코빗은 휴면계정으로 전환된 이용자가 해제를 요청할 경우 ‘신분증 사진과 신분증을 들고 있는 사진’을 요구했다. 이를 제출하지 않는다는 이유로 휴면계정 해제 서비스 제공을 거부한 사실이 이용자 신고를 통해 파악됐다. 휴면계정 해제 즉시 매매 거래가 가능하므로 보이스피싱 등 금융범죄 예방을 위해 강화된 본인 확인 절차가 필요하다는 게 코빗 측 주장이다. 회원가입은 이메일 인증만으로 가능하게 해놓은 것과 대조된다.

개인정보위의 조사 결과 코빗 휴면계정 해제 시 신분증 사진정보가 반드시 필요한 정보는 아닌 것으로 확인됐다. 이용자가 휴면계정을 해제하더라도 거래와 입출금을 위해서는 ‘휴대전화번호 인증’을 추가로 요구하기 때문이다. 인증 없이는 휴면 해제 이후에도 회원 들어가기(로그인)와 조회 서비스만 이용 가능하다.

이에 개인정보위는 코빗이 신분증 사진정보를 요구하고 이에 응하지 않으면 휴면계정 해제를 거부한 행위에 대해 개인정보보호법상 ‘개인정보 최소 수집의 원칙’을 위반한 것으로 판단했다. 개인정보를 처리할 때는 그 목적과 비례해 적절한 범위에서 개인정보를 최소한으로 수집해야 한다는 원칙이다.

이번 결정으로 코빗의 해당 행위에는 과태료와 함께 시정명령이 내려졌다. 다른 주요 암호화폐 거래소인 업비트·빗썸·코인원의 경우 휴면계정 해제 시 신분증 사진정보를 요구하지 않는 것으로 확인됐다.

송상훈 개인정보위 조사조정국장은 “앞으로도 개인정보위는 개인정보 최소수집 원칙이 잘 지켜질 수 있도록 엄정한 법 집행과 함께 사업자들의 인식 제고를 위해서도 노력해나가겠다”고 말했다.