[논문 리뷰] An Analysis of the Consequences of the General Data Protection Regulation (GDPR) on Social Network Research

Andreas Kotsios, Matteo Magnani외 3명|arXiv (Cornell University)|2019. 03. 07.

Privacy, Security, and Data Protection참고 문헌 27인용 수 6

한 줄 요약

이 논문은 사회망 연구에서 GDPR 준수를 위한 실용적 안내서이자 비판적 분석을 제공하며, 데이터 수집, 동의, 익명화, 사용자 권리 등에 대한 과제를 다룹니다. 연구자들이 소셜 미디어 API를 통해 사용자에게 통보할 수 없는 것과 같은 심각한 운영적 장애, 자동화된 데이터 접근 시 윤리적 딜레마 등이 드러나며, 규제 준수와 대규모 연구의 실현 가능성 사이의 긴장 관계가 부각됩니다.

ABSTRACT

This article examines the principles outlined in the General Data Protection Regulation (GDPR) in the context of social network data. We provide both a practical guide to GDPR-compliant social network data processing, covering aspects such as data collection, consent, anonymization and data analysis, and a broader discussion of the problems emerging when the general principles on which the regulation is based are instantiated to this research area.

연구 동기 및 목표

• 유럽 내 사회망 연구의 실현 가능성과 합법성에 GDPR이 미치는 영향을 분석하는 것.
• 특히 동의, 익명화, 데이터 주체 권리 원칙을 대규모 소셜미디어 데이터 분석에 적용할 때 발생하는 구체적 과제를 특정하는 것.
• 사회망 연구에서 GDPR 준수 데이터 처리를 위한 연구자들을 위한 실용적 안내서를 제공하는 것.
• 공공 대학과 상업 연구 기관 간 GDPR 하에서의 데이터 접근성 및 법적 의무의 격차를 분석하는 것.
• 네트워크 기반 데이터 환경에서 사용자 권리(예: 데이터 접근, 삭제 요청)를 이행하는 데 있어 윤리적 및 기술적 한계를 부각하는 것.

제안 방법

• GDPR 요건을 충족시키는 조건에서 티커트 데이터 수집 및 통보를 위한 사례 연구 수행.
• 자동화된 계정을 활용해 티커트 API를 통해 사용자 통보의 실현 가능성을 테스트.
• GDPR 하에서 '명백하게 공개된' 데이터 및 '공개 가능 영역'의 법적 해석을 분석.
• 데이터 삭제 요청이 사회망 분석에서 네트워크 통계 및 데이터 무결성에 미치는 영향 평가.
• 지속적인 사전-GDPR 데이터 수집 파이프라인에서의 의사명명화의 한계 평가.
• GDPR 하에서 공공 및 민간 연구 주체 간 법적 의무 및 데이터 처리 근거 비교 분석.

실험 결과

연구 질문

• RQ1 동의, 데이터 최소화, 목적 제한 등의 GDPR 원칙이 사회망 데이터 수집 및 처리에 어떻게 영향을 미치는가?
• RQ2 제3자 API가 이러한 통보를 제한함에 따라 수백만 명의 사용자에게 데이터 수집 사실을 통보하는 데 실질적인 과제는 무엇인가?
• RQ3 소셜미디어 데이터가 GDPR 하에서 어느 정도 '공개 가능'한 것으로 간주될 수 있으며, 이는 처리의 합법성에 어떻게 영향을 미치는가?
• RQ4 사용자 권리—특히 데이터 접근 및 삭제 요청—는 사회망 분석의 무결성과 타당성에 어떻게 영향을 미치는가?
• RQ5 학술 기관과 상업 연구 기관 간 GDPR 준수 의무에 어떤 차이가 있는가?

주요 결과

• 연구자들은 티커트의 자동 스팸 탐지 시스템으로 인해 GDPR 준수 의도를 가진 통보 계정이 차단됨에도 불구하고 사용자 통보를 성공적으로 수행하지 못함.
• 통보된 45명 중 유일한 한 명만 데이터 접근 페이지를 방문하여 GDPR 준수 통보 메커니즘의 낮은 사용자 참여도를 확인함.
• GDPR 시행 이전에 수집된 데이터의 의사명명화는 기존 도구로는 기술적으로 불가능하며, 특히 지속적인 모니터링 환경에서는 더욱 그렇음.
• 특히 연구 목적으로 공개되지 않은 공개적으로 노출된 소셜미디어 콘텐츠에 대해 '명백하게 공개된' 데이터 개념은 실무에서 모호함.
• 사용자 요청에 따라 데이터를 삭제하면 네트워크 통계에 심각한 왜곡을 초래할 수 있으며, 특히 분석에 참여하지 않은 자의 데이터가 포함된 경우 더욱 그렇음.
• GDPR의 사용자 동의 요구와 대규모 비차단적 사회망 연구에서 그 이행의 실질적 불가능성 사이에 근본적인 갈등이 존재함.