바이낸스가 러시아 이용자 개인정보를 넘겼다? 우크라이나 기부 사건의 쟁점

로이터는 바이낸스가 러시아 수사당국에 러시아 국적의 IT 전문가 유리 벨렌키에 대한 신원 자료와 가상자산 거래 기록을 제공했다고 보도했습니다. 러시아 당국은 이 자료를 우크라이나 관련 모금 캠페인에 대한 기부를 테러자금 조달로 규정한 형사사건의 증거로 사용한 것으로 전해졌습니다. 로이터가 검토한 법 집행기관 문서가 근거입니다.

다만 이번 보도만으로 바이낸스가 우크라이나와 관련된 모든 가상자산 기부자의 정보를 러시아에 넘겼다고 단정할 수는 없습니다. 확인된 것은 특정 이용자 한 명에 대한 정보 제공 사례이며, 요청의 법적 근거와 처리 절차에는 여전히 공백이 남아 있습니다.

바이낸스가 제공한 정보는 무엇이었나

러시아 수사관들은 벨렌키에의 바이낸스 거래 내역을 요청했고, 2023년 1월부터 2024년 3월 사이 총 700달러가 넘는 이체 기록을 확보했습니다. 해당 자금은 우크라이나군 및 러시아 당국이 테러·극단주의 조직으로 지정한 아조프(Azov)와 연계된 지갑으로 보내진 것으로 조사됐습니다.

수사당국에 제공된 자료에는 다음과 같은 민감한 개인정보도 포함된 것으로 알려졌습니다.

• 생년월일
• 주소와 전화번호
• 여권 번호
• 러시아 여권 사본
• 불가리아 거주 허가증 사본

러시아 당국은 이 자료를 벨렌키에 사건에 활용했습니다. 그는 2025년 9월 구금됐고, 같은 해 10월 테러자금 조달 혐의로 기소됐습니다. 로이터 보도 시점에는 재판을 기다리고 있었습니다.

러시아에서 철수한 뒤에도 어떻게 정보가 제공됐나

바이낸스는 2023년 9월 러시아에서 완전히 철수한다고 발표했습니다. 그러나 이번에 보도된 정보 제공은 러시아 내 일반 이용자 대상 영업을 재개했다는 의미가 아니라, 과거 계정에 남아 있던 자료에 대한 수사기관의 요청에 응한 사례로 설명됩니다.

바이낸스는 전 세계 법 집행기관의 합법적인 정보 요청에 협조하며, 관련 법률·개인정보 보호 규정·규제 요건을 준수한다고 밝혔습니다. 또 회사가 법률을 만들거나 형사 혐의를 결정하는 주체가 아니며, 정부가 법적 절차에서 제공받은 정보를 어떻게 사용하는지도 통제할 수 없다고 설명했습니다.

로이터에 따르면 이번 요청은 바이낸스의 법 집행기관 정보 요청 절차를 통해 처리됐습니다. 다만 러시아 수사관들이 법원 명령을 제시했는지, 자료가 어떤 구체적인 기술적 채널을 통해 전달됐는지는 공개된 자료만으로 확인되지 않습니다.

불가리아 거주 허가증이 GDPR 쟁점이 된 이유

이번 사건에서 핵심적인 개인정보 보호 쟁점은 벨렌키에가 불가리아 거주 허가증을 갖고 있었다는 점입니다. 법률 전문가들은 바이낸스가 그를 유럽연합(EU) 거주자로 분류했다면, EU의 개인정보 보호법인 일반개인정보보호법(GDPR)이 적용될 가능성이 있다고 로이터에 말했습니다.

그 경우 러시아로 개인정보를 이전하려면 적법한 법적 근거와 추가적인 보호 장치가 필요할 수 있습니다. 하지만 바이낸스가 벨렌키에의 거주지를 계정상 어떻게 분류했는지, 어떤 법적 근거를 들어 정보를 이전했는지는 확인되지 않았습니다. 따라서 이번 이전이 GDPR 요건을 충족했는지도 현재로서는 결론을 내릴 수 없습니다.

전문가들은 여권과 금융거래 내역처럼 민감도가 높은 정보를 제공하기 전에 법원 명령이 필요했는지, 또는 그런 명령이 적절했는지도 문제로 제기했습니다. 러시아에서 정치적 활동이나 우크라이나 관련 행위를 테러·극단주의 법률로 다루는 사례가 있다는 점에서 우려가 더 커질 수 있다는 지적입니다. 다만 이번 사건에 실제로 법원 명령이 존재했는지는 로이터 보도로 확인되지 않았습니다.

나발니 후원자 정보 논란과의 연결고리

이번 사건은 바이낸스가 러시아 당국과 과거에도 이용자 정보 문제를 논의했다는 로이터의 이전 보도를 떠올리게 합니다. 로이터는 2021년 바이낸스 관계자가 러시아 금융정보기관을 만났으며, 당시 러시아 officials가 알렉세이 나발니에게 비트코인을 기부한 사람들을 식별하는 데 도움을 요청했다고 2022년 보도했습니다.

또한 러시아 당국이 가상자산 기부를 훗날 극단주의 또는 테러 조직에 대한 지원으로 규정해 처벌한 broader pattern 속에서 이번 사건을 볼 수 있습니다. 하지만 중요한 구분이 필요합니다. 벨렌키에 사건은 특정 이용자의 정보가 제공됐다는 정황을 보여줄 뿐, 바이낸스가 우크라이나 관련 모든 기부자의 데이터를 체계적으로 러시아에 넘겼다는 사실을 입증하지는 않습니다.

아직 답이 나오지 않은 핵심 질문

이번 보도는 거래소가 한 국가의 시장에서 철수한 뒤에도 과거 이용자 계정과 거래 기록이 수사기관의 요청 대상이 될 수 있음을 보여줍니다. 동시에 글로벌 가상자산 거래소가 합법적인 수사 협조 의무와 국경을 넘는 개인정보 보호 책임 사이에서 어떤 기준을 적용해야 하는지도 드러냈습니다.

남은 질문은 세 가지입니다. 러시아의 정보 요청이 관련 법률 기준을 충족했는지, 바이낸스가 법원 명령이나 다른 유효한 법적 근거를 확보했는지, 그리고 벨렌키에에게 어떤 개인정보 보호 규정을 적용할지 거래소가 어떻게 판단했는지입니다. 로이터 보도는 정보 제공과 그 자료의 러시아 형사사건 활용 사실을 뒷받침하지만, 이 법적 쟁점들의 최종 결론까지 제시하지는 않습니다.