[녹색경제신문 = 박금재 기자] 생체정보를 활용해 ‘인간 증명’을 구현하겠다는 월드코인의 시도가 세계 각국 규제 당국과 충돌하고 있다. 홍채 정보를 스캔해 고유 식별값을 생성하고, 이를 기반으로 토큰을 지급하는 구조가 개인정보 보호 체계와 정면으로 맞부딪히고 있기 때문이다.

4일 업계에 따르면 월드코인은 이용자의 홍채를 전용 기기(Orb)로 촬영한 뒤 이를 암호화해 ‘월드ID’를 발급하는 방식을 채택하고 있다. 회사 측은 원본 이미지는 저장하지 않고, 홍채로부터 생성한 수학적 값만 활용한다고 설명한다. 그러나 규제 당국은 홍채 정보 자체가 고위험 민감정보에 해당하며, 처리 과정 전반이 개인정보 보호법의 엄격한 규율 대상이 된다는 입장이다.

유럽에서는 개인정보보호규정(GDPR)이 가장 큰 규제 장벽으로 작용하고 있다. 독일과 프랑스 감독당국은 월드코인의 홍채 수집 방식이 ‘목적 제한 원칙’과 ‘최소 수집 원칙’을 충족하는지 여부에 대해 조사에 착수했다. 스페인 당국은 미성년자 정보 수집 가능성과 이용자 고지 절차의 미흡성을 문제 삼아 현장 활동 중단을 명령한 바 있다.

아프리카에서는 보다 강경한 조치가 나왔다. 케냐 정부는 월드코인의 생체정보 수집이 현지 데이터보호법을 위반할 소지가 있다며 서비스 운영을 중단시켰다. 케냐 법원은 “홍채 정보는 한 번 유출되면 변경이 불가능한 생체식별 정보로, 침해 시 피해를 회복하기 어렵다”는 점을 들어 공익적 위험성을 지적했다.

남미 국가들도 규제 검토에 들어갔다. 아르헨티나와 브라질 당국은 월드코인의 데이터 처리 방식과 국외 이전 여부를 놓고 질의서를 발송하고, 자국 개인정보보호법 위반 가능성을 살펴보고 있다. 홍채 정보가 해외 서버로 이전될 수 있다는 점만으로도 규제 대상이 될 수 있다는 판단이다.

각국 규제 당국의 문제 제기는 민감정보 수집의 정당성에 집중되고 있다. 홍채는 지문보다도 식별력이 강한 정보로 분류되며, 단순 서비스 이용을 위해 이를 요구하는 것이 과도한 수집에 해당하는지 여부가 쟁점으로 떠올랐다.

동의 절차의 적정성도 논란이 되고 있다. 토큰 지급이라는 경제적 보상이 이용자의 판단에 영향을 미칠 수 있다는 점에서, 진정한 의미의 자발적 동의로 볼 수 있는지를 두고 의문이 제기된다.

사고 발생 시 피해 규모 역시 주요 쟁점이다. 홍채 정보는 비밀번호처럼 변경이 가능한 정보가 아니라는 점에서, 유출될 경우 장기적인 피해로 이어질 가능성이 크다는 점이 규제 당국의 우려로 꼽힌다.

월드코인 측은 기술적으로는 개인정보가 아닌 암호화된 식별자만을 다룬다는 입장이다. 홍채 이미지는 즉시 삭제되고 서버에는 역추적이 불가능한 값만 저장된다는 설명이다. 그러나 규제 당국은 “생체정보에서 파생된 정보 역시 개인정보에 해당할 수 있다”는 해석을 내놓고 있다. 기술적 익명성과 법적 개인정보 개념이 충돌하는 지점이다.

중앙화 구조 역시 쟁점이다. 월드ID 발급 과정과 Orb 운영이 특정 주체에 의해 관리된다는 점에서, 데이터 처리 권한이 분산돼 있지 않다는 비판이 나온다. 일부 규제 기관은 “탈중앙화를 표방하지만 실제 운영은 중앙 서버에 의존한다”고 보고 있다.

이 같은 규제 흐름은 한국에도 영향을 미칠 가능성이 있다. 한국 개인정보보호법은 생체정보를 민감정보로 분류하고 있으며, 수집 목적과 보관 방식, 제3자 제공 여부를 엄격히 제한하고 있다. 홍채 정보가 개인식별 가능 정보로 판단될 경우, 월드코인의 사업 모델은 국내에서도 법적 검토 대상이 될 수 있다.

특히 한국에서는 개인정보보호위원회가 생체정보 처리 행위에 대해 조사와 시정 권고 권한을 갖고 있어, 서비스가 본격화될 경우 행정조사나 가이드라인 적용 가능성이 거론된다. 토큰 보상을 대가로 한 생체정보 제공 구조가 소비자 보호 측면에서 적절한지에 대한 논의도 불가피하다는 지적이다.

시장에서는 월드코인 논란이 단일 프로젝트에 국한된 문제가 아니라, 향후 AI 시대의 신원 인증 기술 전반에 영향을 미칠 사안으로 보고 있다. 생체정보를 활용한 인증이 확산될 경우, 어느 수준까지 허용할 수 있는지에 대한 기준이 선례로 남기 때문이다.

결국 각국 규제 당국이 월드코인에 제동을 거는 이유는 기술의 참신성보다 위험 관리에 있다. 한 번 유출되면 되돌릴 수 없는 정보라는 점에서, 기존 개인정보보다 훨씬 엄격한 기준이 적용돼야 한다는 판단이다. 월드코인이 제시한 ‘인간 증명’ 모델이 제도권으로 편입되기 위해서는 기술적 설계뿐 아니라 법적·윤리적 기준을 동시에 충족해야 하는 과제를 안고 있다는 평가가 나온다.