‘4차혁명 시대와 개인정보의 규제 및 이용’ 세미나 법무법인 디라이트는 5월 22일(수) 서울 서초구 드림플러스 강남 이벤트홀에서 빅데이터, 인공지능, 블록체인 등 4차 산업혁명 시대의 다양한 기술 영역에서 발생하는 개인정보 이슈를 논의하는 세미나를 개최하였습니다. 이번 세미나는 법무법인 디라이트, ZDNet Korea 가 공동주최하고 한국인터넷진흥원, 한화 드림플러스가 후원하는 세미나로서 빅데이터, 인공지능, 블록체인 등 4차 산업혁명 시대의 핵심 기술 및 개인정보 보호 이슈에 관심있는 사람이면 누구나 참가할 수 있는 행사였습니다. 세미나의 프로그램은 먼저 한국인터넷진흥원(KISA)의 권현준 개인정보보호본부장이 ‘4차혁명 시대의 개인정보보호 정책방향이라는 주제의 Keynote Speech로 시작되었고, 윤석빈 오픈블록체인포럼 대표이자 디라이트의 수석연구원이 ‘기술의 융합시대(-빅데이터, AI 그리고 블록체인)’ 을 한혜선 변호사가 ‘빅데이터 활용과 개인정보의 법적 이슈’ 에 대해서 알아 보았습니다. 이어서 김동환 변호사가 ‘블록체인 기술과 개인정보의 보호’ 에 대해서 논의하였고, 한국인터넷진흥원(KISA)의 최광희 개인정보정책단장이 ‘EU GDPR 시행 1년의 회고와 전망’ 에 대해서 살펴보았습니다. 마지막으로 황혜진 변호사가 ‘4차혁명 시대의 개인정보 활용 Best Practice’ 라는 주제로 강연을 진행하였습니다. [세미나 발표자료] Keynote Speech _ 4차혁명 시대의 개인정보보호 정책방향 _ 권현준 개인정보보호본부장(한국인터넷진흥원) Session 1 _ 기술의 융합 시대-빅데이터, AI 그리고 블록체인 _ 윤석빈 수석연구원 Session 2 _ 빅데이터 활용과 개인정보의 법적 이슈 _ 한혜선 변호사 Session 3 _ 블록체인 기술과 개인정보의 보호 _ 김동환 변호사 Session 4 _ EU GDPR 시행 1년의 회고와 전망 _ 최광희 개인정보정책단장(한국인터넷진흥원) Session 5 _ 4차혁명 시대의 개인정보 활용 Best Practice _ 황혜진 변호사

1. 블록체인 기술과 개인정보 보호
법무법인 디라이트
김동환 변호사
4차혁명시대와
개인정보의 규제 및 이용

2. I. 블록체인 기술의 특징
2
1. 블록체인 기술이란?
• Block + Chain : 다수의 블록들이 체인처럼 길게 연결되어 있는 형태의
데이터 기록방법
• 블록체인 네트워크의 참여자(node)들이 원장(ledger)의 내역을 함께 기록
하고 보관함
• Node의 자격 : Public vs Private
2

3. I. 블록체인 기술의 특징
3
2. 블록(Block)
• 블록의 구성
• 거래의 진위여부 검증방법
3

4. I. 블록체인 기술의 특징
4
3. 공개키 (public key) / 개인키 (private key)
• 디지털서명 및 거래 검증에 사용
• 공개키 : 송신자와 수신자의 신원을 확인
• 개인키 : 위조될 수 없는 서명
• A의 개인키로 암호화 : A의 공개키로 누구나 복호화 가능
→ A만 암호화 가능하므로, A의 전자서명에 이용
• B의 공개키로 암호화 : B의 개인키로 B만 복호화 가능
4

5. I. 블록체인 기술의 특징
5
4. 개인정보의 자기결정권
• “자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도
록 할것인지를 그 정부주체가 스스로 결정할 수 있는 권리, 즉 정보주체
가 개인정보의 공개와 이용에 관하여 스스로 결정할 권리“(헌법재판소
2005. 5. 26.자 99헌마513, 2004헌마190(병합) 결정)
• 중앙화된 정보처리자의 존재 없이 신뢰성이 담보된 거래를 체결하면서,
거래에 참여하는 개인들의 정보에 대한 권한을 강화하고자 하는 블록체
인의 성향과 일치함
• 그러나, 불변성과 익명성으로 인하여 기존의 개인정보 관련 법령들과 상
충되는 부분 존재 (특히, public blockchain의 경우)
5

6. II. 블록체인 기술과 개인정보
6
1. 개인정보의 정의
• 「개인정보보호법」 제2조 제1호
• 「개인정보 비식별조치 가이드라인」
“개인정보”란 살아있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여
개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른
정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.
- 쉽게 결합하여 = 입수가능성 + 결합가능성
- 입수가능성: 두 종 이상의 정보를 결합하기 위해서는 결합에 필요한 정보에 합법적
으로 접근ㆍ입수할 수 있어야 함
- 결합가능성: 현재의 기술수준에 비추어 결합이 사실상 불가능하거나, 결합하는 데
비합리적인 수준의 비용이나 노력이 수반된다면 이는 결합이 용이하다
고 볼 수 없음
6

7. II. 블록체인 기술과 개인정보
7
1. 개인정보의 정의
• 공유ㆍ공개될 가능성이 희박한 정보는 합법적 입수 가능성이 없다고 보아야 하
며, 일반적으로 사업자가 구매하기 어려울 정도로 고가의 컴퓨터가 필요한 경우
라면 ‘쉽게 결합’하기 어렵다고 보아야 함.
• “어느 정보가 다른 정보가 쉽게 결합하여 개인을 알아볼 수 있는 것인지 여부는
단순히 정보제공자를 기준으로 판단할 것이 아니라 해당 정보가 담고 있는 내용,
정보를 주고받는 사람들의 관계, 정보를 받는 사람의 이용목적 및 방법, 그 정보
와 다른 정보를 결합하기 위하여 필요한 노력과 비용의 정도, 정보의 결합을 통
하여 상대방의 얻는 이익의 내용 등을 합리적으로 고려하여 결정하여야 한다(수
원지방법원 성남지원 2017. 9. 15. 선고 2017고단1438 판결).”
7

8. II. 블록체인 기술과 개인정보
8
2. 공개키 및 거래내역의 개인정보성
• 개인키 → 공개키 → Hash화 → 비트코인 주소 생성
8

9. II. 블록체인 기술과 개인정보
9
2. 공개키 및 거래내역의 개인정보성
• 모든 참여자들이 접근 가능 (broadcast)
• 해당 주소를 통하여 거래된 주소 및 비트코인의 액수가 표시됨
→ 거래 내역 숨기기 위해 다양한 방식의 고안
ex) 영지식증명(zero-knowledge proof); 제트캐쉬,
링서명(ring signature); 모네로
• IP주소 등 다른 정보들과 연동 가능성
• 우리나라는 ① 휴대전화번호 마지막 4자리 숫자, ② ID와 PW, ③ IMEI 및
USIM 일련번호 등을 모두 개인정보로 인정함
9

10. II. 블록체인 기술과 개인정보
10
2. 공개키 및 거래내역의 개인정보성 – GDPR
• 익명화(anonymisation) vs 가명화(pseudonymisation)
• 대표적인 가명화 방법 : ① Encryption with secret key, ② Hash function,
③ Keyed-hash function with stored key, ④ Deterministic encryption or
keyed-hash function with deletion of the key, ⑤ Tokenization (Article
29 Working Party, Opinion 05/2014 on Anonymisation Techniques,
2014. 4. 10.)
• 비밀 키를 활용한 암호화 및 해쉬 기능을 사용하여 정보를 가공하는 것은
익명화가 아닌 가명화
10

11. II. 블록체인 기술과 개인정보
11
2. 공개키 및 거래내역의 개인정보성 – GDPR
Q. 그렇다면 공개키가 어떤 정보와 결합하여야 개인정보로 인정되는가?
• IP주소: 공개키와 IP주소의 연동가능성 (자발적 공개, 다수의 거래 분석)
• 비트코인에 사용된 주소와 그 주소를 사용하는 실제의 주체를 연결시키
키고, 거래기록 파악하는 기술 개발
• 암호화폐 거래소와의 연동: 외부지갑과 거래소지갑의 연동, 실명인증
11

12. II. 블록체인 기술과 개인정보
12
3. 노드 - 개인정보처리자 해당 여부
• “개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여
스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관 ,법인,
단체 및 개인 등을 말한다.
• 업무란 직업상 또는 사회생활상의 지위에 기하여 계속적으로 종사하는
사무나 사업의 일체를 의미. 단 1회라도 계속ㆍ반복의 의사가 있다면 업
무로 볼 수 있음
Q. 노드의 종류에 따른 구분없이 업무를 목적으로 한다고 볼 수 있는가??
• 개인정보파일이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따
라 체계적으로 배열하거나 구성한 개인정보의 집합물
12

13. II. 블록체인 기술과 개인정보
13
3. 노드 - 정보통신서비스 제공자 해당 여부
• “정보통신서비스 제공자”란 전기통신사업법 제2조 제8호에 따른 전기통
신사업자와 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하
여 정보를 제공하거나 정보의 제공을 매개하는 자를 말한다.
Q. 노드의 종류에 따른 구분없이 영리를 목적으로 한다고 볼 수 있는가??
13

14. II. 블록체인 기술과 개인정보
14
3. 노드 - 개인정보 수집 및 이용을 위한 사전 동의 의무
• 정보통신망법상 예외사유
- 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정
보로서 경제적ㆍ기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게
곤란한 경우 (제22조 제2항 제1호)
• 개인정보보호법상 예외사유
- 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명
백하게 정보주체의 권리보다 우선하는 경우 (제15조 제1항 제6호)
- 정보주체의 (사회통념상) 동의가 있었다고 객관적으로 인정되는 경우
(대법원 2016. 8. 17. 선고 2014다245080 판결)
Q. 예외사유에 해당한다고 볼 수 있는가?
14

15. II. 블록체인 기술과 개인정보
15
3. 노드
Q. 새로운 노드가 참가하였을 때, 동의를 어떻게 받아야 하는가?
Q. 개인정보 보호책임자를 어떻게 지정할 것인가?
Q. 기술적ㆍ관리적ㆍ물리적 안전조치의무를 어떻게 이행할 것인가?
Q. 해외에 소재한 노드에게도 국내법령 적용이 가능한가?
Q. 노드 이외의 주체가 개인정보처리자 등이 될 가능성은 없는가?
15

16. II. 블록체인 기술과 개인정보
16
4. 개인정보의 파기
「개인정보보호법」 제21조
① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가
불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법
령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.
② 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아
니하도록 조치하여야 한다.
③ 개인정보처리자가 제1항 단서에 따라 개인정보를 파기하지 아니하고 보존하여야 하
는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장
ㆍ관리하여야 한다.
「개인정보보호법」 시행령 제16조
① 개인정보처리자는 법 제21조에 따라 개인정보를 파기할 때에는 다음 각 호의 구분
에 따른 방법으로 하여야 한다.
1. 전자적 파일 형태인 경우: 복원이 불가능한 방법으로 영구 삭제
2. 제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각
16

17. II. 블록체인 기술과 개인정보
17
4. 개인정보의 파기
「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제29조
② 정보통신서비스 제공자등은 정보통신서비스를 1년의 기간 동안 이용하지 아니하는
이용자의 개인정보를 보호하기 위하여 대통령령으로 정하는 바에 따라 개인정보의
파기 등 필요한 조치를 취하여야 한다. 다만, 그 기간에 대하여 다른 법령 또는 이용
자의 요청에 따라 달리 정한 경우에는 그에 따른다.
정보통신망법 시행령 제16조
② 정보통신서비스 제공자등은 이용자가 정보통신서비스를 법 제29조 제2항의 기간동
안 이용하지 아니하는 경우에는 이용자의 개인정보를 해당 기간 경과 후 즉시 파기
하거나 다른 이용자의 개인정보와 분리하여 별도로 저장ㆍ관리하여야 한다.
17

18. II. 블록체인 기술과 개인정보
18
4. 개인정보의 파기 - 대안들
• Off-chain Storage : 개인식별이 어려운 정보와 거래 기록의 진정성을 확
인하기 위하여 필요한 자료만 블록체인 상에 저장하고, 나머지 식별정보,
거래기록, 민감정보는 블록체인 밖에 저장하는 방식
• “store any data in cleartext outside of the blockchain (such as, for
example, on the data controller’s information system) and to store on
the blockchain only a proof of existence of the data (e.g. commitment ,
hash generated from a keyed hash function, etc.)”(CNIL, Solutions for a
responsible use of the blockchain in the context of personal data, 2018.
11. 6.)
• Side Chain : 서로 다른 블록체인 네트워크를 이어주는 역할, Off-chain
Storage와 유사한 방식으로 독립적인 개인정보 처리를 가능하게 함
(ex. 에스토니아의 I-voting)
18

19. III. Case Study
19
1. MyHealth Data 플랫폼 개발 및 서비스 실증
• 과학기술정보통신부, 2019. 5. 16. 발표. (주관기관) 서울대학교 병원, (참여기관) 차의과대
학교 산학협력단, 메디블록, 웰트, 삼성화재
• 의료정보의 표준화와 블록체인기반의 플랫폼(MyHealth Data)을 개발, 병원간 의료데이터
(진료기록, 건강검진, 처방전) 열람ㆍ교류
• 플랫폼을 통해 임상시험 참여 가능 여부를 자동 확인할 수 있는 임상시험 참여조건 자동
매칭 서비스
19

20. III. Case Study
20
2. 메디블록 GitHub 기술백서 v0.2
• 데이터의 이동 및 거래는 블록체인과 별도로 이루어질 예정
• 헬스케어 데이터 머클 트리, 데이터 중계 및 백업서비스 등을 통하여 어떻게 개인정보를
암호화 및 검증하며, 선택적으로 개인정보를 제공할지 여부 위주의 고려
20

21. III. Case Study
21
3. My Health My Data Project
• EU‘s Horizon 2020 research and innovation program 지원사업
• Dynamic Consent & Smart Contract
21

22. III. Case Study
22
3. My Health My Data Project
• 각 병원이 제공하는 자료는 병원의 local system에, 개인이 제공하는 자료는 개인이 이용
하는 각종 personal cloud에 저장됨.
→ 데이터 동의 여부 및 데이터 처리 및 제공 등에 관한 사항만을 블록체인에 기재.
22

23. IV. 토큰 발행 단계에서의 개인정보 이슈
23
1. 준거법
• 해외에 법인을 설립하여 사업을 진행하는 경우는?
• 지향된 행위의 원칙(Principle of Targeting) : 특정 행위가 관할권을 주장하는 국
가의 영토 내에서 효과를 발생시킬 것을 의도한 것인 때에 해당 국가가 위 행위
에 대한 관할권을 가짐.
Foreign
Entity
Korean
Entity
ETH / Fiat
Development
Marketing
Launching
InvestorInvestor
23

24. IV. 토큰 발행 단계에서의 개인정보 이슈
24
1. 준거법 - GDPR의 적용
• GDPR의 지리적 적용 범위
• 재화나 용역의 제공 판단 근거 : ① 언어, ② 통화, ③ 도메인 이름, ④ 회원국 시민 언급,
⑤ 소비자 기반, ⑥ 광고 타게팅 등
제3조 지리적 범위
1. 본 규칙은, 처리가 EU 내에서 일어나는지 여부와 상관 없이, EU 내의 컨트롤러 또는
프로세서의 사업장의 활동 맥락에서 개인정보를 처리하는 데에 적용된다.
2. 본 규칙은, 처리 활동이 다음 각호의 1에 관련된 경우, EU에 사업장을 보유하지 아니
한 컨트롤러 또는 프로세서가 EU 내에 있는 정보주체의 개인정보를 처리하는 데 적
용된다.
(a) EU 내 정보주체에 대한 재화나 용역의 제공. 이 때, 이러한 정보주체가 그 대가
로 지불을 하는지는 묻지 아니한다.
(b) EU 내 정보주체의 행동에 대한 모니터링. 단, 그러한 행동은 EU 내에서 일어나
는 것이어야 한다.
24

25. IV. 토큰 발행 단계에서의 개인정보 이슈
25
2. KYC (Know Your Customer) / AML (Anti-Money Laundering)
• FATF (Financial Action Task Force): 마약자금, 테러자금, 조직범죄의 자금
세탁, 부패자금 등에 대응하기 위한 범세계적 행동기구
• 실질적으로 모든 가상통화(Virtual Assets, 舊 Virtual Currency) 거래에 관하
여 AML (Anti-Money Laundering) / CTF (Counter-Terrorist Financing) 의무
부과
• 일반적으로 여권사본 등을 제출함 (국적, 이름, 사진, 생년월일, 여권번호)
• 해외 인증업체에 맡기는 경우 vs 직접 수행하는 경우
Q. 토큰 발행업체는 모두 개인정보처리자에 해당하는가? 면제규정은?
25

26. www.dlightlaw.com