업비트 진영 베리파이바스프, 개인정보 보호법 위반 소지 다분

25곳 조사했더니 국외 이전, 수탁, 계약 주체 등 미표기 거래소 속출

---

업비트를 중심으로 뭉친 일명 베리파이바스프 얼라이언스의 일부 회원사는 개인정보 보호법을 위반, 관계 기관의 판단에 따라 과징금과 과태료 대상이 될 전망이다.

국내 암호화폐 거래소 업계가 채택한 업비트 진영의 베리파이바스프와 빗썸 진영의 코드는 계약의 주체가 다르다. 베리파이바스프는 두나무 자회사 람다256이 개발했지만, 실제 거래소와 계약을 체결한 곳은 베리파이바스프 싱가포르 법인(VerifyVASP Pte. Ltd)이다.

29일 내외경제TV 와치독 팀이 베리파이바스프 싱가포르 법인 회원사의 '개인정보 처리방침'을 전수 조사한 결과 국내에서 영업 중인 바스프(가상자산사업자) 25곳 중에서 업비트, 고팍스, 후오비 코리아, 플랫타익스체인지, 오케이비트, 지닥, 비블록, 지닥 등 8개 사업자는 개인정보 국외 이전과 처리 위탁 업체로 표기했지만, 나머지 17곳은 베리파이바스프 싱가포르 법인을 표기하지 않았다.

이들은 빗크몬, 비트레이드, 캐셔레스트, 델리오, 비둘기 지갑, 포블게이트, KDAC, 오아시스, 프로비트, 텐앤텐, 코인엔코인, 코어닥스, 한빗코, 헥슬란트 등은 미디어와 관련 커뮤니티에 '베리파이바스프 합류'라는 공식 자료를 배포했음에도 정작 '개인정보 처리방침'에 싱가포르 법인을 표기하지 않았다.

람다256과 트래블 룰 솔루션 계약을 체결했다면 문제가 없지만, 싱가포르 법인과 계약했다면 표기 대상은 제대로 표기하지 않은 것이다.

또 보라비트, 에이프로빗, 플라이빗, 프라뱅 등은 람다256을 계약 주체로 표기했다. 이에 본지가 람다256에 국내 바스프와 계약 체결 여부를 묻자 람다256 관계자는 "확인해보겠다"고 말했다.

일부 거래소는 실수를 인정하고 처리방침을 보강하겠다고 밝혔지만, 특정 거래소 관계자는 "담당 업무가 바뀌어서 전달하겠다"는 아무런 문제가 없다는 식으로 답변해 도덕적 해이가 심각했다.

개인정보 보호법은 제26조(업무위탁에 따른 개인정보의 처리 제한)에 따라 위탁자와 수탁자를 표기해야 하며, 제39조의12(국외 이전 개인정보의 보호)는 이전 항목과 국가, 일시와 방법 등을 공개해야 한다.

업비트를 예로 들어 설명한다면 다음과 같다.

현행법에 따라 업비트를 운영하는 두나무는 개인정보처리자이자 위탁자, 업비트가 채택한 트래블 룰 솔루션의 실제 계약 주체인 베리 파이 버스 싱가포르 법인은 수탁자, 베리파이바스프 얼라이언스는 업비트에 '제3자 제공'으로 분류된다.

문제는 트래블 룰을 시행한 지 한 달이 넘도록 개인정보 처리방침을 방치, 특금법에 치중한 나머지 개인정보 보호법을 소홀히 했다는 비난은 피할 수 없게 됐다. 개인정보 보호위원회의 판단에 따라 경미한 사항이라면 과태료, 트래블 룰로 인해 거래소가 출금 수수료 폭리를 취했다면 과징금으로 사안이 달라진다.

개인정보보호위원회 측은 계도가 우선이지만, 업체를 특정해 위반 사실이 확인된다면 조사를 진행할 것이라고 전했다.