국내 가상자산 거래소 빗썸이 이용자 동의 없이 개인정보를 해외로 이전한 사실이 드러나 개인정보보호위원회로부터 2억1000만원의 과징금과 시정명령을 받았다. 개인정보위는 이달 24일 정부서울청사에서 열린 제12회 전체회의에서 빗썸이 개인정보보호법상 국외이전 규정을 위반했다고 판단하고 이 같은 처분을 의결했다.

조사에 따르면 빗썸은 지난해 9월부터 11월까지 테더(USDT) 마켓에서 해외 가상자산 거래소와 ‘오더북(Order Book)’을 공유했다. 오더북은 거래소 간 매수·매도 주문 정보를 공유해 서로의 고객 주문이 교차 체결될 수 있도록 하는 시스템으로, 거래량 확대와 유동성 확보에 활용된다. 그러나 이 과정에서 회원번호와 주문정보 등 개인정보가 해외 시스템으로 이전될 수 있어 법적 규제가 적용된다.

빗썸은 이용자에게 스텔라 거래소로 개인정보를 이전한다는 내용으로 별도 동의를 받았지만, 실제로는 다른 해외 거래소가 운영하는 ‘빙엑스(BingX)’ 시스템으로 정보를 이전한 것으로 확인됐다. 개인정보위는 고지한 이전 대상과 실제 이전 시스템이 달랐다는 점을 중대한 위반으로 보고 1억2000만원의 과징금을 부과했다.

가상자산 이전 과정에서도 추가 위반이 드러났다. 빗썸은 이용자가 자산을 13개 해외 거래소로 전송할 때 자금세탁방지(AML)를 목적으로 송금인과 수취인의 이름, 지갑주소, 생년월일 등을 해외 거래소에 제공했다. 생년월일은 동일인 여부 확인을 위해 1개 거래소에만 제공됐지만, 이 같은 내용도 별도 동의 절차 없이 이뤄진 것으로 나타났다. 개인정보위는 AML 목적의 정보 제공 필요성은 인정하면서도, 개인정보 국외이전은 정보주체의 자기결정권과 직결되는 만큼 법에서 정한 동의 절차를 반드시 준수해야 한다고 강조하며 9000만원의 과징금을 추가로 부과했다.

개인정보위는 빗썸에 대해 향후 오더북 공유나 가상자산 이전 시 적법한 국외이전 요건을 갖추도록 시정명령을 내렸다. 또 개인정보 처리방침에 국외이전 사실을 명확히 안내하고, 이용자에게 별도 동의를 받는 절차를 강화할 것을 요구했다. 또 조사 과정에서 확인된 블록체인 기술 특성을 반영해 ‘블록체인 서비스 개인정보 보호 가이드라인’도 별도로 마련했다. 이 가이드라인에는 온체인 정보 공개에 따른 추적 방지, 분산 구조에서의 정보 공유 관리, 불변성에 따른 개인정보 파기 방안 등이 포함됐다.

빗썸은 개인정보위의 과징금·시정명령 발표가 나온 직후 “지적된 미비점을 모두 개선했다”며 재발 방지를 약속했다. 이어 “앞으로 더욱 엄격한 기준을 적용해 안전하고 투명한 거래 환경을 조성하겠다”고 밝혔다.

앞서 빗썸은 올해 3월 금융정보분석원(FIU)에서 특정금융정보법상 자금세탁방지 의무 위반으로 368억원의 과태료와 6개월 영업 일부정지라는 중징계를 받았다. 당시 FIU는 빗썸이 미신고 사업자와의 거래를 차단하지 못하는 등 고객확인(KYC) 의무를 소홀히 했다고 판단했다. 이와 함께 개인정보 보호법 위반까지 적발되면서 빗썸의 내부 관리 체계 전반에 대한 개선 필요성이 더욱 커졌다는 지적이 나오기도 했다.

개인정보위는 “국민의 개인정보 자기결정권이 침해되지 않도록 국외이전 등 위반행위에 엄정히 대응할 것”이라며 “신기술 환경에서도 개인정보 보호와 안전한 활용이 조화를 이룰 수 있도록 기준을 지속해서 마련하겠다”고 밝혔다.