개보위, 빗썸에 과징금 2.1억 부과…개인정보 국외이전 위반

▲이정렬 개인정보보호위원회 부위원장이 24일 오후 서울 종로구 정부서울청사에서 개최된 2026년 제12회 개인정보보호위원회 전체회의에서 의사봉을 두드리고 있다. (사진제공=개인정보보호위원회)

개인정보를 회원 동의 없이 다른 해외 거래소로 이전하고 해외 거래소와의 오더북(호가창) 공유 과정에서 개인정보 국외이전 규정을 위반한 가상자산거래소 빗썸이 과징금을 부과받았다.

25일 개인정보보호위원회는 전날 제12회 전체회의에서 개인정보 보호법상 개인정보 국외이전 규정을 위반한 빗썸에 대해 과징금 2억1000만원을 부과하고 적법한 국외이전 요건을 갖추도록 하는 시정명령을 의결했다고 밝혔다.

가상자산 이전은 국외이전 절차 미준수가, 오더북 공유는 동의 대상과 실제 이전 대상의 불일치가 각각 문제로 지적됐다. 오더북 공유는 거래소 간 매수·매도 주문정보(호가창)를 공유해 상호 교차 체결이 가능하도록 하는 제휴 방식이다.

개인정보위는 △오더북 공유 과정의 개인정보 국외이전 위반에 과징금 1억2000만원 △가상자산 이전 과정의 개인정보 국외이전 위반에 과징금 9000만원을 각각 부과했다.

개인정보 국외이전 시 정보주체의 별도 동의를 받는 등 적법한 요건을 갖추고 관련 내용을 개인정보 처리방침에 명확히 안내하도록 하는 시정명령도 내렸다.

조사 결과 빗썸은 2025년 9월부터 11월까지 테더(USDT) 마켓에서 해외 거래소와 오더북을 공유했다.

이 과정에서 빗썸은 이용자에게 스텔라 거래소(Stellar Exchange)로 개인정보를 국외 이전한다는 내용으로 별도 동의를 받았다. 그러나 실제로는 다른 거래소가 운영하는 시스템(bingx.com)으로 회원번호와 주문정보를 이전한 것으로 조사됐다.

빗썸은 이용자의 가상자산을 13개 해외 거래소로 이전하는 과정에서도 자금세탁 방지를 위해 송금인과 수취인의 이름과 지갑 주소, 일부 거래소에는 생년월일을 제공했다.

개인정보위는 자금세탁 방지를 위한 개인정보 제공의 필요성은 인정하면서도 개인정보 국외이전은 정보주체의 자기결정권과 직결되는 만큼 보호법상 요건과 절차를 준수해야 한다고 판단했다.

개인정보위는 이번 조사와 함께 '블록체인 서비스 개인정보 보호 가이드라인'을 발표했다. 가이드라인에는 블록체인에 개인정보를 직접 올리지 않고, 일반 서버(DB)에 보관하는 안 등이 담겼다.

개인정보위는 지난해 국정감사에서 제기된 빗썸의 오더북 공유 관련 개인정보 국외이전 적법성 논란을 계기로 조사에 착수했다.

개인정보위 관계자는 "빗썸은 가상자산거래소인 동시에 개인정보를 수집·이용하는 개인정보처리자"라며 "조사 결과 빗썸이 해외 가상자산 거래소와의 오더북 공유와 해외 거래소로 가상자산 이전 과정에서 개인정보 국외이전 관련 규정을 위반한 것으로 확인됐다"고 말했다.