목 차

1. 서론
2. 유전체 데이터 기반 정밀의료와 치료 성과
3. 질병 예측과 후성유전체학
4. 개인정보 보호와 윤리적 이슈
5. 사례와 제도적 쟁점
6. 마무리
7. 참고문헌


1. 서론

국가암등록통계에 따르면 전체 암 5년 상대생존율은 70%를 넘어섰다. 1990년대 초반 40%대에 머물렀던 수치와 비교하면 지난 30년 동안 암 진단과 치료 환경은 크게 달라졌다 [1]. 조기검진 확대, 수술·항암·방사선 치료의 발전과 함께 환자별 분자 특성에 맞추어 치료 전략을 설계하는 정밀의료의 확산도 생존율 향상에 중요한 역할을 했다 [2]. 차세대 염기서열 분석(NGS)이 임상에 도입된 뒤 종양 조직의 유전자 변이를 바탕으로 표적치료제와 치료 방침을 정하는 방식은 암 진료의 표준적 흐름 가운데 하나가 되었다.

그림 1. 우리나라 암 5년 상대생존율 [출처: 국가암지식정보센터]

유전체 기술은 이제 발병 후 원인을 분석하고 치료 방향을 정하는 데 그치지 않고, 병이 나타나기 전 위험 신호를 미리 읽어내는 방향으로 나아가고 있다 [3]. 후생유전체학은 DNA 염기서열 자체보다 메틸화와 같은 조절 패턴에 주목하면서 발병 이전 단계의 질환 가능성을 읽어나간다 [4]. 액체생검은 혈액 속 세포 유리 DNA를 통해 후성유전체적 변화를 비침습적으로 확인하려 한다 [5]. 인공지능 역시 분자 정보와 임상 정보를 결합해 생물학적 나이와 향후 질병 발생 가능성을 계산하는 데 활용되고 있다 [6].

문제는 기술의 정밀성이 높아질수록 정보의 성격도 달라진다는 점이다. 병원과 연구 현장에서 다뤄온 유전체 정보는 대체로 진단, 치료, 예후 판단이라는 비교적 분명한 목적 아래 수집되고 활용되어 왔다. 법과 제도도 그 범주를 전제로 발전해 왔다. 환자의 동의를 얻고, 진료기록을 보호하며, 연구 활용에는 윤리 심사와 관리 절차를 두는 방식이 기본이었다 [7]. 그 틀 안에서 유전체 데이터는 의료적 필요와 공익적 연구라는 명분 아래 정당성을 확보할 수 있었다.

반면 질병 예측 단계에서 생산되는 후생유전체 정보는 유전적 특성뿐 아니라 노화, 환경 노출, 생활습관 등의 흔적까지 반영할 수 있고, 장차 어떤 질환이 발생할 가능성이 높은지에 대한 추론으로 이어질 수 있다. 정보의 민감성은 넓어지고, 다른 데이터와 결합될 경우 재식별 위험도 커진다. 해석 역시 고정적이지 않다. 같은 정보도 시간, 분석 방식 등에 따라 다른 의미를 가질 수 있다. 더 많은 것을 보여주는 정보일수록 더 신중한 보호와 해석이 필요해진다.

소비자 대상 유전자 검사 기업의 해킹과 파산 사례는 유전체 데이터가 건강정보인 동시에 거래 가능한 자산으로 취급될 수 있음을 보여주었다 [8, 9]. 보험, 고용, 데이터 거래, 기업 인수합병의 장면에서 유전체 정보가 어떤 기준으로 사용되고 제한되어야 하는지에 대한 질문도 함께 커지고 있다. 기존 제도는 그런 문제를 충분히 다루지 못한 채 뒤따라가고 있다.

유전체 데이터 활용이 질병 치료 중심의 임상 정보에서 질병 예측 중심의 위험 정보로 확장되는 과정에서 정보의 의미는 어떻게 바뀌는가. 그 변화 앞에서 개인정보 보호와 윤리의 기준은 어디까지 다시 쓰여야 하는가. 또 한국의 제도는 그 전환을 감당할 준비가 되어 있는가. 아래에서는 정밀의료의 성과를 출발점으로 삼아 후생유전체학, 액체생검, 예측의료의 전개를 살펴보고, 그 과정에서 드러나는 법적·윤리적 과제를 검토하고자 한다.

2. 유전체 데이터 기반 정밀의료와 치료 성과

암 치료에서 유전체 정보는 치료 방향을 직접 결정한다. 비소세포폐암에서는 EGFR 유전자 변이가 표적치료제 선택의 기준으로 사용되며, 유방암에서는 BRCA1/2 변이가 치료 전략과 예방적 수술 결정에 활용된다. 대장암에서는 KRAS, NRAS, BRAF 변이 상태가 특정 치료제 적용 여부를 좌우하고, 혈액암에서는 BCR-ABL 융합 유전자 분석이 치료 선택의 출발점이 된다. 치료에서 특정 변이 정보는 해당 치료제를 쓸 수 있는 동반진단(CDx) 체계로 정착되면서, 유전체 검사와 치료제 개발은 별개의 영역이 아니라 하나의 시장 구조 안에서 맞물리게 되었다. Foundation Medicine의 FoundationOne CDx, Guardant Health의 Guardant360 CDx(74개 유전자), Guardant360 Liquid CDx(700여 개 유전자 및 후성유전체 분석)처럼 FDA 승인을 받은 패널 검사들은 조직 또는 혈액 기반으로 수백 개 유전자를 분석해 다수의 치료제와 연동되는 동반진단 체계를 갖추고 있다.

국내에서는 2017년 유전자 패널 검사에 건강보험 선별급여가 적용되었다. 급여 적용으로 유전체 해독 비용이 빠르게 낮아지면서 NGS는 연구 중심 기술을 넘어 암 진단과 치료 전략 수립에 쓰이는 검사로 자리 잡았다. 국민건강보험 청구 자료에 따르면 NGS 기반 유전자 패널 검사는 2017년 약 5천 건 수준에서 2020년 2만 8천 건 이상으로 늘었으며, 2017년부터 2021년까지 누적 검사 건수는 약 9만 건에 이른다. 유전체 분석이 반복적으로 수행될수록 그만큼의 데이터가 쌓인다는 점과 데이터가 어딘가에 남는다는 것이다.

데이터가 쌓일수록 정밀의료의 정밀도가 높아지는 구조이다. 환자에게서 확인된 변이는 기존 reference database와 비교를 거쳐 해석된다. 특정 변이가 병적 의미를 가지는지, 어떤 치료 반응과 연결되는지, 집단 내에서 얼마나 흔한지 판단하려면 충분한 선례 데이터가 있어야 한다. 정밀의료는 처음부터 개인의 정보와 집단의 축적 데이터가 끊임없이 순환하는 구조 위에서 작동하도록 설계된 체계다. 이 순환이 개인 병원 수준을 넘어 국가 단위로 이어진 것이 K-MASTER 사업이다. 전국 40여 개 병원이 참여해 암 환자의 유전체 이상과 임상 정보를 통합하고, 치료 가능한 변이를 가진 환자를 적절한 임상시험과 연결하는 플랫폼으로 2023년 기준 등록 환자 수는 2만 명을 넘어섰다. 환자의 유전체 정보가 병원 전자의무기록에만 존재하는 게 아니라 국가 플랫폼과 코호트 데이터베이스로 흘러들어 가는 구조가 제도적으로 자리 잡혀있다.

동반진단 체계가 정착되면서 유전체 정보는 임상시험 대상자 선별, 신약 개발, 치료 반응 예측의 자원으로 기능하게 되었고, 환자가 치료를 위해 제공한 검체와 정보가 제약 산업의 개발 파이프라인을 뒷받침하는 자산으로도 쓰이게 되었다. 제도는 주로 진단과 치료라는 목적에 기대어 정당성을 확보해 왔다. 연구 목적 활용에는 동의 절차와 기관윤리심의가 필요하다는 원칙이 자리 잡았고, 데이터 접근 통제와 같은 관리 장치도 갖춰졌다. 그러나 그 제도가 감당할 수 있었던 것은 어디까지나 기존의 범주인 의료기관 안에서 치료 목적으로 수집되는 데이터라는 전제 위에서였다.

선천성 대사이상 스크리닝을 위해 출생 직후 채취한 신생아 혈액 카드가 부모의 충분한 고지 없이 연구 목적으로 활용된 사실이 뒤늦게 알려졌고, DTC 유전자 검사 허용 항목이 빠르게 확대되는 과정에서 기업들이 수집하는 유전체 데이터의 보관과 제3자 제공을 감독할 체계는 충분히 갖춰지지 않았다. 의료 마이데이터 사업 추진 과정에서도 포괄적 동의만으로 민감한 의료 데이터가 제3의 기업에게 전달될 수 있다는 우려가 제기되었다. 기술과 시장은 앞서 나갔고, 어떤 범위까지 어떤 방식으로 데이터를 써도 되는지에 대한 사회적 합의는 뒤따라오지 못했다.

그럼에도 이 논란은 치료와 연구라는 범주 안에서 다룰 수 있는 문제였다. 데이터가 현재 아픈 환자의 상태를 설명하는 정보인 한, 그 수집과 활용을 정당화하는 논거는 비교적 명확했다. 데이터가 현재의 질병이 아니라 개인의 미래 건강 위험을 가리키는 정보로 전환될 때, 치료라는 목적 아래 작동해 온 구조 전체의 정당성은 다시 물음 앞에 선다.

3. 질병 예측으로의 전환과 후성유전체학

후생유전체학은 DNA 서열을 변화시키지 않으면서 유전자 발현을 조절하는 메커니즘을 다루며, DNA 메틸화와 같은 화학적 변형이 있다. 메틸화는 특정 유전자의 발현을 억제하거나 활성화하는 조절 신호로 작용하며, 암에서는 종양억제유전자의 과메틸화와 원발암유전자의 저메틸화가 동시에 나타나는 특징이 보고되어 있다. 메틸화 패턴은 발암 초기 단계에서부터 관찰되어 질병 발생 이전 상태를 반영하는 지표로 활용될 수 있다.

후생유전체 분석은 이제 진단에서 질병 예측 정보로 확장되었다. Horvath clock은 수백 개 CpG 부위의 메틸화 수준을 기반으로 생물학적 연령을 추정하며, 이후 개발된 PhenoAge, GrimAge와 같은 모델은 심혈관 질환, 암, 대사질환, 사망 위험까지 예측하는 방향으로 발전했다. 증상이 없는 개인을 대상으로 미래 질병 위험을 산출한다는 점에서 기존 유전체 분석과 구별된다.

유전체 분석과 후생유전체 분석 사이에는 정보의 성격에서 중요한 차이가 존재한다. DNA 염기서열 분석은 개인이 태어날 때부터 비교적 고정된 유전 정보를 다루며, 질병에 대한 선천적 위험을 중심으로 해석된다. 반면 후생유전체 분석은 메틸화 패턴과 같은 가변적 신호를 다루며, 시간의 흐름과 환경적 요인에 따라 변화한다. 염기서열 정보가 질병 발생 가능성을 중심으로 해석된다면, 후생유전체 정보는 개인의 환경 노출, 생활 방식, 향후 건강 경로까지 함께 반영한다.

메틸화 패턴은 흡연, 식습관, 스트레스, 환경 노출과 같은 요인과 연관되어 변화한다. 데이터는 단일 시점의 생물학적 상태가 아닌 개인의 건강 경로와 생활 이력을 반영하는 정보로 이용될 수 있다.

그림 2. 유전체 데이터 타입
출처: Medical News Today 2023, EXCLI J. 2021 [29, 30]

다만 이러한 정보가 개인의 상태를 완전히 결정적으로 설명하는 것은 아니다. 일부 메틸화 패턴은 특정 질환이나 환경 요인과의 연관성이 반복적으로 보고되었지만, 많은 경우 그 관계는 확률적이며 개인 단위에서의 예측 정확도는 제한적이다. 동일한 메틸화 변화가 서로 다른 요인에 의해 나타날 수 있고, 시간에 따라 변화하거나 회복되는 양상도 관찰된다.

질병의 예측 정보는 액체생검 기술과 결합하면서 더 확장되고 있다. 혈액 내 세포 유리 DNA를 분석하는 방식은 비침습적으로 종양 관련 정보를 확인할 수 있게 만들었고, 다중암 조기 검출 기술은 단일 검사로 여러 암을 동시에 탐지하는 것을 목표로 개발되고 있다. 조기 검진으로 확장되고자 하며 보험 및 공중보건 영역과의 연결 가능성도 제기되고 있다.

후생유전체 기술의 활용 과정은 검체 수집, 데이터 분석, 데이터 공유라는 세 단계로 나눌 수 있으며, 각 단계에서 서로 다른 윤리적 문제가 발생한다.

첫 번째 정보 동의의 범위다. 후생유전체 연구는 기존 임상 과정에서 확보된 검체의 2차 활용에 크게 의존하며, 많은 경우 opt-out 방식으로 수집된다. 동일한 검체로부터 기존 진단 목적을 넘어서는 정보가 도출될 수 있기 때문에, 초기 동의가 이러한 활용까지 포함하는지에 대한 문제가 제기된다.

두 번째 데이터 식별 가능성과 보안 문제가 있다. 후생유전체 데이터는 완전한 익명화가 어렵고, 다른 데이터와 결합될 경우 개인 식별 가능성이 발생할 수 있다. 식별 가능성은 단순히 가능 여부로 구분되는 것이 아니라 연속적인 위험 수준으로 존재하며, 데이터 결합과 분석 기술의 발전에 따라 변화한다. 메틸화 데이터는 개인의 질병 위험뿐 아니라 흡연, 음주, 환경 노출과 같은 생활 이력과 관련된 정보를 포함할 수 있다. 개인의 행동이나 환경적 조건이 드러날 가능성을 의미하며, 사회적 낙인이나 차별로 이어질 위험을 내포한다.

세 번째 데이터 공유와 공개이다. 연구의 재현성과 과학적 발전을 위해 데이터 공유는 필수적이지만, 후생유전체 데이터는 공개되는 순간 개인의 건강 상태와 생활 이력에 대한 민감한 정보가 외부로 확산될 수 있다. 데이터 공유는 과학적 가치와 개인정보 보호 사이의 긴장을 구조적으로 포함한다.

재식별 가능성 측면에서는 메틸화 데이터만으로 개인을 식별할 위험은 제한적일 수 있으나, 유전체 데이터와 결합될 경우 개인 식별이 가능해질 수 있으며, 차세대 시퀀싱 기반 데이터가 확대될수록 정보량 증가와 함께 위험 역시 커질 수 있다.

후생유전체 분석은 질병 발생 이전의 위험 정보를 제공할 수 있으나 불확실성을 내포하고 있어 개인에게 심리적 부담을 줄 수 있다. 또한 결과가 개인의 생활 습관이나 환경 요인과 연결될 경우, 개인이나 가족에게 책임이 전가되는 문제로 이어질 가능성도 존재한다. 개인의 삶의 경로와 위험을 설명하는 정보인 후생유전체 데이터의 새로운 윤리적 기준이 요구된다.

4. 개인정보 보호와 윤리적 이슈

유전체 데이터에서 개인정보 문제가 반복적으로 발생하는 이유는 개별 사건의 특수성보다, 데이터가 생성된 이후를 포괄적으로 다루는 기준이 부재하기 때문이다. 검체 채취와 분석을 통해 생성된 정보는 저장에 그치지 않고, 관계 기반 연결, 기관 간 이동, 기업 자산화, 연구 재활용의 과정을 거치며 성격이 변화한다. 각 단계는 분리되어 존재하는 것이 아니라 연속적으로 이어지지만, 하나의 흐름으로 관리하는 구조는 마련되어 있지 않다.

23andMe의 역사는 유전체 데이터 산업이 품고 있는 모순의 축약판이다. 2006년 설립된 이 기업은 2008년 타임지로부터 '올해의 발명품'으로 선정되며 혁신의 아이콘이 되었다 [9]. 소비자가 자신의 DNA를 타액 샘플로 제공하면 조상 분석과 질병 소인 검사 결과를 받을 수 있는 DTC 모델은 의료 기관을 거치지 않고 개인이 자신의 유전 정보에 직접 접근한다는 민주화 서사를 담고 있었다 [9]. 2017년에는 FDA로부터 유전성 위험 예측 보고서 제공에 대한 승인을 받으며 의학적 신뢰도를 획득했고, 기업 가치는 한때 60억 달러에 달했다 [9].

2023년 23andMe는 회사 역사상 최대 규모의 보안 사고를 발표했다. 해커들은 약 1만 4,000개의 계정에 무단 접근했다 [9]. 문제는 DNA 친척(DNA Relatives) 기능을 활용해 직접 침해된 계정과 연결된 약 700만 명의 프로필 데이터까지 수집되었다는 점이다 [9]. 데이터 공유를 전제로 설계된 플랫폼 구조 자체의 취약성을 보여줬다 [9].

해커들이 다크웹에 최초 공개한 데이터는 아슈케나지 유대인(Ashkenazi Jewish)과 중국계 사용자들로 분류된 프로필들이었다 [9]. 민족·종교적 집단을 표적으로 한 유전체 데이터 수집은 단순 금전 피해와 차원이 다른 위협이다. 역사적으로 특정 집단에 대한 생물학적 정보의 무기화는 극단적인 차별과 박해의 도구가 되어왔기 때문이다 [7]. 유전체 데이터가 건강 정보가 아니라 민족지학적·안보적 함의를 지닌 정보임을 전 세계에 각인시켰다 [9].

핸드폰 번호가 유출되면 번호를 바꿀 수 있다. 신용카드 정보가 유출되면, 카드를 재발급받거나 이용 정지 할 수 있다. 하지만 유전체 데이터는 취소도, 재발급도 불가능한 정보다. 게다가 유전체 정보는 23andMe에 한 번도 키트를 보낸 적 없는 부모, 자녀, 형제자매의 생물학적 정보까지 간접적으로 노출된다 [7].

23andMe 회사는 사용자들이 정보 공유하기로 동의했기 때문에 보안과실이 아니라는 입장을 취했다 [9]. 영국 정보위원회(ICO)와 캐나다 개인정보보호위원회의 공동 조사와 집단소송 끝에 3,000만 달러의 합의가 최종 승인되었다 [9]. 그러나 법원조차 인정했듯, 대체 불가능한 정보의 피해를 금전으로 환산하는 것이 충분한지는 여전히 열린 질문으로 남아 있다.

2025년 23andMe는 미국 연방파산법원에 파산보호를 신청했다. 사업 부진과 해킹 사건으로 인한 주가 폭락, 천문학적 소송 비용이 복합 작용한 결과였다 [9]. 파산 절차가 진행되는 동안 1,500만 명 이상의 사용자 유전체 데이터가 법원 감독 하에 매각 대상이 되었다 [9]. 미국 전역의 주 법무장관들은 이에 반대하는 서한을 법원에 제출했고, 캘리포니아주와 버지니아주는 자국민 데이터가 파산 자산으로 매각될 경우 사용자에게 삭제 권리가 있다는 입장을 표명했다 [9]. 최종적으로 비영리기관인 TTAM Research Institute가 3억 500만 달러에 자산을 인수하며 절차가 마무리되었다 [1].

기업이 파산했을 때 사용자의 유전체 데이터는 채권자들이 나눠 가질 수 있는 '자산'인가, 아니면 어떤 상업적 청구권도 주장될 수 없는 개인의 불가침 정보인가 [7, 9].

23andMe 사태의 가장 아이러니한 장면은 파산 절차가 진행되는 와중에도 연구팀이 2026년 4월 네이처에 약물유전체학 연구 결과를 발표했다는 점이다 [17]. 논문은 GLP-1 수용체 작용제의 반응성이 GLP1R 유전자 변이에 따라 달라진다는 것을 보여주었는데, 연구에 참여한 27,885명이라는 규모 자체가 23andMe 플랫폼 없이는 불가능한 것이었다 [17]. 건강 목적으로 DNA를 제출한 수만 명의 소비자들이 자신도 모르는 사이에 제약학적 효능 연구의 코호트가 된 것이다 [7, 17]. 소비자의 조상 찾기와 건강 소인 확인을 위해 제출된 데이터가, 파산 청산 과정에서조차 신약 개발 연구에 활용되고 있다 [7].

Georgetown 법학대학원 연구진은 '기업의 사업 모델이 실패했을 때 사용자의 유전정보를 보호할 법적 메커니즘이 존재하지 않는다'는 것이라고 지적했다 [16]. 현행 미국법 체계에서 유전체 데이터는 파산 시 일반 사업 자산으로 분류되며, 사용자의 프라이버시 권리는 채권자의 재산권보다 후순위에 놓인다 [16]. 비단 미국만의 문제가 아닌 것이 어느 나라에서도 기업 파산 시 바이오데이터 처리를 명시적으로 규율하는 법률은 아직 존재하지 않는다 [7, 16].

디지털 형태의 유전체 데이터는 복제와 이동이 가능하며, 한 번 외부로 확산된 이후에는 원천적인 통제가 제한된다. 데이터는 계속 사용되지만, 개인이 그 경로를 추적하거나 개입할 수 있는 구조는 마련되어 있지 않다.

국내에서도 비침습적 산전 검사(NIPT)는 태아 DNA와 산모의 유전 정보를 동시에 분석하는 방식으로, 단일 검사에서 두 개인의 유전 정보가 함께 생성된다. 생성된 데이터는 해외 분석 기관으로 이전되는 경우가 있으며 데이터 처리 방식과 저장 환경은 국내와 다른 기준에 따라 운영된다. 의료 행위로 시작된 데이터 생성이 국외 이동과 분석을 거치며 다른 환경으로 확장된다. 데이터 이동 경로를 일관되게 파악하거나 통제하는 체계는 충분히 확보되어 있지 않다.

유전체 연구와 산업 협력에서도 데이터의 이동과 재사용은 반복된다. 병원, 연구기관, 기업, 해외 기관 사이에서 데이터가 공유되고, 분석과 결합을 통해 새로운 정보가 생성된다. 동일한 데이터가 여러 주체에 의해 반복적으로 해석되며, 저장 위치와 관리 주체는 분리된다. 데이터는 축적되지만, 개인이 그 흐름을 추적하거나 통제할 수 있는 범위는 제한적이다.

개인정보 문제는 특정 사건에서 끝나지 않는다. 데이터가 생성된 이후 이어지는 경로 전체가 문제의 범위를 형성한다. 수집 시점의 동의, 비식별화 조치, 기관 단위의 관리 기준만으로는 데이터 이동과 재활용 전반을 설명하기 어렵다. 데이터의 생성, 이동, 결합, 재사용을 하나의 흐름으로 다루는 기준이 부재한 상태에서, 동일한 유형의 문제가 반복적으로 발생하고 있다.

5. 사례와 제도적 쟁점

공중보건 영역에서 유전체 데이터의 가장 큰 활용은 인구 집단 전체의 질병 부담을 줄이는 방향을 향한다 [4]. 전장유전체연관분석(GWAS)을 통해 특정 유전 변이와 질병 발생의 연관성은 고위험 집단에 대한 선제적 예방 개입을 설계하는 접근은 공중보건의 명분을 가진다 [4]. 그러나 '집단 이익'을 위한 데이터 공유가 개인의 동의 권리보다 우선될 수 있는가에 대해서 공리주의 윤리와 자유주의 윤리의 고전적 충돌 지점이다 [7].

현재까지 발표된 GWAS 연구의 80% 이상이 유럽계 백인 집단을 대상으로 한다 [13, 18]. 데이터의 신뢰성과 대표성 측면에서 한국인, 아프리카계, 남아시아계 등 집단에서 발견된 유전 변이-질병 연관성이 충분히 검증되지 않았음을 의미하며 [13], 유전체 기반 의사결정이 특정 인종 집단에 불이익을 주거나 의학적으로 유해한 결론으로 이어질 수 있는 구조적 위험을 낳는다.

개인화 의료(Personalized Medicine)의 이상은 환자 개개인의 유전적 특성에 맞춤화된 최적의 치료를 제공하는 것이다 [2]. EGFR 변이 폐암 치료가 그 성공 사례지만, 현실에서 개인화 의료는 종종 '계층화(stratification)'로 귀결된다 [2]. GLP-1 약물 반응 유전자 연구는 유전적으로 GLP-1에 잘 반응하는 집단과 그렇지 않은 집단을 미리 선별하는 것은 의료적으로 합리적이다 [17]. 그러나 이 정보가 보험사에 전달된다면, '비만 치료제를 써도 효과가 없을 유전형'을 가진 사람은 체중 관련 합병증에 대한 보험 보장을 거부당하는 사태가 벌어질 수 있다 [7, 17]. 약물유전체학 데이터는 치료 최적화의 도구이면서 동시에 사회적 선별의 근거로 작동할 수 있다는 점에서 데이터 활용 통제가 과제로 남는다.

소비자 직접 판매(DTC) 유전자 검사 시장은 23andMe, AncestryDNA, MyHeritage 등을 중심으로 2010년대 폭발적으로 성장했다 [9]. 소비자의 '알 권리'와 유전정보에 대한 자기결정권을 바탕으로 의사를 거치지 않고 자신의 유전 위험을 알 수 있다는 것은 분명 일종의 임파워먼트다 [9]. 그러나 정보 역량(health literacy)의 심각한 불균형이 존재한다. 다변량 다유전자 위험 점수(Polygenic Risk Score)는 수십만 개의 유전 변이를 통계적으로 조합한 결과물로 해석에 상당한 전문 지식이 필요하다.

소비자가 DTC 검사에서 '당뇨 위험 상위 20%'라는 결과를 받았을 때 절대적 위험인지 상대적 위험인지, 어떤 생활습관 교정이 실제로 효과적인지, 추가 임상 검사가 필요한지를 혼자 해석하기란 어렵다. 불안을 자극하는 방향으로 편향된 결과 해석이 불필요한 의료 소비를 유발하거나, 반대로 잘못된 안심을 제공할 수 있다. 알 권리 자기 결정으로 이어지려면 해석 역량을 지원하는 유전상담 체계가 함께 작동해야 한다 [7, 9].

2018년 미국 캘리포니아 골든 스테이트 킬러(Golden State Killer) 사건에서 수십 년간 미결이었던 연쇄살인 용의자가 계보학적 DNA 분석으로 검거되었다 [19]. 수사관들은 범행 현장의 DNA를 GEDmatch라는 공개 유전체 데이터베이스에 업로드하여 원거리 친족을 특정하고, 계보 삼각측량을 통해 용의자를 좁혀 가는 '계보학적 법유전학(Forensic Genetic Genealogy)' 기법을 사용했다 [19].

데이터베이스에 자신의 DNA를 등록하지 않은 사람도, 친족이 등록되어 있다면 수사의 대상이 될 수 있다 [19]. DNA 친족 매칭 기법에 따르면, 인구의 약 2% 만이 데이터베이스에 등록되어 있어도 이론적으로 전체 인구의 상당 부분을 3차 이내 친족으로 특정할 수 있다 [19]. 개인이 유전체 데이터를 제공하지 않겠다는 결정을 내려도, 가족 구성원의 동의만으로 자신의 신원이 법적 조사 대상이 될 수 있다 [7, 19], 유전체 정보는 철저히 관계적(relational) 정보라는 점에서, 전통적인 개인 정보 보호의 틀로는 충분히 보호되지 않는다 [7].

유전체 데이터 보호가 개인의 프라이버시를 넘어 국가 안보의 영역으로 확장된다. 2024년 2월, 미국 바이든 대통령은 '미국인의 민감 개인정보를 우려 국가로부터 보호하기 위한 행정명령(Executive Order on Protecting Americans' Sensitive Personal Data)'에 서명했다 [20]. 유전체 데이터, 생체인식 정보, 건강·의료 데이터, 금융 데이터, 지리적 위치 데이터 등을 '대량 민감 개인정보(bulk sensitive personal data)'로 규정하고 [20], 중국, 러시아, 이란, 북한, 쿠바, 베네수엘라 등 우려 국가(countries of concern)로의 이전을 제한하는 법무부 규정 제정을 지시했다 [20].

미국 의회는 PADFA (Protecting Americans' Data From Foreign Adversaries Act)를 제정하여 데이터 브로커가 우려 국가 기업이나 정부에 미국인의 민감 데이터를 판매하는 것을 명시적으로 금지했다 [21]. 미국 외국인투자심의위원회(CFIUS)는 우려 국가 기업이 미국 바이오·유전체 기업에 투자할 때 유전체 데이터 접근 가능성을 안보 심사로 검토하기 시작했다 [21]. 군인·정보요원·정부 관료의 유전 정보가 수집되면 취약점 프로파일링, 협박, 표적 생물작용제 개발 등에 활용될 수 있다는 것이 미국 정보기관의 분석이다 [20].

한국의 연구기관과 제약·바이오 기업들이 중국 등 제3국 기업과의 공동 연구 또는 데이터 거래를 통해 대규모 유전체 데이터가 국외로 유출될 가능성이 꾸준히 제기된다 [22]. 신생아 선천성 대사이상 검사 과정에서 채취된 혈액 카드(heel-prick card)가 부모 동의 없이 수년 이상 보관되고 연구에 활용된 사례는 [13], 데이터 수집의 원래 목적(치료적 스크리닝)이 어떻게 연구 목적으로 전환되는지를 보여주는 국내 버전의 'purpose creep'이다 [7, 13]. 건강보험심사평가원 데이터베이스 해킹 시도와 국내 신생아 유전자 스크리닝 샘플의 해외 반출 논란 등은 한국의 유전체 데이터 거버넌스가 아직 취약함을 보여준다 [22, 13].

중국의 경우 2023년 시행된 '인류유전자원관리조례'가 외국인 또는 외국 기업이 중국에서 유전체 데이터를 수집·이용·수출하는 것을 엄격히 제한한다 [23]. 유전체 데이터를 둘러싼 국제 규범이 급속히 강화되는 상황에서, 한국은 어떤 원칙으로 데이터의 유출을 방지하고 국제 공유를 허용할 것인지에 대한 명확한 법적 입장을 정립해야 한다 [22, 23].

세계의사협회(WMA)의 헬싱키 선언은 인체 연구 윤리의 국제적 기준점으로, 연구 참여자의 자발적이고 충분한 정보에 기반한 동의(Informed Consent)를 원칙으로 규정한다 [24]. 그러나 대규모 유전체 코호트 연구에서 전통적 동의 모델은 근본적 한계에 봉착한다. 연구자들은 데이터 수집 시점에 어떤 연구에 활용될지 모두 예측할 수 없으며 [7, 24], 매번 새로운 연구마다 수십만 참여자의 동의를 갱신하는 것은 현실적으로 불가능하다 [24]. 광범위 동의(Broad Consent), 계층화 동의(Tiered Consent), 동적 동의(Dynamic Consent) 등 다양한 대안 모델이 제안되고 있으나 [7], 플랫폼 유지비용, 참여자의 지속적 관여 필요성, 선택 철회로 인한 데이터 결손 등 현실적 장애물이 크다 [24].

유럽연합의 일반정보보호규정(GDPR, 2018년 발효)은 유전체 데이터를 '특별 범주 개인정보'로 지정하여 처리에 엄격한 조건을 부과한다 [25]. 명시적 동의, 공익 연구 목적, 구성원의 생명 보호 등 한정된 법적 근거 없이는 유전정보를 처리할 수 없으며, 위반 시 전 세계 연간 매출의 4% 또는 2,000만 유로 중 더 큰 금액의 과징금이 부과된다 [25]. 2024년 발효된 EU AI법은 유전체 데이터를 활용한 AI 시스템에 '고위험(high-risk)' 분류를 적용하여, 투명성, 인간 감독, 편향 감사를 의무화한다 [26].

유럽 보건 데이터 공간(EHDS, European Health Data Space) 구축은 EU 차원에서 유전체·임상 데이터를 안전하게 공유하는 연구 인프라를 조성하려는 시도다 [25]. EHDS는 개인이 자신의 건강 데이터에 대한 접근·수정·공유 제한 권리를 보장하면서, 동시에 공중보건 연구를 위한 이차 활용을 가능하게 하는 균형 체계를 목표로 한다 [25, 26].

유전체·건강 데이터 공유를 위한 글로벌 얼라이언스(GA4GH, Global Alliance for Genomics and Health)는 국제적 유전체 데이터 공유의 기술 표준과 윤리 프레임워크를 개발하는 국제 컨소시엄이다 [27]. GA4GH의 '책임 있는 공유를 위한 프레임워크(Framework for Responsible Sharing of Ge-nomic and Health-Related Data)'는 투명성, 접근성, 신뢰, 연대, 형평성, 데이터 품질·보안·프라이버시의 6대 원칙을 제시한다 [27]. GA4GH의 Beacon 프로토콜은 각 국가의 유전체 데이터베이스가 원시 데이터를 이전하지 않고도 특정 변이의 존재 여부를 안전하게 쿼리 할 수 있게 하는 기술 표준이다 [27]. 그러나 국제 규범은 자발적 참여에 기반하며, 지역별 법제와 충돌할 경우 조율 메커니즘이 취약하다 [27]. 중국이 자국의 유전자원 보호법으로 해외 공유를 제한하고, 미국이 안보 우려를 이유로 특정 국가와의 데이터 교환을 차단하는 상황에서 [20, 23]. 국제 표준이 실질적 구속력을 갖기 위해서는 양자·다자 조약 수준의 법적 메커니즘이 필요하다는 지적이 제기된다 [27].

한국의 유전체 데이터 규율은 생명윤리 및 안전에 관한 법률(생명윤리법)과 개인정보 보호법의 이중 체계로 운영된다 [28]. 생명윤리법은 유전자 검사 기관의 허가, 동의 취득 방식, 유전정보의 유출 금지, 유전자 검사 결과에 따른 차별 금지 등을 규정한다 [28]. 그러나 이 법은 주로 연구 윤리와 검사기관 규제에 초점이 맞춰져 있으며, 후생유전체 데이터·AI 기반 예측·DTC 검사 결과의 이차 활용·기업 파산 시 데이터 처리 등 새로운 현실을 충분히 포괄하지 못한다 [28].

보험업에서의 유전정보 활용은 현행 보험업법과 생명윤리법의 해석 상충 지대에 놓여 있다[28]. 생명윤리법은 유전정보를 이유로 한 차별을 금지하지만, 보험 계약에서 고지 의무와 유전 위험 정보의 관계에 대한 명확한 규정이 없어, 법적 분쟁 시 해석이 엇갈릴 가능성이 높다 [28]. 미국 GINA가 겪은 것과 동일하게, 한국 법에도 생명보험·장기요양보험 영역에서 유전정보 차별을 명시적으로 차단하는 규정이 불명확하다 [15, 28].

제도 공백의 이면에는 연구자 참여 문화의 미성숙이라는 구조적 문제도 있다. 유전체 데이터의 수집·활용을 주도하는 연구자들이 윤리 심의에 능동적으로 참여하고 [7], 데이터 거버넌스 설계의 과정에서 사회적 논의를 이끄는 역할을 충분히 수행하고 있는지는 재점검이 필요하다. 기술의 최전선에 있는 연구자들이 윤리적 시각을 갖추지 못한다면, 아무리 정교한 법률이 제정되어도 그 집행은 공허해진다 [7].

6. 마무리

국내 암 5년 생존율이 72.9%를 넘어선 것은 수십 년에 걸친 기초과학과 임상의 축적 결과다 [1]. 액체생검으로 수년 후의 질병을 예측하는 기술은 이미 개발되고 있다 [3, 4]. 누가 데이터를 갖고, 어떤 목적에 쓰며, 무엇을 하지 않기로 약속할 것인가는 아직 답이 없다.

유전체 데이터는 다른 어떤 개인정보와도 근본적으로 다르다 [7]. 첫째, 불변성이다. 유출된 유전체 정보는 신용카드 번호와 달리 바꿀 수 없다 [7]. 둘째, 관계성이다. 개인의 유전 정보는 부모, 자녀, 형제 전체에 관한 정보를 내포하며, 동의하지 않은 타인의 정보도 함께 노출된다 [7]. 셋째, 예측성이다. 지금의 건강 상태가 아닌 미래의 질병 가능성을 가리키며, 보험·고용·사회적 기회와 연결될 때 차별의 근거로 작동할 수 있다 [3, 4]. 의료 목적으로 수집된 정보가 개인과 가족의 생애 전체를 가로지르는 정보가 된다는 점에서, 데이터를 수집하고 분석하는 연구자의 책임 범위도 달라진다.

국제 학계에서 최근 논의의 방향은 데이터 수집 절차에서 데이터 생애주기 전체의 관리로 이동하고 있다. 2024년 WHO가 발표한 인간 유전체 데이터 원칙은 연구자와 기관이 데이터를 수집한 이후에도 보호와 활용 전반에 걸쳐 책임을 지는 주체여야 한다고 규정하며, 투명성과 책무성을 명시했다 [31]. 2025년 AAAI에서 발표된 내용에도 유전체 데이터 거버넌스의 현재 위기와 연구자와 기관이 데이터에 대한 수탁자적 의무(fiduciary duty, 데이터를 수집한 연구자와 기관이 데이터 제공자의 이익을 자신의 이익보다 우선해 보호할 법적 책임)를 져야 한다는 개념을 제안했다 [32].

유전체 데이터 거버넌스를 둘러싼 국제적 논의가 속도를 내는 만큼, 한국의 제도적 논의도 같은 속도로 진행될 필요가 있다. IRB는 연구 시작 시점의 동의 절차를 심의하지만, 생성된 데이터가 연구 종료 후 어디에 저장되고 누가 접근하며 언제 파기되는지는 심의 항목이 아니다. 생명윤리법은 검사기관 허가와 동의 취득 방식을 규율하지만, 데이터 생성 이후의 상업적 활용, 제3자 이전, 기업 파산 시 처리를 명시적으로 다루는 조항이 없다 [28]. 연구자가 아무리 성실하게 절차를 따라도, 데이터의 이후 경로는 제도적으로 통제되지 않는다.

연구자와 기관을 데이터 스튜어드로 법적으로 규정하는 것이 출발점이다. 수집 시점의 동의서 한 장으로 데이터의 전체 생애를 감당하는 구조는 유전체 데이터의 특수성과 맞지 않는다. 연구 계획서에 데이터 생성 이후의 저장 위치, 접근 권한, 보관 기간, 파기 방식, 제3자 이전 조건을 명시하도록 의무화하고, IRB가 데이터 생성 이후의 처리 계획도 함께 다루는 구조가 갖춰져야 한다. 연구가 종료된 뒤에도, 기관이 바뀐 뒤에도 데이터에 대한 책임이 유지되는 체계가 필요하다 [31,32].

유전체 데이터의 자산화를 제도적으로 차단하는 작업도 병행되어야 한다. 기업 파산이나 인수합병 시 유전체 데이터가 일반 사업 자산으로 분류되어 채권자에게 귀속되는 상황은 어떤 동의서도 전제하지 않은 것이다. 보험사가 유전체 분석 결과를 가입 심사나 보험료 산정에 활용하는 것 역시 마찬가지다. 보험 연계 액체생검 임상이 본격화되기 전에 보험사의 유전체 데이터 활용을 제한하는 원칙이 먼저 법적으로 자리 잡아야 한다. 유전체 데이터에서만큼은 기술이 도입된 후 문제가 생기고 나서 규정을 만드는 순서가 허용되지 않는다. 한번 유출된 정보는 되돌릴 수 없기 때문이다 [7, 28].

유전체 연구자들이 데이터 거버넌스 설계에 참여하는 문화도 필요하다. 데이터의 기술적 특성과 연구 현장의 실제를 가장 잘 아는 것은 연구자들이다. 생명윤리법 개정 논의, 국가 데이터 활용 기준 수립, 보험 연계 임상 설계 단계에서 연구자들이 목소리를 내지 않으면, 만들어진 제도가 현장과 따로 돌아가는 상황이 반복된다. IRB 위원으로 형식적으로 참여하는 것과 정책 설계에 실질적으로 개입하는 것은 다르다 [7, 32].

한국은 세계적 수준의 NGS 인프라와 국가 코호트를 보유하면서, 보험 연계 액체생검 임상과 후성유전 시계 상업화가 본격화되려는 시점에 서 있다 [8, 13]. 지금 묻지 않는다면, 누가 데이터를 갖고, 어떤 목적에 쓰며, 무엇을 하지 않기로 약속하는가에 대한 질문은 훨씬 더 비싼 대가를 치르며 돌아올 것이다 [7]. 유전체 기술이 어떤 사회를 만들 것인지를 함께 설계하는 일, 그것이 오늘날 생물학 연구자에게 요청되는 또 다른 책임이다.

[AI 도구 활용 내역] ChatGPT(o3), Claude(3.5 Sonnet), Perplexity, Gemini(1.5 Pro) 및 케이론(2026.04.14.)을 관련 문헌 검색, 기사 탐색 및 스토리라인 구성 검토에 활용했습니다. AI를 통해 수집된 정보는 저자가 원문 출처를 확인하여 사실관계를 검증했으며, 생성된 초안은 저자의 주도하에 전면 수정 및 보완 과정을 거쳐 최종 작성되었습니다.

6. 참고문헌

==>첨부파일(PDF) 참조