NRK, 자사 데이터를 요청한 뒤 구매하여 휴대폰 위치정보 판매자들을 폭로하다

2020년, 휴대폰 위치정보 데이터는 조용히 정부와 인접한 상품이 되어가고 있었다. 중개업자들은 '익명화된' 이동 기록을 팔았고, 미국 세관국경보호국(CBP)과 이민세관단속국(ICE) 같은 기관들은 접근권을 구매했으며, 사용자들이 신뢰하는 앱들은 구매자들의 이름을 결코 밝히지 않았다. 피해는 실재했지만 분산되어 있었다. 설명하기는 쉬워도 특정하기는 불가능했다. 노르웨이 공영방송 NRK의 기자 마르틴 군데르센은 자신의 휴대폰이 그 시장에 정보를 공급하고 있다고 의심했고, 이를 처음부터 끝까지 입증하기로 했다.

그는 2020년 2월부터 실험을 진행했다. 앱을 잔뜩 설치한 여분의 휴대폰을 어디든 가지고 다니면서, 한편으로 NRK 팀은 병원과 여성 쉼터에서 추적된 8,300대 이상의 휴대폰을 별도로 기록했다. 그런 다음 그는 GDPR의 정보주체 열람권을 수사 도구로 전환하여, 그 흔적이 닿는 모든 회사에 요청서를 제출했다. 시작은 미국 연방기관들에 위치정보를 판매하는 버지니아주 중개업체 벤텔(Venntel)이었다. 벤텔은 75,406건의 위치 기록으로 답했고, 해당 데이터가 연방 법집행과 국가안보를 포함한 목적으로 공유되었다고 확인했다.

각 회신은 다음 회사의 이름을 밝혔기에 요청은 연쇄적으로 이어졌다. 벤텔의 모회사인 그레이비 애널리틱스(Gravy Analytics), 그다음 중개업체인 프레디시오(Predicio)와 컴플레멘틱스(Complementics), 그다음 슬로바키아의 내비게이션 앱 개발사 시직(Sygic)과 퍼니 웨더(Funny Weather) 앱 제작사였다. NRK의 기술 분석은 벤텔의 기록 안에서 컴플레멘틱스가 시직 데이터에 사용한 식별자를 찾아냈고, 노르웨이의 개인정보 전문가 세 명은 이 연쇄를 명백한 GDPR 위반이라고 평했다.

'익명화'가 얼마나 무가치한지 보여주기 위해, NRK 팀은 이미 상업용 위치 데이터셋에 대한 접근권을 35,000 NOK(약 4,000달러)에 구매한 뒤 스타방에르의 31세 카를 비아르네 베른하르드센을 찾아냈다. 그에게 전화했을 때, 그들은 그가 2019년 내내 어디에 있었는지 읊을 수 있었다. 동물원, 면접, 첫 아이의 아버지로서 병원에서 보낸 날들까지. 데이터 제공업체는 같은 데이터를 익명화되었다고 불렀지만, NRK는 그 꼬리표가 아무 의미도 없다는 것을 방금 입증한 것이었다.

모든 데이터 중개업체가 GDPR 요청에 답하도록 강제한 뒤 그 상품을 구매하라. 회신은 연쇄를 지도화하고, 표본은 그것이 익명이 아님을 입증한다

GDPR 정보주체 열람 요청은 판매자 자신의 법적 장치 위에서 작동한다. 중개업체는 자신이 보유한 정보와 누구와 공유했는지를 답해야 하므로, 연쇄를 시작하는 데 소환장이나 내부고발자가 필요 없다.

회신은 문서 기록이 된다. 벤텔의 파일은 그레이비 애널리틱스를 지목했고, 그레이비는 프레디시오와 컴플레멘틱스를 지목했으며, 이는 다시 시직과 퍼니 웨더로 이어졌다. 어떤 개인정보 처리방침도 밝히지 않은 경로였다.

평범한 고객으로서 상품을 구매하는 것이 가장 강력한 검증이다. 35,000 NOK로 NRK는 판매자가 익명화되었다고 부른 데이터에서 실명의 인물을 특정했고, 전화 한 통으로 그 방어는 무너졌다.

구체적 피해가 이야기를 설득력 있게 만들었다. 베른하르드센에게 그의 이동 경로를 직접 읽어주는 것(동물원, 면접, 병원)은 감시라는 추상을 독자가 체감할 수 있는 뉴스로 바꾸었다.

피해가 보이지 않는 시장을 폭로하려면, 각 공급업체를 그 공개 의무를 통해 심문하고 상품을 직접 구매하라. 모든 회신은 다음 판매자를 지목하고, 표본은 피해를 입증한다.

NRKbeta의 영어 기사(2020년 12월 3일)는 해커 뉴스에서 493점과 169개의 댓글을 받았고, 기자는 독자들에게 답하며 마이클 빌의 열람 요청 템플릿에 공을 돌렸다. 이는 확대되는 미국의 논쟁에 불을 지폈다. 한 댓글 작성자는 론 와이든 상원의원이 벤텔이 출처에 대해 '수개월간 의회를 막아왔다'고 말한 것을 인용했고, CBP는 상업 데이터에 대한 제한적 접근을 확인했다. 시직의 대표는 그 연관성이 '명확하지 않다'고 했으며 입증된다면 위반이라고 말했다. 노르웨이 변호사들은 벤텔이 유럽 사무소가 없기 때문에 기소가 성공할지 의문을 표했다. 벌금이 아니라 문서화 자체가 성과물이었다.