[논문 리뷰] Self-Sovereign Identity and eIDAS 2.0: An Analysis of Control, Privacy, and Legal Implications

Nacereddine Sitouah, Marco Esposito외 1명|arXiv (Cornell University)|2026. 01. 27.

Privacy, Security, and Data Protection인용 수 1

한 줄 요약

본 논문은 Self-Sovereign Identity(SSI) 원칙이 EU의 eIDAS 2.0 Architecture Reference Framework(ARF)와 어떻게 정합되는지 분석하고, 호환성 격차를 식별하며, European Digital Identity 생태계 내 SSI 준수를 개선하기 위한 실용적 조정을 제안합니다.

ABSTRACT

European digital identity initiatives are grounded in regulatory frameworks designed to ensure interoperability and robust, harmonized security standards. The evolution of these frameworks culminates in eIDAS 2.0, whose origins trace back to the Electronic Signatures Directive 1999/93/EC, the first EU-wide legal foundation for the use of electronic signatures in cross-border electronic transactions. As technological capabilities advanced, the initial eIDAS 1.0 framework was increasingly criticized for its limitations and lack of comprehensiveness. Emerging decentralized approaches further exposed these shortcomings and introduced the possibility of integrating innovative identity paradigms, such as Self-Sovereign Identity (SSI) models. In this article, we analyse key provisions of the eIDAS 2.0 Regulation and its accompanying recitals, drawing on existing literature to identify legislative gaps and implementation challenges. Furthermore, we examine the European Digital Identity Architecture and Reference Framework (ARF), assessing its proposed guidelines and evaluating the extent to which its emerging implementations align with SSI principles.

연구 동기 및 목표

• SSI 속성을 eIDAS 2.0에 맞춘 평가 프레임워크로 통합한다.
• ARF와 GDPR에 대한 체계적 SSI 준수 평가 기준을 개발한다.
• eIDAS 2.0에서 중앙집중형 대 분산형 신원 기술의 속성별 비교를 수행한다.
• 평가 프레임워크를 eIDAS 2.0 및 그 ARF에 적용하여 긴장과 격차를 식별한다.
• 유럽 디지털 신원 생태계에서 SSI-aligned 구현을 강화하기 위한 기술적 및 규제적 권고를 제시한다.

제안 방법

• 여러 출처의 SSI 속성 프레임워크를 하나의 평가 기준 세트로 합성한다.
• SSI 속성과 eIDAS 2.0 ARF 요건 간의 규범적·분석적 비교 분석을 수행한다.
• 속성별 준수 접근법을 사용하여 정합성 및 격차를 체계적으로 평가한다.
• 실제 SSI 생애주기 시나리오에 적용하여 제어, 프라이버시 및 거버넌스 고려사항을 설명한다.
• GDPR 및 ARF와의 호환성을 개선하기 위한 표적 기술적 및 규제적 조정을 제안한다.

Figure 1: Identity, Security and Privacy trifecta for an IDMS.

실험 결과

연구 질문

• RQ1 RQ1: SSI 원칙은 eIDAS 2.0 Architecture Reference Framework와 어느 정도까지 호환되는가?
• RQ2 RQ2: GDPR 및 ARF 요건과의 정합성을 개선하면서 SSI 원칙을 유지하기 위해 어떤 기술적 또는 규제적 수정이 가능할까?
• RQ3 RQ3: 분산 원장 기술과 기존 규정 간의 불일치에서 특히 어떤 도전이 발생하는가?

주요 결과

• eIDAS 2.0 ARF 및 EUDIW 조항은 신뢰할 수 있는 공급자 및 PID와 같은 중앙집중식 신뢰 요소를 도입하여 진정한 SSI 주권성과 사용자 통제에 제약을 가할 수 있다.
• 고유한 정부 발급 PID에 대한 법적 요구와 지정된 EUDIW 엔드포인트에의 의존은 자율적이고 분산화된 신원 표현에 도전을 제시한다.
• SSI 속성인 존재, 표현, 자가 주권적 통제 등이 현재 ARF/규정에서 충분히 지원되지 않는 격차가 있어 주권 및 프라이버시 우려를 제기한다.
• 프라이버시 강화 기술(PETs)은 문헌에서 논의되지만 실제 구현 시 eIDAS 2.0 프라이버시 요건을 충족하지 못할 수 있어 규제 정렬이 필요하다는 신호를 보인다.
• 연구는 익명/가명 식별자 허용, 지갑 하드웨어에서 자동 생성 DID 활성화, PID 유효성을 모든 지갑 서비스로부터 분리하여 디지털 표현과 사용자 통제를 보존하는 구체적 권고를 제시한다.
• 분산형 거버넌스에서의 EUDIW의 과도한 중앙집중화 위험을 강조하며 투명성, 상호 운용성, 사용자 권한 부여를 유지하는 설계 선택을 권고한다.

Figure 2: eIDAS 2.0 Time Line Summary Until Adoption