Zuid-Korea straft cryptobeurs Bithumb na delen van klantgegevens

De Zuid-Koreaanse cryptobeurs Bithumb heeft een boete van 210 miljoen won, omgerekend ongeveer 136.000 dollar, gekregen wegens het onrechtmatig delen van persoonsgegevens van gebruikers. Volgens de nationale privacytoezichthouder werden klantgegevens doorgestuurd naar buitenlandse cryptobeurzen zonder dat gebruikers daarvoor de juiste toestemming hadden gegeven.

Naast de boete moet Bithumb zijn procedures voor internationale gegevensoverdrachten aanpassen, zodat deze voldoen aan de Zuid-Koreaanse privacywet.

Bithumb deelde klantgegevens met BingX

Het onderzoek van de Personal Information Protection Commission (PIPC) begon nadat tijdens een parlementaire controle in 2025 vragen werden gesteld over de samenwerking tussen Bithumb en buitenlandse cryptobeurzen. Daarbij draaide het onder meer om het delen van orderboeken om de liquiditeit op handelsplatformen te vergroten.

Volgens de toezichthouder stuurde Bithumb tussen september en november 2025 gegevens van gebruikers die handelden in Tether (USDT) door naar de systemen van cryptobeurs BingX.

Gebruikers hadden wel toestemming gegeven voor een gegevensoverdracht via het platform Stellar, maar hun persoonsgegevens kwamen uiteindelijk bij BingX terecht. Daarbij werden onder meer ledenidentificatienummers en gegevens over geplaatste handelsorders gedeeld.

Omdat de uiteindelijke ontvanger afweek van waarvoor toestemming was verleend, oordeelde de PIPC dat Bithumb de Zuid-Koreaanse privacywet heeft overtreden.

Onderzoek legt bredere gegevensuitwisseling bloot

Tijdens het onderzoek ontdekte de toezichthouder ook dat Bithumb persoonsgegevens had gedeeld met dertien andere buitenlandse cryptobeurzen. Daarbij ging het onder meer om namen, walletadressen en in sommige gevallen geboortedata.

Volgens Bithumb was deze informatie noodzakelijk om te voldoen aan de internationale anti-witwasregels (AML). De PIPC erkent dat persoonsgegevens hiervoor soms verwerkt mogen worden, maar benadrukt dat gebruikers vooraf duidelijk moeten weten welke buitenlandse partij hun gegevens ontvangt en waarvoor deze worden gebruikt.

Volgens de toezichthouder hebben internationale gegevensoverdrachten directe gevolgen voor de controle die gebruikers over hun persoonsgegevens hebben. Daarom moeten cryptobedrijven volledig transparant zijn en vooraf de juiste toestemming verkrijgen.

Zuid-Korea scherpt toezicht op cryptobedrijven verder aan

De sanctie tegen Bithumb past binnen de bredere aanpak van Zuid-Korea om het toezicht op de cryptosector verder aan te scherpen. Eerder kreeg de beurs al een boete van 36,8 miljard won vanwege tekortkomingen bij de naleving van de anti-witwaswetgeving. Daarbij constateerden toezichthouders onder meer gebreken in klantcontroles, transactiemonitoring en transacties met niet-geregistreerde buitenlandse aanbieders van cryptodiensten.

Daarnaast werkt Zuid-Korea aan strengere regels voor grensoverschrijdende cryptotransacties en wil het land transactiegegevens gaan uitwisselen met 48 andere landen via het rapportagekader voor crypto-activa van de Organisatie voor Economische Samenwerking en Ontwikkeling (OESO).

Tegelijk met de uitspraak publiceerde de PIPC nieuwe richtlijnen voor bedrijven die blockchaintechnologie gebruiken. Volgens de toezichthouder brengen blockchains extra uitdagingen met zich mee voor de bescherming van persoonsgegevens, omdat gegevens vaak openbaar zijn en niet eenvoudig kunnen worden aangepast of verwijderd. Daarom worden ontwikkelaars opgeroepen om privacybescherming al vanaf het ontwerp van nieuwe blockchainprojecten mee te nemen.