디지파이넥스 코리아 등 14개 암호화폐 거래소 개인정보 보호법 위반

개인정보 보호법에 따른 개인정보 처리방침에 책임자, 담당자, 연락처 없어

---

국내 암호화폐 거래소 업계의 '개인정보 보호법' 준수는 뒷전에 불과했다. 거래소를 이용하는 고객들의 권익 보호에 최선을 다하고 있다며, 정보통신서비스 제공자로서 개인정보 보호법과 정보통신망법은 안중에도 없는 것으로 나타났다.

지난달 27일 'ISMS 인증 거래소의 개인정보 보호법 실태 조사' 보도 이후 ISMS 미인증과 인증을 준비하는 거래소를 전수 조사, 이들의 개인정보 보호법 위반 사항을 공개한다.

4일 <본지>가 국내에서 영업 중인 암호화폐 거래소 100여 곳을 확인한 결과 14곳이 개인정보 보호법 31조를 위반했다. 이들은 개인정보 보호책임자, 부서 명칭과 전화번호 등을 표시하지 않았으며, 이는 1천만 원 이하의 과태료 부과 대상이다.

1차 점검에 나선 결과 ▲디지파이넥스 코리아 ▲데이빗 ▲체인엑스 ▲비티너스 ▲알리비트 ▲워너빗 ▲지엑스 익스체인지(GX-Exchange) ▲코인제우스 ▲블루벨트 ▲CM 익스체인지 ▲코인투엑스(Coin2X) ▲코인빅뱅 ▲뉴드림 ▲달빗(DARLBIT) ▲비트포인트플러스 등 총 15곳이다.

비베스트 코리아가 운영하는 달빗 거래소는 개인정보 보호책임자 항목이 빈 칸이다. / 이미지=달빗 거래소 개인정보 처리방침 갈무리

지난해 구글과 넷플릭스 등의 해외 IT 기업의 개인정보 보호법 위반 사례가 밝혀졌음에도 '강 건너 불구경'을 하고 있던 셈이다.

개인정보 보호법에 따르면 개인정보 보호책임자를 지정하고 제31조에 따라 개인정보 보호책임자의 성명 또는 개인정보 보호업무 및 관련 고충사항을 처리하는 부서의 명칭과 전화번호 등 연락처를 공개해야 한다.

문제는 단순한 개인정보 보호법의 과태료가 아니라 이들이 위반한 항목이 ISMS 인증기준의 점검항목이라 겹친다. 즉 ISMS 인증 심사가 진행 중이거나 혹은 준비 중이라면 사업중단이 아닌 이상 ISMS 심사항목에서 문제가 된다.

지난해 11월 한국인터넷진흥원이 공개한 '암호화폐 거래소 전용 ISMS 세부점검항목'에 따르면 월렛 중심의 기술 보안 외에도 '관리체계 수립 및 운영'에 개인정보 보호에 관한 항목이 명시되어 있다.

암호화폐 거래소 전용 ISMS 세부점검항목을 살펴보면 ▲최고경영자는 정보보호 및 개인정보보호 처리에 관한 업무를 총괄하여 책임질 최고책임자를 공식적으로 지정하고 있는가? ▲정보보호 최고책임자 및 개인정보 보호책임자는 예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정하고 있으며 관련 법령에 따른 자격요건을 충족하고 있는가? 등이 관리체계 기반 마련 항목이 부실해 감점 요인이다.

ISMS 인증을 받은 거래소만 실명계좌 발급 심사가 진행되지만, 정작 ISMS 심사와 관련해 개인정보 보호법부터 제대로 지키지 않은 거래소가 속속 밝혀짐에 따라 업계의 현명한 대처가 필요한 시점이다.