몰랐다는, 정말 몰랐어도 변명입니다

2026년 12월 24일. 유럽연합 27개 회원국은 그날까지 시민에게 인증된 디지털 신분 지갑을 최소 하나씩 제공해야 한다. 위원회의 첫 이행 규정들이 2024년 12월에 발효되면서 24개월 시계가 돌기 시작했고, 그 시계가 올해 성탄 전야에 멈춘다.

넉 달 남았다. 그리고 2026년 8월 3일 기준, 인증을 마친 지갑을 내놓은 나라는 한 곳도 없다.

덴마크가 가장 앞서 있다. AltID가 6월 3일 프로덕션에 올라갔다. 다만 단서가 붙는다 — 현재 AltID의 신뢰당사자 등록부는 아직 eIDAS 2.0 등록부가 아니다. 인증 인프라 자체가 유럽 전역에서 아직 만들어지는 중이다.

유럽연합 사이버보안청(ENISA)은 올해 초 상황을 이렇게 적었다. “어떤 EUDI 지갑도 배치되거나 인증되지 않았으며, 명세는 여전히 작업 중이다.”

그리고 몇몇 나라는 이미 마감을 넘기기로 계획을 세웠다. 독일은 7,930만 유로를 투입하고도 출시 목표를 2027년 1월 2일로 잡았다. 마감 아흐레 뒤다.

그리고 지갑이 제때 나온다 해도 문제가 하나 더 있다.

프랑스와 독일의 성인 2,000명을 대상으로 한 조사에서 응답자의 51%는 EUDI 지갑을 들어본 적이 없다고 답했다. 들어봤지만 무엇을 하는 것인지 모르겠다는 응답이 27%였다. 어느 정도라도 알고 있는 사람은 20%다.

법으로 강제되는 인프라가, 넉 달 뒤에, 절반이 모르는 상태로 도착한다.

그래서 그게 무엇인가

방금 본 숫자대로라면 열에 여덟은 이것이 무엇인지 모른다. 그러니 여기서 설명한다.

휴대폰 안의 앱이다. 신분증, 운전면허, 보험 자격, 학위 같은 것을 담아둔다. 어딘가에서 확인이 필요할 때 지갑이 필요한 한 가지만 내민다.

술집에서는 “18세 이상”만 나간다. 이름도 생년월일도 주소도 나가지 않는다. 병원에서는 보험 자격만 나가고 나머지는 남는다.

그것이 설계 의도다. 이 글은 그 의도가 실제로 지켜지는지를 본다.

이 문장들을 읽고 떠올릴 법한 결론은 하나다. 또 늦어지는구나.

그런데 같은 기간, 벨기에에서는 신분 확인이 하루도 멈추지 않았다.

이미 있는 것

itsme. 2025년에 사용자 800만 명을 넘었고, 16세 이상 벨기에 성인의 약 80%가 계정을 갖고 있다. 연간 사용 건수는 5억 9,400만 건이다. 은행에 로그인할 때, 세무 신고를 할 때, 의료 기록을 열 때, 계약서에 서명할 때 쓴다. 벨기에에 사는 사람에게 itsme는 설명이 필요 없는 물건이다. 그냥 있는 것이다.

만든 것은 국가가 아니다. 벨기에 모바일 ID(Belgian Mobile ID) 컨소시엄이다. 창립 주주는 일곱 곳 — 은행 넷(Belfius, BNP Paribas Fortis, KBC/CBC, ING)과 통신사 셋(Orange Belgium, Proximus, Telenet). 연방지주투자공사(FPIM)가 2021년 중반에 20% 지분을 인수했다. 출범 이후 첫 정부 투자였고, 지금도 주주로 남아 있다.

순서를 다시 읽어보자.

은행과 통신사가 먼저 만들었다. 국가는 나중에 소수 지분으로 들어갔다.

그리고 지금 국가는 별도의 앱을 만들고 있다. MyGov.be. 담당은 연방 정책지원처(BOSA)이고, 지난 7월에는 전자서명 인프라 공급자로 Zetes를 선정했다. 유럽 지갑 현황 자료에서 벨기에의 상태는 “기존 앱: 업그레이드 확정”으로 분류된다. itsme는 그 지갑에 접속될 것으로 예상된다고 보도된다.

대체가 아니다. 겹침이다.

그런데 itsme는 신분증이 아니다

여기서 짚어야 할 것이 하나 있다. 누가 틀린 게 아니다. 설명이 닿지 않은 자리에서, 이 글을 쓰는 나를 포함한 많은 사람이 그냥 그런 줄 알고 있던 것이다.

itsme는 신분을 인증하지 않는다. 존재를 확인한다.

차이는 이렇다. 벨기에 사람이 itsme로 로그인할 때, 시스템은 “이 사람이 누구인가”를 확인하지 않는다. “예전에 누군가로 등록된 그 결속이 지금 살아 있고, 누군가 그것을 지금 활성화하고 있는가”를 확인한다.

신분 확인은 딱 한 번, 등록할 때 일어났다. 은행의 고객확인 절차나 전자신분증을 통해서. 그 이후의 모든 사용은 신분 확인이 아니라 존재 확인이다.

공정하게 말하면 반론이 가능하다. 결국 전자신분증 위에 얹힌 것 아니냐고. 맞다. 체계 전체로 보면 itsme는 신분 확인에 의존한다.

다만 그 의존이 어디에 있는지가 중요하다. 등록 계층이다. 그리고 그 계층을 실제로 수행한 것은 은행이다. 국가가 신분 확인을 안 하는 것이 아니라, 은행이 한 것을 인정하는 위치에 있다.

[전제] 만약 신분을 밝히지 않고 존재만 증명하는 것이, 이미 일상의 기본값인 세계라면?

이것은 예측이 아니다. 아래는 그 전제를 좌표로 놓고 현재를 다시 읽은 것이다.

그 세계에서 가장 먼저 깨지는 것

국가는 이것을 만들 수 없다.

못 하는 게 아니라 구조적으로 그렇다. 신분 인프라는 고빈도 사용이 있어야 살아 있다. 한 해에 한 번 쓰는 인증은 잊히고, 비밀번호가 분실되고, 앱이 삭제된다. 매주 쓰는 인증만 살아남는다.

국가는 시민과 매주 거래하지 않는다. 은행은 한다. 통신사도 한다.

이건 벨기에만의 이야기가 아니다.

넷 다 민간에서 출발했다. 넷 다 정부 명령으로 크지 않았다. 은행·보험·전자상거래 로그인의 가장 빠른 수단이 되면서 생활에 불가결해졌고, 그 결과 사실상의 표준이 되었다.

한 나라라면 문화로 설명할 수 있다. 넷이면 구조다.

그리고 이 표에서 가장 많은 것을 말해주는 나라는 스웨덴이다.

BankID 보급률이 99%인 그 나라는, 국가 지갑의 인증을 2029년으로 잡았다. 인증 준비는 2028년, 인증 완료는 2029년. 법이 정한 마감보다 삼 년 늦다. 스위스도 비슷하게 2026년 너머를 보고 있다.

이것을 태만이라고 부르기는 어렵다. 이미 99%가 쓰는 것이 있는 나라에서, 국가 지갑은 급한 물건이 아니다. 민간 신분 체계가 잘 작동할수록 국가 지갑은 뒤로 밀린다. 규정은 그 사정을 계산에 넣지 않았다.

1월에 나온 한 평가는 27개 회원국 중 12개국만이 연말까지 작동하는 지갑을 갖출 궤도에 있다고 봤다.

법이 요구한 것과, 설계가 답한 것

여기까지는 알려진 사실의 재배열이다. 진짜 균열은 다음에 있다.

eIDAS 2.0은 이것을 권고가 아니라 의무로 적어두었다.

제5a조 16항은, 속성 증명이 발급된 뒤에는 발급자든 다른 어떤 당사자든 **“거래 또는 이용자 행동을 추적·연결·상관시킬 수 있는 데이터를 획득하는 것을 허용해서는 안 된다”**고 규정한다. 이용자가 명시적으로 허가한 경우를 제외하고서다. 같은 항은 이용자 식별이 필요하지 않은 경우 불연결성(unlinkability)을 보장하는 프라이버시 보호 기술을 가능하게 할 것을 요구한다. 제5a조 4항은 선택적 공개가 가능하도록 보장할 것을 요구한다.

풀어 쓰면 이렇다. 술집이 어떤 사람이 18세 이상임을 확인하고, 병원이 그 사람의 보험 자격을 확인했을 때, 두 곳이 기록을 맞춰봐도 그것이 같은 사람이었는지 알 수 없어야 한다.

법은 그것을 요구했다. 정확히 하자면, 이용자를 식별할 필요가 없는 경우에 한해서다. 조건이 붙어 있지만, 요구인 것은 분명하다.

2024년 6월, 위원회는 암호학자들을 불러 당시 설계안을 놓고 피드백을 요청했다. 돌아온 답은 이랬다. 현재 설계는 규정이 명시한 프라이버시 요건에 미달한다. 애초에 그런 요건을 위해 설계되지 않은 암호 방식에 의존하고 있기 때문이다. 결론은 대규모 재설계가 필요하다는 것이었고, 권고는 20년 넘게 학계에 알려진 익명 자격증명 기술(BBS 계열)이었다.

2년이 지났다. 올해 4월 15일, 위원회는 연령 확인 앱이 기술적으로 준비되었다고 발표했다. 같은 시기의 기술 문서에는 이렇게 적혀 있다.

영지식 증명 지원은 예정(upcoming).

여기서 의도를 추정하고 싶은 유혹이 생긴다. 누가 막았는가, 왜 막았는가.

그럴 필요가 없다. 구조만 보면 된다.

• 익명성을 보장받아야 하는 쪽은 시민이다.
• 그 익명성을 실제로 구현해야 하는 쪽은, 2027년부터 지갑 수용 의무를 지게 되는 은행·통신사·의료기관·대형 온라인 플랫폼이다.

이해가 정렬되어 있지 않다.

기술적으로도 문제가 있다. 특정하지 않는 집계 — 예를 들어 연령대별 분석 — 은 직관적으로 안전해 보이지만, 충분히 세분화되면 그 자체가 특정이 된다. 집계 데이터에서 개인을 재식별하는 것은 오래된 연구 주제이고, 결론은 대체로 같은 방향을 가리킨다. 익명성은 데이터를 지우는 것만으로 얻어지지 않는다.

왜 이렇게 모르는가 — 두 가지 읽기

앞에서 인용한 숫자로 돌아가 보자. 프랑스와 독일 응답자의 절반이 EUDI 지갑을 들어본 적이 없다.

이 사실은 두 가지로 읽힌다.

하나. 설명이 닿지 않았다. 자료가 없었다는 뜻이 아니라, 있어도 사람들에게 도달하지 못했다는 뜻이다.

둘. 설명은 어딘가에 있었지만, 그것을 들여다볼 여유가 없었다.

고르기 전에, 같은 조사의 다른 숫자를 하나 더 놓아야 공정하다. 지갑이 이름과 생년월일과 주소를 넘기지 않고도 나이만 확인해줄 수 있다는 설명을 들은 뒤, 응답자의 63%가 쓸 의향이 더 생겼다고 답했다.

사람들이 관심이 없는 것이 아니다. 설명을 들으면 쓰겠다고 한다. 이 숫자는 첫 번째 읽기 쪽으로 무게를 옮긴다.

다만 설문에서 설명을 듣는 것과, 하루를 살면서 그것을 찾아 읽을 여유가 있는 것은 다른 문제다. 그래서 여전히 고르지 않는다. 다만 두 번째 읽기를 택하면, 앞에서 설명되지 않은 채 남겨둔 것이 설명된다.

itsme는 설명으로 이기지 않았다. 은행에 붙어 있어서 이겼다.

은행은 안 갈 수 없다. 세금 신고도 안 할 수 없다. 여유가 없는 사람은 설명을 읽지 않고 이미 손에 있는 것을 쓴다. 그러니 민간이 이긴 이유는 더 나은 기술도, 더 나은 홍보도 아니다. 사람들의 삶이 빠듯하다는 사실 그 자체다.

사람들이 제도를 들여다볼 여유가 없다는 것은 관찰할 수 있다. 누가 그 상태를 만들었는지는 관찰할 수 없다. 그래서 여기까지만 적는다.

다만 하나가 더 붙는다. 참여는 선택이 아니다.

2027년부터 은행과 통신사와 의료기관과 대형 온라인 플랫폼은 이 지갑을 받아들여야 한다. 받아들인다는 것은 곧 그것으로 들어오라는 뜻이다. 지갑을 갖지 않은 사람은 조금 불편해지는 것이 아니라 밖에 남는다.

참여하지 않으면 도태된다. 여기서 도태는 누가 뒤처져도 싸다는 뜻이 아니라, 문이 하나로 좁혀진다는 구조적 사실을 말한다.

그리고 그것이 사실이라면, 절반이 모른다는 것은 중립적인 상태가 아니다. 참여가 의무가 되는 문 앞에서 모르게 두는 것은, 설명하지 않은 것이 아니라 남겨둔 것에 가까워진다.

그래서 몰랐다는 말은 변명이 되지 않는다. 정말 몰랐어도 그렇다. 다만 그 변명이 향하는 곳은, 문을 모르고 서 있는 사람이 아니라 문을 만들면서 알리지 않은 쪽이다.

[필자의 위치] 이 대목에서 나는 답답함을 느낀다. 다만 단순한 답답함은 아니다.

이 구조는 지긋지긋할 만큼 완벽하고, 거품이 끼어 있고, 동시에 그것 때문에 지켜지는 삶이 있다. 은행 넷과 통신사 셋이 한 나라 성인 대부분의 신분 확인을 쥐고 있다는 것은 과점이다. 그리고 그 과점은 무료이고, 안전하고, 사람들의 하루를 실제로 편하게 만든다. 둘 다 사실이라서 간단히 반대할 수가 없다.

결론이 아니라 내가 서 있는 자리를 밝혀두는 것이다. 판단은 여전히 읽는 사람에게 있다.

제도는 이미 한 번 왔었다

여기서 시간 순서를 하나 더 놓아보자.

itsme는 GDPR이 채택된 뒤, 적용되기 전에 설계되고 태어났다. 유럽의 모든 기업이 GDPR에 맞춰 시스템을 다시 그리던 바로 그 창이다.

그리고 itsme가 스스로 밝히는 구조를 보면 — 필요 이상의 개인정보를 수집하지 않고, 광고 목적으로 행동을 추적하지 않으며, 파트너마다 분리된 키를 쓴다 — 그것은 GDPR이 요구한 데이터 최소화의 형태다.

인과를 단정하지는 않겠다. “GDPR 때문에 그렇게 만들었다”는 확인된 바 없다. 다만 시간 순서와 설계의 형태가 겹친다는 것은 사실이다. 배치만 해두고 판단은 남긴다.

그 미래가 오려면, 지금 무엇이 있어야 하나

빅테크와 금융과 국가가 한 바구니에 있어야 한다.

지금은 아니다. 각자 다른 배에 타고 있고, 서로의 실패가 자기 이익이 되는 구간이 있다.

그런데 여기서, 이 글을 시작할 때는 예상하지 못했던 것이 나온다.

2027년 수용 의무 조항이, 정확히 그 바구니를 만드는 조항이다.

은행·통신·의료·대형 플랫폼에게 지갑을 받아들이도록 강제하는 것. 그것은 이해관계자를 한 배에 태우는 절차다. 규제는 순서를 알고 있었다.

다만 그 순서의 첫 단계를, 민간이 이미 10년 전에 끝내버렸다.

예상되는 반론

“인증 지갑이 0개인 건 그냥 행정 지연이다. 확대 해석 아닌가.” 가장 강한 반론이다. 그리고 지연 자체는 이 글의 논지가 아니다. 논지는 지연되는 동안에도 존재 증명은 하루도 멈추지 않았다는 것이다. 제도가 도착하기 전에 이미 작동하는 체계가 있고, 제도는 그것을 만들러 오는 게 아니라 문서화하러 오는 중이다.

“그럼 대안은 뭔가.” 한 가지 방향은 이런 것이다. 신분을 저장하는 대신 맥락을 저장하고, 그 맥락 자체를 현재의 신분으로 삼고, 맥락은 미래의 행동에 따라 변할 수 있게 하는 것. 존재만 확인되면 지금 실재하는 사람의 정보는 쓰이지 않는다.

다만 이 방향에는 대가가 있고, 감출 이유가 없으니 같이 적는다. 맥락을 저장한다는 것은 맥락 데이터베이스가 생긴다는 뜻이다. 신분은 고정된 몇 개의 속성이지만 맥락은 행동의 누적이다. 더 민감할 수 있다. 그리고 맥락이 미래의 행동에 따라 변한다면, 누가 그 변화를 판정하는가. 판정자가 생기는 순간 그것이 새로운 권력이다. 신분 발급 권한을 없애려다 행동 평가 권한을 만드는 구조가 될 수 있다.

이건 해결된 문제가 아니다. 해결된 척하지 않는 편이 낫다.

그렇다면 12월의 마감은, 무엇의 시작인가

새로운 신분 증명 시대의 시작은 아니다. 그 시대는 벨기에에서 이미 시작됐고, 노르웨이와 스웨덴과 덴마크에서도 비슷한 시기에 시작됐다.

그렇다고 제도가 뒤늦게 따라오는 것도 아니다. 그렇게 읽으면 규제는 쓸모없고 민간이 다 한다가 되는데, 앞의 시간표가 그 독해를 막는다.

제도는 늦은 것이 아니라 두 번 온다.

한 번은 형태를 정하러 왔다. 2016년, GDPR. 그 틀 안에서 은행과 통신사가 지었다. 그리고 이제 두 번째로, 그 지어진 것을 추인하러 온다. 2026년 12월, eIDAS 2.0.

민간이 제도를 앞질렀다기보다 제도가 정한 틀 안에서 민간이 먼저 지었다고 하는 편이 정확하다.

다만 두 번째 방문에는 조건이 하나 붙어 있다. 법은 익명을 요구했고, 설계는 아직 그것을 내놓지 못했다. 그리고 그 사실을, 시민 절반은 모른다.

벨기에인 800만 명이 매일 자기 존재를 증명하는 그 앱은, 그들이 누구인지 이미 알고 있다. 12월에 도착하는 제도는 그것을 바꾸러 오는가, 아니면 추인하러 오는가.

판단은 남겨둔다.