개인정보와 익명화 — 이름을 지워도 사람은 남는다

이름이 없는 위치 기록

휴대전화는 전화·문자·인터넷을 쓰는 동안 근처 기지국에 접속하고, 통신망 쪽에는 그 접속 기록이 남을 수 있습니다. 그 기록에는 몇 시에 어느 기지국 근처에 있었는지가 담깁니다. 그 기록에 이름 대신 번호만 붙어 있다면, 누구의 기록인지는 모를 것 같습니다.

150만 명의 15개월 치 이동 기록을 들여다보니 사정이 달랐습니다. 위치가 한 시간 단위로, 기지국 하나가 덮는 범위 정도로 적힌 자료에서, 시각과 장소 네 점만 알면 그 네 점에 맞는 사람이 단 한 명뿐인 경우가 95%였습니다 (DOI: 10.1038/srep01376). 누군가 내가 어느 날 몇 시에 어디 있었는지를 네 번만 알면, 이름 없는 기록 더미에서 내 기록을 골라낼 수 있다는 뜻입니다.

기록을 거칠게 뭉개도 사정은 크게 나아지지 않았습니다. 시각과 장소를 넓게 잡을수록 한 사람으로 가려지는 비율은 줄었지만 아주 느리게 줄었습니다. 연구진은 거친 자료도 사람을 숨겨 주는 힘이 적다고 결론지었습니다 (DOI: 10.1038/srep01376).

이 글은 세 물음을 따라갑니다. 이름을 지운 기록이 어떻게 다시 사람을 가리키는가. 그것을 막으려고 어떤 방법들이 나왔는가. 그 방법들은 무엇을 대가로 치르는가.

도둑이 없어도 정보는 흐릅니다

보안이 지키는 성질 가운데 하나는 기밀성, 곧 허락받은 사람만 그 정보를 볼 수 있게 하는 성질입니다(이 시리즈의 다른 편 「보안」). 문을 잠가 허락 없는 사람을 막는 일입니다. 앞의 위치 기록 이야기에는 문을 부수고 들어온 사람이 나오지 않습니다. 기록은 이미 문 안에 있었고, 물음은 그 기록이 어디까지 흘러가 누구에게 이어지느냐였습니다.

프라이버시는 나에 관한 정보가 누구에게 어디까지 알려지고 어떻게 쓰이는지를 내가 어느 정도 정할 수 있는 상태입니다. 문단속이 보안의 일이라면, 문 안에 들인 정보가 어디까지 가는지가 프라이버시의 일입니다. 사람들은 시장에서 자기에 관한 정보를 다스릴 권리와 힘이 침해된다고 걱정합니다. 그러면서도 그 정보를 선뜻 내주는 것처럼 보입니다 (DOI: 10.1111/j.1745-6606.2006.00070.x). 정보는 도둑이 훔쳐 갈 때만이 아니라, 우리가 스스로 내줄 때도 흘러갑니다.

개인정보는 그것만으로, 또는 다른 정보와 합쳐서 특정한 사람을 알아볼 수 있게 하는 정보입니다. 유럽연합의 개인정보 보호 규정(GDPR)도 이미 알아본 사람이나 알아볼 수 있는 사람에 관한 정보를 개인정보로 가르고, 이 경계로 그 규정이 적용되는지를 정합니다 (DOI: 10.1093/idpl/ipac013). 이름이 붙어 있지 않아도 알아볼 수 있으면 개인정보라는 뜻입니다.

정보가 흘러가는 길은 평소에도 열려 있습니다. 온라인 소셜 네트워크 운영자들은 사용자와 그 관계에 관한, 민감할 수 있는 정보를 광고주·앱 개발자·데이터 분석 연구자와 점점 더 많이 나누고 있습니다. 그때 프라이버시는 대개 이름과 주소 같은 것을 지우는 방식으로 지킵니다 (DOI: 10.1109/sp.2009.22, 2009년). 그러면 무엇을 지워야 충분한가가 물음으로 남습니다.

이름을 지워도 남는 것

자료를 내보내는 쪽은 흔히 이름·주소·전화번호를 지우거나 암호로 바꿔 둡니다. 식별자는 이름·주소·전화번호처럼 그것 하나만으로 누구인지를 가리키는 정보입니다. 식별자를 없애도 익명은 보장되지 않습니다. 남은 항목 가운데 인종·생년월일·성별·우편번호 같은 것이 공개된 다른 정보와 이어져, 그 사람을 다시 찾아내고 내보낼 생각이 없던 정보까지 짐작하게 합니다 (DOI: 10.1109/69.971193).

준식별자는 생년월일·성별·사는 동네처럼 하나만으로는 누구인지 모르지만 몇 개가 모이면 한 사람을 가리킬 수 있는 정보입니다. 우편번호와 생년월일이 대표적인 예로 꼽힙니다 (DOI: 10.1145/1401890.1401904). 문패를 떼어도 집은 찾을 수 있습니다. 어느 골목인지, 몇 번째 집인지, 대문이 무슨 색인지를 알면 됩니다. 하나하나는 흔한 정보인데, 셋이 겹치는 집은 하나뿐입니다.

조각이 늘면 얼마나 좁혀질까요. 이름을 뺀 자료에서 특정한 사람이 맞게 다시 찾아질 가능성을 모형으로 계산하면, 누군가 그 사람의 인구통계 항목 15개를 안다고 할 때 미국인의 99.98%가 어떤 자료에서든 맞게 다시 찾아질 것으로 추정됩니다 (DOI: 10.1038/s41467-019-10933-3). 이 수치는 모형의 추정치이고, 실제 공격에서 나온 값은 아닙니다. 저자들은 표본을 크게 덜어 낸 자료조차 GDPR이 세운 익명 기준을 채우기 어렵다고 봅니다.

인구통계만 그런 것도 아닙니다. 한 도시 이동통신망의 앱 사용 기록 137만 명분에서, 앱을 10개 넘게 깐 사람의 88%는 그중 아무 앱 4개만으로 한 사람으로 가려졌습니다 (DOI: 10.1145/3264948). 어떤 앱을 깔았는지가 이미 사람마다 거의 다릅니다.

이름을 지우는 방식에도 갈래가 있습니다. 가명처리는 이름 같은 식별자를 다른 값으로 바꿔, 따로 떼어 둔 추가 정보 없이는 누구인지 알아볼 수 없게 하는 처리입니다. 그 추가 정보를 가진 쪽은 기록을 다시 사람에게 이을 수 있습니다. 익명처리는 기록이 누구의 것인지를 다시는 알아낼 수 없는 상태로 만드는 것을 목표로 하는 처리입니다. 가명처리한 기록에서 사람은 가려져 있을 뿐, 지워지지 않았습니다.

식별자를 바꿔 넣은 값도 단서가 됩니다. 여러 자료에 흩어진 같은 사람의 기록을 신원을 감춘 채 짝짓는 기법은, 이름 같은 정보를 다른 값으로 바꿔 놓고 그 값끼리 맞춰 봅니다. 그 바꾼 값이 여러 환자 기록에 되풀이되어 나타나는 모양과, 함께 그대로 넘긴 우편번호 앞 세 자리 같은 인구 정보를 엮으면 바꾼 값들을 서로 구별할 수 있었습니다. 이를 유권자 명부처럼 이름이 붙은 자료와 맞대면 실제 사람에게 이을 수 있었습니다 (PMID 41105504). 위험은 자료가 클수록, 한 사람에게 붙는 바꾼 값이 많을수록, 함께 넘긴 인구 정보가 많을수록 커졌습니다. 흔히 쓰이는 방식에서 이 위험은 100만 명 미만 자료에서는 1% 미만이었고, 2억 5천만 명 규모에서는 10~20%였습니다. 저자들은 이런 위험이 널리 쓰이는 여러 구현에 흔하고 자료가 커지는 요즘 크게 늘어난다고 보면서도, 피할 수 있다고 적었습니다. 더 나은 값을 고르거나, 인구 정보를 넘기지 않고 제3자가 짝을 맞추게 하면 이 위험이 사실상 사라진다는 것입니다 (PMID 41105504).

이름을 지운 기록도, 남은 조각들이 겹치는 자리에서 다시 한 사람을 가리킬 수 있습니다.

다른 자료와 맞대면

이름을 지우고 관계망만 남긴 소셜 네트워크도 사람을 드러냈습니다. 사진 공유 사이트의 관계망을 맞댈 자료로 쓰자, 누가 누구와 이어져 있는지의 모양만으로, 한 마이크로블로그와 한 사진 공유 사이트에 모두 계정이 있다고 확인된 사용자의 3분의 1이 이름을 지운 마이크로블로그 관계망에서 다시 찾아졌고, 오류율은 12%였습니다 (DOI: 10.1109/sp.2009.22). 누가 누구와 이어졌는지는 메타데이터, 곧 내용 자체가 아니라 누가 누구와 언제 주고받았는지 같은 내용 둘레의 정보입니다(이 시리즈의 다른 편 「암호화」). 메타데이터만으로도 사람이 다시 찾아질 수 있다는 예입니다.

재식별은 누구의 것인지 지운 기록을 다시 특정한 사람에게 이어 붙이는 일입니다. 그 길은 대개 맞대기입니다. 연결 공격은 이름을 지운 자료와 이름이 붙은 다른 자료를 둘 다에 있는 항목으로 맞대어 기록의 주인을 찾아내는 방법입니다. 앞 절의 생년월일·성별·우편번호가 바로 그 맞댈 항목입니다 (DOI: 10.1109/69.971193). 공격자가 실제로 구할 만한 맞댈 자료의 예로는 유권자 명부와 소셜 미디어 게시물이 꼽힙니다 (PMID 33448306).

재식별이 얼마나 자주 성공하는지는 자료와 조건에 따라 크게 갈립니다. 흩어진 연구를 정해진 절차로 모아 다시 따지는 체계적 문헌고찰로 2011년까지 알려진 재식별 공격 14건을 살펴보니, 평균적으로 기록의 약 4분의 1이 다시 찾아졌고 추정치의 불확실성은 컸습니다 (DOI: 10.1371/journal.pone.0028071). 그런데 이 근거의 대부분은 작은 규모의 연구였고, 기존 기준대로 신원을 지우지 않은 자료를 공격한 것이었습니다. 기준대로 처리한 자료를 공격한 경우는 14건 가운데 2건뿐이었고, 그중 건강 자료를 겨눈 1건의 성공률은 0.00013이었습니다. 저자들은 알려진 근거가 높은 재식별률을 보이지만, 대부분 작은 연구와 기준대로 처리하지 않은 자료라서 신원 지우기 방법의 효과에는 결론을 내릴 수 없다고 적었습니다 (DOI: 10.1371/journal.pone.0028071, 2011년).

공격자가 무엇을 쥐었느냐도 위험을 바꿉니다. 미국 한 대학병원의 환자 100만 명 넘는 자료로 따져 보니, 공격자가 모든 항목을 안다고 가정한 최악의 경우 재식별 위험의 중앙값, 곧 줄 세웠을 때 가운데 값은 0.987이었습니다(1이 가장 위험) (PMID 33448306). 공격자가 실제로 유권자 명부를 쓴다고 가정하면 위험은 중앙값으로 90.1% 줄었고, 소셜 미디어 게시물을 쓴다고 가정하면 중앙값으로 100% 줄었습니다. 절반 넘는 사람의 위험이 사라졌다는 뜻이고, 모두의 위험이 0이 됐다는 뜻은 아닙니다. 저자들은 재식별 위험이 상황에 따라 달라지며, 위험을 알맞게 따지면 자료를 지금보다 넓게 나눌 수도 있다고 결론짓습니다.

익명처리는 재식별 위험을 0으로 만들지 못하지만, 제대로 하면 프라이버시를 지키는 데 도움이 됩니다 (DOI: 10.3233/978-1-61499-858-7-80). 재식별 위험은 0도 아니고 확실한 것도 아니며, 어떤 자료를 누가 무엇과 맞대느냐에 따라 달라집니다.

사이트를 옮겨 다녀도 따라오는 것

웹사이트에 처음 들어가면 무언가를 저장해도 되느냐고 묻는 창이 뜨곤 합니다. 쿠키는 웹사이트가 내 브라우저에 남겨 두었다가, 다음에 같은 브라우저가 왔을 때 알아보는 데 쓰는 작은 기록입니다. 그 창이 묻는 것이 이 기록을 남겨도 되느냐입니다. 쿠키를 남기는 것은 내가 들어간 그 사이트만이 아닙니다. 인기 웹사이트 100만 곳을 살펴보니, 열 곳 가운데 여섯 곳 넘게 다른 회사의 쿠키를 심었고, 열 곳 가운데 아홉 곳 가까이가 사용자가 모를 법한 곳으로 사용자 데이터를 흘려보냈습니다 (DOI: 10.48550/arxiv.1511.00619, 공개 서버 판본, 2015년 측정).

추적은 내가 여러 사이트를 오가며 남긴 흔적을 같은 한 사람의 것으로 이어 모으는 일입니다. 두 웹페이지에 같은 추적 업체가 들어 있고 그 업체가 내 브라우저에 고유한 쿠키를 붙여 두면, 두 페이지의 방문이 같은 브라우저에서 왔다고 이을 수 있습니다. 내 인터넷 주소가 바뀌어도 그렇습니다 (DOI: 10.1145/2736277.2741679). 2015년 무렵 암호화되지 않은 채 오가던 통신을 엿듣는 쪽이 이 쿠키를 이용하면, 모의 실험에서 전형적인 사용자의 방문 기록 62~73%를 다시 짜 맞출 수 있었습니다 (DOI: 10.1145/2736277.2741679). 통신이 암호화되면 엿듣는 쪽은 쿠키를 읽을 수 없습니다.

규정이 바꾼 것도 있습니다. 유럽연합의 개인정보 보호 규정이 2018년 5월에 시행된 뒤, 유럽 웹사이트의 62.1%가 쿠키 동의 안내를 띄우게 됐습니다 (DOI: 10.14722/ndss.2019.23378). 저자들은 웹이 더 투명해졌지만, 사용자가 개인정보 처리에 동의하거나 거부할 수 있는, 제대로 작동하고 쓰기 쉬운 장치는 여전히 모자라다고 결론짓습니다. 방문자가 많은 웹사이트 2,000곳을 살핀 다른 연구는 규정이 유럽 밖 사이트의 행동까지 바꿨고 제3자 거부 서비스가 추적을 줄였다고 봅니다. 그러면서도 추적은 여전히 어디에나 있었습니다. 90% 넘는 사이트를 방문할 때 사용자를 알아볼 수 있는 쿠키가 발견됐고, 사용자를 오도하는 안내를 띄우는 사이트도 많았습니다 (DOI: 10.1145/3321705.3329806). 동의 창에서 사용자가 고른 것을 웹사이트가 늘 지키지는 않는다는 연구도 앞서 나와 있습니다 (DOI: 10.1145/3442381.3450056).

쿠키 대신 브라우저 자체의 특징으로 같은 사용자를 알아보는 방식을 쓰는 웹사이트도 늘어 왔습니다(2015년 기준). 이 방식을 막는 기법을 제안한 한 연구는, 진짜 문제가 그 특징이 하나뿐이라는 점보다 여러 번의 방문을 같은 것으로 이을 수 있다는 점이라고 보고, 특징을 매번 조금씩 바꿔 잇기를 끊는 방법을 냈습니다 (DOI: 10.1145/2736277.2741090). 쿠키든 브라우저의 특징이든, 추적은 흩어진 방문을 하나로 잇는 일입니다.

같은 모양의 집 k채

막는 방법의 첫째는 자료를 내보내기 전에 준식별자를 흐리게 하는 것입니다. k-익명성은 공개한 자료에서 어느 한 사람의 기록도 준식별자로는 적어도 다른 k-1명의 기록과 구별되지 않게 하는 기준입니다. 병원이나 은행이 사람별 자료를 연구자에게 내주면서, 그 주인이 다시 찾아지지 않으면서도 쓸모 있게 하려고 나온 기준입니다 (DOI: 10.1142/s0218488502001648). k가 5라면 누구의 기록이든 같은 모양의 기록 다섯 개 이상 가운데 하나로 숨습니다. 같은 모양의 집이 적어도 다섯 채 늘어선 골목에서는 문패 없이 어느 집인지 고를 수 없습니다. 이렇게 맞추는 방법은 값을 덜 구체적인 값으로 바꾸거나, 아예 내보내지 않는 것입니다 (DOI: 10.1142/s021848850200165x). 나이를 「30대」로 적는 식입니다.

이 기준에는 빈틈이 있습니다. 숨은 다섯 명이 모두 같은 병을 앓으면, 누가 누구인지 몰라도 그 병은 드러납니다. 공격자가 배경지식을 쥐고 있을 때도 k-익명성은 프라이버시를 보장하지 못합니다 (DOI: 10.1145/1217299.1217302). 반대로 지나치게 흐릴 수도 있습니다. 큰 자료 세 개로 모의 실험을 해 보니, 한 재식별 상황에서 k-익명성은 자료를 꾸준히 필요 이상으로 흐렸고, 그만큼 왜곡된 자료는 뒤따르는 분석에 덜 쓸모 있었습니다 (DOI: 10.1197/jamia.m2716). 저자들은 위험은 잘 누르면서 정보 손실을 줄이는 다른 방식을 함께 제안합니다.

결과에 일부러 섞는 잡음

개인 기록 대신 「이 병을 앓는 사람이 몇 명인가」 같은 합계만 내보내도, 서로 겹치는 합계를 많이, 정확하게 내보내면 정보는 샙니다. 합계들로 자료에 든 모든 사람의 민감한 특징을 대략 되짚어 내는 공격이 있고, 어떤 사람의 자료가 그 안에 들어 있는지를 가려내는 공격도 있습니다 (DOI: 10.1146/annurev-statistics-060116-054123). 그래서 합계를 내보내는 기관도 같은 문제를 안습니다.

미국 인구조사국은 내부 연구로 2000년과 2010년 인구조사에 쓴 공개 보호 장치에 심각한 약점이 있음을 확인했습니다. 「데이터베이스 재구성 정리」라는 수학 결과가 드러낸 약점이었습니다 (DOI: 10.1145/3219819.3226070, 인구조사국 측의 1쪽 발표 초록). 이 정리는 잡음이 너무 작은 답을 너무 많이 내면 자료의 거의 전부를 되짚을 수 있음을 보인 2003년의 결과로, 앞 문단의 되짚기 공격과 같은 이야기입니다. 바깥 자료와 계산 능력이 통계 기관의 것을 훨씬 넘어선 지금, 기존 보호 방법은 너무 깨지기 쉽다고 보고, 2020년 인구조사에는 새 틀을 들였습니다 (DOI: 10.1146/annurev-statistics-010422-034226).

차분 프라이버시는 결과에 일부러 잡음을 섞어, 어느 한 사람의 자료가 들어 있든 빠져 있든 내보낸 결과가 거의 달라지지 않게 만드는 방식입니다. 인구조사에서는 집계한 표에 잡음을 더하는 식으로 씁니다 (DOI: 10.1126/sciadv.abk3283). 한 사람이 있든 없든 결과가 거의 같다면, 그 사람이 자료에 들어갔다는 이유로 결과에서 더 드러나는 것은 거의 없습니다. 다만 결과가 보여 주는 집단의 경향으로 그 사람을 짐작하는 일은, 그 사람이 자료에 빠져 있어도 똑같이 되므로 막지 못합니다. 잡음을 섞은 자료에서는 전체의 모양은 읽히지만 한 사람의 자료를 뽑아내기는 어렵습니다 (PMID 34909703). 차분 프라이버시는 이런 보호를 수학적으로 엄밀하게 정의한 것입니다. 이 분야를 소개하는 한 단행본이 다루는 방법은 거의 모두, 계산 능력이 아무리 큰 공격자 앞에서도 이 성질을 지킵니다. 그래도 근본적인 한계는 남고, 그 한계는 차분 프라이버시뿐 아니라 프라이버시가 완전히 무너지는 것을 막으려는 어떤 방법에도 걸립니다 (DOI: 10.1561/0400000042).

잡음은 모으는 단계에서 섞을 수도 있습니다. 사용자 기기의 소프트웨어가 보고를 보내기 전에 답을 무작위로 섞으면, 개발자들의 표현으로 숲은 들여다보되 나무 한 그루씩은 볼 수 없게 통계를 모을 수 있습니다 (DOI: 10.1145/2660267.2660348).

쓸모와 보호의 맞바꿈

인구수에 잡음을 섞으면, 그 인구수를 분모로 쓰는 사망률도 함께 흔들립니다. 2020년 미국 인구조사의 인구수가 그렇게 잡음을 품게 됐고, 실제 코로나19 사망 곡선으로 따져 보니, 잡음 섞인 인구수를 분모로 쓰면 사망률이 크게 왜곡되고 때로는 100%를 넘을 것으로 나왔습니다 (DOI: 10.1177/2378023121994014). 왜곡은 1,000명 미만 집단에서 특히 컸고, 그런 집단이 카운티 단위 나이·성별 묶음의 40%, 인종 묶음의 60%였습니다. 저자들은 인구조사국이 보호를 덜 세게 잡는 쪽을, 자료 이용자는 자료를 묶어 쓰는 쪽을 고려해야 한다고 적었습니다.

선거구를 다시 긋는 쓰임에서도 문제가 드러났습니다. 연구 당시(2021년) 인구조사국의 시험판 체계는 인종이 섞인 지역과 지지 정당이 섞인 지역의 인구를 체계적으로 적게 세어, 예측하기 어려운 치우침을 낳았습니다. 한편 공개된 통계로 개인의 인종을 정확히 짐작하는 일은 막지 못했습니다 (DOI: 10.1126/sciadv.abk3283). 앞에서 본 대로, 동네 통계로 개인을 짐작하는 일은 그 사람이 자료에 빠져 있어도 되는 것이라 차분 프라이버시가 막겠다고 약속한 일이 아닙니다. 저자들은 정확성과 응답자 프라이버시 사이의 균형을 잡기가 어렵다고 적었습니다.

다른 쓰임에서는 결과가 달랐습니다. 인구조사국이 미리 내놓은 시연 자료 세 가지로 매사추세츠와 조지아의 동네 단위 조기 사망 불평등을 따져 보니, 인종 집단과 경제적 박탈 수준에 따른 불평등의 전체적인 모양은 이 방식 때문에 무너지지 않았습니다. 매사추세츠에서 초기 판의 흑인 인구 사망률 오차가 비히스패닉 백인보다 컸던 문제도 새 판에서 줄었습니다 (PMID 37595037, PMID 2023년).

보호의 세기를 정하는 일 자체도 어렵습니다. 인구조사국이 차분 프라이버시를 실제로 들여오며 부딪힌 어려움에는 보호의 세기를 정하는 값을 고르는 일, 기밀 자료의 모든 쓰임을 헤아리는 일, 구현이 맞는지 확인할 도구와 사람이 모자란 일이 들어 있었습니다 (DOI: 10.1145/3267323.3268949).

자료를 흐리거나 잡음을 섞는 처리는 결과에 치우침이나 흔들림을 들여오고, 그래서 공개의 쓸모와 노출의 걱정 사이에서 저울질이 필요합니다 (DOI: 10.1146/annurev-statistics-033121-112921). 보호를 세게 할수록 쓸모는 줄고, 그 사이 어디에 설지는 고르는 일입니다.

처음부터 덜 모으기

건강 자료를 나누는 한 실무 지침은 권고의 출발점을 한 원칙에 둡니다. 데이터 최소화는 목적에 필요한 정보만, 필요한 만큼의 세밀함으로 모으고 남기는 원칙입니다. 모으지 않은 정보는 샐 수도 없습니다. 지침은 이 원칙에 따라, 쓸데없이 세밀한 값과, 다른 자료와 합쳐질 때 사람을 다시 가리킬 수 있는 항목을 피하라고 권합니다 (PMID 40986522). 방법으로는 숫자 반올림, 정확한 값 대신 범위 쓰기, 숫자에 작은 흔들림 더하기, 묶어서 합치기, 날짜 다루기, 민감한 항목과 신원 항목을 떼어 두기를 꼽습니다. 이 지침은 이런 처리에 모두가 받아들인 표준이 없다는 점도 함께 적습니다.

정보를 아예 내 기기 밖으로 보내지 않는 설계도 있습니다. 스마트폰 맞춤 광고 현장 실험에서, 사용자 정보를 회사 서버로 보내지 않고 휴대전화 안에만 두면서 맞춤 메시지를 준 앱은, 내 정보가 넘어가서는 안 될 선을 넘는다는 느낌을 줄였습니다. 그 앱에서만 사용자들이 메시지를 더 자주 저장했습니다 (DOI: 10.25300/misq/2013/37.4.07, 2013년).

세밀함을 낮추는 것만으로 모자란 자료도 있습니다. 첫 절의 위치 기록은 시각과 장소를 거칠게 뭉개도 한 사람으로 가려지는 비율이 아주 느리게 줄었습니다 (DOI: 10.1038/srep01376).

퇴근길 휴대전화 한 대

퇴근길 지하철에서 휴대전화 화면을 켭니다. 인터넷을 쓰는 그 몇 분 동안 세 가지 기록이 생길 수 있습니다. 통신망 쪽에는 몇 시에 어느 기지국에 접속했는지가 남을 수 있습니다. 통신망의 앱 사용 기록에는 이 전화가 어떤 앱들을 쓰는지가 남을 수 있습니다. 뉴스 사이트를 열면, 그 페이지에 추적 업체가 들어 있다면 그 업체가 브라우저에 쿠키를 붙일 수 있습니다.

세 기록 모두 이름이 없을 수 있습니다. 그래도 저마다 한 사람을 가려낼 단서가 됩니다. 누군가 내가 언제 어디 있었는지를 네 번 안다면, 한 시간 단위·기지국 범위로 적힌 위치 기록에서는 95%가 한 사람으로 가려졌습니다. 내가 깐 앱 4개를 안다면, 앱을 10개 넘게 깐 사람의 88%가 가려졌습니다. 같은 추적 업체의 쿠키는 서로 다른 사이트 방문을 한 브라우저로 잇습니다. 세 결과는 서로 다른 자료에서 따로 잰 것입니다.

이 기록을 연구용으로 내보낸다면 앞에서 본 도구를 하나씩 대 볼 수 있습니다. 위치를 거칠게 뭉개는 것은 이 종류의 자료에서 효과가 작았습니다. 사람별 기록 대신 「저녁 6시에 이 역 근처에 몇 명」 같은 합계만 내보낼 수도 있지만, 합계도 많이, 정확하게 내보내면 되짚는 공격이 있어 잡음을 섞게 됩니다. 건강 연구를 훑은 범위 검토는 작은 자료에서 정확도가 떨어지는 점을 문제로 꼽았고 (PMID 34333623), 인구조사에서는 1,000명 미만 집단의 사망률이 특히 크게 왜곡될 것으로 계산됐습니다 (DOI: 10.1177/2378023121994014). 아예 남기지 않은 기록은 샐 수 없습니다. 위치 기록을 처음부터 남기지 않으면 거기서 샐 것은 없지만, 그 기록으로 하려던 분석도 함께 사라집니다. 거칠게만 남기는 것은 이 종류의 자료에서 효과가 작았습니다.

남겨서 내보내는 기록이라면 어느 도구도 위험을 0으로 만들지 않고, 각 도구는 쓸모의 일부를 대가로 받습니다. 기준대로 신원을 지운 자료가 실제 공격에 얼마나 자주 뚫리는지는 2011년 문헌고찰이 결론을 내릴 수 없다고 적었고, 그 뒤 연구들은 위험이 어떤 자료를 누가 무엇과 맞대느냐에 따라 크게 달라진다는 쪽을 보였습니다.

어디를 더 볼까

암호가 내용을 가려도 메타데이터는 남는다는 이야기는 이 시리즈의 다른 편 「암호화」가 다룹니다. 이 글에서 본 관계망이 그 예입니다.

한 번 모인 기록이 오래 남는 문제는 잊혀질 권리 — 인터넷은 잊지 않는다가 다룹니다.

얼굴도 사람을 가리키는 단서입니다. 국가가 얼굴로 사람을 찾을 때의 문제는 얼굴인식과 감시 — 국가가 얼굴로 사람을 찾을 때, 법은 무엇을 정하지 못했나에 있습니다.

덜 내주면서 필요한 것만 확인시키는 또 다른 길은 영지식 증명 — 정보를 공개하지 않고 참임을 증명하는 법이 다룹니다.

근거 논문

• "Unique in the Crowd: The privacy bounds of human mobility" (2013) — DOI: 10.1038/srep01376 — 150만 명·15개월 이동 기록. 한 시간 단위·기지국 해상도에서 네 점으로 95%가 고유. 고유성은 해상도의 약 1/10 제곱으로만 줄어 거친 자료도 익명성이 적다.
• "The Privacy Paradox: Personal Information Disclosure Intentions versus Behaviors" (2007) — DOI: 10.1111/j.1745-6606.2006.00070.x — 소비자는 개인정보 통제 권리·능력의 침해를 걱정하면서도 개인정보를 선뜻 내주는 것으로 보인다. 공개 의도와 실제 행동의 관계를 탐구.
• "From knowing by name to targeting: the meaning of identification under the GDPR" (2022) — DOI: 10.1093/idpl/ipac013 — GDPR에서 식별은 개인정보(식별되었거나 식별 가능한 자연인에 관한 정보)와 비개인정보를 가르는 경계 개념. 표적화를 새 식별 유형으로 제안.
• "De-anonymizing Social Networks" (2009) — DOI: 10.1109/sp.2009.22 — 소셜 네트워크 운영자는 이름·주소를 지우는 익명화로 정보를 광고주 등과 공유. 연결 구조만으로 두 서비스 공통 사용자의 3분의 1을 오류율 12%로 재식별.
• "Protecting respondents identities in microdata release" (2001) — DOI: 10.1109/69.971193 — 이름·주소·전화번호를 지우거나 암호화해도 익명은 보장되지 않는다. 인종·생년월일·성별·우편번호가 공개 정보와 연결돼 재식별. k-익명성 정의.
• "The cost of privacy" (2008) — DOI: 10.1145/1401890.1401904 — 우편번호·생년월일 같은 준식별자의 일반화·삭제에 기대는 방법들을 프라이버시-쓸모 맞바꿈으로 평가.
• "Estimating the success of re-identifications in incomplete datasets using generative models" (2019) — DOI: 10.1038/s41467-019-10933-3 — 생성 모형 추정으로 인구통계 항목 15개면 미국인 99.98%가 재식별. 표본 추출한 익명 자료도 GDPR 익명 기준 충족 어려움.
• "Your Apps Give You Away" (2018) — DOI: 10.1145/3264948 — 한 도시 137만 명 앱 사용 기록. 앱 10개 넘게 깐 사용자의 88%가 무작위 앱 4개로 고유하게 재식별.
• "Re-identification risk for common privacy preserving patient matching strategies when shared with de-identified demographics." (2026) — PMID 41105504 — 부호화 값의 반복과 공개 인구 정보로 재식별. 100만 명 미만 1% 미만 → 2억 5천만 명 10~20%. 더 나은 토큰·제3자 매칭으로 피할 수 있다.
• "A Systematic Review of Re-Identification Attacks on Health Data" (2011) — DOI: 10.1371/journal.pone.0028071 — 공격 14건, 평균 약 4분의 1 재식별(불확실성 큼). 기준대로 처리한 자료 공격은 2건, 건강 자료 1건 성공률 0.00013. 근거는 소규모·기준 미적용 자료 위주라 효과 결론 불가.
• "Enabling realistic health data re-identification risk assessment through adversarial modeling." (2021) — PMID 33448306 — 100만 명 넘는 환자 자료. 최악 가정 위험 중앙값 0.987, 유권자 명부 가정 90.1%·소셜 게시물 가정 100% 감소. 위험은 상황 의존.
• "Effectiveness of Anonymization Methods in Preserving Patients' Privacy: A Systematic Literature Review" (2018) — DOI: 10.3233/978-1-61499-858-7-80 — 익명화는 재식별 위험을 0으로 못 줄이지만 제대로 하면 프라이버시 보존에 도움.
• "Exposing the Hidden Web: An Analysis of Third-Party HTTP Requests on 1 Million Websites" (2015, 공개 서버 판본) — DOI: 10.48550/arxiv.1511.00619 — 100만 웹사이트 중 약 9할이 사용자가 모를 곳으로 데이터를 흘리고, 6할 넘게 제3자 쿠키를 만든다.
• "Cookies That Give You Away" (2015) — DOI: 10.1145/2736277.2741679 — 같은 추적자의 고유 쿠키로 서로 다른 페이지 방문을 같은 브라우저로 연결(IP가 바뀌어도). 모의 실험에서 엿듣는 쪽이 방문 기록 62~73% 재구성.
• "We Value Your Privacy ... Now Take Some Cookies: Measuring the GDPR's Impact on Web Privacy" (2019) — DOI: 10.14722/ndss.2019.23378 — 유럽 웹사이트 62.1%가 쿠키 동의 안내. 웹은 더 투명해졌지만 쓸 만한 동의·거부 장치는 부족.
• "Can I Opt Out Yet?" (2019) — DOI: 10.1145/3321705.3329806 — 2,000개 사이트. GDPR이 전 세계적으로 행동을 바꾸고 제3자 거부 서비스가 추적을 줄였지만, 90% 넘는 사이트에서 식별 쿠키, 오도하는 안내도 많다.
• "PriVaricator" (2015) — DOI: 10.1145/2736277.2741090 — 브라우저 지문 수집이 제3자 쿠키의 대안으로 늘어남. 문제의 핵심은 고유성이 아니라 방문 간 연결 가능성.
• "k-ANONYMITY: A MODEL FOR PROTECTING PRIVACY" (2002) — DOI: 10.1142/s0218488502001648 — 병원·은행 같은 보유자가 재식별되지 않으면서 쓸모 있게 자료를 내는 모형. 각 사람이 적어도 k-1명과 구별되지 않게.
• "ACHIEVING k-ANONYMITY PRIVACY PROTECTION USING GENERALIZATION AND SUPPRESSION" (2002) — DOI: 10.1142/s021848850200165x — 일반화(덜 구체적인 값으로 바꾸기)와 삭제(내보내지 않기)로 k-익명성 달성.
• "L -diversity" (2007) — DOI: 10.1145/1217299.1217302 — 민감 속성의 다양성이 낮거나 공격자가 배경지식을 쥐면 k-익명 자료도 프라이버시를 보장하지 못한다.
• "Protecting Privacy Using k-Anonymity" (2008) — DOI: 10.1197/jamia.m2716 — 큰 자료 셋 모의 실험. 한 재식별 상황에서 k-익명성은 과잉 익명화로 정보 손실을 키운다. 가설검정 방식이 더 나음.
• "Exposed! A Survey of Attacks on Private Data" (2017) — DOI: 10.1146/annurev-statistics-060116-054123 — 집계 자료에 대한 재구성 공격과 추적 공격. 재식별 공격은 신원 지운 기록을 쉽게 다시 잇는다.
• "The U.S. Census Bureau Adopts Differential Privacy" (2018, 1쪽 발표 초록) — DOI: 10.1145/3219819.3226070 — 2000·2010 인구조사의 공개 보호 장치에 데이터베이스 재구성 정리가 드러낸 심각한 약점이 있음을 내부 연구로 확인, 차분 프라이버시 공개 체계 설계.
• "Confidentiality Protection in the 2020 US Census of Population and Housing" (2022) — DOI: 10.1146/annurev-statistics-010422-034226 — 외부 자료와 계산 능력이 기관을 넘어선 시대에 기존 공개 제한 방법은 너무 취약. 2020 인구조사에 차분 프라이버시 틀 배치.
• "The use of differential privacy for census data and its impact on redistricting: The case of the 2020 U.S. Census" (2021) — DOI: 10.1126/sciadv.abk3283 — 차분 프라이버시는 집계표에 잡음을 더한다. 혼합 지역 과소 집계로 치우침, 그러나 개인 인종 예측은 막지 못함. 정확성-프라이버시 균형의 어려움.
• "The Algorithmic Foundations of Differential Privacy" (2014) — DOI: 10.1561/0400000042 — 차분 프라이버시는 엄밀한 프라이버시 정의. 거의 모든 알고리즘이 임의 계산력의 공격자에 대해 성립. 그러나 어떤 방법에도 걸리는 근본적 한계가 있다.
• "RAPPOR" (2014) — DOI: 10.1145/2660267.2660348 — 무작위 응답으로 사용자 소프트웨어에서 통계를 모으되 개별 보고는 연결되지 않게. 「숲은 보되 나무는 못 보게」.
• "Differential Privacy in the 2020 Census Will Distort COVID-19 Rates" (2021) — DOI: 10.1177/2378023121994014 — 잡음 섞인 분모로 코로나19 사망률이 크게 왜곡, 때로 100% 초과. 1,000명 미만 집단(카운티 나이·성별 묶음 40%, 인종 묶음 60%)에서 특히 큼. 더 큰 프라이버시 예산·자료 묶기 고려.
• "Impacts of census differential privacy for small-area disease mapping to monitor health inequities." (2023) — PMID 37595037 — 매사추세츠·조지아 조기 사망 불평등의 전체 양상은 유지. 초기 판의 흑인 오차 확대는 새 판에서 개선.
• "Issues Encountered Deploying Differential Privacy" (2018) — DOI: 10.1145/3267323.3268949 — 인구조사국이 겪은 어려움: 인력·계산 환경, 기밀 자료의 모든 쓰임 헤아리기, 프라이버시 손실 값 설정, 구현 검증 도구·인력 부족.
• "Statistical Data Privacy: A Song of Privacy and Utility" (2022) — DOI: 10.1146/annurev-statistics-033121-112921 — 공개 수요와 노출 우려의 맞바꿈. 정제 장치는 치우침·분산을 들여와 불확실성 반영이 필요.
• "Ten quick tips for protecting health data using de-identification and perturbation of structured datasets." (2025) — PMID 40986522 — 데이터 최소화 원칙에 근거한 실무 권고(반올림·범위·흔들림·집계·날짜·민감 항목 분리). 보편 표준은 없다.
• "Addressing the Personalization–Privacy Paradox: An Empirical Assessment from a Field Experiment on Smartphone Users" (2013) — DOI: 10.25300/misq/2013/37.4.07 — 정보를 휴대전화 안에 두는 맞춤 앱이 정보 경계 침해감을 줄이고 메시지 저장을 늘림(현장 실험).
• "Differential privacy for public health data: An innovative tool to optimize information sharing while protecting data confidentiality." (2021) — PMID 34909703 — 차분 프라이버시는 모든 가능한 공격자를 겨냥한 엄밀한 정의. 쉬운 말로, 통계적 잡음을 섞어 전체 양상은 기술하되 개인 자료는 뽑아내기 어렵게 한다.
• "Differential privacy in health research: A scoping review." (2021) — PMID 34333623 — 건강 연구 54편 범위 검토. 아직 초기 단계, 실제 적용 사례 드묾, 작은 자료에서 정확도 저하가 문제.
• "User Tracking in the Post-cookie Era: How Websites Bypass GDPR Consent to Track Users" (2021) — DOI: 10.1145/3442381.3450056 — 쿠키 동의 창이 퍼졌지만 웹사이트가 사용자 선택을 늘 존중하지는 않으며, 쿠키 없는 추적이 떠오를 것으로 전망.