[피치원단독]유전자검사업체 23앤드미,불법으로 500만 개인질병정보 제약사에 넘겨,충격

개인 헬스케어 분야 구글을 꿈꾸고 있는 소비자 유전자 검사업체인 미 23앤드미(23andMe)가 구매고객의 침을 받아서 분석한 유전정보를 고객 동의 없이 무차별적으로 제약회사 등 제 3자에게 넘겨온 것으로 드러나 심각한 개인정보보호 침해 논란이 일고 있다.

23앤드미는 DNA테스트키트를 판매하는 회사로, 소비자가 키트에 침을 뱉어 보내면, 유방암은 물론 알츠하이머, 파킨슨병 등 10가지 난치병에 걸릴 확률이 얼마나 되는지를 알려주는 서비스를 99~199달러에 판매하며 센세이션을 일으키며 일약 세계적 회사로 발돋움한 회사다. 2006년 설립된 23앤드미는 세계적 투자회사들이 대거 투자하면서 이미 기업가치 1조원이 넘는 유니콘 기업으로 평가받고 있다.

실제 23앤드미는 지난 7월 25일 글로벌 제약회사인 글락소스미스클라인(GSK)가 3억 달러(3350억 원)를 23앤드미에 투자하고 4년간 독점적으로 23앤드미의 유전체 데이터를 활용해 공동으로 신약을 개발한다는 내용의 계약을 맺었다고 대대적으로 발표했다.

하지만 23앤드미와 GSK가 맺은 투자 계약의 실제 내용은 23앤드미가 보유한 500만명에 이르는 고객 유전체 데이터를 GSK에 제공, GSK가 이 유전체 데이터를 토대로 신약개발을 하겠다는 게 주 내용이다.

실제 글로벌 제약회사들의 신약개발에는 천문학적인 개발비가 소요되는데, 그 개발비의 60%가 임상시험에 들어갈 만큼 환자모집이 가장 어렵고 비용이 많이 소요되는 게 현실이다. 결국 GSK는 3억달러를 투자해주고, 23앤드미 고객 데이터를 확보, 이를 통해 표적 임상시험을 추진해 천문학적 임상실험비를 절약하겠다는 전략이다.

문제는 미국의 경우 병원 진료고객의 경우 질병, 각종 치료데이터 등 의료데이터의 경우 히파(Hippa)법에 의해 의료기관이나 보험회사는 이를 제 3자에게 제공할 수 없도록 법으로 규제하고 있지만, 23앤드미는 의료기관이 아닌 점을 악용해 이런 개인정보를 글로벌 제약회사에 제공하고 있는 것으로 드러났다.

더욱 심각한 것은 23앤드미가 500만명에 이르는 고객 정보를 제 3자에 넘기는 것은 물론 자사 고객이  제출한 정보를 고객 동의가 없더라도 프로젝트 연구목적으로 사용할 수 있다는 취지로 프라이버정책을 운영, 교묘하게 법망을 피해가고 있다는 의혹이 강하게 제기되고 있다.

특히 23앤드미는 자사 고객 500만명은 물론 관련 유전자검사 소비자들이 페이스북이나 트위터 등에 올린 글이나 개인적 의견들을 무차별적으로 수집하고 있는 것으로 드러나는 등 23앤드미가 개인정보보호법을 위반, 불법적인 정보수집 행위를 하고 있다는 의혹이 잇따라 제기되고 있다.

현재 23앤드미의 이런 광범위한 개인정보 수집행위가 미국에서는 불법적인 것은 아니지만,유럽 등 미국외 국가에서는 개인정보보호법 침해소지가 있을 수 있다는 게 전문가그룹의 대체적인 견해다.

EU 주요 국가는 이미 23앤드미가 구글이나 아마존처럼 전세계 이용고객의 정보를 무차별적으로 긁어모으는 헬스케어 분야의 구글 같은 빅브라더라며 GDPR(개인정보보호규정)을 개정, 데이터수집 금지를 더욱 강화하고 나섰다.

실제 23앤드미의 창업자는 앤 워짓스키로, 구글을 창업한 세르게이 브린의 전처이다. 예일대 생물의학을 전공한 그녀가 생물학자 린다 애이비와 함께 2006년 창업, 유전체 분석에 들어가는 시간과 비용을 대폭 줄이면서 세계적 VC들이 대거 투자한 바 있다.

EU는 미국 정부가 이러한 데이터를 수집하는 미국계 거대기업의 이런 개인정부 수집행위에 대해 암묵적으로 묵인해주고 있다고 보고, GDPR를 통해 23앤드미의 불법적 데이터수집 및 제3자 제공 등에 대해 더욱 규제를 강화한다는 입장이다. 실제 미국은 개인정보보호법이 매우 취약한 상태다.

■ 23앤드미의 교묘한 프라이버시정책, 대놓고 불법적인 데이터 수집

기업 정보 제공업체 피치북(PitchBook)은 23앤드미와 GSK 간 투자계약 빅딜 건과 관련해 23앤드미의 기업 가치가 지난해 1조9000억원(17.5억 달러)에서 2조8000원(25억 달러)로 상승할 것이라 예측했다.

세계적 투자회사인 미국계 VC들은 유전체 데이터를 기반으로 신약을 개발하는 것은 엄청난 시너지 효과를 가져올 것이라며 23앤드미가 이 분야 구글 같은 거대기업으로 발돋움할 것으로 내다보고 있다.

하지만 유망 스타트업으로 꼽히는 23앤드미는 자체 프라이버시 정책을 공개한 ‘Full Privacy Statement’를 통해 고객이 동의하지 않더라도 정보수집은 물론 제 3자에게 제공할 수 있다는 내용의 개인정보 이용정책을 제시, 대놓고 고객의 개인정보를 보호는커녕 영리 목적으로 마음대로 수집하고 제 3자에게 판매하고 있다는 사실이 드러났다.

실제 23앤드미는 내부적으로 ‘23앤드미 리서치 프로젝트’를 진행하면서 이 프로젝트에 참여할 것을 동의하면 이름, 인종, 주소 등 개인의 등록정보(신용카드 정보 제외)는 물론 유전정보 등을 사용해 자사가 연구를 진행할 수 있다고 명시하고 있다.

[세계적 불법논란을 일으키고 있는 대표적 23앤드미 내부 규정]

What happens if you do NOT consent to 23andMe Research?

If you choose not to complete a Consent Document or any additional agreement with 23andMe, your Personal Information will not be used for 23andMe Research.
However, your Genetic Information and Self-Reported Information may still be used by us and shared with our third party service providers to as outlined in this Privacy Statement.

23앤드미의 내부 프라이버시 정책 규정에 따르면 고객이 동의하지 않더라도 고객이 23앤드미에 제출한 개인정보와 유전정보 등이 연구에 활용되고 심지어는 제약회사 같은 제3자 업체에 공유 가능한 것으로 확인됐다.

■ 23앤드미의 야망, 전 세계 모든 인종 유전정보 데이터를 수집하는 헬스케어의 구글,빅브라더를 꿈꾸다

EU는 23앤드미가 결국 99달러에서 199달러의 저렴한 비용으로, 침을 뱉은 시트를 제출하면 10가지 난치병에 걸릴 확률을 알려주는 유전체 분석정보 서비스를 사업모델로 내세우고 있지만, 실제 주된 사업목적은 전세계 이용자의 방대한 유전정보를 수집하는 게 목적이라고 깊은 우려를 표명하고 있다.

실제 23앤드미는 개인이 페이스북이나 트위터에 올린 유전체 분석 관련 글은 물론 댓글도 다 가져가는 것으로 드러났으며, 각종 포럼 글은 물론 소셜미디어에 제공된 정보를 모두 수집하고 있는 것으로 밝혀졌다. 23앤드미 고객이 SNS에 어떤 게시물에 좋아요를 눌렀는 지도 수집하고 있는 것으로 알려졌다.

결국 23앤드미는 미국 내 허술한 개인정보보호법과 히파법 적용 대상이 아니라는 점을 악용, 내부 약관과 정책을 통해 법망을 피하면서 고객의 데이터수집 및 데이터를 제 3자에 제공 가능한 형태의 거대한 비즈니스를 추진하고 있는 것으로 드러났다.

이미 23앤드미의 데이터수집 및 데이터 장사의 잠재력은 관련 헬스케어 및 의료시장에서 그 위력이 속속 증명되고 있다. 지난 3월 26에 개최된 국제 코호트 학회(International Cohorts Summit) 에서 GSK의 유전학 연구소장인 매트 넬슨(Matt Nelson)은 신약개발 시 유전체 데이터를 기반으로 개발 시 그렇지 않을 때 보다 2배 이상 임상시험 성공률이 높았다고 공식 발표했다.

당시 넬슨 소장은 올해부터 신약개발에 유전체 데이터의 활용이 더 증가할 것이라고 밝혀 GSK가 이미 오래전부터 23앤드미의 유전체 데이터를 제공받는 투자 빅딜을 준비해왔다는 사실을 시사한 바 있다. 23앤드미는 이를 바탕으로 2015년 1월, 처음으로 제넨테크(Genentech)와 파킨슨병을 연구할 목적으로 첫 파트너십을 발표하기도 했다.

개인 헬스케어 분야의 구글을 꿈꾸고 있는 23앤드미는 파격적인 가격대인 99~199달러에 개인 유전체 서비스를 제공, 현재 전 세계적으로 약 500만 명 이상의 개인 유전체 정보를 보유하고 있다. 국내 고객도 상당수에 이르는 것으로 추정되고 있으며, 23앤드미 고객 중 80%는 의학 연구에 참여하겠다고 이미 동의한 상태다.

과학기술정책연구원 정일영 부연구위원은 “23앤드미의 내부 개인정보 관련 정책은 거의 불법적인 행위 일색”이라며 “EU의 GDPR과 보조를 맞춰 개인 의료정보 및 유전정보 데이터를 수집하고 제 3자에게 넘기는 명백한 개인정보보호법을 위반하는 불법행위에 대해 강력하게 대응해야 한다”고 지적했다.

정 위원은 “국내의 경우는 유전정보가 이미 강하게 보호받고 있다”면서  “개인의 유전정보 역시 의료기관에 버금가는 규제와 함께 23앤드미의 경우 처럼 제 3자 제공 등을 엄격히 규제하는 법적 근거를 시급히 마련해야 할 것”이라고 밝혔다.

또 다른 유전정보 데이터 분석관련 전문가는 “개인이 등록정보와 유전정보에 대해 분명히 연구에 활용하는 것을 허락하지 않았음에도 불구하고 이를 제 3자에게 제공하는 것은 명백한 개인정보침해이며 불법적 행위며 사실상 강도 같은 행위”라고 비판했다.

전문가그룹은 “미 정부가 FDA승인은 내주면서도 불법적으로 개인정보를 제3에 제공하는 것에 대해서는 아무런 규제를 하지 않는 것은 이 회사가 구글, 아마존 같은 거대 빅데이터수집 독점기업으로 크고 있기 때문이며 알고도 묵인하고 있다”고 지적했다.

23앤드미는 고객에 대한 보상은커녕 고객이 원하지 않아도 연구에 활용하고 제 3자에 제공 가능한 내부 규정을 운영하고 있다. 반면 국내의 경우 엄격한 규제로 유전체 분석 기관이 유전체 데이터를 서비스한 이후 모든 데이터를 폐기해야 하고 연구에 활용할 수 없게 돼 있다.

■ 유전체 데이터 기반 신약 개발 전쟁

글로벌 제약업계 이슈 중 하나인 유전체 데이터를 기반으로 신약을 개발하기 위한 시도는 최근 여러 번 있었다.

데디게이트뉴스가 지난 8월초 보도한 내용에 따르면 아이슬란드에 기반을 두고 아이슬란드 성인 인구의 50% 이상의 유전체 데이터를 확보한 디코드 제네틱스(deCODE genetics)의 자회사 넥스트코드 헬스(NextCode health)는 2015년 자신들의 유전체 데이터와 함께 회사가 암젠(Amgen)과 우시(Wuxi)에 인수돼, 우시넥스트코드(WuXi NextCODE)라는 이름으로 유전체 빅데이터 기반 신약개발 및 임상시험을 위한 새로운 출발을 발표했다. 이후 3200억 원 정도의 투자금을 유치하면서 기업가치가 약 1조 원을 훌쩍 넘어가는 회사로 성장했다.

메디게이트뉴스에 따르면 UK바이오뱅크(UK Biobank)는 50만 명의 60만 개의 DNA정보를 모아 아스트라제네카(AstraZeneca), 바이오젠(Biogen), 화이자(Pfizer), 리제네론(Regeneron) 등 6개 글로벌 제약사에 데이터를 제공하고 약물 개발에 활용하는 계약을 하기도 했다.

리제네론은 미국 펜실베이니아 지역의 가이징어 헬스 시스템(Geisinger Health System)과 제휴해 환자 25만명의 전장 엑솜 서열(Whole Exome Sequence)과 전자 의무 기록(EHR)을 확보해 신약개발에 활용하고 있다.

테라젠이텍스 바이오연구수 김태형수석연구원은 이 매체 기고문을 통해 “이는 대규모 개인의 유전체 데이터와 임상(설문) 정보를 활용해 특정 약물에 대한 반응 여부에 따른 변이를 가지는 사람들을 선별해 신약개발의 임상시험 성공률을 높이고 개인 맞춤 약물을 개발하기 위한 목적에 있다”지적했다.

최첨단 유전체 분석 기술개발을 둘러싼 각국의 경쟁은 갈수록 치열해지고 있지만, 질병 진단과 신약개발의 효율성에도 불구하고 의료정보 및 유전정보 빅데이터를 독점하려는 23앤드미 같은 회사의 등장은 향후 국제적 분쟁 및 심각한 개인정보보호를 둘러싼 법적갈등과 손해배상 논란을 불러 일으킬 것으로 전망된다.

관련기사 = [피치원리뷰]한미약품,6조원 초대형 신약기술 수출 대박

관련기사 =  [정책리뷰]최악의 입시,6년제 약대 입시제도가 재앙인 이유