익명 정보 10가지만 조합하면 10명 중 9명 맞힌다

>

英연구진, 개인 역식별 기법 개발…익명데이터 갯수 늘어날 때마다 확률 높아져사진 제공 blogtrepreneur.com/tech 의료분야부터 경영, 정부 통계까지 다양한 곳에 개인의 정보가 담긴 빅데이터가 활용되는 시대가 오면서 데이터 속에 담긴 개인정보 유출에 대한 우려도 커지고 있다. 정부나 기관에서는 데이터 속 개인정보를 삭제해 개인을 알아볼 수 없도록 하는 익명화를 거쳐 이를 활용하는데, 익명화를 거쳐도 정보를 토대로 개인을 다시 특정할 수 있다는 연구결과가 나왔다.

이브 알렉상드르 드 몽조이에 영국 임페리얼칼리지런던(ICL) 컴퓨터공학부 교수 연구팀은 익명으로 가공된 빅데이터에서도 성별과 나이, 결혼 여부 등 정보를 통해 개인을 역으로 식별해내는 통계기법을 개발했다는 연구결과를 이달 23일 국제학술지 ‘네이처 커뮤니케이션스’에 발표했다.

빅데이터 속에 담긴 개인정보는 한국의 개인정보보호법이나 유럽의 개인정보보호법(GDPR) 같은 관련 법률에 따라 보호된다. 이름이나 이메일 주소처럼 사람을 특정할 수 있는 데이터는 삭제해 신상을 알 수 없도록 ‘익명정보’로 가공해야만 활용할 수 있다. 익명정보는 다른 정보와 결합해도 더는 개인을 식별할 수 없는 정보를 뜻한다.

문제는 이러한 익명정보에서도 정보가 어느 정도 제공될 경우 역추적을 통해 재식별이 가능하다는 것이다. 연구팀은 이를 증명하기 위해 기계학습을 통해 익명화된 데이터에서 개인을 재식별해낼 수 있는 통계기법을 개발해냈다. 이 모델에 미국 인구 중 1%의 데이터를 학습시킨 후 95%의 추정 확률을 부여하고 1000명을 식별해 내도록 했을 때 실제로 개인이 제대로 식별되지 않을 확률은 5.27%로 계산됐다.

데이터의 수가 늘어날수록 식별률은 점차 높아졌다. 연구팀이 미국 매사추세츠주의 인구정보를 바탕으로 분석해본 결과 성별과 나이, 결혼 여부 등 10가지 정보가 제공되면 식별률은 90%를 넘겼다. 15가지 정보가 제공되면 식별률은 99.98%까지 올라갔다. 연구팀은 “30대에 뉴욕시에 거주하는 남성은 많다”며 “하지만 1월 5일생으로 빨간 스포츠카를 몰고, 어린 딸 두 명과 함께 살며 한 마리의 개를 키우는 사람은 훨씬 적다”고 설명했다.

연구팀은 개발한 통계기법을 토대로 성별과 생년월일 등 자신의 정보를 입력하면 어느 정도의 확률로 자신이 특정되는지를 볼 수 있는 사이트도 개설했다. 드 몽조이에 교수는 “기업들은 GDPR등 강력한 가이드라인을 따르지만 익명화만 하면 이후에는 정보를 마음대로 팔 수 있다”며 “기업과 정부는 데이터가 익명화돼있다는 이유로 재식별 위험을 무시하는데 이번 연구는 익명 데이터에서 얼마나 쉽고 정확하게 개인을 식별할 수 있는지 보여준 것”이라고 말했다.

드 몽조이에 교수는 “정책을 만드는 이들은 익명화된 데이터를 재식별하는 공격으로부터 개인을 보호하기 위해 더 많은 일을 해야 한다”며 “사회에 이익을 주기 위해 익명화된 데이터를 사용하도록 하는 것은 매우 중요하나 사생활을 희생해서는 안 된다”고 강조했다.

[조승한 기자 shinjsh@donga.com]