23andMe, 이용약관 변경으로 구속적 중재 강제

• 23andMe는 2023년 10월 공개된 보안 침해의 영향 범위가 총 690만 명이라고 확인한 뒤, 분쟁을 법원보다 중재로 보내는 약관 변경을 적용함
• 새 절차에서는 사용자가 먼저 고객 지원팀과 최소 60일간 비공식 협상을 거쳐야 하며, 해결되지 않으면 보통 중재로 넘어감
• 중재 조항은 일부 예외를 제외하고 집단소송과 집단중재를 막아, 같은 피해를 겪은 사용자가 공동 대응하기 어려워짐
• 사용자는 효력 발생일 등 기준일로부터 30일 이내 [e-mail]으로 서면 통지를 보내야 빠질 수 있지만, 안내 이메일에는 이 주소가 빠져 있음
• 2023년 11월 30일 적용된 변경은 이미 침해 영향을 받은 사용자에게도 영향을 주며, 향후 분쟁에서 법원 소송 선택지를 크게 좁힘

---

보안 침해 이후 약관이 바뀜

• 23andMe는 개인 유전체 및 생명공학 회사로, 2023년 10월 6일 처음 공개된 보안 침해를 수습해 왔음
• 10월 19일에는 처음 책임을 주장했던 동일 해커가 또 다른 침해를 주장했고, 이번에는 400만 건 이상 유전 프로필 기록에 접근했다고 말함
• 12월 4일 23andMe는 침해 전체 범위가 총 690만 명 사용자라고 확인함
• 10월 14일까지 여러 개인이 23andMe를 상대로 과실 소송을 제기했으며, 사용자들 사이에서는 회사 대응이 매우 부실했다는 평가가 많았음

새 분쟁 해결 절차의 핵심

• 23andMe는 Terms of Service 업데이트를 통해 사용자를 구속적 중재 절차로 보내는 변경을 진행 중임
• 구속적 중재는 양측이 중립 제3자인 중재인에게 주장을 제시하고, 중재인이 증거를 검토해 결정을 내리는 방식임
• 핵심은 중재인의 결정이 최종적이고 법적으로 집행 가능해, 양측이 이를 받아들여야 하며 일반 법원에 항소할 수 없다는 점임
• 이 방식은 소비자 계약, 고용 분쟁, 비즈니스 분쟁 등에서 사용되며, 법원 절차보다 빠르고 덜 형식적인 경우가 많음

약관에 포함된 주요 조항

• 초기 분쟁 해결 기간

  • 사용자는 23andMe 서비스 관련 문제가 있으면 먼저 고객 지원팀에 연락해야 함
  • 다음 법적 절차로 가기 전 최소 60일간 비공식 협상을 시도해야 함
  • 분쟁 내용, 발생 시점, 원하는 해결책, 연락처가 포함된 상세 이메일이 필요함
  • 변호사가 있는 경우 변호사도 함께 23andMe와 논의해야 함

• 법원 대신 중재

  • 60일 안에 해결되지 않으면 일반적으로 법원 소송이 아니라 중재로 이동함
  • 중재 절차는 중재 서비스 회사 JAMS 규칙을 따름
  • 유사한 분쟁이 다수 발생한 경우에는 NAM을 통한 Mass Arbitration 절차가 사용될 수 있음

• 중재인의 결정

  • 중재인의 결정은 최종적임
  • 중재인은 법을 따라야 하며, 법원이 내릴 수 있는 판정을 내릴 수 있음

• 중재 예외

  • 지식재산권 분쟁과 소액 청구 같은 일부 사안은 사용자나 23andMe가 법원으로 가져갈 수 있음

• 집단소송 금지

  • 사용자는 다른 사람들과 함께 23andMe를 상대로 집단소송이나 집단중재를 제기할 수 없음
  • 각 분쟁은 개별적으로 처리됨

• 분리 가능성

  • 분쟁 해결 조항의 일부가 법적으로 집행 불가능하더라도 나머지 조항은 계속 적용됨

보안 침해 분쟁에 미치는 영향

• 사이버 보안 침해와 관련해 23andMe와 분쟁이 생기면 사용자는 먼저 고객 지원팀과 해결을 시도해야 함
• 해결되지 않으면 예외에 해당하지 않는 한 법원 소송이 아니라 중재로 가게 됨
• 같은 문제를 겪은 사용자들과 함께 집단소송을 제기할 수 없어 공동 대응 여지가 줄어듦
• 약관 변경은 2023년 11월 30일 적용됐으며, 보안 침해 영향을 받은 사용자에게도 영향을 줌

30일 옵트아웃 절차

• 23andMe는 이메일로 사용자에게 이용 약관 변경을 알리기 시작함
• 사용자는 새 조항의 기준일로부터 30일 이내 중재 및 집단소송 포기 조항에서 빠질 수 있음
• 안내 이메일에는 업데이트된 약관에 명시된 옵트아웃 주소인 [e-mail]으로 이메일을 보내야 한다는 내용이 포함되지 않음
• 업데이트된 약관 미리보기에 따르면, 사용자는 중재 및 집단소송 포기 조항에 구속되지 않으려면 해당 주소로 서면 통지를 보내야 함
• 통지는 서비스 최초 사용일 또는 중재·집단소송·집단중재 포기 조항이 포함된 약관의 효력 발생일로부터 30일 안에 보내야 함
• 사용자가 중재 조항에서 옵트아웃하면 23andMe도 해당 조항에 구속되지 않음

중재가 소비자에게 불리한 이유

• Stanford Graduate School of Business는 중재가 소비자에게 불리하게 작동할 수 있다는 글과 연구를 공개함
• 해당 글은 증권업계의 약 9,000건 중재 사례 분석을 바탕으로, 중재 시스템이 소비자에게 불리하다고 봄
• 기업은 자신들에게 유리하게 판정할 가능성이 있는 중재인을 찾는 데 정보 우위를 가짐
• 중재인도 한 사건에서 기업 친화적으로 행동하면 향후 사건에 선택될 가능성이 크게 높아진다는 점을 알고 있음
• 이번 약관 변경은 소비자보다 23andMe 자신을 보호하는 효과가 크며, 비슷한 규모의 보안 침해가 다시 발생할 경우 대규모 사용자 불만에 대한 방어막이 될 수 있음

옵트아웃 이메일 작성 방식

• 보안 침해 영향을 받았고 강제 중재에서 빠지고 싶다면 다음 주소로 이메일을 보낼 수 있음
  • [e-mail]
  • [e-mail]
  • [e-mail]
• 제목 예시는 Request to Opt-Out of Updated TOS임
• 이메일에는 다음 내용을 포함함
  • 2023년 11월 30일자 23andMe 이용 약관 변경에 관한 연락임
  • 23andMe에 등록된 이름
  • 23andMe 계정에 연결된 이메일 주소
  • 업데이트된 이용 약관에서 공식적으로 옵트아웃을 요청한다는 문구
  • 최근 업데이트에 명시된 조항에 동의하지 않는다는 문구
• 사용자는 답장을 저장하고, 옵트아웃이 처리됐다는 확인을 명시적으로 요청해야 함
• 향후 또 다른 침해가 발생할 경우, 해당 답장은 사용자가 약관 변경에 구속되지 않는다는 증거가 됨

[GN⁺]

Hacker News 의견들

• 서비스 약관을 읽을수록 보통법식 해결책이 필요해 보임
  여기서 보통법이라는 표현은 느슨하게 쓴 것이고, 예를 들어 소프트웨어 서비스를 정보 제공자, 소셜 네트워크, 현실 세계 인터페이스 같은 몇 가지 미리 정의된 범주로 나누고, 각 범주에 기본 규칙을 두는 방식임
  오프라인 소매업에는 이미 비슷한 틀이 있어서, 각 매장이 자기 규칙을 마음대로 만드는 것이 아니라 사회적 규범 안에서 영업해야 함
  지금 구조는 모든 기업이 약관에서 가능한 한 많은 법적 지분을 주장하도록 유도하고, 결과적으로 사실상의 기업 국가를 만든다. 법정에서 다투면 집행 불가능할 조항도 많아서 문화적으로 법치주의도 약해지고, 사용자는 늘 협상에서 크게 불리한 위치에 놓임

  • 그런 법을 실제로 도입하면 Hacker News에서는 곧 기업 적대적이고 혁신을 막는다고 불평할 것임
    유럽 여러 나라에는 이미 이런 법이 꽤 있음. 인터넷에서 물건을 사면 마음에 들지 않을 때 14일 안에 반품할 수 있고, 합리적인 보증을 보장받으며, 기업은 명시적 동의 없이 개인정보를 남용할 수 없음. 강제 구속 중재도 허용되지 않음
    약관 템플릿을 의무화할 필요는 없고, 기본적인 소비자 보호법만 있으면 됨
  • 보통법이라는 표현을 느슨하게 쓴 건 이해하지만, 이 분야가 새롭기 때문에 역사적 선례, 즉 보통법이 부족한 것임
    그래서 필요한 것은 보통법이 아니라 실제 법률이라고 봄
    문제는 법이 매우 구체적이어야 한다는 데 있음. 기업이 “내 데이터”를 팔지 못하게 하려면 먼저 무엇이 내 데이터이고 무엇이 기업의 데이터인지 정의해야 하는데, 생각보다 어렵다. 사회보장번호는 내가 소유한 것인지, 정부가 빌려준 것인지, 공적 기록은 공공 데이터인지 같은 문제가 생김
    개인정보는 한 부분일 뿐임. 금융은 어떻고, 서비스가 사용자를 끊을 수 있는지, 돈을 낸 적이 없으면 어떻게 되는지, 게시물을 삭제할 수 있는지, 삭제된 게시물의 인용은 남아도 되는지, 광고주가 특정 인구집단을 겨냥해도 되는지 등도 다뤄야 함
    이런 내용을 실제 법으로 쓰기는 어렵고, 다수의 사람을 만족시키는 법을 만드는 것은 거의 불가능함. 그런 요구는 이해하지만, 막상 법이 만들어지면 마음에 들지 않을 가능성이 큼
  • 서비스 약관과 최종 사용자 라이선스 계약은 실제로 협상된 계약이라기보다 사적 입법에 가까움
  • 쉬운 답은 변호사가 아니어도 읽을 수 없거나 일정 문단 수를 넘는 서비스 약관은 구속력이 없게 만드는 것임
    집을 살 때 서명 하나로 끝나지 않고, 사실상 모든 페이지와 같은 페이지의 여러 곳에 서명함. 약관도 달라야 할 이유가 없음
  • 대륙법식 해결책은 어떨까 싶음
    보통 아직 갖고 있지 않은 권리는 포기할 수 없기 때문에, 아직 피해가 발생하지 않았는데 구속 중재 조항에 서명할 수는 없음
    여기에 더해 다수에게 제시되는 일반 약관의 한계를 정하는 법으로 약관을 강하게 제한하고, 소비자가 기업을 상대하기 쉽게 해주는 소비자 중재위원회도 존재함

• [e-mail]로 보낼 수 있는 약관 변경 거부 요청서 초안임
  제목: Request to Opt-Out of Updated TOS
  23andMe Team,
  I am contacting you regarding the recent changes to the 23andMe Terms of Service, dated November 30, 2023. My name is [your name as registered with 23andMe], and the email associated with my 23andMe account is [your 23andMe account email].
  I hereby formally request to opt out of the newly updated Terms of Service. I do not consent to the terms as outlined in the recent update.
  Thank you for processing my request promptly.
  [Your Name]

  • [e-mail] 주소는 어디서 나온 건지 궁금함
    내가 받은 이메일에는 “please notify us”라고 되어 있고, 링크는 [e-mail]로 보내는 메일 링크였음
    어제 새 약관에 동의하지 않는다고 보낼 때 그 주소를 사용했음
  • 내용증명 우편으로 보내는 게 좋음. 팩스나 Telex도 가능함
    이메일만 보내지 말고, 보냈다는 사실을 증명할 수 있는 전송 방식이 필요함

• “통지하지 않으면 동의한 것으로 간주한다”는 식인데, 사용자 확인이나 수락 없이 서비스 계약 조건을 바꾸는 것이 합법이거나 집행 가능하기는 한가?

  • 관련된 이야기로, 폴란드 경쟁·소비자보호청이 폴란드에서 제공되는 여러 Amazon 서비스 구독 약관을 검토했고, 어제 발표에서 청장이 이렇게 말했음
    “Amazon EU와 Amazon Digital UK는 새 구독 기간부터 일방적으로 가격을 변경할 수 있는 절차를 갖고 있었다. 이런 조건은 결제 카드가 계정에 연결되어 있고 사업자가 다음 구독 기간에 새 금액을 자동 청구할 권리를 스스로에게 부여하는 상황에서 특히 소비자에게 해롭다”
    “계약 조건은 계약 당사자의 의무를 공정하게 규율해야 한다고 여러 해 동안 주장해 왔다. 인기가 높아지는 구독 서비스에서 소비자는 서비스 제공자를 신뢰하고 정기적으로 의무를 이행하기 위해 결제 카드 정보를 맡긴다. 그렇다고 해서 그 이후부터 사업자가 소비자 동의 없이 이전에 동의한 금액보다 더 많이 청구할 수 있다는 뜻은 아니다”
    “연결된 결제 카드에서 자금을 묶는 방식으로 변경된 가격표에 따라 자동 청구하거나, 계약 조건의 중대한 변경을 일방적으로 도입하는 것은 용납될 수 없다”
    https://uokik.gov.pl/aktualnosci.php?news_id=20132 — 폴란드어 발표문
    여기서는 Amazon 이야기지만, 해당 기관은 다른 회사의 구독 서비스도 조사 중임. Amazon EU와 Amazon Digital UK는 기관에 협조했고, 앞으로 고객에게 예정된 변경을 알리고 고객이 이를 거부한 뒤 위약금 없이 계약을 해지할 수 있게 할 예정임
    인터넷 제공업체에는 이미 이런 방식이 적용되어, 마음대로 계약을 바꿀 수 없음. 다만 “고객님에게 딱 맞춘 완전히 새로운 요금제”라며 전화로 귀찮게 할 수는 있음
    기업의 행동을 바꾸도록 압박하는 것은 가능하지만, 23andMe 같은 특정 서비스에 그대로 적용될지는 의문임. 그래도 이번 데이터 유출 때문에 여러 나라의 데이터 보호 기관이 23andMe가 무엇을 하는지 더 자세히 들여다보게 될 수 있음
  • 처음 동의하는 서비스 약관의 일부로, 회사가 X일 전 통지만 하면 언제든 약관을 바꿀 수 있다는 조항이 들어 있음
  • 영국에서는 불공정한 계약 조건이나 통지는 구속력이 없음
    “신의성실의 요구에 반하여, 계약상 당사자의 권리와 의무에 중대한 불균형을 초래해 소비자에게 불리한 경우”로 정의됨
    https://www.legislation.gov.uk/ukpga/2015/15/section/62?view...
  • 내가 이해하기로는 법원이 서비스 약관 자체가 집행 가능한지조차 아직 제대로 검증하지 않았고, 갑작스러운 약관 업데이트는 더더욱 그렇지 않음
  • 일반적으로 서비스 약관을 명시적 동의 없이 바꿀 수 있다고 해도, 판사는 중재 동의에는 이메일을 무시한 것보다 더 높은 기준이 필요하다고 볼 수 있음

• “유사한 청구가 여러 건 제기될 때 분쟁을 신속히 해결하고 중재 절차를 간소화하기 위해”라는 문구를 보니, 누군가 데이터 유출 후폭풍에 대비하고 있는 듯함

• 해킹이 일어난 뒤에, 보안 부실로 인한 손해를 줄이려고 약관을 사후 변경할 수 있다는 게 말이 되나 싶음
  이게 가능하다면 보안을 왜 신경 쓰겠나. 나중에 약관만 바꾸면 되는데. 유능한 변호사들이라면 충분히 다툴 수 있을 것 같음

• 약관과 상관없이, 약관에 동의한 적 없는 가족 구성원은 여전히 소송 자격이 있을 수 있음
  데이터 유출의 영향을 받은, 약관에 서명하지 않은 친척이 조 단위 집단소송을 이끌게 될까?
  여기서 말하는 집단소송은 몇몇 변호사만 부자로 만들고 잘못한 회사가 부당 이익의 작은 일부만 내고 책임을 털어내는 방식이 아니라, 남용 성향이 있는 산업이 대중을 두려워하게 만드는 목적의 소송임

• 어머니가 별생각 없이 이 서비스를 사용했고, 양식에 모든 친척 이름을 적어 넣었음
  받은 결과는 전혀 유익하지 않았고, 이제 내 DNA의 50%가 그들의 수상한 데이터베이스에 들어가 있으며, 나는 어떤 것도 거부할 방법이 없음
  이 조직이 정말 싫음

  • 2021년 New Yorker의 글 How Your Family Tree Could Catch a Killer (https://www.newyorker.com/magazine/2021/11/22/how-your-family-tree-could-catch-a-killer)이 굉장히 많은 것을 보여줬고, 개인정보에 대한 관점을 바꿔 놓았음
    전 세계 인구 중 놀라울 정도로 작은 비율만 염기서열이 분석되어도, 샘플을 염기서열이 없는 사람과도 매칭할 수 있음. 기사 표현을 빌리면 “유전 계보학은 범용 익명 해제 도구처럼 작동할 수 있었다”
    그래서 어머니가 가입한 것에 너무 화낼 필요는 없을지도 모름. 우리의 DNA는 하드드라이브의 문서와 같은 방식으로 우리 것이라고 보기 어렵고, 애초에 거부권은 없었을 가능성이 큼
  • 23andMe는 DNA 정보가 공개되지 않았다고 주장하고, SNP 정보가 탈취됐다고 말하는 1차 출처를 찾기 어렵다. 더 자세한 기사에는 이렇게 나옴
    “가계도, 생일, 대략적인 지리적 위치와 관련된 민감한 개인정보가 노출됐다. 일부 경우 회사는 주로 침해된 계정을 통해, 같은 서비스를 쓰는 연결된 가족 구성원의 사진과 표시 이름도 노출됐을 수 있다고 밝혔다. 23andMe는 실제 유전 물질이나 DNA 기록은 노출되지 않았다고 강조한다”
    “23andMe 대변인은 해커가 이 방식으로 약 550만 고객의 DNAR 프로필에 접근했고, DNA Relative 참여자 140만 명의 Family Tree 프로필 정보에도 접근했다고 Engadget에 말했다”
    “DNAR 프로필에는 표시 이름과 위치 같은 자가 보고 정보뿐 아니라, DNA Relatives 매칭의 공유 DNA 비율, 가족 이름, 예측 관계, 조상 보고서 같은 민감한 세부 정보가 들어 있다. Family Tree 프로필에는 표시 이름과 관계 라벨, 사용자가 선택적으로 추가한 출생연도와 위치 같은 정보가 들어 있다. 10월에 침해가 처음 공개됐을 때 회사는 조사 결과 ‘유전자 검사 결과는 유출되지 않았다’고 밝혔다”
    https://www.engadget.com/23andme-hack-now-estimated-to-affec...
    아마 Stackdiary 기자가 “DNAR profile”을 “genetic profile”로 옮긴 듯한데, 이 용어에는 표준 정의가 없음. 그래도 정의가 있다면 적어도 일부 DNA 정보를 의미한다고 추측했을 것 같음
    23andMe가 거짓말을 하거나 실제로 무슨 일이 있었는지 모를 수도 있지만, 그렇다면 추가 공개가 의무화될 때 또 한 번 뉴스가 될 것임
  • 최악은 사용자가 제출한 데이터를 써서 다른 사람을 끌어들이는 소셜 미디어식 전술임
    내일 당장 차등 암호 같은 것을 써서, 어느 정도 개인정보를 지키면서 DNA를 공유하고 친척을 찾을 수 있는 책임 있는 DNA 서비스가 나온다고 해보자
    그래도 시작조차 못 할 것임. 친척들은 이미 이 서비스나 Ancestry, MyHeritage, FamilyTreeDNA에 있기 때문임. 이 회사들도 하나같이 지저분한 미국 또는 이스라엘 거대기업이고, 믿을 수 있는 정도는 던질 수 있는 거리만큼인데, 1인치도 안 됨
  • 기분이 좀 나아지려면, 독점 코드의 불법 복제라는 이유로 23andMe에 DMCA 삭제 요청을 넣어볼 수 있겠음. 어머니가 그 복제를 유발한 셈이고
  • 사용자를 식별하는 데 꼭 어머니일 필요는 없음
    사촌이 했어도 쉽게 식별될 수 있음. 기본적으로 혈연 중 누구든 이런 서비스를 쓰면 사용자는 쉽게 식별 가능해짐

• 한 가지 장점은 있을 수 있음
  강제 구속 중재가 적용되면, 바로 그 회사들이 개별적으로 제기되는 수천 건의 사건을 감당하지 못해서 자기 발등을 찍는 일이 생길 수 있음
  https://www.nytimes.com/2020/04/06/business/arbitration-over...

  • 23andMe의 법무 담당자들은 그 점을 이미 생각한 듯함. Ars Technica 보도[1]에 따르면, 업데이트된 약관에는 대량 중재 절차도 새로 설명되어 있음
    “같거나 유사한 주제와 공통된 법률 또는 사실 쟁점을 공유하는 중재 요구가 25건 이상 제기되고, 요구를 제출한 당사자들의 변호인이 같거나 조율되어 있다면” 이는 “Mass Arbitration”으로 간주됨
    모든 대량 중재 분쟁은 “전국적으로 인정받는 중재 제공자”인 National Arbitration and Mediation에서 해결됨
    [1] https://arstechnica.com/tech-policy/2023/12/23andme-changes-...

• 누가 확인해줬으면 함. EU/EEA/EFTA에서 강제 구속 중재가 허용되나?
  아니라면 프랑스나 독일 고객은 어떻게 되는 건가? 이 계약은 완전히 집행 불가능해 보임
  더 나아가, 의도적으로 집행 불가능한 계약을 만드는 행위가 불법이면 좋겠음. 너무 많은 회사가 보통 사람은 이해할 수도 없고, 집행 불가능한지 알 수도 없는 무시무시한 계약을 만들어냄

  • 고객이 개인, 즉 소비자라면 허용되지 않음
    Directive 2013/11/EU 제10조는 “회원국은 소비자와 사업자가 불만을 ADR 기관에 제출하기로 한 합의가, 분쟁이 발생하기 전에 체결되었고 소비자가 분쟁 해결을 위해 법원에 소를 제기할 권리를 박탈하는 효과가 있다면 소비자에게 구속력이 없도록 보장해야 한다”고 규정함
    https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:...
    다만 분쟁이 발생한 뒤, 예를 들어 합의의 일부로 고객이 권리를 포기하는 것은 막지 않음
  • 프랑스 고객이라면, 프랑스에는 23andMe 고객이 없음
    여기서는 법원 명령이 없는 DNA 검사가 불법이기 때문임