캘리포니아 법무장관, 23andMe 고객 대상 소비자 경고 발령

• 23andMe의 재정 불확실성이 커지면서, 캘리포니아 법무장관 Rob Bonta가 고객에게 유전 데이터 삭제 권리를 안내함
• 회사는 공개적으로 재정적 어려움을 보고했고, 증권 신고에서 계속기업으로 존속할 수 있을지에 상당한 의문이 있다고 밝힘
• 경고의 핵심은 23andMe가 보유한 민감한 소비자 데이터이며, 캘리포니아 주민은 GIPA와 CCPA에 따라 삭제를 요청할 수 있음
• 계정 설정에서 개인 정보와 유전 데이터를 삭제하고, 보관을 선택했던 타액 샘플과 DNA 샘플도 폐기 요청할 수 있음
• 연구 이용에 동의했던 고객은 Research and Product Consents에서 23andMe 및 제3자 연구자의 데이터·샘플 사용 동의를 철회할 수 있음

---

23andMe 고객에게 안내된 권리

• Rob Bonta 캘리포니아 법무장관은 23andMe 고객에게 유전 데이터 삭제 권리를 상기시키는 소비자 경고를 발령함
• 23andMe는 캘리포니아 기반 유전자 검사·정보 회사이며, 공개적으로 재정적 어려움을 보고함
• 회사는 증권 신고에서 계속기업으로 존속할 수 있을지에 상당한 의문이 있다고 밝힘
• 23andMe가 보유한 민감한 소비자 데이터 때문에, 캘리포니아 주민은 법적 권리를 행사할 수 있음
• 적용되는 법적 권리는 다음과 같음
  • GIPA: 캘리포니아 소비자가 계정과 유전 데이터를 삭제하고 생물학적 샘플 폐기를 요구할 수 있음
  • GIPA: 초기 검사가 끝난 뒤 유전 데이터 수집·사용·공개 및 생물학적 샘플 보관에 제공한 동의를 철회할 수 있음
  • CCPA: 소비자로부터 개인 정보를 수집하는 기업에 대해, 유전 데이터를 포함한 개인 정보 삭제 권리를 캘리포니아 소비자에게 부여함
• CCPA에 대한 추가 정보는 여기에서 확인할 수 있음

계정에서 할 수 있는 조치

• 23andMe에서 계정과 개인 정보를 삭제하려면 웹사이트에 로그인한 뒤 계정 설정에서 진행함
  • 23andMe 계정에 로그인
  • 프로필의 “Settings” 섹션으로 이동
  • 페이지 하단의 “23andMe Data” 섹션으로 스크롤
  • “23andMe Data” 옆의 “View” 클릭
  • 개인 보관용 유전 데이터 사본이 필요하면 삭제 전에 기기로 다운로드
  • “Delete Data” 섹션으로 스크롤
  • “Permanently Delete Data” 클릭
  • 23andMe에서 받은 이메일의 링크를 따라 삭제 요청을 확인
• 과거에 타액 샘플과 DNA를 23andMe에 저장하도록 선택했다면, 계정 설정 페이지의 Preferences에서 샘플 보관 선호를 변경할 수 있음
• 23andMe와 제3자 연구자가 유전 데이터와 샘플을 연구에 사용하도록 동의했던 고객은 계정 설정의 Research and Product Consents에서 동의를 철회할 수 있음

[GN⁺]

Hacker News 의견들

• 인구 유전체학 분야에서 일하고 있고, 마이크로어레이가 주류 기술이던 시절 초기의 거의 전장 유전체 유전형 분석 연구에도 직접 참여한 적 있음
  하지만 거의 20년 동안 친척들에게 23andMe나 비슷한 상업 회사의 대규모 유전형 분석에는 참여하지 말라고 해왔음. 회사가 데이터 권리를 보유하는 구조라면 지금 같은 일이 벌어질 가능성이 크다고 봤기 때문임
  몇 년 전 23andMe 유전형 분석이 크리스마스 선물처럼 유행했는데, 개인적으로는 왜 그렇게 많은 데이터를 상업 법인에 넘기고 싶어 하는지 이해하지 못했음
  대규모 염기서열 정보가 어떤 사람들에게는 적절할 수 있지만, 정말 필요하다면 자기 데이터의 소유권을 최대한 확보해야 함

  • “이해하지 못했다”는 건 결국 단순한 비용/편익 계산으로 볼 수 있음
    90% 이상의 사람에게는 조상 분석 보고서를 보는 이점이나 흥미가 DNA를 넘기는 비용이나 위험보다 크게 느껴짐
    다만 더 많은 사람이 개인 프라이버시를 진지하게 여기지 않는 이유를 묻는 건 타당함. 현실적으로 Google이나 23andMe 같은 회사는 모두가 HN 독자층만큼 프라이버시에 민감했다면 존재하기 어려웠을 것임. 좋든 나쁘든 소비자들이 데이터 공유를 받아들이기 때문에 Google이 존재함
  • 가입할 때 충분히 알고 결정했음
    이건 SNP 유전형 분석이라 현실적으로 조상 정보와 몇 가지 건강 상태를 알려주는 것 외에는 대부분의 건강 상태를 잘 예측하지 못함. 유전형 분석은 전체 유전 정보의 작은 비율만 포착하고, 전장 염기서열 분석도 아니라서 지불한 가격 대비 아직 너무 비쌈. 그래서 실제 데이터는 꽤 제한적이고 위험도 현실적으로는 작다고 봤음
    프라이버시는 위험과 보상의 문제임. 모든 것에 예방 원칙을 적용하기보다는, 삶에서는 여러 절충을 하게 됨
  • 23andMe 덕분에 이복 여동생과 생물학적 아버지를 찾았음
    이런 경우를 보면 이해가 될 수도 있음. 어떤 사람들은 자신이 누구인지 알기 위해 꽤 큰 대가를 치를 의향이 있음
  • 23andMe의 유전적 위험 점수와 인구 혼합 추정은 정말 형편없음
    꽤 좋은 연구자들을 채용했는데도 왜 이렇게 나쁜지 이해하기 어려움. 이런 모델을 만드는 건 꽤 단순하고, 무료로 공개된 모델들이 사이트에서 제공하는 결과를 훨씬 앞섬
    uBiome과 비슷하게, 과장된 상품을 많이 팔면서 소비자 대상 검사 평판을 해쳤음. 23andMe 같은 서비스에 환경 요인을 포착하는 후성유전학 검사까지 조금 더하면 전반적인 건강 스냅샷을 얻는 훌륭한 방법이 될 수 있었을 텐데 아쉬움
  • 23andMe의 경우 사용자가 자기 데이터를 소유함. 데이터를 내려받고 삭제를 요청하면 그때는 사용자가 유일한 소유자가 됨
    다만 계보, 친족 관계, 그리고 약물 ADME 관련 SNP처럼 더 행동 가능한 일부 SNP에 관심이 있다면 23andMe 인터페이스는 유익하고 의학적으로도 쓸모 있음. 실제로 의학적으로 유용한 변이 두 개를 발견했고, 카페인 대사 속도 같은 재미있는 결과도 얻었음
    인터페이스도 AllofUs보다 낫다고 봄

• 명시되지 않은 핵심 문제는 파산이 회사의 고객 의무를 지워버릴 수 있다는 것임. 여기에는 프라이버시 의무도 포함됨[1]
  특히 자산이 California 밖이나 미국 밖의 회사에 팔리면 더 문제가 됨
  [1] https://harvardlawreview.org/print/vol-138/data-privacy-in-b...

  • 맞음
    개인 데이터에 붙은 의무가 데이터와 함께 따라다닐 수 있어야 함. 부동산과 비슷하게, 이웃과 접근권 같은 의무를 합의하면 미래 소유자에게도 구속되도록 만들 수 있음. 그렇지 않으면 그들이 땅을 팔 때마다 접근권을 잃을 수 있음. 이런 장치는 보통 토지가 분할될 때 설정됨
  • 24시간 뒤에 파산이 벌어짐

• 23andMe가 계속기업으로 존속할 수 있을지 위험한 상태라는 사실만 봐도, 대량의 유전 데이터 수익화 가능성에 대해 필요한 답은 나온 셈임
  결국 여기서 큰 가치를 뽑아내기 어렵다는 뜻임. 가능했다면 이미 했을 것임
  Humana나 Aetna 같은 대형 건강보험사에도 이 DNA 데이터가 그렇게 가치 있을 거라고 보지 않음
  보험사가 유전 데이터와 연결할 수 있다고 상상하는 의료 기록은, 이 DNA 염기서열의 가치보다도 더 낮을 수 있음
  수천만 건의 입원 퇴원 기록과, 별도로 유전 데이터가 보완된 상세 설문을 다뤄본 전직 보건경제학자의 견해임

  • 미국의 현행 법을 감안하면, 보험사가 이 데이터를 가장 잘 활용하는 방법은 데이터베이스의 DNA 프로필을 바탕으로 가족들을 특화 예방 진료에 참여시키는 것일 듯함
    이 방향이라면 꽤 괜찮은 수익을 낼 수 있고, 상당한 호감도도 얻을 가능성이 있음
  • 염기서열 데이터는 법 집행기관 외에는 별 가치가 없다고 오래전부터 의심해 왔음
    염기서열과 질병을 연결하는 게 그렇게 쉬웠다면, 해당 질병을 다루는 능력에서 이미 빠른 진전이 있었을 것임. 유전 데이터만으로는 충분한 예측자가 되지 못함

• 데이터 브로커에 대해 그동안 꽤 조심해 왔다고 우쭐해질 때마다, 친척들이 이미 23andMe 같은 곳에 충분히 DNA를 넘겨서 내 노력이 무의미해졌을 수 있다는 사실을 떠올림

  • 아마 그 친척들은 소셜 미디어에 당신의 사진, 영상, 사적인 세부 정보도 공유하고 있을 가능성이 큼
  • 프라이버시가 중요하다는 건 인정하지만, 예를 들어 누군가 내 DNA를 갖고 있다면 구체적으로 어떤 공격 경로가 생기는지 궁금함. 실제로 무슨 일이 벌어질 수 있나?
  • Facebook은 비사용자에 대해 만드는 그림자 프로필을 삭제할 방법을 만든 적이 있나?
    아마 계정을 만들라고 할 것 같음

• 이것이 실제로 어떻게 피해를 주는지는 아직 명확하지 않음. 그래서 직접 위험을 감수하는 방식으로 시험해보려 함
  Nebula Genomics로 분석한 내 유전체는 원하는 누구에게나 공개되어 있음. 원시 FASTQ 파일이 있고, 접근하려면 소액을 내야 함
  예전에 친구와 함께 사람들이 유전체와 건강 정보를 제출하면 대규모 인구 집단 연구를 할 수 있는 사이트를 만들자고 했던 적이 있음. All Of Us 등에도 내 자료를 제출했지만, 데이터 접근에 특별 승인이 필요하다는 점은 손실이라고 봄
  이제 이 문제를 다시 볼 때가 된 것 같음. 대신 VCF를 공개하는 편이 나을 수도 있음. 훨씬 작고 사람들이 접근하기 쉬울 수 있음. 어쨌든 내 FASTQ가 필요하면 이메일을 보내면 됨

  • 내 데이터는 여기 있고, 무료임:
    https://my.pgp-hms.org/profile/hu80855C
    Google Cloud Genomics를 시작할 때 제약 없이 쓸 수 있는 데이터가 필요해서 진행했음. Illumina의 유전 상담사는 “탐지 가능한 유전적 위험 요인이 없다”고 했고, 대체로 예상한 바였음. 위험 요인이 전혀 없다는 뜻이 아니라, Illumina의 유전 상담 능력이 그다지 좋지 않았다는 뜻에 가까움
  • 정부가 특정 표현형을 싫어한다고 판단하고, 데이터베이스를 바탕으로 사람들을 찾아갈 수도 있음
    1930년대 후반과 1940년대 초반 인구조사 양식의 무해해 보이는 “종교가 무엇인가” 질문으로 비슷한 일이 벌어진 적이 있음
  • 한 개인의 문제가 아니라, 대규모 데이터베이스가 있을 때의 가치가 더 큼
    카페에 갔을 때 스토커가 지문에서 DNA를 채취하고, 유출되거나 판매된 23andMe 데이터베이스를 이용해 이를 신원이나 집 주소와 연결할 수 있음
    흥미롭게도 직계 친척이 서비스를 사용한 경우에도 이런 식으로 작동할 수 있음
  • 내 유전체를 분석해보고 싶음. 이 데이터를 사적인 것으로 보지는 않음. 정말 의지가 있는 주체라면 약간의 노력만으로도 수집할 수 있다고 봄
    Nebula Genomics 사용 경험은 어땠나? 지금 한다면 그곳을 추천할지, 아니면 다른 곳을 추천할지 궁금함
  • George Church 쪽 사람들과 비슷한 생각임. 나도 그쪽임
    얼굴의 고해상도 이미지는 VCF만큼, 혹은 그보다 더 많은 기능적으로 유용한 개인 데이터를 담고 있음
    지금 미국의 흐름을 낙관하긴 어렵지만, GINA가 계속 법으로 남을 거라고 믿음
    https://en.wikipedia.org/wiki/Genetic_Information_Nondiscrim...
    만약 내가 틀렸다면, 내 DNA 보안은 나나 우리에게 가장 작은 문제일 것임

• 데이터를 삭제할 수 있다고 하지만, 결국 “규제상 의무”를 이유로 계속 보관할 것임. 프라이버시 팀과 여러 차례 주고받았고 마지막 답변은 이랬음
  “23andMe 팀에서 후속 답변드립니다. 명확히 말씀드리면, 저희와 실험실 협력사는 특정 정보 보관이 필요할 수 있는 다양한 법적·규제상 의무를 따릅니다. 저희의 데이터 보관 프로그램은 고객이 거주하는 국가나 주, 계약 실험실이 위치한 주, 저희가 판매하는 조상 및 건강 제품과 관련된 연방 또는 주 면허 의무에 따라 달라질 수 있는 적용 법률 요건을 준수합니다. 샘플과 유전자 검사 결과는 적용 법률에 따라 삭제되며, 법적 보관 의무는 데이터 프라이버시 법상 데이터 삭제 요청에 대한 적절한 예외가 된다는 점을 확인드립니다.”

  • 어떤 요청을 했더니 이런 답변을 받았는지 궁금함. 예를 들어 데이터 삭제를 요청한 뒤 이메일로 삭제 여부를 확인했나? 또 California 거주자인지도 궁금함
  • 소송할 수 있을 것 같음. 이건 완전히 법무 영역임

• California 기반 회사가 재무적 곤란에 처했고, 증권 신고에서 계속기업으로 존속할 능력에 상당한 의문이 있다고 공개했다는 부분이 중요함
  이게 내가 다른 메시징 앱보다 Signal을 쓰는 이유 중 하나임. 회사가 망할 때 비공개 메시지가 데이터베이스에 남아 있다가 헐값 매각 과정에서 팔리는 걸 원하지 않음
  보안 카메라, 비밀번호 관리자, 홈 자동화, 저장소, 위키 같은 앱도 가능하면 로컬에서 호스팅하려고 함

  • 보안 카메라, 저장소, 비밀번호 관리는 홈 호스팅으로 무엇을 쓰는지 궁금함
    저장소 솔루션이 휴대폰 데이터 자동 백업에도 동작하나?

• 23andMe가 소비자와 데이터 처리 방식에 대해 합의했다면, 인수 여부와 관계없이 그 합의는 유지되어야 함. 소비자가 적극적으로 합의를 바꾸지 않는 한 영구히 유지되어야 함
  Dropbox가 매각된다고 해서 개인 데이터가 약탈당할 거라고 이야기하지는 않을 텐데, 왜 23andMe에서는 이게 논의 대상이 되는지 모르겠음
  법무장관을 비판하려는 게 아니라, 이런 얘기가 필요할 정도로 소비자 보호가 느슨해졌다는 점을 말하는 것임

  • 맞음, 원래는 상관없어야 함. 그런 세상이라면 좋겠지만 여기는 그렇지 않음
    회사들은 이런 합의를 자주 무시함. 가끔 적발되더라도 손목 때리기 수준으로 끝남
    더 자주 벌어지는 일은, 애초에 합의가 깨졌다는 사실조차 우리가 알지 못하는 것이라고 봄
    재정난에 처한 회사가 절대 팔지 않겠다고 약속한 개인 데이터에 가격표를 붙이기 시작하는 건 거의 자연법칙에 가까움. 구명보트에서 굶주린 사람들이 있는 만화처럼, 그들은 당신의 데이터를 보고 더 이상 보호해야 할 법적 합의가 아니라 맛있는 닭다리로 보게 됨
    Dropbox가 매각될 때 개인 데이터가 약탈당할 거라고 이야기하지 않는다는 부분도, 그에 대한 견해는 사람마다 다를 수 있음
  • 23andMe와 Dropbox의 개인정보 처리방침은 모두 개인정보 처리방침이 바뀌면 사용자에게 알리기만 하면 되며, 변경 범위에 대한 제한은 없음
    그러니 Dropbox가 팔린다면 우리도 그 이야기를 해야 할지 모름

• 간단한 규칙이 있음
  회사가 중요한 데이터를 부주의하게 다루거나 팔지 않겠다고 약속해도, 법적 결과나 보장이 없다면 그 회사나 관련된 다른 회사는 결국 반드시 그 일을 하게 됨

• 23andMe 주가는 5년 전보다 99.12% 하락했음. 대체 무슨 일이 있었나? 사업 모델이 성립하지 않는 건지, 아니면 극도로 잘못 운영된 건지 궁금함

  • 몇 년 전 23andMe의 몰락을 다룬 꽤 좋은 글이 있었음. 아마 The Atlantic이었던 것 같음
    핵심은 몇 년 만에 잠재 고객을 거의 다 소진했다는 것임. 사업 전체가 한 사람의 DNA를 분석하는 것이라면 재구매 고객을 얻기 어렵다는 게 드러남
    이후 유전자 서열을 바탕으로 건강 조언을 주는 구독 모델로 전환하려 했지만, DNA에서 얻을 수 있는 건강 정보는 대체로 의심스럽고 대부분 거의 쓸모없다는 게 문제였음
  • 생각해보면 2013년에는 신기한 물건이었음. 99달러를 냈고, 지금도 조상 정보와 건강 관련 잡학을 보여주는 웹사이트 기능에 접근할 수 있음
    이런 것에 관심 있는 사람들은 이미 다 해봤음. 앞으로 어떤 매출이 남아 있나?
  • 소비자 대상 혈액 검사 회사가 왜 상장 회사여야 하나?
    답은 간단함. 상장은 깊은 적자 회사가, 돈을 넣을 곳을 찾는 연기금에 그럴듯한 이야기를 팔아 수백만 달러의 현금을 얻는 치트 코드임. 여기에 “우리는 기술 회사”라는 요정 가루를 뿌리면 완성됨