투데이e코노믹 = 우혜정 기자 | 정부가 개인정보를 적법한 절차 없이 해외로 이전한 가상자산 거래소 빗썸에 과징금 2억1000만원을 부과했다. 해외 거래소와 오더북(호가창)을 공유하고 가상자산을 이전하는 과정에서 이용자에게 고지한 이전 대상과 실제 개인정보가 전달된 시스템이 달랐고, 일부 국외이전은 별도 동의 없이 이뤄진 것으로 확인됐다.

개인정보보호위원회는 지난 24일 제12회 전체회의를 열고 개인정보보호법상 개인정보 국외이전 규정을 위반한 빗썸에 과징금 2억1000만원을 부과하고, 적법한 국외이전 요건을 갖추도록 하는 시정명령을 의결했다고 밝혔다.

이번 조사는 지난해 국회 국정감사에서 빗썸의 오더북 공유 과정에서 개인정보 국외이전의 적법성 문제가 제기되면서 시작됐다.

조사 결과 빗썸은 지난해 9월부터 11월까지 테더(USDT) 마켓에서 해외 거래소와 오더북을 공유하는 과정에서 회원번호와 주문정보를 해외 시스템으로 이전했다. 오더북 공유는 거래소 간 매수·매도 주문정보를 연계해 거래 유동성을 높이는 방식이다.

문제는 이용자에게는 스텔라 거래소로 개인정보를 국외 이전한다는 내용으로 별도 동의를 받았지만, 실제로는 다른 거래소가 운영하는 빙엑스(BingX) 시스템으로 회원번호와 주문정보를 전송한 점이다. 개인정보위는 이용자가 동의한 이전 대상과 실제 이전 대상이 달랐다며 개인정보보호법 위반으로 판단하고 이 부분에 대해 과징금 1억2000만원을 부과했다.

일부 거래서는 생년월일 등 개인정보 넘겨

가상자산 이전 과정에서도 위반 사실이 확인됐다. 빗썸은 이용자가 가상자산을 해외 13개 거래소로 이전할 때 자금세탁방지(AML)를 위해 송금인과 수취인의 이름, 지갑주소, 일부 거래에서는 생년월일 등의 개인정보를 해외 거래소에 제공했다.

개인정보위는 자금세탁방지를 위한 개인정보 제공의 필요성은 인정하면서도, 개인정보 국외이전은 정보주체의 자기결정권과 밀접하게 관련된 사항인 만큼 별도 동의 등 개인정보보호법에서 정한 요건과 절차를 준수해야 한다고 판단했다. 이에 해당 위반에 대해서는 과징금 9000만원을 부과했다.

개인정보위는 과징금 부과와 함께 빗썸에 개인정보 국외이전 시 정보주체의 별도 동의를 받고, 국외이전 대상과 목적 등을 개인정보 처리방침에 명확히 안내하는 등 적법한 국외이전 요건을 갖추도록 시정명령을 내렸다.

한편 개인정보위는 이번 조사 과정에서 확인한 블록체인 기술의 특성을 반영해 '블록체인 서비스 개인정보 보호 가이드라인'도 마련했다. 가이드라인에는 블록체인의 투명성에 따른 온체인 정보 공개 및 추적 방지 방안, 분산성에 따른 참여자 간 정보 공유 관리 방안, 불변성을 고려한 개인정보 파기 방안 등이 담겼다.

개인정보위는 "국외이전은 개인정보 자기결정권과 직결되는 사안인 만큼 법에서 정한 절차를 철저히 준수해야 한다"며 "신기술 환경에서도 개인정보 보호와 안전한 활용이 조화를 이룰 수 있도록 관련 기준을 지속적으로 마련해 나가겠다"고 밝혔다.