류영주 기자㈜빗썸이 거래소와 오더북 공유 및 가상자산 이전 과정에서 이용자의 개인정보를 동의 없이 국외이전해 과징금 2억 1천만 원을 부과받았다.
개인정보보호위원회는 24일 제12회 전체회의를 열고 개인정보 보호법상 개인정보 국외이전 규정을 위반한 빗썸에 과징금 2억 1천만 원을 부과하고, 적법한 국외이전 요건을 갖추도록 하는 시정명령을 의결했다.
개인정보위는 지난해 국정감사에서 빗썸의 오더북 공유 관련 개인정보 국외이전의 적법 문제가 제기돼 조사에 착수했다.
조사 결과 빗썸은 해외 가상자산거래소와 오더북 공유 및 가상자산 이전 과정에서 정보주체의 별도 동의 없이 개인정보를 국외이전한 사실을 확인했다.
빗썸은 지난해 9월~11월 테더(USDT) 마켓에서 해외 거래소와 오더북을 공유했다.
이 과정에서 정보주체에게는 스텔라 거래소로 개인정보를 국외이전한다는 내용으로 별도 동의를 받았으나, 실제로는 다른 거래소가 운영하는 시스템으로 회원번호 및 주문정보를 국외이전한 것으로 조사됐다.
또 빗썸은 이용자의 가상자산을 13개 해외 거래소로 이전하는 과정에서 자금세탁방지 목적으로 송금인과 수취인의 개인정보를 해외거래소로 제공했다. 제공한 정보는 이름과 지갑주소, 생년월일이 포함됐다.
그러나, 정보주체의 별도 동의를 받지 않는 등 보호법에서 정한 개인정보 국외이전 요건을 일부 충족하지 않은 것으로 확인됐다.
개인정보위는 자금세탁방지를 위한 개인정보 제공의 필요성은 있다고 봤으나, 개인정보 국외이전은 정보주체의 자기결정권과 밀접하게 관련된 사항으로 절차를 면밀하게 준수할 필요가 있다고 판단했다.
한편 개인정보위는 조사 과정에서 분석한 블록체인 기술의 특성을 고려해 '블록체인 서비스 개인정보 보호 가이드라인'을 수립했다.
블록체인은 참여자 거래내역을 쉽게 볼 수 있고, 기록 시 수정이 어려운 특성을 고려해 서비스 기획 단계에서 개인정보 보호원칙을 철저히 고려해야 한다는 게 개인정보위 판단이다.
이에 개인정보위는 각 블록체인 특성별로 △투명성에 따른 온체인 정보 공개 및 추적 방지방안 △분산성에 따른 참여자 간 정보 공유 관리방안 △불변성에 따른 개인정보 파기방안 등을 정했다.
개인정보위 관계자는 "신기술 환경에서 개인정보의 보호와 안전한 활용이 조화를 이룰 수 있도록 필요한 기준을 지속적으로 마련해 나갈 계획"이라고 밝혔다.