3월 특금법 시행을 앞두고 국내 암호화폐 거래소 업계의 생존게임이 진행 중인 가운데 ISMS 인증을 획득한 거래소 대다수가 개인정보 보호법을 위반한 것으로 밝혀졌다.
지난해 구글과 넷플릭스 등의 글로벌 기업이 국내법 위반사례가 밝혀지면서 데이터 3법(개인정보 보호법, 정보통신망법, 신용정보법) 등이 시행됐음에도 미흡하게 대처하는 거래소가 만천하에 드러난 것.
27일 <본지>가 ISMS 인증번호를 부여받은 거래소 12곳의 개인정보 처리방침을 점검한 결과 업비트와 에이프로빗을 제외하고, 나머지 거래소 10곳은 개인정보 보호법을 위반한 것으로 나타났다.
현재 ▲고팍스 ▲코빗 ▲빗썸 ▲코인원 ▲한빗코 ▲캐셔레스트 ▲텐엔텐 ▲플라이빗 ▲지닥 ▲후오비 코리아 등은 개인정보 보호법 위반으로 1천만 원 이하의 과태료 부과 대상이다.
업비트는 개인정보처리방침 제7조 ②항에 분리보관 항목을 이름, 휴대전화번호, 이메일, 생년월일, 성별, 본인확인정보(CI, DI), 계좌정보 등을 표기했다. 이는 회원 가입시 수집하는 개인정보 항목과 별도로 표기한 것이다.
또한 에이프로빗도 지난 26일 개인정보처리방침 개정 안내를 통해 담당자 연락처 항목을 추가한 이후 관련법에 따른 별도로 보관되는 개인정보에 관련된 사항을 반영할 것이라고 설명했다.
에이프로 코리아 관계자는 "해당 사항은 숙지하고 있으며, 개인정보 파기와 관련해 항목을 추가할 예정이다"라고 말했다.
지난해 8월 데이터 3법이 시행됐음에도 국내 거래소 업계는 특금법 시행에 따른 ISMS 인증과 실명계좌 발급 심사 등에 집중한 사이 관련법 시행과 함께 '개인정보보호위원회'가 출범했음에도 사각지대에 놓여있던 셈이다.
개인정보 위원회는 오늘(27일) 개인정보 보호법을 위반한 지방자치단체 30개 기관을 대상으로 시정조치 권고 처분을 내리고, 이중 12개 기관에 대해서는 징계 권고를 병과했다. 이를 두고 관련 업계는 지자체 이후에 민간 기업을 대상으로 현장 실태점검에 나서기 전에 미리 반영해야 한다는 분위기가 지배적이다.
개인정보 위원회 관계자는 "개인정보 보호법에 따라 200만 원(1회 위반), 400만 원(2회 위반), 800만 원(3회 이상 위반)의 과태료가 부과될 것"이라고 전했다.
개인정보 보호법
제30조(개인정보 처리방침의 수립 및 공개) 제1항 3의2.
개인정보의 파기절차 및 파기방법(제21조 제1항 단서에 따라 개인정보를 보존하여야 하는 경우에는 그 보존근거와 보존하는 개인정보 항목을 포함한다)
제21조 1항
① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.
지난해 법 시행 후 업종에 따른 형평성 논란이 제기됐지만, IT 업계를 중심으로 개인정보 보호법에 명시된 '파기 절차 및 파기방법'을 표기한 업체와 표기하지 않은 업체가 혼선을 빚고 있다.
일각에서는 법 시행과 함께 관련 항목을 표기해 손해를 감수한 업체가 이를 지키지 않는 업체를 제보 형식으로 고발하고 있다고 이야기까지 나온다.
현재 IT 기업 중에서 대표적인 네이버와 엔씨소프트는 해당 항목을 별도로 표기했다. 회원 가입시 '수집하는 개인정보'와 가입시 동의를 얻은 개인정보 항목을 별도로 표기하고 있다.
두 곳의 기업은 '개인정보 유효기간제'에 따라 일정기간(1년) 서비스를 이용하지 않은 경우에 한해 장기 미이용 계정(휴면 계정)으로 분류했다.
<본지>는 ISMS 인증번호를 획득한 거래소만 조사했지만, 향후 특금법 시행 전 국내에서 영업 중인 거래소의 데이터 3법 이행 여부를 확인해 후속 보도를 이어갈 예정이다.
