특정금융거래정보의 보고 및 이용 등에 관한 법률(이하 “특정금융정보법령”)에 따라 자금세탁방지의무 이행을 위하여 해외 거래소로 가상자산을 이전하면서 송수신인의 개인정보를 해외 거래소에 제공한 행위가 개인정보 국외이전 규정 위반으로 문제되었습니다. 개인정보보호위원회(이하 '개인정보위')는 2026. 6. 24. 제12회 전체회의에서 ㈜빗썸의 개인정보 국외이전 규정 위반행위에 대하여 과징금 2억 1천만 원을 부과하고 시정명령을 의결하였습니다. 같은 날 개인정보위는 「블록체인 서비스 개인정보 보호 가이드라인」도 함께 발표하였습니다.

가상자산사업자는 트래블룰 준수 과정에서 개인정보 국외이전 동의·고지, 개인정보 처리방침, 해외 수령자 관리체계까지 함께 점검할 필요가 있습니다.

트래블룰(Travel Rule)은 가상자산사업자가 고객의 요청에 따라 가상자산을 다른 가상자산사업자에게 이전하는 경우, 가상자산과 함께 송신인 및 수신인에 관한 정보를 상대방 사업자에게 제공하도록 하는 제도입니다. 특정금융정보법령에 근거하여 2022년 3월 25일부터 시행되고 있으며, 현재는 1백만 원 상당 이상의 가상자산을 이전하는 경우에 한하여 적용됩니다. 송신인과 수신인의 성명, 가상자산 주소 등이 제공되며, 필요한 경우 생년월일과 같은 추가 정보가 함께 제공되기도 합니다.

2. 자금세탁방지 목적의 정보제공과 국외이전 요건

개인정보 보호법 제28조의8 제1항은 개인정보의 국외이전을 원칙적으로 제한하면서, ① 정보주체의 별도 동의, ② 법률·조약·국제협정에 개인정보 국외이전에 관한 특별한 규정이 있는 경우, ③ 계약 체결 및 이행을 위한 처리위탁·보관이 필요한 경우, ④ 개인정보 보호 인증 및 필요한 보호조치를 갖춘 경우, ⑤ 이전 국가 또는 국제기구의 개인정보 보호체계가 국내법상 보호수준과 실질적으로 동등하다고 개인정보위가 인정하는 경우 등 일정한 사유가 있는 경우에 한하여 개인정보의 국외이전을 허용하고 있습니다.

특히 위 ②의 경우 ‘법률 등에 개인정보의 국외 이전에 관한 특별한 규정이 있는 경우’를 예정하고 있으므로, 특정금융정보법령상 트래블룰 이행을 위해 송·수신인 정보를 제공할 필요가 있다는 사정만으로 개인정보 보호법상 국외이전 요건이 당연히 충족된다고 보기는 어렵습니다. 실제로 개인정보위는 자금세탁방지를 위한 개인정보 제공의 필요성 자체는 인정하면서도, 개인정보 국외이전은 정보주체의 개인정보 자기결정권과 밀접한 사항이므로 개인정보 보호법상 요건과 절차를 별도로 준수해야 한다고 판단하였습니다.

가상자산사업자는 트래블룰 이행 과정에서 개인정보 보호법상 국외이전 요건이 함께 충족되고 있는지 점검할 필요가 있습니다. 특히, 금융위원회는 100만원 이상 가상자산 이전거래에 적용되던 트래블룰의 기준금액을 폐지하는 내용의 특정금융정보법 시행령 및 감독규정 개정안을 입법예고한 바 있어 트래블룰 적용범위가 금액이나 수량의 제한없이 확대될 수 있습니다.

국외이전 동의는 최초 회원가입 단계에서 포괄적으로 동의를 받았다는 사정만으로 충분하지 않을 수 있습니다. 실제 이전받는 자, 이전 국가, 이전 항목, 이전 목적 등이 변경되는 경우에는 정보주체에게 이를 알리고 다시 동의를 받아야 하므로, 해외 거래소 제휴, 트래블룰 솔루션 시스템 변경, 클라우드 또는 중개 시스템 변경 시에는 AML 관점의 검토와 함께 개인정보 국외이전 해당 여부와 동의 범위를 추가로 확인하고 점검하는 프로세스가 마련되어야 할 것입니다.