2026.09.08. 아시아경제에 법무법인 YK 송각엽 변호사의 인터뷰 기사 게재되었습니다.
미용의료 플랫폼 '강남언니' 운영사 힐링페이퍼에서 이용자 약 22만명의 개인정보가 유출된 것으로 확인됐습니다. 유출된 내역에는 이름과 전화번호뿐만 아니라 시술명과 의사, 병원 등이 함께 포함된 것으로 알려지면서 2차 피해 우려도 커졌습니다. 법조계에서는 유출된 정보에 시술 이력·상담 사진 등 민감정보가 결합돼 있다는 점에서 개인정보보호법상 안전 조치 의무 위반 소지가 있다는 해석을 내놨습니다.
8일 <뉴스토마토> 취재를 종합하면, 힐링페이퍼는 지난 7일 '개인정보 유출 안내 및 사과문'을 통해 "9월4일 상담 내역을 조회하는 연동 기능(API)에 대한 비정상적인 접근이 시도되어 일부 고객님의 개인정보가 유출되는 사고가 발생했다"고 알렸습니다. 유출 항목은 이름·연락처·생년월일 등 정보를 넘어 상담 신청 항목(이벤트 및 시술명, 의사명, 병원명), 상담 등록 사진, 결제 정보(가격, 결제자 이름·연락처), 시술 정보(관심·신청·실제 시술 정보, 내원·시술 일시, 시술 의사 식별값)까지 포함됐습니다.
유출 규모는 총 21만9665명입니다. 강남언니에 따르면, 한국 이용자가 약 16만명으로 가장 많고 일본(4만8000명), 대만(4218명), 태국(1591명), 중국(481명), 영어권 및 기타 국가(5308명) 등 해외 이용자도 다수 포함됐습니다.
법조계에서는 힐링페이퍼가 강조한 '즉시 탐지·차단'이라는 대응만으로 책임을 피하기는 어렵다는 지적이 나옵니다. 물론 신속한 차단과 후속 조치는 제재 수위를 낮추는 요소가 될 수 있습니다. 문제는 유출 정보의 '민감도'입니다. 시술 이력, 상담 사진, 병원명, 결제 정보 등이 한데 묶여 유출됐다는 점에 주목하는 겁니다.
부장판사 출신 송각엽 법무법인YK 변호사는 "신속히 탐지·차단했다는 사정만으로 불가항력적 침해라고 보기는 어렵다"며 "단기간에 약 22만명의 정보가 유출됐다면 API 인증·접근 권한 관리 등 사전 안전 조치에 미비가 있었을 가능성이 크다"고 판단했습니다.
그러면서 "정보의 민감도와 2차 피해 위험이 매우 높다"며 "접근 통제나 인증 등 기본적인 보호 조치가 누락됐다면 개인정보보호법 제29조 위반 및 손해배상책임이 인정될 가능성이 높다"고 봤습니다. 개인정보보호법 제29조는 개인정보처리자가 개인정보 유출을 방지하기 위해 내부 관리 계획 수립, 접근 통제, 암호화 등 안전성 확보에 필요한 기술적·관리적·물리적 조치를 하도록 규정한 조항입니다.
최근 잇따른 개인정보 유출 사고와 비교하면 강남언니 사태의 성격은 뚜렷해집니다. 지난해 3370만건(3370만명 규모)이 유출돼 역대 최대 규모를 기록한 쿠팡 사태와 비교하면, 강남언니 유출 규모(약 22만명)는 150분의 1 수준으로 작습니다. 다만 쿠팡에서 유출된 정보가 이름·연락처·배송지 주소 등이었던 반면, 강남언니는 시술 이력·상담 사진·병원명 등 훨씬 민감한 정보가 결합돼 유출됐다는 차이가 있습니다. 규모는 작아도 정보의 민감도만 놓고 보면 결혼정보업체 듀오 사례와 같거나 그 이상이라는 평가가 나오는 이유입니다.
송각엽 변호사도 "강남언니는 의료기관이 아닌 플랫폼이므로 의료법상 비밀유지·진료기록 관리 의무가 직접 적용될 가능성은 낮고, 개인정보보호법이 중심이 될 것"이라고 봤습니다. 다만 "유출된 정보가 병원의 실제 진료기록이거나, 병원이 이를 플랫폼에 부적절하게 제공·위탁한 경우에는 해당 의료기관과 의료인에 대해 의료법상 책임도 함께 검토할 수는 있어 보인다"고 말했습니다.
1555-7472