차분 프라이버시(Differential Privacy)와 임계값 제한 정책 이해: 유저 수가 너무 적을 경우 개인 식별 위험으로 인해 클린룸이 결과 출력을 거부하는 '최소 모수 한계' 극복법

두 개념은 종종 함께 언급되지만 작동 방식이 다릅니다. 차분 프라이버시는 쿼리 결과값 자체에 통계적으로 계산된 노이즈(왜곡)를 더해서, 그 결과만 보고는 특정 개인이 원본 데이터셋에 포함됐는지 아닌지를 역으로 추론할 수 없게 만드는 기법입니다. 결과는 출력되지만 약간의 오차를 포함하게 됩니다. 반면 최소 모수 임계값(threshold) 정책은 노이즈를 더하는 대신, 결과에 포함되는 유저 수가 정해진 기준보다 적으면 그 결과 행 자체를 아예 출력하지 않는 훨씬 단순하고 강한 방식입니다. 실무에서는 두 방식이 함께 적용되는 경우가 많은데, 구글 ADH가 대표적인 사례로, 노이즈를 더하는 방식과 최소 인원 기준으로 걸러내는 방식을 함께 씁니다.

구글 공식 개발자 문서에 따르면 ADH는 쿼리 방식별로 서로 다른 최소 사용자 수를 요구합니다. 노이즈 주입(noise injection) 방식을 쓰는 쿼리는 결과 행당 약 20명의 순 사용자, 차이 검사(difference checks) 방식을 쓰는 쿼리는 약 50명, 클릭·전환 데이터만 쓰는 쿼리는 약 10명이 기준입니다. 이 수치 미만인 결과 행은 아예 반환되지 않고 비어 있는 것처럼 보입니다. 또한 사용자 ID가 0이거나 null인 이벤트는 이 최소 인원 계산에 포함되지 않으므로, 원본 데이터에 결측 ID가 많으면 실제 유효 유저 수가 기준을 못 채워 결과가 계속 비는 상황이 생길 수 있습니다.

구글 ADH 정책은 사용자가 이 최소 집계 요건을 회피할 목적으로 하나의 큰 쿼리를 여러 개의 작은 쿼리로 쪼개 각각 실행한 뒤, 그 결과를 클린룸 밖에서 다시 조합해 개별 유저 수준으로 역산(disaggregate)하려는 시도를 명시적으로 금지합니다. 이런 시도는 클린룸이 애초에 막으려 했던 개인 식별 위험을 우회로 재현하는 행위이기 때문입니다. 구체적인 제재 절차(경고, 계정 접근 정지 등)는 매체가 상세히 공개하지 않으므로 "확인 필요" 영역이지만, 정책 위반으로 접근 권한이 회수될 수 있다는 점은 분명히 인지하고 쿼리를 설계해야 합니다.

결과가 비어 있는 상황을 마주하면, 먼저 쿼리 자체의 조건(캠페인, 지역, 소재, 날짜)이 지나치게 좁게 걸려 있지 않은지 확인합니다. 가장 흔한 해법은 세 가지입니다. 첫째, 분석 기간을 넓혀 더 많은 유저가 조건에 포함되게 합니다(예: 1주 대신 4주). 둘째, 지나치게 세분화된 세그먼트(예: 노출 1회, 2회, 3회를 각각 분리)를 더 넓은 구간(예: 1~3회)으로 통합합니다. 셋째, 특정 캠페인 하나가 아니라 관련 캠페인 여러 개를 묶어 분석 범위를 넓힙니다. 이 세 가지 모두 "결과를 왜곡해서라도 통과시키는" 방법이 아니라 애초에 통계적으로 유의미한 표본 크기를 확보하는 정공법이라는 점이 중요합니다 — 표본이 너무 작다는 것은 애초에 그 좁은 조건에서는 신뢰할 만한 결론을 낼 수 없다는 신호이기도 합니다.

전체 광고 예산이나 트래픽 규모가 작은 광고주는 이 최소 모수 임계값에 더 자주 부딪힙니다. 대형 브랜드는 캠페인 하나의 노출 유저만으로도 기준을 쉽게 넘기지만, 소규모 광고주는 여러 캠페인을 합쳐야 겨우 기준을 채우는 경우가 흔합니다. 이런 조직은 클린룸 도입을 검토할 때부터 "우리 트래픽 규모로 의미 있는 쿼리 결과를 받을 수 있는가"를 먼저 가늠해봐야 하며, 이 판단은 8강에서 다루는 클린룸 도입 자격 검토와도 이어집니다.

클린룸 도입 초기에 가장 흔한 오해는 "결과가 안 나오면 세팅이 잘못된 것"이라고 단정하는 것입니다. 실제로는 세팅이 정상인데도 표본이 작아서 임계값에 걸리는 경우가 훨씬 많습니다. 이 둘을 구분하지 못하면 팀 내에서 불필요한 재작업(매칭 프레임워크를 다시 점검하는 등)이 반복됩니다. 따라서 쿼리 결과가 비었을 때는 먼저 매칭률(가명 ID가 정상적으로 결합됐는지)과 최소 모수 임계값(결합된 유저 수가 기준을 채웠는지)을 순서대로 나눠서 점검하는 절차를 팀 내에 표준화해두는 것이 효율적입니다. 매칭 자체는 정상인데 표본만 작은 상황이라면 5강에서 다룬 세 가지 해법(기간 확대·세그먼트 통합·범위 확장)으로 대응하고, 매칭률 자체가 낮다면 이는 6강에서 다루는 해싱·정규화 불일치 문제일 가능성이 큽니다.

클린룸 도입을 보고할 때 "왜 어떤 캠페인은 데이터가 안 나오냐"는 질문을 받기 쉽습니다. 이때 최소 모수 임계값은 매체의 기술적 결함이 아니라 유저 개인정보를 보호하기 위한 의도된 설계라는 점을 분명히 전달해야 합니다. 표본이 작은 캠페인의 결과가 나오지 않는 것은 오히려 그 캠페인 단독으로는 통계적으로 신뢰할 만한 결론을 낼 수 없다는 신호로 받아들이는 것이 합리적이며, 이 한계를 무리하게 없애려 하기보다 분석 설계 단계에서부터 충분한 표본이 모일 수 있는 범위로 질문을 재설계하는 방향으로 접근해야 합니다.