23andMe는 당신의 지도를 두 번 팔았다

휴대폰을 바꾸고, 예전 사진을 정리하다가 문득 이런 생각이 든 적 없으신가요. "내가 어딘가에 맡겨둔 것들, 지금 누구 손에 있을까." 유전자 검사 키트에 침을 뱉어 보낸 그날, 당신은 검사 결과 하나를 산 게 아니었습니다. 당신의 몸에 새겨진 지도 한 장을 통째로 넘긴 것이었습니다. 그 지도는 당신만을 가리키지 않습니다. 부모와 형제, 아직 태어나지 않은 자식까지 이어지는 혈연의 지도입니다. 그리고 그 지도는 이미 두 번, 주인을 바꾸거나 바꿀 뻔했습니다.

한 번은 도둑맞았고, 한 번은 팔릴 뻔했습니다. 아니, 팔리는 과정에 올랐다고 하는 편이 정확합니다. 이 글은 한 회사를 비난하기 위해 쓰는 글이 아닙니다. 회사는 망할 수 있고, 팔릴 수 있고, 약관을 한 장 바꿀 수 있다는, 너무나 평범한 사실을 짚기 위해 쓰는 글입니다. 당신이 가장 남에게 보이기 싫은 것을 맡길 곳을 고를 때, 그 평범한 사실 하나가 모든 것을 가릅니다.

침 한 방울이 아니라, 지도 한 장이었다

유전자 검사는 대개 가볍게 시작합니다. 호기심, 선물, 가족 이야기. 키트가 집에 도착하고, 설명서대로 하고, 우체통에 넣으면 끝입니다. 그런데 그 안에 들어 있는 정보의 성격은 다른 파일들과 다릅니다.

비밀번호는 바꿀 수 있습니다. 사진은 지울 수 있습니다. 계정은 탈퇴할 수 있습니다. 그러나 유전자 정보는 바꿀 수 없습니다. 한 번 밖으로 나간 유전자 정보는 "회수"라는 말이 성립하지 않습니다. 복사본이 어디에 남아 있는지, 누가 그것을 보았는지, 앞으로 누구 손에 넘어갈지, 본인은 끝까지 알 수 없습니다. 더 무서운 점은 그것이 혼자만의 정보가 아니라는 것입니다. 당신의 유전자에는 당신의 가족이 함께 들어 있습니다. 당신은 자신의 것만 넘긴 줄 알았는데, 사실은 혈연 전체의 일부를 함께 넘긴 셈이 됩니다.

이것이 이 글의 출발점입니다. 가벼운 호기심으로 시작한 일이, 돌이킬 수 없는 종류의 정보와 만났을 때 생기는 무게. 그 무게를 느낀 사람이라면, 다음 질문을 피할 수 없습니다. "나는 도대체 누구에게 이것을 맡겼던가."

첫 번째 사건: 지도가 도둑맞았다

2023년 10월, 23andMe에서 사용자 데이터 유출 사건이 공개 보도되었습니다. 자세한 경위를 여기서 되짚을 필요는 없습니다. 중요한 것은 단 한 가지입니다. "대기업이니까 안전할 것"이라는 믿음이, 실제로는 아무런 보장이 아니었다는 사실입니다.

보안은 회사의 선의나 규모로 지켜지지 않습니다. 서버에 있고, 계정으로 연결되어 있고, 직원이 접근할 수 있는 정보는, 언젠가 누군가의 표적이 될 수 있습니다. 해커의 표적이 될 수도 있고, 내부자의 표적이 될 수도 있고, 법 집행기관의 요청 대상이 될 수도 있고, 인수합병 과정의 자산 목록에 오를 수도 있습니다. 정보가 한곳에 모여 있고, 그곳에 문이 달려 있는 한, 그 문을 열쇠를 가진 사람이 누구인지는 계속 바뀝니다.

많은 사람이 이 사건을 듣고도 "나는 괜찮겠지"라고 생각했습니다. 그러나 유출의 본질은 확률이 아니라 구조입니다. 한 번 유출된 유전자 정보는, 비밀번호처럼 갈아 끼울 수 없습니다. 피해가 확인되는 순간 이미 늦은 종류의 정보라는 뜻입니다.

두 번째 사건: 지도가 매물로 나왔다

2025년 3월, 23andMe는 파산 보호를 신청했습니다. 그리고 그 소식과 함께, 사용자의 유전자 데이터가 회사의 자산 처분 과정에서 어떻게 될 것인가를 둘러싼 광범위한 우려와 논란이 공개 보도되었습니다. 사람들은 뒤늦게 약관을 다시 읽었고, 탈퇴 방법을 검색했고, 데이터 삭제를 요청했습니다. 그러나 그 혼란 자체가 이미 답이었습니다.

회사는 영원하지 않습니다. 잘나가던 회사도 망합니다. 창업자의 약속도, 경영진의 철학도, 회사가 팔리는 순간 함께 팔립니다. 개인정보 처리방침이라는 문서는 회사의 소유물이 바뀌면 다시 쓰일 수 있습니다. "우리는 당신의 데이터를 팔지 않겠습니다"라는 문장은, 그 문장을 쓴 회사가 존재하는 동안에만 유효합니다. 회사가 사라지면 그 문장도 함께 사라집니다.

한국에서 살아가는 우리에게 이 장면은 낯설지 않습니다. 쓰던 서비스가 문을 닫고, 사진첩 서비스가 종료되고, 메신저의 대화방이 사라지고, 클라우드 용량 정책이 하루아침에 바뀌는 일을 우리는 이미 여러 번 겪었습니다. 서비스가 끝날 때 사용자는 대개 두 가지를 잃습니다. 하나는 편리함이고, 다른 하나는 통제권입니다. 사진 몇 장이야 아쉬움으로 끝나지만, 유전자 지도 같은 정보는 이야기가 다릅니다. 서비스 종료 공지 한 장으로 "이제 그만"이 되지 않는 종류의 정보이기 때문입니다.

"큰 회사가 책임지겠지"라는 환상

여기서 흔한 오해를 짚어야 합니다. 많은 사람이 클라우드와 대형 플랫폼을 두고 "어차피 큰 회사가 관리하니 안전하다"고 생각합니다. 그러나 그 믿음은 두 가지 다른 안전을 섞고 있습니다. 하나는 "잃어버리지 않는 안전"이고, 다른 하나는 "남에게 보이지 않는 안전"입니다.

대형 플랫폼은 첫 번째에는 강합니다. 서버가 여러 곳에 있고, 백업이 있고, 장애 대응팀이 있습니다. 그러나 두 번째 안전, 즉 "아무도 보지 않는다"는 안전에 대해서는 정반대 구조를 갖고 있습니다. 플랫폼의 사업 자체가 데이터를 모으고, 분석하고, 활용하는 데 서 있기 때문입니다. 계정 체계는 편리함을 위해 존재하지만, 동시에 단 하나의 연결점입니다. 계정 하나로 모든 것이 묶여 있다는 것은, 그 계정 하나만 열리면 모든 것이 열린다는 뜻이기도 합니다.

더 근본적인 문제는, 맡긴 대상이 "회사"라는 점입니다. 회사는 실적을 내야 하고, 투자자에게 답해야 하고, 법과 시장의 압력을 받습니다. 회사의 운명이 바뀌면, 당신이 맡긴 정보의 운명도 함께 바뀝니다. 이것은 회사가 나쁘기 때문이 아니라, 회사라는 존재의 본질 때문입니다. 회사에 맡긴다는 것은, 그 회사의 재무제표와 미래에 당신의 가장 민감한 정보를 함께 묶는다는 뜻입니다. 그 묶음은 처음에는 보이지 않지만, 파산이나 매각 같은 순간에 비로소 드러납니다.

그렇다면 무엇이 확실한가

확실함은 약속에서 오지 않습니다. 구조에서 옵니다. 정보가 애초에 "어딘가의 서버에 있는 한 벌"이 아니라면, 서버의 운명은 그 정보와 무관해집니다. 계정이 없다면, 계정이 털릴 일도 없습니다. 네트워크에 연결되어 있지 않다면, 원격에서 열릴 문도 없습니다. 누군가가 보려면 직접 손에 쥐어야 하고, 그 손이 누구의 손인지는 기록으로 남아야 합니다.

이것이 진짜 사생활 보호의 출발점입니다. 기술의 이름이 아닙니다. 암호 알고리즘이나 격리 같은 용어를 늘어놓는 일은 여기서 그만두겠습니다. 기술은 밑바탕일 뿐, 당신이 실제로 믿어야 하는 것은 사람과 절차입니다. 누가 그것을 받았는지, 어떤 번호가 매겨졌는지, 봉인이 어떻게 되어 있는지, 두 사람이 함께 확인했는지, 누가 책임지고 보관하는지. 이 절차들이 문서와 사진 기록으로 남아 있고, 가장 나쁜 경우—사업자가 문을 닫거나, 요청이 들어오거나, 분쟁이 생기는 경우—에 어떻게 처리할지가 미리 계약과 대장으로 정해져 있을 때, 비로소 "맡겼다"는 말이 성립합니다.

23andMe의 두 사건이 가르치는 교훈은 단순합니다. 당신의 가장 민감한 정보는, 그 정보의 운명을 좌우하는 주인이 바뀌지 않는 곳에 두어야 합니다. 회사의 운명에 딸려 다니지 않는 곳. 약관 한 장으로 뒤집히지 않는 곳. 그리고 그곳이 어디인지는, 정보를 넘기기 전에 결정해야 합니다. 넘긴 뒤에는 이미 늦습니다.

넘기기 전에 물어야 할 질문

당신이 무언가를 맡기기 전에, 스스로에게 이렇게 물어보십시오.

첫째, 이것을 맡기는 상대는 누구인가. 회사인가, 사람인가. 회사의 이름이 아니라, 실제로 책임지는 사람의 얼굴과 절차가 보이는가.

둘째, 상대가 사라지거나 팔리면 내 정보는 어떻게 되는가. 그 답이 약관의 한 문장에만 기대어 있는가, 아니면 미리 정해진 처리 절차와 기록으로 답할 수 있는가.

셋째, 누군가 이것을 보려면 어떤 문을 열어야 하는가. 화면 속의 계정 하나면 되는가, 아니면 직접 손에 쥐고 봉인을 뜯어야만 하는가.

넷째, 내 정보가 지금 어디에 있고, 누구 손에 있는지 확인할 수 있는가. 확인 방법이 "믿으세요"라는 말뿐인가, 아니면 번호와 봉인, 확인 기록으로 눈으로 볼 수 있는가.

이 질문들에 또렷하게 답할 수 없다면, 그곳은 맡길 곳이 아닙니다. 편리하다는 이유만으로, 유명하다는 이유만으로, 남들도 다 쓴다는 이유만으로 가장 남에게 보이기 싫은 것을 넘겨서는 안 됩니다. 돌이킬 수 없는 정보일수록, 맡기는 기준은 더 엄격해야 합니다.

당신의 지도는 한 번 그려지면 바꿀 수 없습니다. 그러니 그 지도를 맡길 곳은, 지도가 다시는 주인을 바꾸지 않는 곳이어야 합니다. 그곳에서는 정보가 서버에 떠다니지 않고, 계정으로 연결되지 않고, 번호가 매겨진 채 봉인되어, 두 사람의 확인 아래 한 사람의 책임으로 보관됩니다. 평소에는 그저 조용히 잠자고 있고, 반년마다 겉모습과 봉인 상태를 눈으로 확인하고 사진으로 남기는 일 외에는 손대지 않습니다. 더 깊은 확인이 필요하다면, 그것은 오직 당신의 서면 동의가 있을 때만 이루어집니다. 이것이 조용하고 확실한 보관의 모습입니다. 거창하지 않지만, 그래서 믿을 수 있습니다.