롭 본타 캘리포니아주 법무장관은 19일(현지시간) 유전자 검사 업체 23andMe의 후신인 크롬 홀딩 컴퍼니(Chrome Holding Co.)와 600만 달러 규모의 합의를 확보했다고 발표했다. 합의서는 미주리주 동부 연방파산법원에 제출됐으며 법원 승인을 기다리고 있다.
합의가 정리하는 두 가지 분쟁
캘리포니아 법무부 발표에 따르면 이번 합의는 두 갈래의 분쟁을 함께 해결한다. 하나는 회사가 고객의 개인정보와 유전정보를 제대로 보호하지 못해 2023년 데이터 유출이 발생했다는 의혹이다. 다른 하나는 파산 절차 중 캘리포니아 주민의 유전정보와 시료가 이들의 별도 동의 없이 매각된 데 대해 본타 장관이 제기했다가 기각된 이의에 대한 항소다. 법무부는 이번 합의로 23andMe와 법무부 사이에 걸려 있던 청구를 정리하는 대가로 600만 달러가 지급된다고 밝혔다.
이 발표는 캘리포니아 법무부의 설명이며, 합의금이 어떻게 쓰이는지나 소비자에게 별도 보상이 돌아가는지는 발표문에 나와 있지 않다. 합의는 법원 승인 전 단계다.
유출에서 파산 매각까지
법무부 설명에 따르면 23andMe는 샌프란시스코에서 창업한 소비자 직접 의뢰 방식 유전자 검사 회사로, 이 분야에서 세계 최초이자 최대 규모 중 하나다. 고객이 보낸 침 시료를 분석해 원시 DNA 염기서열 자료를 보관했고, 이를 바탕으로 조상, 민족성, 유전적 건강 소인에 관한 보고서를 제공했다.
법무부는 정보 유출 보도가 나온 뒤 조사에 착수했다고 밝혔다. 유출은 미국 전역 고객 700만 명에 가까운 규모에 영향을 줬고, 이 가운데 캘리포니아 주민이 85만 5천 명 이상이라는 것이 법무부의 설명이다.
2025년 3월 23andMe는 파산을 신청하면서 고객의 유전정보와 생물학적 시료를 포함한 자산을 TTAM 리서치 인스티튜트(TTAM Research Institute)에 매각했다. 이 비영리 단체는 23andMe의 공동 창업자이자 전직 최고경영자가 설립했다. 캘리포니아 법무부는 이 매각이 주 유전정보 프라이버시법(Genetic Information Privacy Act)과 맞지 않는다며 이의를 제기했다. 법무부에 따르면 이 법은 유전정보와 생물학적 시료를 판매하거나 이전하기 전에 고객의 별도의 명시적 동의를 받도록 요구한다. 법무부의 이의는 파산법원과 연방지방법원에서 모두 기각됐고, 이번 합의는 이 결정들에 대한 항소도 함께 마무리한다.
이와 별도로 법무부는 23andMe의 후신인 크롬 홀딩을 상대로 주 법원에 소송을 냈다. 무리한 데이터 보안 관행이 2023년 유출로 이어졌고, 회사가 고객과 대중을 오도하는 일부 허위 설명을 했다는 주장이다. 법무부는 파산 절차에도 이에 상응하는 청구를 제출했다. 이번 합의는 이 청구들을 포함해 회사와 법무부 사이에 계류 중이던 청구를 해결하는 것이다.
본타 장관 "파산으로 소비자 보호법 피할 수 없다"
본타 장관은 발표문에서 23andMe가 수백만 명의 유전정보를 수집하고도 그 정보를 안전하게 지킬 의무를 다하지 못했다고 주장했다. 이어 기업이 파산을 신청한다고 해서 캘리포니아의 소비자 보호법과 프라이버시법을 피할 수는 없다고 말했다. 또 23andMe 고객이 누가 데이터를 소유하든 자신의 유전정보를 삭제할 수 있다는 점을 상기시키고 싶다고 덧붙였다.
캘리포니아 소비자의 삭제 요청권
법무부는 합의 발표와 함께 캘리포니아 주민에게 유전정보 프라이버시법에 따른 권리를 안내했다. 소비자 직접 의뢰 유전자 검사 회사에 자신의 개인정보를 삭제하거나 파기해 달라고 요청할 수 있다는 내용이다. 23andMe가 보유한 유전정보나 시료에 대해서는 데이터 삭제, 검사 시료 파기, 연구 활용 동의 철회를 요청할 수 있다.
법무부가 안내한 데이터 삭제 절차는 다음과 같다. 먼저 23andMe 웹사이트에서 계정에 로그인해 프로필의 설정(Settings) 메뉴로 들어간다. 페이지 맨 아래 "23andMe Data" 항목에서 "View"를 누른다. 개인 보관용 사본이 필요하면 삭제 전에 데이터를 내려받을 수 있다. 이후 "Delete Data" 항목에서 "Permanently Delete Data"를 누르고, 23andMe가 보내는 이메일의 링크로 삭제 요청을 확인하면 된다.
이전에 침 시료와 DNA를 회사가 보관하도록 선택했다면 계정 설정의 "Preferences"에서 이 선택을 바꿔 시료 파기를 요청할 수 있다. 23andMe와 외부 연구자의 연구에 유전정보와 시료를 쓰는 데 동의했다면 계정 설정의 "Research and Product Consents"에서 동의를 철회할 수 있다.
법무부는 이 같은 요청 절차를 안내했을 뿐, 삭제나 파기 요청이 실제로 처리되는 방식이나 소요 시간에 관해서는 발표문에서 설명하지 않았다.
