2024년 eIDAS 개정안은 적격 전자 원장이라는 새로운 유형의 증거를 도입했습니다. 2025년 12월에 발표된 시행규칙(규정 2024/1183, 시행규칙 2025/2531)은 이러한 시스템이 수행해야 할 사항을 명시하고 있습니다. 이제 모든 27개 회원국에서 인증된 원장에 기록된 내용은 법적으로 완전성과 시간 순서에 대한 추정을 받습니다.
EU 법원에서는, 심지어 서로 다른 회원국에 속한 기업 간의 분쟁에서도, 이러한 추정에 따라 기록의 진위 여부를 다투는 측에 입증 책임이 전가됩니다. 따라서 어떤 기술적 혁신이 이러한 추정을 가능하게 했는지 묻는 것은 당연합니다.
하지만 그러한 혁신은 없습니다.
이 프레임워크는 탈중앙화, 독립적인 당사자 간의 내결함성, 또는 공개 검증을 요구하지 않습니다. 단일 회사가 운영하는 폐쇄형 시스템에도 전혀 문제가 없습니다. 규제 용어를 넘어서 자세히 살펴보면, 요구되는 통제 수단은 서명, 해시 체인, 그리고 보호된 서명 키뿐입니다. 이는 엔지니어들이 수십 년 동안 일반 데이터베이스에 추가해 온 것과 동일한 도구들입니다.
EU는 기술적 기준을 높인 것이 아닙니다. 기존 기준에 도장을 찍고 그 도장에 법적 특권을 부여했을 뿐입니다. 지적 재산권 소유자와 그들을 대변하는 변호사들에게 있어, 그 도장을 더 강력한 증거로 착각하는 것은 큰 실수입니다. 누구나 검증할 수 있는 증거를, 해당 도장이 인정되는 곳에서만, 그리고 공급업체가 여전히 존재하여 보증을 제공할 수 있는 경우에만 유효한 라벨로 바꾸는 것입니다.
이름뿐인 원장
"적격 전자 원장"이라는 말은 마치 분산되고 위변조 방지 기능이 있는 인프라처럼 들립니다. 시행규정 2025/2531 부록에는 훨씬 더 명확한 내용이 명시되어 있습니다.
데이터 출처를 나타내는 적격 인증서 기반의 고급 전자 서명 또는 인장;
레코드 순서를 고정하는 해시 리스트 또는 해시 트리(SHA-256 이상);
추후 변경 사항을 감지할 수 있도록 서명 기반 무결성 검사;
서명 키를 저장하는 인증된 하드웨어(Common Criteria EAL 4 또는 FIPS 140-3 레벨 3).
이 목록의 어떤 항목도 블록체인을 필수로 요구하지는 않습니다. 분산 원장은 일부 추가 ISO 요구 사항을 충족하는 경우 허용되지만, 필수 조건이 아니라 선택 사항입니다. 서명된 항목이 있는 추가 전용 PostgreSQL 테이블, 머클 루트 및 하드웨어 보안 모듈(HSM, 은행에서 서명 키를 보호하는 데 사용하는 변조 방지 장치)은 동일한 기능적 기준을 충족합니다.
인증된 "적격 원장" 동등한 시스템, 인증되지 않은 기술 데이터베이스 + PKI + 해시 체인 데이터베이스 + PKI + 해시 체인(또는 더 강력한 시스템) EU에서의 법적 효력 법적 추정(eIDAS 제45k조) 처음부터 무결성을 입증해야 함
원장 공급업체는 운영하는 노드 수를 근거로 시스템이 분산되어 있다고 주장할 것입니다. 그러나 한 회사가 관리하는 10개의 서버는 여전히 한 회사로 간주됩니다. 루트 키, 호스팅 계약 및 관리 콘솔을 보유한 회사가 파산하거나, 강압을 받거나, 실수를 저지르면 10개의 노드가 모두 다운될 수 있습니다.
결과적으로 엔지니어링을 무시하는 법적 위계 구조가 만들어집니다. "적격"으로 표시된 감사된 데이터베이스는 추정을 받지만, 해당 표시가 없는 동일하거나 더 나은 시스템은 처음부터 다시 시작해야 합니다. 법은 증거의 수학적 정확성보다 공급업체의 서류를 더 신뢰합니다.
감사가 보증은 아닙니다
옹호자들은 감독 체제를 근거로 제시합니다. 자격을 갖춘 신탁 서비스 제공업체는 최소 2년마다 감사를 받으며, 폐업 시 기록 접근을 보장하는 종료 계획을 수립해야 합니다(시행규정 2025/2530, 제3조).
종료 계획은 의도일 뿐 증거는 아닙니다. 제공업체가 파산하는 시점에 자금이 남아 있고, 후임자가 있으며, 계획을 준수할 직원이 있는 경우에만 효력이 있습니다. 파산, 부실 매각, 구조조정은 이러한 조건이 모두 충족되지 않는 상황입니다.
감사 보고서는 제공업체가 감사 당일 체크리스트를 통과했음을 보여줄 뿐입니다. 오프라인 상태가 된 아카이브를 복구하거나 재판 도중 증거 보존 절차를 재구성할 수는 없습니다. 파산한 신탁 제공업체를 상대로 소송을 제기한다고 해서 증거를 잃어버린 청구권을 되살릴 수는 없습니다.
증거는 공급업체보다 오래 지속되어야 합니다
지적 재산권은 수십 년 동안 가치를 유지하고 분쟁의 대상이 될 수 있습니다. 어떤 회사가 특정 공정을 특허 등록 대신 비밀로 유지한다고 가정해 보겠습니다. 만약 경쟁업체가 나중에 같은 아이디어에 대한 특허를 출원한다면, 해당 회사는 자신이 먼저 그 공정을 개발했다는 것을 입증해야만 계속 사용할 수 있으며, 그 입증은 경쟁업체의 특허가 유효한 기간, 즉 최대 20년 동안 유효해야 합니다.
소프트웨어 회사는 그렇게 오래 존속하는 경우가 드뭅니다. 제품은 단종되고, API는 더 이상 사용되지 않으며, 스타트업은 인수되거나 사업을 정리합니다. 그 와중에 중요한 분쟁(이전 공급업체가 귀사의 도면을 재사용하거나, 수년간 사용해 온 공정을 포괄하는 새로운 특허가 출원되는 경우 등)은 대개 해당 저작물이 만들어진 지 10년 또는 15년 후에 발생합니다.
이 시점에서 당신은 해당 저작물이 존재했고, 변경되지 않았으며, 당신의 소유였음을 입증해야 합니다. 원장 항목 자체만으로는 검증이 불가능합니다. 검증에 공급업체의 비공개 API, 단종된 소프트웨어 라이선스, 또는 10년 동안 아무도 열어보지 않은 에스크로 아카이브가 필요한 경우 말입니다. 공급업체가 사라지면 증거도 함께 사라집니다.
따라서 모든 지적재산권 변호사는 다음 테스트를 적용해야 합니다.
만약 원장 공급업체가 내일 사라진다면, 독립적인 전문가가 원본 증거를 내보내 오픈 소스 도구와 공개 표준만을 사용하여 법정에서 검증할 수 있을까요?
답이 '아니오'라면, 당신은 증거를 소유한 것이 아니라 임대한 것입니다.
추정은 국경을 넘어야 한다
지적재산권은 국제적입니다. 뮌헨에서 개발된 발명품은 미국에서 특허를 받고, 선전에서 제조되며, 도쿄에서 라이선스가 부여될 수 있습니다. 침해자는 브뤼셀에 맞춰 관할권을 선택할 수 없습니다.
EU 법률 제45k조에 명시된 추정은 EU 법원을 구속합니다. 미국 연방 판사, 싱가포르 중재 패널 또는 런던 고등법원은 이에 대해 아무런 의무가 없습니다. EU 외부에서는 다음과 같습니다.
증거 채택 여부는 현지 절차 및 전문가 증거 규칙(예: 미국의 다우버트 원칙)을 따릅니다. 다우버트 원칙은 상대방이 독립적으로 검증할 수 없는 방법론을 사용하는 전문가 증언의 배제를 판사에게 요청하는 경우 적용됩니다.
EU 인증서는 기록이 생성되고 검증된 방식에 대한 기술적 설명을 대체하지 않습니다.
검증이 공급업체의 비공개 소스 코드에 의존한다는 사실을 인정해야 하는 전문가는 증언에서 배제되거나, 최악의 경우 상당한 감점을 받게 됩니다.
타임스탬프에 대한 RFC 3161과 같은 개방형 표준을 비교해 보십시오. 형식과 검증 절차가 공개되어 있으므로, 전 세계 어디에서든 유능한 전문가가 라이선스나 발급자의 도움 없이 무료 도구를 사용하여 토큰을 검증할 수 있습니다. 이러한 방식으로 구축된 증거는 어디든 전파될 수 있습니다. EU 인증서를 근거로 한 증거는 EU 법원에서 강력한 효력을 갖지만, EU 이외 지역에서는 처음부터 스스로 입증해야 합니다.
배지를 활용하되, 그 위에 구축하지 마십시오
이러한 점이 적격 원장을 무용지물로 만드는 것은 아닙니다. EU 내에서는 법적 추정이 실질적인 절차적 이점을 제공합니다. 단, 해당 기록이 자산의 존속 기간 동안 검증 가능하고 판매자의 생존 여부에 관계없이 유효해야 합니다. 하지만 EU 이외 지역에서는 그 이점이 미미합니다.
따라서 지적 재산권 소유자는 지역적 인정과 글로벌 검증 가능성 중 하나를 선택할 필요가 없습니다. 두 가지 모두를 활용해야 합니다. 먼저 RFC 3161 타임스탬프나 비트코인 블록체인처럼 누구나 허가 없이 확인할 수 있는 개방형 글로벌 인프라에 증거를 구축하십시오. 그런 다음 분쟁 발생 가능성이 높은 지역에서는 현지 법원에서 인정하는 증거를 추가하십시오. 예를 들어 EU의 적격 원장, 중국의 공인 타임스탬프 기관, 일본의 정부 공인 타임스탬프 등을 활용할 수 있습니다.
회사 핵심 자산 기록 방식을 결정할 때 다음 사항을 고려하십시오.
먼저 글로벌 표준을 확립하십시오. 모든 관할권의 전문가가 무료 도구를 사용하여 검증할 수 있는 개방형 표준 및 공공 인프라를 활용하십시오.
소송이 발생할 수 있는 지역에서는 현지 인증을 추가하십시오. 국가적으로 인정된 인증은 기초가 아닌 추가적인 요소로 간주하십시오.
데이터와 인증 자료를 보관하십시오. 인증 자료는 해시값만 증명할 뿐, 정확한 원본 파일이 없으면 아무런 효력이 없습니다. 인증된 데이터는 바이트 단위로, 자체 포함 인증 패키지(원시 서명, 해시값, 인증서 체인)와 함께 모두 회사 소유로 보관하십시오.
벤더 없이 검증하십시오. 벤더 플랫폼을 비활성화한 상태에서도 회사 팀이 오픈 소스 도구를 사용하여 모든 과거 기록을 확인할 수 있도록 하십시오.
법적 추정은 특정 관할권에서 승소를 보장할 수 있지만, 누구나 검증할 수 있는 인증 자료는 어느 관할권에서든 승소를 입증할 수 있도록 해줍니다.
