미국 정부가 통계 프라이버시를 1970년대로 되돌렸다 — DAO 216-26이 위험한 이유
무슨 일이 있었나요?
2026년 6월 4일, 미국 상무부가 DAO 216-26이라는 지시를 발령했습니다. 이 지시는 미국 경제분석국(BEA)과 인구조사국(U.S. Census Bureau)이 공개 통계를 보호할 때 사용할 수 있는 기법을 크게 제한하는 내용인데요. 핵심은 이렇습니다.
- 금지: 차등 개인정보보호(differential privacy), 노이즈 주입(noise infusion) 등 지난 30년간 발전해 온 현대적 기밀 보호 기법
- 허용: 반올림·집계·범위화 같은 '거칠게 만들기(coarsening)'와, 최후 수단으로서의 값 삭제(suppression)만 가능
한마디로 공개 통계 보호 방식을 1970년대 수준으로 되돌린 것입니다. 양자컴퓨팅 연구자 Scott Aaronson의 블로그에 소개된 이 사안은, 데이터와 프라이버시에 관심 있는 개발자라면 꼭 알아둘 만한 이야기입니다.
왜 문제인가요? 양조장 예시로 이해하기
경제학자 Nathan Goldschlag가 든 County Business Patterns(CBP) 예시가 문제를 아주 직관적으로 보여줍니다.
시나리오 1: coarsening은 통계를 쓸모없게 만든다
- 작은 카운티에 양조장이 하나뿐이라면? 직원 수를 공개하는 순간 그 사업체의 정보가 그대로 노출됩니다.
- 양조장이 두 곳이라면? 한 소유자가 전체 합계에서 자기 직원 수를 빼서 경쟁사 직원 수를 정확히 알 수 있습니다.
- 그렇다고 합계를 아예 비공개하면? 시장 진입을 검토하는 예비 창업자가 필요한 정보를 얻을 수 없게 됩니다.
시나리오 2: coarsening은 기밀 보호에도 실패한다
더 흥미로운 건 두 번째 예시입니다. 두 마을(North Bend, South Bend)에 양조장과 병입 회사가 각각 있는 가상의 카운티에서, CBP가 마을별·업종별·소유형태별로 다섯 개의 집계 통계를 공개한다고 해봅시다.
미지수는 4개(각 회사의 직원 수), 방정식은 5개. 고등학교 수준의 연립방정식만 풀어도 개별 회사의 정확한 직원 수를 전부 재구성할 수 있습니다. 각각은 선의로 적용된 집계였는데, 서로 결합되면서 기밀성이 완전히 깨지는 것이죠.
노이즈 주입은 바로 이런 방정식 집합을 교란해서 정확한 재구성을 막는 기법입니다. 그런데 DAO 216-26은 이것을 금지했습니다.
법적·정치적 배경
이 사안이 단순한 기술 논쟁이 아닌 이유가 있습니다.
- **Census Act(13 U.S. Code §9)**는 특정 개인이나 사업체가 제공한 데이터가 식별되는 공개를 범죄로 규정합니다. 노이즈 주입 금지는 이 법과 정면으로 충돌할 수 있습니다.
- 이 지시는 Heritage Foundation의 Project 2025 설계자들의 약속, 그리고 Center for Renewing America(CRA)의 주장을 반영한 것으로, 과학적 타당성보다 정치적 이해관계가 작용했다는 비판을 받고 있습니다.
- 법적으로 필요한 행정 절차를 우회했다는 지적도 있습니다.
- 이미 differential privacy는 2008년부터 통근 패턴 데이터(OnTheMap)와 2020 Census에 사용됐고, 2030 Census에도 계획되어 있었습니다. 관련 기술 문서(BEA Working Paper WP2026-9)는 상무부에 의해 삭제된 것으로 알려졌습니다.
개발자·데이터 종사자에게 주는 시사점
이 사건은 몇 가지 중요한 교훈을 남깁니다.
- 집계만으로는 프라이버시를 지킬 수 없습니다. 여러 집계값이 결합되면 선형대수만으로 원본이 재구성될 수 있습니다. 서비스에서 통계 API를 설계할 때도 똑같이 적용되는 원칙입니다.
- 차등 개인정보보호는 학술적 사치가 아니라 실무 필수 기법입니다. 세분화된 데이터 공개와 기밀 보호를 동시에 달성하려면 수학적으로 보장된 노이즈 주입이 필요합니다.
- 기술적 방법 선택은 전문가의 영역이어야 합니다. 과학 커뮤니티 내부에서도 최선의 보호 기법에 대한 논쟁은 있지만, 정치 행위자가 특정 방법론을 일방적으로 금지하는 것은 다른 차원의 문제입니다.
마치며
연방 통계에 대한 신뢰는 '내 응답이 기밀로 유지된다'는 보장 위에 서 있습니다. 그 보장이 흔들리면 응답률이 떨어지고, 결국 '민주주의의 데이터' 자체가 부실해집니다. 관련 방법론 문서들이 이미 오프라인으로 내려가고 있어, Internet Archive의 Save Page Now나 Data Rescue Project를 통한 아카이빙 움직임도 진행 중입니다.
데이터를 다루는 사람이라면, 이번 사례를 '집계 통계의 프라이버시가 왜 어려운 문제인지'를 보여주는 최고의 실전 교재로 삼아도 좋겠습니다.
원문: The U.S. Data Privacy Emergency (scottaaronson.blog) · 출처: GeekNews