[논문 리뷰] Privacy Violations in Election Results

Shiro Kuriwaki, Jeffrey B. Lewis외 1명|arXiv (Cornell University)|2023. 08. 08.

Internet Traffic Analysis and Secure E-votingComputer Science인용 수 3

한 줄 요약

이 논문은 미국 선거 이후 개별 투표 기록(투표 기록)을 공개할 경우 발생할 수 있는 개인정보 유출 위험을 실증적으로 평가한다. 애리조나주 마리코파 카운티의 2020년 데이터를 바탕으로, 투표 유출 위험이 전체 투표의 0.2% 미만이며, 경선 간 투표자 중 약 0.17%만이 노출될 가능성이 있음을 발견하여, 투표 기록을 공개하더라도 투표 비밀을 크게 침해하지 않는다는 것을 시사한다.

ABSTRACT

After an election, should election officials release a copy of each anonymous ballot? Some policymakers have championed public disclosure to counter distrust, but others worry that it might undermine ballot secrecy. We introduce the term vote revelation to refer to the linkage of a vote on an anonymous ballot to the voter's name in the public voter file, and detail how such revelation could theoretically occur. Using the 2020 election in Maricopa County, Arizona, as a case study, we show that the release of individual ballot records would lead to no revelation of any vote choice for 99.83% of voters as compared to 99.95% under Maricopa's current practice of reporting aggregate results by precinct and method of voting. Further, revelation is overwhelmingly concentrated among the few voters who cast provisional ballots or federal-only ballots. We discuss the potential benefits of transparency, compare remedies to reduce or eliminate privacy violations, and highlight the privacy-transparency tradeoff inherent in all election reporting.

연구 동기 및 목표

• 다양한 선거 보고 제도 하에서 투표 유출 범위를 실증적으로 평가하는 것, 특히 개인의 투표 기록을 공개하는 것을 포함한다.
• 정밀한 분류(우편, 투표소, 등록번호 등)가 포함된 투표 기록을 공개할 경우 투표 비밀이 심각하게 침해될 위험이 있는지 평가하는 것.
• 실제 개인정보 유출 위험을 고려할 때, 결과에 무작위 노이즈를 추가하는 현재의 관행이 필요한지 또는 과도한지 평가하는 것.
• 투명성을 해치지 않으면서도 개인정보 유출를 추가로 줄일 수 있는 구조적·절차적 개혁을 규명하는 것.
• 실제 사례 기반의 데이터 기반 통찰을 바탕으로 선거 행정에서의 투명성과 개인정보 보호 간의 갈등을 해소하는 것.

제안 방법

• 2020년 일반 선거에서 애리조나주 마리코파 카운티의 전체 개인 수준의 투표 기록을 활용하였다.
• 이름, 주소, 투표 참여 여부를 포함한 공개된 유권자 파일과 익명화된 투표 선택지를 연결하여 투표 유출를 모델링하였다.
• 다양한 보고 제도 하에서의 고유 연결 가능성을 측정: 집계된 투표소 결과, 투표소 및 방법 코드가 포함된 투표 기록, 전체 개인 투표 기록.
• 소규모 또는 분할된 투표소와 희귀한 투표 스타일을 사용하는 유권자에 초점을 맞춰 개인정보 유출 위험의 분포를 분석하였다.
• 다른 선거 경계 재편 및 유권자 파일 수정이 연결 가능성을 줄이는 데 미치는 영향을 평가하였다.
• 다양한 시나리오 하에서 개인에게 고유하게 연결될 수 있는 투표 비율을 추정하기 위해 통계 분석을 사용하였다.

Figure 1 : Schematic of Potential Privacy Violation by Vote Revelation. Panel A shows a Venn diagram of how quasi-identifiers could link sensitive vote choice to non-sensitive personally identifying information. Panel B depicts our definition of precincts and ballot styles in an example of an area s

실험 결과

연구 질문

• RQ1 투표 기록을 공개할 경우 실제로 얼마나 많은 투표가 노출되는가?
• RQ2 투표소 및 방법 코드가 포함된 투표 기록을 공개할 경우, 단순히 집계된 결과를 공개하는 것보다 개인정보 유출 위험이 더 큰가?
• RQ3 어떤 유권자 하위 집단이 투표 유출 위험에 가장 노출되어 있으며, 그 이유는 무엇인가?
• RQ4 선거 경계 재편이나 유권자 파일 수정과 같은 구조적 개혁이 투명성을 해치지 않으면서도 개인정보 유출를 줄일 수 있는가?
• RQ5 실제 개인정보 위협을 고려할 때, 결과에 무작위 노이즈를 추가하는 현재의 관행은 정당한가?

주요 결과

• 마리코파 카운티 2020년 선거에서 투표 기록을 공개할 경우, 대통령 선거에 대해 약 0.0003%의 유권자 투표가 노출될 수 있다.
• 연구 대상 200만 명의 유권자 중 약 0.17%가 참가한 60개 경선 중 최소 한 곳에서 자신의 투표가 노출될 수 있다.
• 투표소 및 투표 방법 코드가 포함된 투표 기록을 공개하는 것은 표준 집계된 투표소 및 방법 결과를 공개하는 것과 동일한 정도의 유출 위험을 가진다.
• 개인정보 유출 위험은 균일하게 분포되어 있지 않으며, 소규모 또는 분할된 투표소에 속하거나 희귀한 투표 스타일을 사용하는 유권자가 더 높은 위험에 노출된다.
• 투표 유출 위험이 매우 낮아, 모든 투표 기록을 공개 접근에서 차단하는 것은 실제 개인정보 보호 효과에 비해 과도할 수 있다.
• 소규모 보고 단위 수를 줄이거나 유권자 파일의 속성을 수정하는 등의 구조적 개혁을 통해 개인정보 유출 취약성을 추가로 줄일 수 있다.

Figure 2 : Contests with More Revelation . A boxplot showing the fraction of eligible votes revealed by unanimous results in the precinct–method reporting regime. Each point represents a contest, and we group together contests by type. The solid bars indicate the median, the box indicates the first