eIDAS 2.0 vs. 대한민국 디지털 신원체계 비교 분석

PDF

• Open (new tab): /files/Digital_Identity_Redesigning_Control.pdf

PDF가 보이지 않으면 여기로 열어보세요: /files/Digital_Identity_Redesigning_Control.pdf

관련 영상

eIDAS 2.0: 유럽의 디지털 신원 프레임워크

유럽연합의 eIDAS 2.0(Electronic Identification, Authentication and Trust Services 2.0)은 차세대 디지털 신원 전략으로, 유럽 디지털 신원 지갑(EU Digital Identity Wallet) 도입을 핵심으로 한다. 이 지갑은 모든 EU 시민·거주자에게 발급되며, 개인이 자신의 디지털 신원을 안전하게 저장・관리하고 필요한 정보만 선택적으로 공유할 수 있는 월렛 기반 신원증명 수단이다[1][2]. eIDAS 2.0 규정은 2024년 5월 발효되었고, 각 회원국이 2026년까지 최소 하나 이상의 공인 디지털 신원 지갑을 국민에게 제공하도록 의무화하였다[3]. 이를 통해 EU 전역에서 통용되는 조화로운 신원체계를 구축하고, 국경 간 전자거래와 서비스 이용 시 상호 인증을 가능하게 한다.

이 신뢰 프레임워크(Trust Framework) 하에서 디지털 신원 지갑과 전자서명·전자봉인 등 신뢰 서비스의 표준이 정해져 회원국 간 호환성이 보장된다[4]. eIDAS 2.0은 **보증 수준(LoA)**을 높여 높은 수준의 보안을 제공하며, 개인정보 보호 원칙과 데이터 최소화를 법적으로 명시한 것이 특징이다[5]. 사용자 자기주권 신원(SSI) 개념을 도입하여, 개인이 신원 데이터에 대한 통제권을 갖고 선택적 정보공개(Selective Disclosure) 기능으로 필요한 최소한의 데이터만 공유한다[5][3]. 예컨대, 나이 인증이 필요할 때 지갑이 사용자의 생년월일 전체 대신 “성인 여부” 정보만 제출하도록 설계되어 있다. 이러한 프라이버시 강화 설계를 통해 사용자의 개인정보 자기결정권을 보장하며, 지갑에 저장된 데이터는 사용자 동의 없이 다른 용도로 활용되지 않는다.

또한 eIDAS 2.0은 민간 부문의 역할을 재정립하였다. 기존 eIDAS(2014) 체계가 공공서비스 위주였다면, 개정된 규정은 은행·의료·통신 등 민간 서비스에도 공통 디지털 신원 사용을 확대하여 디지털 신원의 활용 범위를 넓혔다[5]. 예를 들어 은행 계좌 개설이나 원격 의료, 통신 서비스 가입 시에도 회원국 디지털 ID 지갑을 통한 본인확인을 의무화하는 방향이다. 동시에 대형 온라인 플랫폼들도 공공 디지털 신원을 받아들이도록 규정하여, 구글·페이스북 등 민간 로그인에 의존하던 환경을 개선하고 중립적 공공 인증수단을 마련하고 있다[6]. 나아가 각국 정부뿐 아니라 **인증서 발급기관 등 신뢰 서비스 제공자(TSP)**들도 참여하되, EU 공통 표준과 인증을 충족해야 하므로 무분별한 민간 독점이나 남용은 제한된다. 즉, 민간이 디지털 신원 인프라에 참여하더라도 엄격한 자격 요건 하에서 공익적 원칙을 따라야 한다.

요약하면, eIDAS 2.0은 **“지갑 기반 디지털 신원”**이라는 새로운 패러다임으로 사용자 중심·프라이버시 보호를 강화하고, 공공이 주도하되 민간도 참여하는 신뢰 네트워크를 구축한 것이다. 모든 EU 국민에게 공통 디지털 ID를 보급함으로써 디지털 행정과 상거래를 편리하면서도 안전하게 만들고[7], 데이터 주권을 개인에게 돌려준다는 평가를 받고 있다[2]. 이는 유럽 단일시장 내 전자 신원확인에 법적 확실성을 부여하고 디지털 혁신을 촉진하는 기반이 될 것으로 기대된다.

대한민국의 모바일 신분증 제도

대한민국의 모바일 신분증은 정부가 발급하는 공식 스마트폰 기반 디지털 신분증으로, 주민등록증·운전면허증 등 실물과 동일한 법적 효력을 갖는다[8]. 행정안전부는 2020년부터 디지털 정부혁신 계획에 따라 단계적으로 모바일 신분증을 도입해왔으며, 2021년 공무원증을 시작으로 2022년 모바일 운전면허증을 일반 국민에게 시범 발급하고 2023년 국가보훈등록증, 2024년 재외국민용 신원확인증 등으로 범위를 넓혔다[9]. 2024년 12월에는 모바일 주민등록증 시범발급을 거쳐 2025년부터 전 국민 대상 정식 발급을 추진하고 있다[10][11]. 이를 통해 플라스틱 신분증을 대체하여 온·오프라인 어디서나 사용 가능한 디지털 신분증 인프라를 구축하는 것이 목표이다.

기술적으로, 모바일 신분증은 스마트폰 내 보안영역(예: TEE 또는 eSE)에 신분증 정보를 암호화 저장하고, 블록체인 기반 분산ID(DID) 기술을 통해 진위를 검증하는 방식이다[12]. 중앙 서버에 주민등록번호 등 개인정보를 저장하지 않고, 사용자 단말에만 증표를 보관하므로 보안성을 높였다[13]. 사용자는 자신의 스마트폰에 있는 신분증을 제시하여 신원확인을 요청받을 때, 필요한 정보만 선별 제공할 수 있다. 예를 들어 술·담배 구매 시 모바일 신분증 앱으로 QR코드를 보여주면, 이름이나 상세주소 등은 가린 채 “성인 여부 확인” 정보만 상대방에게 전달되도록 선택적 공개가 가능하다[12]. 정부는 이러한 **비대칭 암호화(PKI)**와 블록체인 기술 활용으로 위·변조 검증이 용이하고 개인정보 노출을 최소화한 안전한 신분증을 구현했다고 설명한다[14][15].

법적 측면에서 「주민등록법」 개정 등을 통해 모바일 신분증의 법적 지위를 정립하였다. 모바일 주민등록증이나 운전면허증은 관련 법령상 실물과 동일한 효력을 인정받아 관공서, 금융기관 등에서 공식 신분증으로 쓸 수 있다[8]. 실제로 정부24, 주민센터 민원, 금융거래, 공항 탑승 등 다양한 분야에서 모바일 신분증이 실물 대용으로 받아들여지고 있다[16][17]. 정부는 이용 편의를 높이기 위해 민간 앱들과 제휴하여 발급 경로를 확대하고 있는데, 2025년 7월부터 네이버, 카카오, 토스, 주요 시중은행 앱 등 5개 민간 플랫폼을 통해서도 모바일 신분증 발급이 가능하도록 개방하였다[18]. 행안부 심사와 보안성 평가를 통과한 민간사업자를 “모바일 신분증 운영기관”으로 선정하여, 이용자가 해당 앱에서 본인 명의 스마트폰과 IC칩 내장 실물신분증으로 본인확인을 거친 후 디지털 신분증을 스마트폰에 발급받도록 한 것이다[19][20]. 예컨대 네이버앱에 운전면허증이나 주민등록증을 탑재하면, 네이버 신분증 하나로 온라인 주류 구매나 주민센터 업무, 선거 투표 시 본인확인이 가능해지는 식이다[21][17]. 이처럼 정부 주도의 신원증명 인프라에 빅테크·금융 등 민간을 참여시켜 초기 보급률을 높이고 일상생활에서 활용처를 확대하려는 전략을 취하고 있다[18].

모바일 신분증 도입으로 기대되는 효과는 편의성과 보안 모두 크게 향상된다는 점이다. 분실 위험이 있는 실물카드를 대신하여 휴대폰 하나로 신분 확인이 가능하고, 분산ID 구조로 과도한 정보 제공을 줄여 프라이버시도 강화된다[13]. 정부는 **“신원증명의 패러다임을 180도 바꾸는 혁신”**이라고 평가하며, 온·오프라인 통합 신원증명 수단으로 비대면 경제 활성화 기반이 될 것으로 보고 있다[22]. 다만 초기 단계에서 구형 스마트폰이나 일부 외국인 사용자에 대한 지원 미흡, 이용자 불안감 등이 과제로 지적된다[23][24]. 예를 들어 NFC 기능이 없는 저가형 폰의 경우 블루투스 또는 QR 방식으로 대안을 마련했지만 일부 제약이 있고, 고령 외국인이나 IC칩 미탑재 외국인등록증 소지자는 앱 설치와 인증 절차에 어려움을 겪는 사례도 있다[25]. 이에 대해 정부는 점차 기술적 보완과 함께 디지털 포용 정책을 강화하고 있으며, 모바일 신분증의 보안성과 신뢰성에 대한 대국민 홍보도 병행하고 있다[24][13].

민간 본인확인(CI/DI) 서비스와 정책적 논란

대한민국에서는 모바일 신분증 도입 이전에 민간 본인확인 서비스가 오랫동안 온라인 신원확인의 핵심 역할을 해왔다. 이는 주민등록번호의 무분별한 수집을 막기 위해 마련된 “주민번호 대체 인증” 체계로, 이동통신사 등의 본인확인기관이 휴대폰 인증, 아이핀(i-PIN) 등을 통해 사용자 신원을 확인하고 고유 식별정보를 부여하는 방식이다[26][27]. 이 때 활용되는 핵심 개념이 CI와 DI다. **CI(Connection Information, 연계정보)**는 본인확인기관이 개인에게 부여하는 88바이트 암호문 형태의 고유 식별값으로, 어느 기관에서 발급하든 한 사람에게는 일생 불변의 동일한 CI가 할당된다[28]. 온라인 서비스들은 이용자의 이름·생년월일 등을 입력받아 본인확인 절차를 거친 뒤 이 CI 값을 넘겨받아 주민번호 대신 식별자로 활용한다[26][27]. **DI(Duplication Information, 중복가입확인정보)**는 사이트별로 발급되는 64바이트 식별자로, 동일인이 하나의 사이트에 중복 가입하는 것을 막기 위한 용도이다[29]. 즉, CI가 동일하면 같은 사람, DI가 동일하면 같은 사이트 내 동일 사용자임을 나타낸다[30]. 현재 포털, 전자상거래, 성인인증 등 대부분의 인터넷 서비스에서 **휴대폰 본인인증(PASS 앱 등)**을 통해 이러한 CI를 받아 가입자 식별에 사용하고 있다.

이 CI/DI 기반 본인확인제도는 한때 편리한 주민번호 대체수단으로 각광받았으나, 정책적 비판과 한계도 적지 않았다. 먼저 **CI는 “온라인 주민등록번호”**라는 지적이 있다[31]. 애초에 주민번호 수집 금지 취지로 도입했지만, CI 값이 주민번호와 1:1 매핑되어 개인을 식별할 수 있으므로 주민번호가 가진 프라이버시 문제를 그대로 계승했다는 것이다[31]. 실제로 기업들이 원래는 각 사이트별 DI만 활용해야 함에도 편의를 위해 CI를 키값으로 사용하는 사례가 많아, 결과적으로 온라인상에서 개인을 추적할 수 있는 준식별자가 되어버렸다[32]. 둘째, 이용자가 자신의 CI/DI를 통제하거나 변경할 권한이 없다는 문제가 있다[33]. 주민번호는 유출 시 변경 제도가 있으나, CI는 한 번 생성되면 유출돼도 개인이 재발급을 요청할 수 없고 계속 쓰일 수밖에 없다. DI도 법적 보호대상이 아니라서, 본인확인기관이 보유한 DI 정보를 통해 누가 어느 웹사이트에 가입했는지 제3자가 조회할 수 있는 여지가 있다[34]. 실제 수사기관이 영장 없이 민간 경로로 DI를 확보하여 특정인의 온라인 활동 내역을 파악할 수 있다는 우려도 제기되었다[34]. 셋째, 현행 CI/DI 체계의 폐쇄성이다. 이 제도는 주민등록번호 체계에 종속되어 있기 때문에 외국인에게는 적용이 어렵고 국제 호환성도 없다[35]. 외국인은 국내에서 휴대폰 본인인증이나 아이핀 발급이 제한적이어서, 한국만의 기형적 구조라는 비판이 있다[35]. 마지막으로 DI 값의 일관성 문제가 있었다. 인증 방법이나 기관에 따라 동일인에게 서로 다른 DI가 발급되는 경우가 있어 중복가입 확인이라는 본래 목적을 달성하지 못하는 사례가 발생했고, 이 때문에 사이트들이 CI를 공유 키로 삼는 악순환을 낳았다[36]. 요컨대 민간 본인확인 산업은 통신3사 등 일부 사업자가 시장을 과점하면서 편리한 인증 수단을 제공해왔지만, 개인정보보호 측면의 구조적 한계와 보편적 서비스로서의 미흡함이 지속해서 지적되어 왔다.

정부도 이러한 문제를 인식하여 2020년대 들어 공공 주도의 모바일 신분증 도입과 함께, 본인확인제도 개선을 병행하고 있다. 개인정보보호위원회 등은 CI 사용의 과도한 확대에 우려를 표했고, DI 등의 법적 보호조치 마련을 논의하기도 했다[34]. 한편 본인확인기관들도 PASS 앱의 고도화나 민간인증서 사업 등 새로운 방향을 모색하고 있다. 그러나 궁극적으로 모바일 신분증이 널리 보급되면, 현재의 CI 기반 인증수단 수요는 감소할 가능성이 높다. 웹사이트들이 굳이 유료의 휴대폰 본인확인 API를 쓰지 않고도 사용자가 가진 모바일 신분증으로 본인확인을 받는 방식이 현실화되면, 기존 민간 본인확인 산업의 축소 또는 역할 변환이 불가피하다.

모바일 신분증 vs 민간 본인확인: 충돌과 정책 방향

정부 모바일 신분증의 등장은 앞서 설명한 민간 본인확인(CI/DI) 산업과 이해 충돌 측면이 있다. 모바일 신분증은 법정 신분증의 디지털화로서 기존의 민간 인증에 비해 신뢰성과 활용범위가 월등히 크다[8]. 예를 들어, PASS 앱을 통한 휴대폰 본인인증은 단지 해당 순간에 통신사 데이터베이스로 신원을 확인해주는 사설 인증에 불과하지만, 모바일 주민등록증은 공적으로 인정되는 신분증명서이므로 실명 확인은 물론 행정·법률행위에 직접 제시할 수 있다[8]. 이는 민간 본인확인 서비스들이 담당하던 온라인 회원가입, 성인인증 등의 영역을 넘어, 오프라인 신원확인과 금융 실명확인(KYC) 등까지 포함하는 포괄적인 수요를 흡수할 수 있다. 다시 말해 민간 인증 → 공공 신분증으로 기능적 대체가 진행될 수 있는 것이다.

이런 변화에 대해 기존 본인확인 업계는 긴장과 우려를 보여왔다. 통신3사의 공동 앱 PASS는 현재 수천만 건의 본인확인 거래를 처리하며 수수료 수익을 올리고 있는데, 장기적으로 모바일 신분증에 밀려 활용도가 떨어질 가능성이 있다. 또한 인터넷 기업들은 그동안 본인확인기관을 통해 얻은 CI로 사용자 데이터를 관리해왔는데, 모바일 신분증으로 사용자가 익명성에 가까운 선택공개 인증을 하게 되면 기업 측 데이터 수집이 제한된다[5][2]. 이러한 이유로 초반에는 민간에서 **“정부가 시장을 빼앗는다”**는 견해도 있었으나, 정부는 민·관 협력 쪽으로 정책 방향을 정했다. 앞서 언급한 대로 네이버, 카카오 등의 플랫폼을 모바일 신분증 지갑으로 참여시킴으로써 민간 사업자들이 새로운 생태계의 일부가 되도록 유도한 것이다[18]. 실제 네이버는 자체 네이버 신분증 서비스를 정부 기준에 맞춰 개발하여, 행안부의 모바일 신분증 사업자로 선정됨으로써 공인 신원지갑 운영사로 전환했다[19]. 이처럼 기존 산업 플레이어들이 정부 디지털 신원체계에 합류하도록 함으로써 충돌을 완화하고 산업구조의 연착륙을 도모하고 있다.

향후 정책 변화의 흐름을 보면, 각국 모두 디지털 신원에 대한 공적 개입을 강화하는 추세다. 유럽은 eIDAS 2.0을 통해 국가가 보증하는 디지털ID를 전 국민에게 보급하면서, 민간 Big Tech 주도의 신원확인에서 탈피하려는 흐름을 보인다[1][3]. 한국도 모바일 신분증으로 국가 주도의 신원 인프라를 구축함으로써, 과거 민간에 맡겨졌던 본인확인 기능을 공공이 책임지는 방향으로 선회하고 있다. 이는 디지털 시대 신원정보를 주권 차원에서 관리하고, 국민의 신뢰를 확보하려는 정책적 의도로 해석된다. 동시에 두 사례 모두 사용자 중심을 강조하고 있다는 공통점이 있다. EU 지갑과 한국 모바일신분증 모두 개인이 정보 제공을 통제하고 필요 최소한의 인증만 수행하도록 해 프라이버시 보호를 핵심 가치로 삼는다[5][12]. 기술적으로도 DID, 블록체인, ZKP(영지식증명) 등 차세대 신원증명 기술을 도입하여 중앙집중식 신원확인의 한계를 극복하려는 노력이 나타난다[37][2].

한편, 미국 등 일부 국가는 연방 차원의 통일된 디지털 ID 프레임워크가 부재하여 주별로 모바일 운전면허증을 발급하거나, 민간의 소셜 로그인·신용평가사 데이터를 활용하는 등 분산된 접근을 보이고 있다[38][39]. 그러나 글로벌 추세는 결국 공공주도형 신원증명 인프라로 수렴하는 모습이다. 여러 나라들이 유럽 eIDAS 2.0을 참고하여 국가 디지털 ID 전략을 내놓고 있으며, 호주, 영국 등도 디지털 신원 Trust Framework를 마련해 정부가 신원 인증의 신뢰성을 감독하고 있다[40][41]. 요컨대 디지털 신원은 21세기 사회 기본 인프라로 인정받으며, 각국 정부와 국제기구가 표준과 규범을 이끌어가는 방향으로 가고 있다.

EU vs 한국 신원체계 비교표

以上의 비교를 통해 알 수 있듯, 유럽의 eIDAS 2.0과 한국의 모바일 신분증 모두 디지털 시대의 새로운 신원 증명 패러다임을 추구하고 있다. 유럽은 초국가적 차원에서 공통의 신뢰 프레임워크를 수립하여 *“한 개의 디지털 지갑으로 EU 전체에서 통용”*되는 청사진을 그리고 있고[3], 한국은 국내에서 국민 누구나 스마트폰만으로 행정·민간 서비스를 이용할 수 있는 환경을 만들며 오래된 민간 인증 관행을 혁신하고 있다[22]. 양측 모두 공공주도로 추진되지만 민간과의 조화로운 역할 분담을 모색한다는 공통점이 있다. 앞으로도 사용자 프라이버시를 보호하면서도 편의성을 높이는 방향으로 정책이 발전할 것이며, 국제적으로도 이러한 디지털 신원 혁신 흐름에 따라 산업 구조가 재편될 것으로 전망된다[2][49].