“블록체인”… 암호화 정보는 개인정보인가

[디지털비즈온 김맹근 기자] 블록체인 기반의 분산신원인증 서비스 암호와 과정은 앱 사용자(소유자)와 발행기관은 각자의 휴대폰을 통해 인증 및 가입에 성공하면 알파벳과 숫자가 임의로 조합된 개인키를 부여 받는데, 이를 통해 암호값인 공개키와 DID(Decentralized Identity) 값을 생성한다.

앱 가입시 인증 과정에서 사용된 이름⋅생년월일⋅휴대전화번호 등의 개인정보는 서비스 제공자에게 저장되지 않다. 개인키 또한 각자 앱이 설치된 휴대폰 등의 개인 단말기에만 저장되어질 뿐 사업자나 외부 관계자에게 공개되지 않기 때문에, 외부 유출 가능성이 낮다. 결국 공개키와 DID만 블록 위에 저장되는데, DID는 각 주체들의 식별값일 뿐 신원정보가 아니므로 블록 위에 저장되거나 분산원장에 기록되어도 문제가 없다.

앱 사용자가 접종 사실에 대한 증명을 발행기관인 질병관리청에 요청하면, 질병관리청은 자신의 개인키를 통해 암호화한 서명값과 앱 이용자의 접종 사실에 대한 자격증명(VC: Verifiable Credential)을 함께 묶어서 앱 사용자의 공개키를 통해 암호화한 후 앱 이용자에게 제공하고, 동시에 DID문서 내에 질병관리청의 공개키와 신원인증을 요청한 앱 사용자의 DID를 넣어서 블록 위에 공개적으로 저장한다. 이를 수령한 앱 사용자는 본인의 개인키를 이용해 자격증명(VC)을 복호화시 킨 후 전자지갑 내에 저장된다.

인증기관이 자격증명을 요청하면 앱 사용자는 자격증명 중 필요한 부분만을 추린 자격제출(VP: Verifiable Presentation)을 자신의 개인키로 암호화한 서명값과 함께 제3기관의 공개키를 이용해 암호화한 후 전달함과 동시에, 블록 위에 저장된 DID문서 내에 앱 사용자 자신의 공개키를 추가한다.

또한 블록체인에는 자격 증명이 발급된 사실(VC 발급정보)이 해시 암호화된 후 블록 위에 공개적으로 저장된다. 제3기관은 블록체인 내 VC 발급정보(해시값)와 수령한 발급 정보를 통해 추측 한 값을 대조하는 방법을 통해 접종증명서 발급 사실의 진위 여부를 확인한다.

블록체인 기반의 분산신원인증 서비스 암호화 정보

개인키, 서명값, VC, 폐는 발급 당사자가 직접 관리하거나 당사자가 열람을 허용한 자에게만 이전될 뿐, 블록 위에 저장되지 않는다. 개인키는 발급 당사자만이 보관 내지 관리할 수 있는 암호화 정보로, 제3자가 합법적인 방법으로는 열람할 수 없다.

서명값과 VC, VP는 발행기관·앱 사용자·인증기관을 이동할 뿐, 서비스 제공 자가 별도로 이를 수집하거나 저장하지 않는다. 결국 상기 암호화 정보들은 블록 위에 공개적으로 저장되지 않을 뿐만 아니라 분산신원인증 서비스 제공자가 수집 내지 처리하지 않으므로 개인정보보호법 상의 보호 대상 여부를 검토할 필요가 없다.

공개키, DID, VC발급정보는 공개 저장소인 블록 위에 암호화하여 저장하는 정 보로서, 정보처리주체는 물론이고 누구나 열람이 가능하다. 블록체인 기반의 분산신원인증 서비스에서는 DID문서 내에 공개키와 DID가 포함되고, 이는 블록 위에 저장되어 누구나 열람 가능하다. 자격증명(VC) 발급정보는 자격증명을 발급시 해당 내용의 진위 확인을 위하여 유효기간, 자격증명 식별ID 등의 발급한 사실에 대한 정보를 해시암호 화한 후 블록 위에 저장된다.

블록 위에 저장된 정보는 제3자에게 공개 및 무단 이용될 수 있어 그 대상이 개인정보보호법상 개인정보인지 검토할 필요가 있으므로, 공개키·DID·자격증명 (VC)발급정보를 중심으로 개인정보보호법상의 개인정보에 해당하는지를 검토한다.

개인정보보호법에 의한 개인정보 해당성 여부

식별정보 해당여부는 공개키와 DID는 알파벳과 숫자로 이뤄진 의미없는 암호화 정보에 불과하며, 그 자체로는 성명이나 주민등록번호와 같이 특정인을 식별할 수 없다. 앱 가입시 성명⋅주민번호 등의 정보를 입력하고 확인하는 과정을 거쳐 공개 키와 DID를 발급하지만, 입력된 정보는 발급되는 값에 반영되지 않고 휘발 된다.­ 공개키와 DID는 개인정보(식별정보)에는 해당하지 않는다.

식별가능정보 해당여부는 공개키와 DID는 식별가능정보로서 개인정보에 해당할 여지가 있다.

다른 정보는 특정 주체가 DID를 반복적으로 발급시 그 발급패턴, 요청 처리 과정에서 노출될 수 있는 IP주소가 이에 해당한다. 입수가능성은 DID 발급 패턴 및 IP주소는 블록 위에 저장되거나 저장되는 단계에서 노출되므로 ‘합법적 입수’ 요건을 충족한다. 쉽게 결합은 향후 분산신원인증 서비스의 보편화로 특정 주체가 여러 DID 를 반복적으로 발급 받는다면, “공개키 + DID 발급 패턴 + IP주소”를 통해 앱 사용자의 특정이 가능해질 여지가 있다.

가명정보 해당여부는 블록체인 내 암호화 기술은 개인정보보호법상의 비식별 조치로서의 가명처리가 아니므로, 공개키와 DID는 가명정보에 해당하지 않는다. 개인키의 공개키로의 암호화는 개인키를 ‘전부 대체하는 작업’에 해당하지만, 개인키는 알파벳과 숫자로 이뤄진 임의의 값으로서 이미 특정 개인에 대한 것임을 알아볼 수 없어 ‘개인정보’가 아니므로, 개인정보보호법 제2조 제1의 2호상의 가명처리 대상에 해당하지 않는다.

자격증명(VC) 발급정보는 식별정보 해당여부로 자격증명이 검증기관에 의해 이뤄졌다는 진위 확인을 위해 발급 정보를 해시암호화한 값으로, 그 자체로는 성명이나 주민등록번호와 같이 특정인을 식별할 수 없다.

식별가능정보 해당여부는 자격증명 발급정보는 다른 정보와의 결합을 통해 식별 가능한 개인정보에 해당하지 않는다. 가명정보 해당여부는 자격검증 발급정보는 개인정보보호법상의 가명정보에 해 당하지 않는다. 익명정보 해당여부는 향후 기술 발전에 따라서 추가정보의 결합 등의 방법으로 재식별 될 여지가 있는 만큼 익명정보로 단정하지 말고, 개인정보가 될 수 있는 가능성을 열어두고 지속적으로 검토할 필요가 있다.

향후 등장하게 될 블록체인 기반의 서비스에서도 관련 내용을 검토함으로써 이해관계자들에게 법적인 예측가능성을 확보해주는 노력이 필요하다.