2026-09-03

"내 데이터 전부 내려받기"를 눌렀습니다. 그 파일은 지금 노트북에서 가장 위험한 파일입니다

지난 8월 20일, 개정 개인정보 보호법 시행령(대통령령 제36121호, 2026년 2월 19일 공포)이 시행되면서 본인전송요구권 — 내 개인정보를 나에게 보내 달라고 요구할 수 있는 권리 — 의 대상이 보건의료·통신· 에너지에서 사실상 전 산업으로 넓어졌습니다. 개인정보보호위원회의 범정부 마이데이터 지원 플랫폼 온마이데이터(한국인터넷진흥원 위탁운영)는 이 권리를 실제로 행사하는 창구로, 내 정보를 단말기에 파일로 내려받거나 이메일·앱으로 받아볼 수 있게 해 줍니다. 같은 흐름은 국내만의 것이 아닙니다. EU에서는 GDPR의 데이터 이동권이 2018년부터 작동해 왔고, EU 데이터법(Data Act)이 2025년 9월 12일부터 적용되면서 내가 쓰는 기기가 만들어 낸 데이터까지 같은 원리가 확장됐습니다. 미국에서도 인디애나·켄터키·로드아일랜드 세 개 주가 2026년 1월 1일부터 이동권을 포함한 포괄적 개인정보법을 시행했습니다. 전부 반가운 변화입니다. 그런데 아무도 미리 계획하지 않는 물리적 결과가 하나 따라옵니다. 내려받기 폴더에 파일이 하나 떨어지는데, 그 파일에는 당신이 평생 가질 어떤 파일보다 당신에 대한 정보가 많이 들어 있다는 것입니다. 이 글은 그 파일에 관한 이야기입니다.

버튼을 누르면 실제로 무엇이 돌아오는가

데이터 내려받기는 요약본이 아닙니다. 원본 뭉치입니다. 가장 문서화가 잘 된 사례인 구글 테이크아웃을 보면, 구글 공식 도움말 페이지가 제품 선택, 파일 형식(.zip 또는 .tgz), 그리고 크기 상한을 고르게 합니다 — "만들 아카이브의 최대 크기를 선택하세요. 내려받을 데이터가 이 크기보다 크면 여러 개의 아카이브가 만들어집니다." 그리고 "분할될 가능성을 줄이려면 50GB 크기 제한을 선택할 수 있습니다"라고 안내합니다. 50GB가 말이 되는 선택지라는 사실 자체가 이 파일이 어떤 물건인지 알려 줍니다. 안에는 체크한 항목에 따라 수년치 메일 원문(mbox), 드라이브의 원본 파일, GPS 좌표가 붙은 사진 전부, 대화 기록, 검색 기록, 위치 기록이 들어 있습니다. 개인정보보호위원회의 온마이데이터도 형태는 같습니다. 내 정보를 파일로 단말기에 내려받거나 이메일·앱으로 전송받는 방식입니다.

그 파일이 손에 들어오는 경로도 봐야 합니다. 구글의 기본값은 이메일 링크입니다 — "구글 데이터 아카이브를 내려받을 수 있는 링크를 이메일로 보내 드립니다" — 같은 페이지는 아카이브가 약 7일 후 만료되고 다섯 번까지 내려받을 수 있다고 적어 두었습니다. 다른 선택지는 구글 드라이브, 드롭박스, 마이크로소프트 원드라이브, 박스로 곧장 보내는 것인데, 여기 붙은 문장은 두 번 읽어 볼 가치가 있습니다. "아카이브가 마이크로소프트 원드라이브에 도착하면 구글은 더 이상 그 파일에 책임지지 않습니다." 구글이 발뺌하는 게 아닙니다. 파일이 자신을 만들어 낸 시스템을 떠나는 순간 무슨 일이 벌어지는지를 정확히 서술한 문장이고, 도착지가 당신의 노트북일 때도 똑같이 적용됩니다.

그 아카이브가 엉뚱한 사람에게 간 두 번의 기록

가정이 아닙니다. 2019년 11월 21일부터 25일 사이, 구글 테이크아웃의 버그로 일부 이용자의 구글 포토 동영상이 다른 사람의 내보내기 아카이브에 섞여 들어갔습니다. 구글은 2020년 2월 해당 이용자들에게 통지했고, 테이크아웃을 시도한 포토 이용자 중 0.01% 미만이 영향을 받았다고 밝혔습니다. 통지 메일을 보도한 9to5Google에 따르면 안내 문구는 이랬습니다. "콘텐츠를 다시 내보내고 이전 내보내기는 지금 삭제하실 것을 권장합니다." 이 문장을 반대편에서 읽어 보세요. 낯선 사람의 동영상을 자기 아카이브에서 발견한 사람이 있다는 건, 누군가의 동영상이 낯선 사람의 아카이브에 들어갔다는 뜻이기도 합니다.

다른 사례는 더 오래됐고 더 정확하게 이 이야기의 핵심을 찌릅니다. 2018년 12월, 독일 기술 잡지 c't는 GDPR 열람권을 행사해 아마존에 자기 데이터를 요구한 독일의 한 남성이 낯선 사람 집에서 녹음된 알렉사 음성 파일 약 1,700개 — 알람, 음악 요청, 대화 — 가 담긴 내려받기 링크를 받았다고 보도했습니다. 그는 에코 기기를 갖고 있지도 않았습니다. CBS 뉴스 보도에 따르면 아마존은 이를 "사람의 실수로 발생한 불행한 사건"이자 단발성 사고라고 설명했습니다. 이 글의 관점에서 가장 중요한 건 결말입니다. 파일들은 나중에 링크에서 삭제됐지만, 그는 이미 내려받은 뒤였습니다. 내보내기 파일이 누군가의 디스크에 올라간 순간, 그것은 회사도 감독기관도 당신도 손댈 수 없는 곳으로 갑니다.

규제기관은 이미 "암호화하라"고 말했다 — 아주 조용히

EU의 데이터 이동권 지침은 정확히 이 상황을 예견했습니다. 오늘날 유럽데이터보호이사회(EDPB)의 전신인 각국 개인정보 감독기구 협의체 제29조 작업반은 2016년 12월 13일 채택한 데이터 이동권 지침(WP242 rev.01)을 "이동 가능한 데이터를 어떻게 안전하게 지킬 것인가?"라는 절로 맺는데, 그 마지막 문단은 이렇습니다. "온라인 서비스에서 자신의 개인정보를 회수함으로써, 이용자가 그 서비스가 제공하던 것보다 덜 안전한 시스템에 데이터를 보관하게 될 위험이 언제나 함께 존재한다. 정보주체는 자신이 받은 정보를 보호하기 위한 조치를 취할 수 있도록 이 사실을 인지하게 되어야 한다. 또한 처리자는 모범 사례로서, 정보주체가 이를 달성하도록 돕기 위해 적절한 형식과 암호화 조치를 권고할 수 있다."

규제기관이 2016년에 이미, 그 아카이브는 회사 안에 있을 때보다 당신의 내려받기 폴더에 있을 때 더 위험하며 누군가는 당신에게 암호화하라고 말해 줘야 한다고 적어 둔 것입니다. 그런데 "모범 사례" 쪽은 끝내 현실이 되지 않았습니다. 세계에서 가장 큰 서비스들의 내보내기 화면 어디에도 암호화 조치를 권하는 문구는 없고, 그 조언은 다른 경로로 당신에게 닿아야 합니다. 이 글이 그 다른 경로입니다.

창을 닫는 여섯 가지, 순서대로

첫째, 내려받기 전에 어디에 떨어질지부터 정하세요. 내려받기 폴더가 자동 동기화 트리 안에 있다면 — 원드라이브의 알려진 폴더 이동, iCloud의 데스크탑 및 문서 동기화, 드롭박스 폴더 같은 — 평문 아카이브는 내려받기가 끝나는 그 순간 스스로 다른 회사로 업로드되고, 당신은 그 장면을 보지 못합니다. 아무것도 동기화하지 않는 폴더를 목적지로 지정하세요. 둘째, "내 드롭박스로 보내기"보다 그냥 내려받기를 택하세요. 구글이 직접 밝힌 이유 그대로, 제3자에게 도착하는 순간 그 회사의 약관 아래로 들어가니까요. 셋째, 그 자리에서 바로 암호화하세요. 파일이 있다는 사실을 아직 기억하고 있을 때. 넷째, 원본 평문을 지우고 휴지통을 비우세요 — 삭제가 소거는 아니라는 것을 알면서요. 바로 그래서 노출 구간이 중요하고, 그래서 짧아야 합니다. 다섯째, 내려받기 링크는 그냥 만료되게 두고, "나중에 편하게 쓰려고" 그 메일을 자기 자신에게 전달하지 마세요. 살아 있는 링크가 담긴 메일함은 패스프레이즈가 걸리지 않은 두 번째 사본입니다. 여섯째, 사본을 어디에 둘지는 이제서야 정합니다. 아카이브가 암호문이 된 뒤라면 백업 드라이브도, 두 번째 컴퓨터도, 클라우드 폴더도 모두 합리적인 자리입니다. 어느 쪽도 그 내용을 읽을 수 없으니까요.

암호화가 정직하게 해결해 주지 않는 것

다섯 가지 한계를 있는 그대로 적습니다. 첫째, 2단계가 잘못되는 경우에는 양방향 모두 아무 도움이 되지 않습니다. 내가 받은 아카이브에 남의 데이터가 섞여 있다면 그걸 암호화하는 건 해결이 아닙니다 — 서비스에 신고하고 삭제하세요. 반대로 내 데이터가 낯선 사람에게 갔다면, 내가 하는 어떤 행동도 그 사람의 디스크에는 닿지 않습니다. 아마존 사례가 그렇게 끝난 이유입니다. 둘째, 회사가 여전히 갖고 있는 원본에는 아무 영향이 없습니다. 이동권은 사본을 주는 것이지 그쪽 데이터를 회수하는 게 아니고, 그 회사의 유출 위험은 그대로입니다. 셋째, 실제로 그 파일을 쓰고 있는 동안은 보호되지 않습니다. 10년치 메일을 검색하려고 mbox를 풀었다면 그 작업이 끝날 때까지 메일은 평문 상태로 디스크에 있고, 뒷정리까지가 그 작업입니다. 넷째, 용량은 각주가 아니라 진짜 제약입니다. NearSeal은 브라우저 메모리 안에서 동작하기 때문에 데스크톱 브라우저에서 파일당 500MB, 한 번에 합계 500MB까지만 받고, 휴대폰이나 RAM 4GB 이하로 보고되는 기기에서는 파일당 50MB(합계 100MB)까지만 받습니다. 40GB짜리 테이크아웃은 브라우저 탭이 할 일이 아니며, 90% 지점에서 알게 되는 것보다 여기서 말해 두는 편이 낫습니다. 그렇게 큰 아카이브는 명령줄 age 도구로 암호화하거나(age -p bigfile.zip) 그 파일이 놓인 디스크 자체를 전체 디스크 암호화·암호화 볼륨으로 감싸세요. 참고로 NearSeal은 진짜 age 파일을 읽고 쓸 수 있으므로, 둘은 경쟁 관계가 아니라 같은 형식입니다. 다섯째, 복구는 없습니다. 패스프레이즈를 잊으면 아카이브도 사라지고, 10년에 한 번 할까 말까 한 내보내기라면 다시는 떠올릴 일이 없다는 점에서 이건 실제 위험입니다. 만드는 그 순간 비밀번호 관리자에 넣어 두세요.

NearSeal이 맞는 자리

당신이 가진 가장 많은 것을 드러내는 파일 하나를 잠그는 도구가, 그 파일이 흘러 들어가는 또 하나의 장소가 되어서는 안 됩니다. NearSeal은 전적으로 브라우저 안에서 실행됩니다. 아카이브도 패스프레이즈도 기기를 떠나지 않고, 계정도 업로드도 없으며, 네트워크 탭을 열어 아무것도 전송되지 않는다는 것을 직접 확인할 수 있습니다 — 하필 이 파일에서는 그게 전부라 할 만합니다. 내 데이터 전체를 담은 내보내기 파일을 "보호하려고" 웹사이트에 업로드하는 건 그야말로 자책골이니까요. 기본 형식은 AES-256-GCM이고 키는 패스프레이즈로부터 PBKDF2-SHA256을 2²⁰회 반복해 유도하며, 컨테이너 헤더가 인증 태그에 묶여 있어 변조되거나 손상된 아카이브는 복호화 시점에 조용히 다른 내용을 건네는 대신 요란하게 실패합니다. 5년 뒤에 이 웹사이트를 포함해 어떤 웹사이트에도 의존하고 싶지 않다면 옵트인 age-encryption.org 형식이 있습니다. age 파일은 AES-256-GCM이 아니라 scrypt와 ChaCha20-Poly1305를 쓰며, 공식 age CLI와 rage를 비롯한 모든 age 호환 도구에서 열립니다. 복호화할 때는 파일 이름이 아니라 실제 바이트로 어느 형식인지 알아냅니다. NearSeal이 의도적으로 아닌 것도 두 가지입니다. 저장소가 아닙니다 — 암호화된 아카이브를 어디에 둘지는 당신이 정합니다. 그리고 복구 서비스가 아닙니다. 데이터를 달라고 요구한 건 당신이고, 이제 그것을 지키는 일도 당신의 몫입니다.