개인정보위, 빗썸 국외이전 위반 제재…블록체인 개인정보 기준도 제시

개인정보보호위원회 공식 보도자료에 따르면 개인정보위는 6월 24일 제12회 전체회의를 열고 개인정보 국외이전 규정을 위반한 빗썸에 과징금 2억1000만 원을 부과하고 시정명령을 의결했다. 개인정보위는 빗썸이 해외 가상자산거래소와 오더북을 공유하고 가상자산 이전을 처리하는 과정에서 정보주체의 별도 동의 등 법상 요건을 일부 충족하지 않았다고 밝혔다.

이번 조사는 2025년 국정감사에서 빗썸의 오더북 공유와 관련한 개인정보 국외이전 적법성 문제가 제기된 뒤 시작됐다. 오더북 공유는 거래소 간 매수·매도 주문정보를 공유해 상호 교차 체결을 가능하게 하는 제휴 형태다.

개인정보위 조사 결과 빗썸은 2025년 9월부터 11월까지 테더(USDT) 마켓에서 해외 거래소와 오더북을 공유했다. 이 과정에서 이용자에게는 스텔라 거래소로 개인정보를 국외이전한다는 내용으로 별도 동의를 받았으나, 실제로는 다른 거래소가 운영하는 시스템으로 회원번호와 주문정보가 이전된 것으로 확인됐다고 개인정보위는 설명했다.

가상자산 이전 과정도 제재 대상에 포함됐다. 개인정보위는 빗썸이 이용자의 가상자산을 13개 해외 거래소로 이전할 때 자금세탁방지 목적상 송금인과 수취인의 이름, 지갑주소, 일부 생년월일 정보를 제공했으나 개인정보보호법이 정한 국외이전 요건을 일부 갖추지 않았다고 판단했다.

개인정보위는 가상자산 이전에서 자금세탁방지를 위한 개인정보 제공 필요성은 인정된다고 봤다. 다만 개인정보 국외이전은 정보주체의 자기결정권과 밀접하게 연결되는 만큼, 별도 동의 등 법이 정한 절차를 면밀히 지켜야 한다는 판단을 내렸다.

이에 따라 개인정보위는 빗썸에 오더북 공유와 가상자산 이전 관련 위반을 합쳐 과징금 2억1000만 원을 부과했다. 또 개인정보를 국외이전할 때 정보주체의 별도 동의를 받는 등 적법한 요건을 갖추고, 그 사실을 개인정보 처리방침에 명확히 안내하도록 시정조치를 명령했다.

개인정보위는 이번 발표와 함께 블록체인 서비스 개인정보 보호 가이드라인도 공개했다. 블록체인은 거래내역을 확인할 수 있는 투명성, 참여자 간 분산 운영, 기록 변경이 어려운 불변성을 특징으로 한다. 개인정보위는 이 같은 특성을 고려해 온체인 정보 공개와 추적 방지, 참여자 간 정보 공유 관리, 개인정보 파기 방안 등을 가이드라인에 담았다고 설명했다.

빗썸은 별도 API 공지에서 가상자산 출금 시 국외 소재 거래소에 대해서는 개인정보 제3자 제공 동의와 개인정보 국외이전 동의가 순차적으로 필요하다고 안내하고 있다. 해당 공지는 거래소별 최초 1회 동의 절차와 동의 미완료 시 출금 요청이 처리되지 않는 방식을 설명한다.

이번 제재는 가상자산 거래소의 개인정보 처리가 단순한 보안 관리 차원을 넘어 국외이전, 자금세탁방지, 블록체인 데이터 특성과 맞물려 규제 대상이 되고 있음을 보여준다. 특히 주문정보와 지갑주소처럼 거래 처리에 필요한 정보라도 이전 대상, 이전 목적, 이전 항목, 동의 절차가 실제 처리 흐름과 맞아야 한다는 점을 확인한 사례로 볼 수 있다.

출처: 개인정보보호위원회 https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12196 · 빗썸 API 공지 https://apidocs.bithumb.com/changelog/%EC%97%85%EB%8D%B0%EC%9D%B4%ED%8A%B8-%EA%B0%80%EC%83%81-%EC%9E%90%EC%82%B0-%EC%B6%9C%EA%B8%88-%EC%8B%9C-%ED%8A%B8%EB%9E%98%EB%B8%94%EB%A3%B0-%EB%8F%99%EC%9D%98-%EC%A0%88%EC%B0%A8-%EC%A0%81%EC%9A%A9-%EC%95%88%EB%82%B4