익명 생리 기록 — 무엇을 뜻하고, 무엇은 뜻할 수 없는지

"익명"은 한 단어가 세 가지 일을 하고 있고, 그 셋의 값어치는 같지 않아요. 계정이 없다는 뜻일 수 있어요. 이름도 이메일도 치지 않는 거죠. 연결되지 않았다는 뜻일 수도 있어요. 내 주기가 여전히 회사 서버로 가지만 나를 알아볼 수 있는 것과는 일부러 떼어 놓는 거예요. 아니면 아예 전송되지 않는다는 뜻일 수도 있어요. 내 주기에 대한 어떤 것도 휴대폰을 벗어나지 않는 거죠. 그중 셋째만이 내가 1분 만에 직접 확인할 수 있는 약속이에요. 연결을 끄면 되니까요.

아래는 바깥에서 셋을 가려내는 법, 각각의 약속을 하는 회사들이 그것에 대해 실제로 공개한 것, 그리고 어느 것도 덮지 못하는 한 가지예요.

세 가지 뜻을, 나에게 요구하는 믿음의 크기순으로

• 계정 없음

  앱이 곧장 기록 화면으로 열려요. 이메일도, 비밀번호도, 가입 벽도 없어요. 진짜이고 가질 만하지만, 그건 현관문에 대한 사실이지 건물에 대한 사실이 아니에요.

  물어보세요: 그래도 휴대폰을 벗어나는 게 있나요?
• 연결되지 않음

  내 주기 데이터가 서버에 닿고, 그 데이터가 나에게 되묶이지 않도록 회사가 무언가를 만들어 뒀어요. 진짜 공학적 규율이고, 동시에 내가 들여다볼 수 없는 것이에요.

  물어보세요: 누가 어느 절반을 쥐고, 그렇게 말하는 건 누구인가요?
• 전송되지 않음

  내 주기에 대한 것이 어디로도 보내지지 않아요. 믿어야 할 서버 쪽 이야기가 없어요. 서버 쪽이 없으니까요.

  물어보세요: 비행기 모드에서 작동하나요?

익명 생리 기록에 대한 거의 모든 논쟁은 사실 셋 중 어느 것이 팔리고 있는지에 대한 논쟁이에요. 스토어 페이지에 적힌 단어는 세 경우 모두 같고요.

계정 없음은 확인하기 가장 쉽고 부풀리기도 가장 쉬워요

계정이 있는 건 데이터가 내 휴대폰이 아닌 어딘가에 살 수 있게 하기 위해서예요. 앱이 계정을 아예 요구하지 않는다면, 날짜 하나 입력하기 전에 구체적인 무언가를 말해 준 거고, 계정 없이 앱 쓰기가 어느 앱에 대해서든 가장 먼저 물어볼 만한 질문인 이유가 그거예요.

마지막 질문은 아니에요. 이메일이 없다고 식별자가 없는 건 아니에요. 서버와 이야기하는 소프트웨어는 내 이름을 전혀 모르면서도, 보내는 것에 무작위 설치 ID와 기기 모델, 운영체제 버전, IP 주소를 붙일 수 있어요. 그중 어느 것도 이메일 주소 같은 방식의 내 신원은 아니에요. 전부 손잡이이고, 손잡이는 다른 손잡이에 이어 붙일 수 있어요.

그러니 "가입 없음"은 좁은 질문에 정직하게 답하고 넓은 질문은 열어 둬요. 넓은 질문은 내 출혈, 통증, 기분, 성생활이 어디로든 가는지예요.

연결을 끊는 설계는 어떻게 생겼나요, 회사 자신의 말로

두 번째 종류의 가장 또렷한 공개 사례는 Flo에서 나와요. Flo는 자사의 익명 모드(Anonymous Mode)를 이름, 이메일, IP 주소, 그 밖의 식별자가 건강 데이터에 연결되지 않은 채로 건강을 기록할 수 있게 하는 기능이라고 설명해요. Flo는 요청이 Oblivious HTTP 중계를 거치게 해서, 중계는 IP 주소를 보지만 건강 데이터는 못 보고, Flo는 건강 데이터를 보지만 신원은 못 보며, Flo조차 그것을 쓰는 개인을 식별할 수 없다고 밝혀요.

전문 용어를 걷어 내면 발상은 단순하고 꽤 괜찮아요. 두 당사자가 나를 가리키는 데 필요한 것의 절반씩을 각각 쥐어요. 중간자는 메시지가 어디서 왔는지 알지만 읽을 수 없어요. 목적지는 읽을 수 있지만 어디서 왔는지 몰라요. 어느 쪽도 양쪽 절반을 다 쥐지 않으니 어느 쪽도 이어 붙일 수 없어요.

구호가 아니라 진짜 설계이고, 이 분야 대부분의 앱이 시도하는 것보다 많은 거예요. 그걸 분명히 말할 만해요. 뒤따르는 정직한 비판이 발상이 나쁘다는 게 아니니까요.

내가 확인할 수 없는 부분

나는 바깥에 있어요. 거기서는 구조에 대한 설명을 읽을 수 있어요. 서버도, 거기 실제로 올라간 코드도, 중계를 누가 운영하는지도, 양쪽 끝에서 무엇이 기록되는지도, 내년에 무엇이 바뀌는지도 볼 수 없어요. 두 번째 종류의 모든 주장은 내가 결코 돌려 보지 못하고 관찰할 수 없는 소프트웨어에 대한 주장이에요. 우리도 확인할 수 없고, 나도 확인할 수 없어요.

사람들이 애초에 이 질문을 하는 이유가 그거예요. 2021년 1월 미국 연방거래위원회(FTC)는 널리 쓰이는 가임 관리 앱의 개발사와 합의했다고 발표했어요. FTC는 그 회사가 이용자의 건강 데이터를 비공개로 지키겠다고 약속하면서 외부 분석 업체에 제공했다고 주장했고, 회사는 주장을 인정하지도 부인하지도 않은 채 합의했어요. 정직한 균형추는 같은 호흡에 놓여야 해요. 영국 정보위원회(ICO)가 2024년에 생리·가임 앱을 살펴봤을 때, 심각한 준수 문제나 피해의 증거는 확인되지 않았다고 보고하면서 개발사들에 개인정보를 우선하라고 촉구했어요.

둘 중 어느 것도 어떤 특정 서버가 오늘 무엇을 하고 있는지 말해 주지 않아요. 그게 요점이에요. 들여다볼 수 없는 설계는 믿거나 믿지 않거나이고, 믿음을 주는 건 합리적인 일이에요 — 다만 증명과는 다른 범주의 것일 뿐이에요.

데이터를 어떻게 다루겠다는 약속은 그걸 다루는 회사만큼만 오래가요. 데이터가 애초에 움직이지 않은 설계는 회사가 약속을 지킬 필요가 없어요.

전송되지 않음, 그리고 그것을 적어 둔 방침들

세 번째 종류는 말하기도 시험하기도 가장 단순해요. 이렇게 만들어진 앱을 적어 둔 공개 방침이 둘 있어요.

drip의 개인정보 처리방침은 사용 데이터나 개인정보의 수집이 없고, 광고도 스파이웨어도 없으며, 월경 주기 데이터는 기기에 로컬로 저장돼 다른 앱이 접근할 수 없고, 설정에서 앱 데이터를 지우거나 앱을 삭제하면 없어진다고 밝혀요. 개인정보 마케팅 대부분보다 값진 단서도 달고 있어요. 기기 설정에 따라 자동 클라우드 백업이 여전히 일어날 수 있다고요. 방침은 이 모든 게 사실인지 소스 코드를 읽어 확인할 수 있다고 덧붙여요.

Euki의 개인정보 처리방침은 이용자가 지원에 연락하며 자발적으로 보내는 정보를 빼면, 앱 사용을 통한 것을 포함해 이용자에게서 어떤 개인정보나 다른 정보도 수집하지 않으며, 맞춤 광고를 위해 이용자를 추적하지 않는다고 밝혀요.

가져갈 만한 건 drip의 단서예요. 여기 이 앱을 포함해 기기에만 저장하는 모든 앱에 해당하니까요. 앱이 아무것도 보내지 않을 때에도 휴대폰 자신의 백업이 로컬 데이터베이스를 기기에서 떠 갈 수 있어요. 앱의 설계가 이야기의 끝이 아니에요. 내 운영체제의 백업 설정이 그 일부이고, 그건 내가 들여다볼 수 있는 것이에요. 그건 더 넓은 맞바꿈의 한 갈래이고, 어느 쪽을 고르기 전에 제대로 읽어 볼 만해요. 클라우드 동기화가 없을 때 포기하는 것이요.

스토어 라벨이 말해 주는 것과 말해 주지 않는 것

이제 두 앱 스토어 모두 개인정보 요약을 공개하고, 그 어휘는 정말로 쓸모 있어요. Apple은 App Store의 개인정보 항목을, 정보를 개발자가 직접 신고하는 체계라고 설명해요. Apple 자신의 말로, "사용자에게 연결된 데이터"는 계정이나 기기처럼 내 신원에 연결된 방식으로 수집되는 데이터이고, "사용자를 추적하는 데 사용되는 데이터"는 앱의 데이터가 다른 회사의 앱, 웹사이트, 오프라인 자산에서 모은 데이터와 연결되어 광고에 쓰이거나 데이터 브로커에 제공되는 것이에요.

그 구분이 정확히 이 글이 다루는 그것이고, 설치하기 전에 스토어 페이지에 찍혀 있어요. 익명이라고 주장하면서 사용자에게 연결된 건강 데이터를 신고한 앱은 공개적으로 자기모순을 저지른 거고, 그건 내가 알아차리기 값싼 일이에요.

한계는 Apple이 쓰는 표현에 있어요. 직접 신고요. 라벨은 개발자의 신고이지 감사가 아니에요. 빠른 거름망이고 엉성한 증거라, 어떤 앱이든 10분 안에 확인하기의 끝이 아니라 앞쪽에 있는 거예요.

익명이 사 주지 않는 것

세 약속 중 어느 것도 내 손에 있는 휴대폰을 지켜 주지 않아요. 생리 기록이 남에게 읽히는 가장 흔한 경로는 유출도 소환도 아니에요. 잠기지 않은 휴대폰을 누가 집어 드는 것이에요.

그러니 그 거리에서 실제로 중요한 것들은 심심하고 가까이 있어요. 앱에 자체 PIN이나 얼굴 잠금이 있는지요. 잠금 화면에서 알림이 무엇이라고 말하는지요. 친절한 알림은 옆에 선 사람에게 하는 공지이기도 하니까요. 휴대폰을 함께 쓰는지, 남이 쓰는 컴퓨터에 백업한 적이 있는지요. 그리고 몇 년 전에 가입한 다른 앱에 이미 내 기록의 사본이 앉아 있는지요. 새 앱의 익명성은 그것에 대해 아무것도 하지 않아요 — 그 사본은 그것이 사는 곳에서 지워야 해요.

그 어느 것도 안전하게 만들 수 없다면, 소프트웨어가 아예 없는 선택지가 있어요. 인쇄용 생리 달력은 종이 한 장을 주는데, 동기화되지도, 유출되지도, 소환되지도, 되묶이지도 않고, 물건을 두는 곳 어디에나 둘 수 있어요. 그리고 앱에서 원한 게 저장이 아니라 계산이었다면, 생리 주기 길이 계산기가 시작 날짜 몇 개로 평균과 그것이 얼마나 움직이는지를 계정 없이 내줘요. 방침보다 구조로 판단해야 한다는 더 깊은 논거는 무엇이 앱을 실제로 안전하게 만드는지에 있어요.

Athena는 어디에 서 있나요

Athena는 이 사이트 뒤에 있는 앱이에요. It is on the App Store and Google Play. 이 사이트에서 파는 건 없고, 가입할 것도 없어요. 아래는 앱이 어떻게 만들어졌는지에 대한 서술이고, 그걸 맞춰 볼 대상은 앱 자체예요.

세 번째 종류예요. 생리, 증상, 메모, 체온은 휴대폰 안의 비공개 데이터베이스에 쓰이고, 예측은 기기에서 계산되며, 계정이 없으니 서버에 나에게 되묶일 것이 없어요. 정직한 예외 하나는, 빼놓으면 이 페이지가 스스로 불평하는 그것이 되기에 적어 둬요. 앱은 익명 진단 정보를 Firebase로 보내요 — 어떤 기능이 쓰이는지, 오류 보고, 기기 모델이고, 내가 기록한 것은 절대 담지 않아요. 주기에 대해 기록한 것은 아무것도 거기 없어요. 그 주장을 확인하는 방법은 이 글 전체가 권하는 바로 그거예요. 연결을 끄고 무언가가 멈추는지 보세요.