개인정보위, 국외이전 규정 위반 빗썸에 과징금 2.1억원

해외 거래소와 오더북 공유 과정서 회원번호·주문정보 이전

개인정보위, '블록체인 서비스 개인정보 보호 가이드라인' 마련

송경희 개인정보보호위원회 위원장이 지난 10일 오전 서울 종로구 정부서울청사에서 개최된 2026년 제11회 개인정보보호위원회 전체회의에서 의사봉을 두드리고 있다.[사진=개인정보보호위원회]

개인정보보호위원회(개인정보위)가 개인정보 국외이전 규정을 위반한 가상자산거래소 빗썸에 과징금 2억1000만원을 부과했다.

개인정보위는 전날 열린 전체회의에서 개인정보보호법상 개인정보 국외이전 규정을 위반한 빗썸에 과징금 2억1000만원을 부과하고, 적법한 국외이전 요건을 갖추도록 하는 시정명령을 의결했다고 25일 밝혔다.

이번 조사는 지난해 국회 국정감사에서 빗썸의 '오더북 공유' 서비스와 관련한 개인정보 국외이전 적법성 문제가 제기되면서 시작됐다. 오더북 공유는 거래소 간 매수·매도 주문정보(호가창)를 공유해 상호 교차 체결이 가능하도록 하는 제휴 방식이다.

조사 결과 빗썸은 해외 가상자산거래소와 오더북을 공유하고 가상자산을 이전하는 과정에서 이용자 동의 없이 개인정보를 국외로 이전한 것으로 나타났다.

빗썸은 지난해 9월부터 11월까지 테더(USDT) 마켓에서 해외 거래소와 오더북 공유 서비스를 운영했다. 이 과정에서 이용자들에게는 특정 해외 거래소로 개인정보가 이전된다는 내용으로 별도 동의를 받았지만, 실제로는 다른 해외 거래소가 운영하는 시스템으로 회원번호와 주문정보를 전송한 것으로 확인됐다.

또 이용자의 가상자산을 해외 거래소 13곳으로 이전하는 과정에서 자금세탁방지(AML) 목적으로 송금인과 수취인의 이름, 지갑주소, 생년월일 등 개인정보를 제공하면서도 개인정보 국외이전에 필요한 법적 요건을 충족하지 않은 것으로 조사됐다.

이에 개인정보위는 과징금 2억1000만원을 부과하고, 개인정보 국외이전 시 정보주체의 별도 동의를 받는 등 적법한 요건을 갖추도록 시정명령을 내렸다. 아울러 국외이전 사실과 관련 내용을 개인정보 처리방침에 명확히 공개하도록 했다.

한편 개인정보위는 이번 조사 과정에서 확인한 블록체인 기술의 특성을 반영해 '블록체인 서비스 개인정보 보호 가이드라인'도 마련했다.

가이드라인에는 블록체인의 주요 특성인 투명성·분산성·불변성을 고려해 △온체인 정보 공개 및 추적 방지 방안 △참여자 간 개인정보 공유 관리 방안 △개인정보 파기 방안 등이 담겼다.