디지털자산 거래소, 개인정보보호·AML 검증 체계 구축 시급

핵심 요약

- 디지털자산 시장 제도화 지연 속에서 거래소의 개인정보 보호·보안·자금세탁방지(AML) 검증 체계 미비 문제 부각 - 대주주 지분 규제로 인한 거래소 구조 재편이 개인정보 처리 책임 소재 명확화 계기로 작용 - ISMS-P 인증 기반 통합 보안·개인정보보호 관리체계 구축 필요성 증대

주요 내용

2026년 10월 현재, 가상자산 거래소에 대한 대주주 지분 규제가 본격화되면서 업계의 구조 재편이 불가피한 상황이다. 이 과정에서 개인정보 보호와 보안, 자금세탁방지(AML) 체계에 대한 검증이 핵심 과제로 떠올랐다.

현재 국내 주요 디지털자산 거래소들은 수백만 명의 회원 정보를 보유하고 있으며, KYC(고객확인) 절차를 통해 실명, 금융정보, 거래내역 등 민감한 개인정보를 대량으로 처리하고 있다. 그러나 지배구조 변경 과정에서 개인정보 처리 책임 소재가 불분명해지고, 정보주체 권리 보장 체계가 약화될 우려가 제기되고 있다.

특히 글로벌 스테이블코인 USDC의 유럽 시장 진출 사례에서 보듯, 선진 시장은 개인정보 보호(GDPR)와 자금세탁방지를 통합한 엄격한 규제 체계를 운영 중이다. 국내 거래소들도 단순한 지분 구조 조정을 넘어, 개인정보보호법과 정보통신망법, 특정금융정보법을 아우르는 통합 컴플라이언스 체계를 갖춰야 한다는 지적이 나온다.

거래소 구조 재편 시 개인정보 이전·위탁·제3자 제공 절차의 적법성 확보가 필수적이며, 특히 해외 법인과의 정보 공유 시 개인정보 국외이전 절차 준수 여부가 핵심 검토 사항이 될 전망이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 거래소 지배구조 변경은 개인정보 처리 책임의 재정립 기회로 활용되어야 한다. 현재 많은 거래소가 개인정보 처리방침과 실제 처리 현황 간 괴리, AML 시스템과 개인정보보호 체계의 분리 운영 등 구조적 취약점을 안고 있다. 구조 재편 시 ①개인정보보호 조직과 책임자 명확화 ②개인정보 영향평가(PIA) 재실시 ③제3자 제공·위탁 계약 재검토 ④기술적·관리적 보호조치 강화를 동시에 추진해야 한다.

특히 자금세탁방지를 위한 이상거래탐지시스템(FDS)은 필연적으로 개인의 거래패턴, 행동분석 등 프로파일링을 수반한다. 이는 개인정보보호법상 민감정보 처리에 준하는 수준의 보호조치가 필요하며, 자동화된 의사결정에 대한 정보주체의 권리 보장 방안도 마련되어야 한다. 거래소들은 ISMS-P 인증 취득을 넘어, 지속적인 위험 평가와 개선 체계를 갖춘 성숙한 보안·개인정보보호 문화를 구축해야 한다.

CPPG·ISMS-P 연계 포인트

개인정보 영향평가(PIA) 대상: 대규모 개인정보 처리 시스템의 구조적 변경(지배구조 변경, 합병 등)은 개인정보보호법 제33조에 따른 영향평가 대상이 될 수 있다. 특히 민감정보·고유식별정보를 100만 명 이상 처리하는 거래소는 필수 평가 대상이며, 평가 결과에 따라 보호조치 강화 필요.

AML-개인정보보호 통합 관리: 특정금융정보법상 자금세탁방지 의무와 개인정보보호법상 개인정보 최소수집·목적제한 원칙은 상충할 수 있다. ISMS-P 인증심사 시 두 요구사항의 균형적 이행 여부를 검토하며, 거래내역 보관기간(5년), 접근권한 관리, 암호화 등 기술적 보호조치의 적정성을 중점 심사한다.