"블록체인 확산 전 개인정보 입법적 보완 필요"

[김보라 변호사 칼럼] 블록체인과 개인정보 보호

김보라 법무법인 바른 변호사

탈중앙화에 기반한 블록체인은 거래 정보가 체인으로 연결된 블록의 형태로 블록체인 네트워크를 형성하는 개별 노드에 저장된다. 블록체인 참여자들은 서로 연결된 모든 블록상의 거래 정보에 접근할 수 있고, 블록에 한번 기록된 정보는 변경하거나 삭제하는 것이 불가능하다. 블록체인 기술의 이러한 특성은 현재의 개인정보 규범 체계와 상충될 소지가 크고, 특히 중앙 관리자 없이 불특정 다수의 노드가 참여할 수 있는 공개형(퍼블릭) 블록체인의 경우 더욱 그러하다.

개인정보 보호법은 살아있는 개인과의 관련성 및 식별가능성을 개인정보의 개념 요소로 규정하고 있다. 공개형 블록체인에서는 거래 당사자의 공개키 및 그와 연결된 모든 거래 정보가 블록체인 네트워크를 형성하는 개별 노드에 저장되고, 개인을 식별하게 하는 정보 자체는 블록에 저장되지 않는다. 따라서 블록체인상 저장된 거래 정보, 공개키, 해시값 등 정보가 개인정보에 해당하는지 여부는 결국 개인에 대한 식별가능성이 인정될 것인지에 따라 결정될 것이다.

식별가능성에 관한 기준으로 결합 대상이 될 정보의 입수 가능성과 결합 가능성을 들고 있는 '개인정보 비식별조치 가이드라인'이나 개인정보의 범위에 관한 법원의 기존 판례도 참고할 수 있는 기준이 될 수 있으나, 블록체인상 정보로부터 특정 개인을 연결시킬 수 있는 다양한 기술이 개발되고 있는 현 상황에서 개인정보의 개념에 관한 근본적인 재검토가 불가피할 것으로 보인다.

개인정보 보호법상 개인정보처리자는 개인정보의 수집·이용, 제3자 제공 및 개인정보의 파기 등에 관한 각종 의무를 부담한다. 비공개형(프라이빗) 블록체인은 네트워크 운영자나 중앙매개자를 개인정보처리자로 볼 수 있으나, 공개형 블록체인 네트워크의 각 노드가 업무를 목적으로 개인정보파일을 운용하기 위하여 개인정보를 처리하는 개인정보처리자에 해당하는지에 대해서는 서로 다른 해석이 가능하다.

또한 개인정보처리자는 보유기간이 경과하는 등 개인정보가 불필요하게 되었을 때 지체 없이 개인정보를 파기하여야 하고, 정보주체는 개인정보처리자에게 개인정보의 정정·삭제를 요구할 수 있다.

그러나 블록체인 기술의 불변성이라는 특성상 여러 노드에 기록된 정보를 위변조하거나 삭제하는 것이 기술적으로 불가능하다는 문제가 있다. 개인정보 보호법 일부개정법률안은 기술적 조치를 통해 내용을 확인할 수 없는 형태로 폐기하는 것을 파기에 갈음하는 조치로 규정하고 있고, 기술적 대안으로는 개인정보를 체인 밖에 별도로 저장하는 오프체인 저장소(off-chain storage) 등이 언급되고 있다.

결국 중앙화된 데이터 관리를 전제로 한 현재의 개인정보 규범 체계를 그대로 적용한다면 블록체인 기술을 통한 정보처리의 많은 부분이 그대로 위법으로 판명될 우려가 있다. 블록체인 서비스가 급속도로 확산되고 있는 만큼, 입법적 보완에 앞서 현행 법규 해석에 대한 활발한 논의와 정책당국의 가이드라인 제시가 필요할 것이다.

*본 칼럼 내용은 본지 편집방향과 다를 수 있습니다.