독일 감시 기관, GDPR 위반 이유로 월드코인에 규정 미준수 데이터 삭제 명령

OpenAI의 샘 알트먼이 공동 설립한 암호화폐 기반 생체인식 프로젝트인 월드코인이 유럽연합(EU) 데이터 보호 규정을 위반한 것으로 밝혀져 독일 규제 당국으로부터 데이터 삭제를 요청받았다.

바이에른 주 데이터 보호 감독청(BayLDA)은 일반 데이터 보호 규정(GDPR)을 준수하지 않았다는 이유로 이 회사에 시정 조치를 내렸다.

월드코인, 독일 규제 당국의 GDPR 위반에 직면: 월드코인은 어떤 데이터를 수집하고 있나?

현재 월드라는 이름으로 알려진 월드코인은 홍채 및 안면 스캔을 사용하여 디지털 신원을 생성한다. 이러한 신원은 사용자가 AI 봇이 아닌 사람임을 증명하기 위해 설계되었다.

이 기술은 샌프란시스코에 본사를 둔 회사인 툴스 포 휴머니티 (Tools for Humanity)에서 개발했다. ‘오브’라고 불리는 월드의 디바이스는 사용자의 홍채를 스캔하여 고유 코드를 생성한다.

샌프란시스코에 본사를 둔 툴스 포 휴머니티는 월드의 기술을 개발했지만, 유럽 본사와 제조 시설은 독일 바이에른에 위치해 있다.

BayLDA는 몇 달에 걸친 월드에 대한 조사를 통해 월드의 관행이 많은 개인에게 “근본적인 데이터 보호 위험”을 초래한다는 결론을 내렸다.

당국은 월드의 이전 신원 확인 절차가 GDPR 표준을 충족하지 못한다고 판단하고, GDPR을 준수하는 데이터 삭제 절차를 시작하라고 명령했다.

BayLDA의 사장 마이클 윌은 이번 결정의 중요성을 강조했다.

그는 이렇게 말했다:

“우리는 기술적으로 까다롭고 법적으로 복잡한 사건에서 유럽의 기본권 기준을 집행하고 있다.”

규제 당국은 월드에 GDPR에 따라 수집된 모든 데이터를 삭제하도록 명령했다. 또한 사용자가 자신의 데이터 삭제를 제한 없이 요청할 수 있어야 한다고 규정했다.

월드는 이 결정에 항소하고 개인정보 보호 강화 기술(PET) 사용에 대한 사법부의 명확한 판단을 촉구했다. 이러한 기술은 사용자 데이터를 익명화하며, 월드는 이러한 기술이 EU의 법적 기준을 충족한다고 주장했다.

보고서에 따르면, 도구를 위한 인류의 최고 개인정보 보호 책임자인 데미안 키어런은 월드가 데이터 처리 프로세스를 수정하여 이전의 우려를 해결했다며 회사의 관행을 옹호했다.

키어런에 따르면 회사는 더 이상 개인 홍채 데이터를 저장하지 않는다. 대신 홍채 코드를 세 개의 암호화된 부분으로 분할하는 암호화 프로토콜을 적용하고 있다.

이러한 조각은 버클리, 취리히, 에를랑겐-뉘른베르크의 대학을 비롯한 제3자가 관리하는 별도의 데이터베이스에 저장된다.

키어런은 데이터 익명화가 개인정보를 보호하면서 신원을 확인하는 데 필수적이라고 주장했다.

“그러나 익명화에 대한 명확한 정의가 없다면 AI 시대에 개인 정보 보호를 위한 가장 강력한 도구를 잃게 될 것이다.”

계속되는 개인정보 보호 우려로 일부 국가에서는 월드 기술 금지

BayLDA의 조사는 월드가 중앙 데이터베이스에 홍채 코드를 저장한 시점에 초점을 맞췄다. 당국은 이러한 관행이 GDPR을 준수하지 않는다고 판단했다.

이후 월드는 이 방식을 중단하고 홍채 코드에서 모든 개인 데이터를 삭제했다. 회사는 현재 시스템이 고급 암호화 방법을 통해 개인 정보를 보호하고 있다고 강조했다.

월드는 독일, 일본, 미국, 한국을 포함한 여러 국가에서 운영되고 있다. 향후 아일랜드, 영국, 프랑스, 이탈리아로 사업을 확장할 계획이다.

하지만 올해 초 스페인과 포르투갈에서는 데이터 프라이버시 우려에 대한 불만이 제기되면서 이 기술을 일시적으로 금지했다.

월드(전 월드코인)는 10월 17일에 이더리움 레이어 2 블록체인인 월드 체인을 출시했다. 이 네트워크는 1,500만 명의 인증된 사용자에게 홍채 스캔을 통해 얻은 ‘World ID’를 제공한다.

이번 리브랜딩에는 엔비디아 하드웨어로 구동되는 새로운 Orb 생체 인식 장치가 포함되어 있어 효율성이 향상되었다.

또한 월드는 신원 확인 옵션을 확장하기 위해 페이스타임 (FaceTime) 및 줌(Zoom)과 같은 앱과의 파트너십을 발표했다.