[시론] 블록체인과 개인정보보호

최근 비즈니스 환경에서 가장 주목받는 요소는 개인정보 보호다. 이는 비단 국내에만 해당하는 사항은 아니다. 지난해 5월부터 유럽연합(EU)의 일반개인정보보호법(GDPR)이 시행되면서 개인정보 보호 법령 준수는 이제 모든 비즈니스에서 매우 중요한 이슈로 부각되고 있다. 차세대 인터넷으로 불리는 블록체인 기술을 활용한 비즈니스가 확대되면서 블록체인상의 개인정보에 대한 관심 역시 높아지고 있다. 결론부터 말하자면 개인정보를 안전하게 보호하면서 블록체인을 활용할 수 있다.

블록체인에 저장된 데이터는 이론적으로 변경이 불가능하고 영구적으로 분산돼 개별 네트워크 참여자의 노드에 저장된다. 이러한 기술 특성상 블록체인 데이터는 기록된 이후 삭제가 어렵다. 따라서 개인정보 데이터를 블록체인에 저장할 경우 개인정보보호법 준수는 중요한 요소다. 그렇기에 블록체인 기반의 비즈니스에서는 개인정보 데이터의 저장 위치 및 방법을 고려해 설계하는 것이 필요한데, 이를 위한 접근 방법은 몇 가지로 나뉜다.

첫째, 블록체인에서 개인정보와 관련된 데이터를 처리하지 않는 것이다. 이론적으로는 가장 안전한 방법일 수 있지만, 모든 솔루션에서 가능하지는 않을 것이다. 둘째는 블록체인에 데이터를 저장하기 전 모든 개인정보를 안전하게 암호화하는 것이다. 특정 정보가 개인의 사생활을 침해할 경우 암호화 키는 삭제 가능하다. 이른바 '잊힐 권리(Right to be forgotten)'다. 그러나 100년 후의 기술 발전을 생각해본다면 데이터는 영구적으로 저장되는 반면 암호화 메커니즘은 깨질 수 있기에 이 방법은 추천하지 않는다. 셋째, 블록체인에 데이터를 저장하기 전에 개인정보를 해시 처리해 저장하는 방법이다. 예를 들어 '홍길동, 910411-1231234, 28세, 한국대학교 졸업'과 같은 개인 식별 데이터를 해시 처리해 저장하는 것이다. 하지만 해시 처리된 데이터는 암호화를 풀 방법(복호화)이 없기 때문에 비즈니스 관점에서 이러한 데이터는 거의 사용되지 않는다. 넷째, 블록체인에 개인정보 데이터를 저장하지 않고, 개인정보 데이터에 대한 링크(해시 값)만 저장하고 개인정보 데이터는 블록체인 외부에 저장하는 방식이기에 세 번째 방법보다 우수하다. 그러나 개인의 주민등록번호를 해시 값으로 변환해 블록체인에 저장한다 하더라도 모든 주민등록번호를 해시 값으로 변환해 비교하는 과정을 거치면 원본 주민등록번호를 찾을 수 있기 때문에 국내에서는 이러한 방식을 인정하지 않고 있다.

때문에 국내 규제를 해결하기 위해서는 솔팅 해시(Salting Hash) 방법을 활용할 수 있다. 즉 기존 음식에 소금으로 양념을 하면 맛이 변하듯 기업만이 알고 있는 특정 키를 고객의 주민등록번호와 조합해 해시 처리하는 것이다. 따라서 기업이 가진 키를 알지 못하면 고객의 주민등록번호를 알아낼 방법은 없다. 대표적인 오픈 소스 허가형 블록체인 기술인 '하이퍼레저 패브릭'에는 개인정보보호법 준수를 위해 앞서 언급한 방법들을 지원하는 기술들이 탑재돼 있다. 패브릭의 원장 구조에는 거래 기록을 담을 수 있는 블록과 개인정보와 관련된 자산의 데이터를 담을 수 있는 '월드스테이트(World State)' 데이터베이스가 포함돼 있으며, 월드스테이트에 있는 개인정보 데이터는 스마트 계약(일정 조건 충족 시 자동으로 거래가 체결되거나 기능이 작동하는 블록체인 내 기술)을 통해 언제든지 삭제할 수 있다. 이 밖에도 블록체인 외부에 담을 수 있는 '오프체인(off-chain)' 데이터베이스 기능이 있어 다양한 요건에 맞춰 설계가 가능하다.

개인정보 보호는 특정 기업만의 문제가 아닌 블록체인 생태계에 참여하는 모든 기업이 가진 고민이다. 따라서 각 기업의 비즈니스 모델을 수용할 수 있는 구조를 설계하는 것이 매우 중요하다. 블록체인을 활용한 비즈니스 확산 속도는 점차 빨라지고 있다. 기업들은 기술력을 갖춘 다양한 솔루션을 활용하고, 빠르게 기술을 검증하며 비즈니스 모델을 확장해나가는 전략적 행보가 필요하다.

박세열 한국IBM 상무