La Commission de la protection des renseignements personnels de Corée du Sud a ordonné à Bithumb de payer 210 millions de wons, soit environ 136 000 dollars, pour avoir enfreint les règles de transfert transfrontalier de renseignements personnels.
Le régulateur a également émis une ordonnance corrective exigeant que la bourse respecte les normes légales avant d'envoyer les données des utilisateurs à l'étranger.
La décision a fait suite à la 12e réunion plénière de la commission le 24 juin. La PIPC a déclaré que Bithumb avait transféré des renseignements personnels à l'étranger lors du partage du carnet d'ordres et des transferts d'actifs virtuels sans satisfaire à toutes les exigences de la Loi sur la protection des renseignements personnels.
L'affaire a commencé après que des questions ont été soulevées lors d'un audit parlementaire en 2025 concernant le partage du carnet d'ordres de Bithumb avec des bourses étrangères. Le partage du carnet d'ordres permet aux bourses de partager les ordres d'achat et de vente afin que les transactions puissent être appariées sur différentes plateformes.
La PIPC a constaté que Bithumb avait partagé son carnet d'ordres du marché Tether USDT avec des bourses étrangères de septembre à novembre 2025. Les utilisateurs avaient consenti à un transfert à l'étranger impliquant la bourse Stellar, mais le régulateur a déclaré que les numéros de membre et les informations d'ordre avaient en fait été envoyés à un système exploité par une autre bourse, bingx.com.
Cette constatation montre comment les partenariats de liquidité peuvent devenir des cas de violation de la vie privée lorsque les identifiants d'utilisateur et les données d'ordre sont transférés au-delà des frontières. Le problème n'était pas seulement que les données avaient quitté la Corée du Sud, mais que le destinataire différait de ce que les utilisateurs avaient approuvé.
Le régulateur a également examiné les transferts d'actifs virtuels de Bithumb vers 13 bourses étrangères. Il a constaté que Bithumb avait fourni les données de l'expéditeur et du destinataire, y compris les noms, les adresses de portefeuille et, dans un cas, les dates de naissance, pour des contrôles anti-blanchiment d'argent.
La PIPC a déclaré que des renseignements personnels peuvent être nécessaires à des fins de lutte contre le blanchiment d'argent (LAB) lors des transferts d'actifs virtuels. Cependant, elle a ajouté que les transferts transfrontaliers restent étroitement liés au droit d'un utilisateur de contrôler ses données personnelles. Le régulateur a déclaré que les entreprises doivent suivre les procédures de consentement et de notification de la loi.
« Le transfert transfrontalier de renseignements personnels est une question étroitement liée au droit à l'autodétermination de la personne concernée », a déclaré la commission, selon le rapport.
Elle a déclaré que les bourses doivent se conformer strictement aux procédures requises par la Loi sur la protection des renseignements personnels.
L'ordonnance exige de Bithumb qu'elle corrige son processus de transfert à l'étranger. La bourse doit également expliquer clairement les transferts pertinents dans sa politique de traitement des renseignements personnels.
La sanction s'ajoute à la pression réglementaire exercée sur Bithumb en Corée du Sud. Comme l'a rapporté crypto.news, les régulateurs sud-coréens avaient précédemment infligé une amende de 36,8 milliards de wons à Bithumb après avoir constaté des violations liées à la LAB concernant les vérifications des clients, la surveillance des transactions et les transferts impliquant des fournisseurs de services d'actifs virtuels étrangers non enregistrés.
Auparavant, crypto.news avait exploré les changements proposés par la Corée du Sud aux règles de LAB sur les crypto-actifs, qui pourraient augmenter considérablement les déclarations de transactions suspectes liées aux transferts à l'étranger. L'industrie a averti que les bourses locales pourraient faire face à une forte pression de déclaration si tous les transferts liés à l'étranger supérieurs à 10 millions de wons nécessitent des signalements automatiques.
Dans un article précédent, crypto.news a discuté du plan de la Corée du Sud visant à partager les données de transactions de crypto-actifs avec 48 pays dans le cadre du Cadre de déclaration des crypto-actifs de l'OCDE. Ce plan montre comment les autorités coréennes élargissent la surveillance des activités transfrontalières de crypto-actifs.
L'affaire Bithumb place désormais la conformité en matière de protection de la vie privée aux côtés de la LAB et de la déclaration fiscale. Les bourses coréennes doivent suivre les fonds des utilisateurs, contrôler les plateformes étrangères et protéger les renseignements personnels simultanément.
Parallèlement à la sanction de Bithumb, la PIPC a publié de nouvelles directives pour la protection des renseignements personnels dans les services blockchain. Le régulateur a déclaré que les systèmes blockchain soulèvent des questions particulières de confidentialité car les registres de transactions peuvent être transparents, distribués et difficiles à supprimer.
Les directives appellent à des contrôles sur les divulgations on-chain, les risques de suivi, le partage des données des participants et la destruction des renseignements personnels. La PIPC a déclaré que les entreprises devraient considérer la protection de la vie privée dès la phase de planification lors de la construction de services blockchain.
L'organisme de surveillance a déclaré qu'il continuerait de réagir strictement aux violations de la Loi sur la protection des renseignements personnels. Il a également affirmé qu'il continuerait à établir des normes qui équilibrent la protection des données personnelles avec l'utilisation sûre des nouvelles technologies.
Pour Bithumb, l'amende est inférieure à sa précédente pénalité pour LAB, mais elle souligne un problème plus vaste. Sur le marché des crypto-actifs en Corée du Sud, les liens avec les bourses étrangères font désormais l'objet de contrôles rigoureux non seulement pour les risques de blanchiment d'argent, mais aussi pour le consentement des utilisateurs et la protection des données.
