월드코인 CPO "홍채 정보 모두 익명화…한국법 100% 준수" 주장

▲데미안 키어런 (Damien Kieran) TFH 최고 개인정보보호 책임자 (CPO)가 4일 월드코인 개인정보보호정책 관련 간담회에서 말하고 있다. (사진제공=월드코인)

"한국뿐 아니라 다른 지역도 마찬가지로 비식별화에 관한 기술 기준을 어디에 둘 것인지 법적 기준이 아직 명확하지 않다. 지금 (한국 개인정보위원회와) 대화를 계속하고 있고 100% 관련 법규를 준수한다고 말씀드릴 수 있다"

4일 한국을 찾은 월드코인 발행사 TFH(툴스 포 휴머니티)의 데미안 키어런 CPO(개인정보보호책임자)는 기자간담회에서 개인정보보호법 준수에 자신감을 보였다.

데미안 CPO는 "개인정보위 조사가 진행 중이기 때문에 당국과 어떤 대화를 나눴는지 구체적으로 말하기 어렵다"면서도 "수개월 동안 건설적인 대화를 진행해왔고 당국에서도 기술 자체가 복잡하므로 이를 이해하려고 많은 노력을 하고 있다"고 말했다.

개인정보위원회는 3월부터 월드코인의 민감 정보 수집·처리 전반, 개인정보 국외 이전 등 이전에 대해 위반 사항이 없는지 조사 중이다. 관련 업계에 따르면 간담회 전날인 3일에도 개인정보위는 키어런 CPO를 비롯해 월드코인 측과 만났다. 관가 안팎에서는 지난달 월드코인 건이 개인정보위 전체회의에 상정될 거라 보았지만 미뤄졌다. 개인정보위 관계자는 본지와의 통화에서 "아직 정확히 알 수 없지만, 이달 중 상정되지 않을까 생각한다"고 말했다.

월드코인 측은 자사 촬영기구 '오브'(Orb)를 통해 수집한 홍채 및 생체 정보가 저장되지 않고 익명·비식별화되므로 개인정보에 해당하지 않는다고 주장했다. 개인정보를 수집하지 않았으므로 국내 개인정보보호법에도 저촉되지 않는다는 주장이다. 키어런 CPO는 "얼굴과 눈 사진을 찍고 인증하면 정보가 처리되는데 약 3~5초 뒤 모든 데이터가 삭제된다"고 설명했다.

키어런 CPO는 "법규에는 개인정보라고 쓰여 있는데 과연 익명화된 비식별화된 정보가 해당 법규에서 정의하는 개인정보인지에 대해서는 명확하지 않다"면서 "이는 전세계가 마찬가지"라고 말했다. 그는 "(한국) 개인정보보호법 틀 자체는 개인정보는 식별에 전제를 두고 있어 관련 규정에 의무가 적용되는데 개인과 연계되지 않은 비식별 정보는 명확하지 않다"고 덧붙였다.

키어런 CPO는 이어 "해당 개인의 개인정보가 제3국으로 나가기 전에 오브 디바이스에서 익명화된다"면서 "데이터와 개인의 식별성에 대한 링크 자체가 잘린 상태에서 비식별화된 정보가 데이터가 나가는 것"이라고 말했다. 그러면서 "이용자에게 이용과 통보에 관한 부분을 고지하고 동의도 받는다"고 강조했다.

현행 개인정보보호법상 해외로 개인정보를 이전할 때, 기업은 정보주체인 이용자에게 별도 동의를 받고 개인정보가 이전되는 국가, 시기 및 방법·정보 보관 기간 등을 통보해야 한다. 또 국외에서도 개인정보보호에 필요한 안전조치를 취해야 한다.

월드코인 측은 DB에 저장된 파편화된 개인정보가 양자 위에서도 원래 코드로 복원될 수 없다고 밝혔다. 키어런 CPO는 "오브 자체는 개발부터 개인정보 및 보안 요소를 신경 썼고, 보안을 위해 지속적으로 취약점 공격에 대한 테스트를 하고 외부기관으로부터 감사도 받고 있다"고 말했다.

월드코인은 발행 직후부터 줄곧 프로젝트에 대한 비판이 끊이질 않았다. 홍채 정보를 중앙화된 재단에서 수집하기 때문에 데이터 보안 문제와 함께 지나치게 많은 커뮤니티 배포 물량, 모호한 유틸리티 문제 등도 지적을 받았다.

키어런 CPO는 "작년에 처음 런칭했을 때 많은 의구심일 받았던 게 사실이고, 한국을 포함해 많은 국가에서 테스트 상태였기 때문에 준비가 되지 않은 상태였다"면서 "그 이후에 관련된 법 규정에 따라 여러 공시나 조건을 수정을 한 것"이라고 말했다.

월드코인은 한국뿐 아니라 유럽연합에서도 조사를 받고 있다. 지난 5월에는 홍콩 당국으로 현지법을 준수하지 않았다는 당국 결정에 운영 중단 조치가 내려졌다. 스페인과 포르투갈에서도 운영이 중단됐다.

키어런 CPO는 "홍콩당국에서 오히려 저희한테 여권 정보를 수집하라고 권고했는데, 그것은 저희가 생각하는 방향성과 반대"라면서 "홍콩 당국에 항소할 계획"이라고 말했다. 그는 "우리가 갖고 싶은 건 개인정보가 아니라 작은 데이터를 통해 온라인상에서 이 사람이 진짜 인간인지 봇(bot)인지 시스템인지 구분하고자 하는 것"이라고 강조했다.