin Apple için risk puanı üretiminde kullanılacağını öngöremezdi. Yaklaşık 5,968 milyar wonluk yaptırım ile düzeltme ve ilan emirleri hukuka uygun bulundu.
Neden önemli
Karar, küresel ödeme zincirlerinde veri işleme yetkisinin devri ile üçüncü kişiye aktarım arasındaki sınırı otomatik risk puanlaması bağlamında ilk derece yargı düzeyinde çizdi. Mahkeme, puanlamanın kimin yararına yapıldığını belirleyici ölçüt olarak kullandı. Komisyonun, rızasız aktarılan verilerle kurulan bir puanlama modelinin imhasını da içeren yaptırım yaklaşımı ilk derece mahkemesince yerinde bulundu. Karar henüz kesinleşmemiştir.
İlgili aşamalar
PIPC aynı toplantıda Apple'a da 2,405 milyar won yaptırım ve 2,2 milyon won idari para cezası uyguladı. Kakao Pay 24 Haziran 2026'da karara karşı istinaf yoluna başvurdu.