개인정보위, 블록체인 서비스 개인정보 보호 첫 가이드라인 마련

개인정보보호위원회가 블록체인 기반 서비스의 개인정보 처리 기준을 담은 첫 가이드라인을 마련했다.

개인정보위는 9일 기자설명회를 열고 '블록체인 서비스 개인정보 보호 가이드라인'의 주요 내용과 마련 배경을 소개했다.

이번 가이드라인은 최근 개인정보위가 빗썸의 개인정보 국외이전 규정 위반 사건을 심의하는 과정에서 블록체인 서비스의 개인정보 처리 기준을 구체화할 필요성이 제기되면서 마련됐다.

개인정보위 조사 결과 빗썸은 '오더북(호가창)'을 공유하는 과정에서 이용자들에게는 스텔라 거래소로 개인정보를 이전한다고 동의받았지만, 실제로는 다른 거래소가 운영하는 시스템(bingx.com)으로 회원번호와 주문정보를 전송한 것으로 나타났다.

개인정보위는 빗썸이 개인정보 국외이전 규정을 위반한 것으로 판단하고 과징금 2억1천만원을 부과하는 한편, 적법한 국외이전 요건을 갖추도록 시정명령을 의결했다.

가이드라인은 블록체인의 투명성, 분산성, 불변성 등 기술적 특성을 고려해 개인정보 처리 시 준수해야 할 보호 원칙을 담았다.

가상자산 거래소에서 처리하는 정보는 블록체인에 기록되는 온체인(On-chain) 정보와 내부 시스템 데이터베이스(DB) 등에 저장되는 오프체인(Off-chain) 정보로 구분된다.

개인정보위는 성명이나 주민등록번호 등 특정 개인을 식별할 수 있는 정보는 온체인에 기록하지 말고, 온체인 정보와 대응되는 오프체인 개인정보는 암호화와 접근통제 등 안전조치를 통해 보호해야 한다고 안내했다.

온체인에 기록된 정보만으로는 개인을 식별할 수 없더라도, 처리자가 보유한 오프체인 정보와 결합하면 개인의 거래 내역 추적과 자산 분석이 가능해질 수 있기 때문이다.

만일 온체인 정보를 특정 개인을 식별할 수 있는 정보와 함께 다른 사업자에게 제공하는 경우에는 개인정보 보호법에 따른 적법한 제공 근거를 마련하고, 필요한 최소한의 정보만 제공하는 한편 암호화 등 안전성 확보 조치를 이행해야 한다.

온체인 정보를 생성할 때는 안전한 암호 알고리즘을 적용하고 전자서명 등에 사용하는 난수값은 재사용되지 않도록 관리해야 한다.

이재형 개인정보위 조사조정국장은 설명회에서 "전자서명 과정에서 사용하는 난수값이 반복되면 결과값의 패턴을 분석해 개인키를 추정·탈취하는 공격이 가능해질 수 있다"며 "실제 이러한 사례가 있었던 만큼 난수값을 재사용하지 않는 것이 중요하다"고 말했다.

개인정보위는 참여기관 간 개인정보를 공유할 경우에는 해당 관계가 개인정보 제3자 제공인지, 처리위탁인지 등을 명확히 검토해 개인정보보호법상 의무를 이행해야 한다고 강조했다.

허가형 블록체인은 신규 참여기관이 늘어나면 개인정보 처리 주체도 확대되는 만큼 이에 대한 관리 대책을 마련해야 하며, 비허가형 블록체인은 참여자의 범위와 자격, 역할, 개인정보 보호책임 등을 사전에 공개하도록 권고했다.

개인정보를 파기할 때는 오프체인에 저장된 개인정보와 온체인 정보 생성에 활용한 솔트값(암호화 과정에서 사용하는 임의의 값) 등 추가 정보를 삭제하는 방식으로 파기 의무를 이행해야 한다고 강조했다.