빗썸, 개인정보 국외이전 절차 위반…과징금 2억1000만원

오더북 공유·해외 거래소 자산 이전 과정서 보호법 위반 확인

개인정보위, 국외이전 절차 개선 시정명령 의결

빗썸이 25일 개인정보 국외이전 절차를 제대로 준수하지 않아 개인정보보호위원회로부터 과징금 2억1000만원과 시정명령을 받았다. ⓒ빗썸

국내 가상자산 거래소 빗썸이 개인정보 국외이전 절차를 제대로 준수하지 않아 개인정보보호위원회로부터 과징금 2억1000만원과 시정명령을 받았다.

25일 개인정보위에 따르면 전날 열린 전체회의에서 빗썸의 개인정보 보호법 위반 안건을 심의·의결하고 과징금 부과와 시정명령을 결정했다.

이번 제재는 지난해 국회 국정감사에서 제기된 오더북(호가창) 공유 과정의 개인정보 국외이전 논란을 계기로 진행된 조사 결과에 따른 것이다.

개인정보위 조사에 따르면 빗썸은 지난해 9월부터 11월까지 테더(USDT) 마켓의 오더북을 해외 거래소와 연동하는 과정에서 회원번호와 주문정보를 해외 시스템으로 전송했다.

이용자들에게는 스텔라 거래소로 개인정보가 이전된다고 안내하고 동의를 받았지만, 실제 정보는 다른 거래소가 운영하는 'bingx.com' 시스템으로 전달된 것으로 확인됐다.

이와 별도로 해외 거래소로 가상자산을 이전하는 과정에서도 개인정보 국외이전 관련 법적 요건을 일부 갖추지 않은 것으로 나타났다.

빗썸은 자금세탁방지(AML) 의무를 이행하기 위해 송금인과 수취인의 이름, 지갑주소, 생년월일 등을 13개 해외 거래소에 제공했지만, 정보주체의 별도 동의 등 보호법이 정한 절차를 준수하지 않았다.

개인정보위는 자금세탁방지를 위한 개인정보 제공의 필요성은 인정하면서도, 개인정보를 국외로 이전하는 경우에는 정보주체의 자기결정권 보호를 위해 법에서 정한 절차를 철저히 준수해야 한다고 판단했다.

이에 개인정보위는 오더북 공유 과정의 위반 행위에는 1억2000만원, 해외 거래소로의 개인정보 이전 과정에서 발생한 위반 행위에는 9000만원의 과징금을 각각 부과했다.

아울러 개인정보를 국외로 이전할 때 관련 법령상 요건을 갖추고, 관련 내용을 개인정보 처리방침에 명확히 공개하도록 시정명령을 내렸다.

한편 개인정보위는 이번 조사에서 확인된 블록체인 기술의 특성을 반영해 '블록체인 서비스 개인정보 보호 가이드라인'도 마련했다.

가이드라인에는 온체인 정보의 공개·추적 가능성을 줄이기 위한 방안과 참여자 간 개인정보 관리 기준, 블록체인의 불변성을 고려한 개인정보 파기 방안 등이 담겼다.