[뉴스토마토 유근윤 기자] 미용의료 플랫폼 '강남언니' 운영사 힐링페이퍼에서 이용자 약 22만명의 개인정보가 유출된 것으로 확인됐습니다. 유출된 내역에는 이름과 전화번호뿐만 아니라 시술명과 의사, 병원 등이 함께 포함된 것으로 알려지면서 2차 피해 우려도 커졌습니다. 법조계에서는 유출된 정보에 시술 이력·상담 사진 등 민감정보가 결합돼 있다는 점에서 개인정보보호법상 안전 조치 의무 위반 소지가 있다는 해석을 내놨습니다.
지난 7일 미용의료 플랫폼 강남언니에서 약 22만 명의 개인정보가 유출됐다는 공지가 됐다. (사진=독자 제공)
시술 내역부터 상담 사진까지…"수치심이 통째로 유출"
8일 <뉴스토마토> 취재를 종합하면, 힐링페이퍼는 지난 7일 '개인정보 유출 안내 및 사과문'을 통해 "9월4일 상담 내역을 조회하는 연동 기능(API)에 대한 비정상적인 접근이 시도되어 일부 고객님의 개인정보가 유출되는 사고가 발생했다"고 알렸습니다. 유출 항목은 이름·연락처·생년월일 등 정보를 넘어 상담 신청 항목(이벤트 및 시술명, 의사명, 병원명), 상담 등록 사진, 결제 정보(가격, 결제자 이름·연락처), 시술 정보(관심·신청·실제 시술 정보, 내원·시술 일시, 시술 의사 식별값)까지 포함됐습니다.
유출 규모는 총 21만9665명입니다. 강남언니에 따르면, 한국 이용자가 약 16만명으로 가장 많고 일본(4만8000명), 대만(4218명), 태국(1591명), 중국(481명), 영어권 및 기타 국가(5308명) 등 해외 이용자도 다수 포함됐습니다.
문제는 해당 플랫폼이 미용의료 플랫폼으로, 이용자들이 신뢰를 바탕으로 자신의 시술 및 성형 전후 사진 등 후기를 올리거나 상담 내역 등을 남겼다는 겁니다. 평소 간단한 피부 시술을 받기 위해 자주 해당 어플리케이션을 이용했다는 김모씨(28세)는 "가벼운 피부미용 시술을 좋아하고, 해당 앱이 쿠폰을 많이 줘서 자주 이용했다"며 "포인트를 얻기 위해 시술 후기나 사진을 많이 남겼는데 유출됐다니 다소 수치스럽다"라고 말했습니다.
또 다른 외국인 이용자 Anna(25세, 우즈베키스탄)씨는 "많이 들어봤던 앱이었고, 한국인 친구가 자주 쓰길래 일주일 정도 전에 다운받았다. 개인정보가 유출되어 기분이 좋지 않다. 한국은 개인정보가 자주 유출되는 것 같다"며 불편함을 숨기지 않았습니다.
힐링페이퍼 측은 "9월5일 동일 공격자가 이전과 다른 경로로 재차 접근을 시도한 사실을 확인해 즉시 차단했다"며 "이후 전체 시스템에 대한 전수 점검을 실시하고 인증 절차 강화, 이상 접근 탐지 체계 고도화 등 기술적 조치를 완료했다"고 설명했습니다. 회사는 관할 경찰서에 수사를 의뢰하고, 한국인터넷진흥원(KISA)에 자진 신고한 상황입니다.
"신속 차단만으로 면책 안 돼"…민감정보 결합이 관건
법조계에서는 힐링페이퍼가 강조한 '즉시 탐지·차단'이라는 대응만으로 책임을 피하기는 어렵다는 지적이 나옵니다. 물론 신속한 차단과 후속 조치는 제재 수위를 낮추는 요소가 될 수 있습니다. 문제는 유출 정보의 '민감도'입니다. 시술 이력, 상담 사진, 병원명, 결제 정보 등이 한데 묶여 유출됐다는 점에 주목하는 겁니다.
부장판사 출신 송각엽 법무법인YK 변호사는 "신속히 탐지·차단했다는 사정만으로 불가항력적 침해라고 보기는 어렵다"며 "단기간에 약 22만명의 정보가 유출됐다면 API 인증·접근 권한 관리 등 사전 안전 조치에 미비가 있었을 가능성이 크다"고 판단했습니다.
그러면서 "정보의 민감도와 2차 피해 위험이 매우 높다"며 "접근 통제나 인증 등 기본적인 보호 조치가 누락됐다면 개인정보보호법 제29조 위반 및 손해배상책임이 인정될 가능성이 높다"고 봤습니다. 개인정보보호법 제29조는 개인정보처리자가 개인정보 유출을 방지하기 위해 내부 관리 계획 수립, 접근 통제, 암호화 등 안전성 확보에 필요한 기술적·관리적·물리적 조치를 하도록 규정한 조항입니다.
"쿠팡보다 작아도 민감도는 듀오급"…의료법 적용 가능성은?
최근 잇따른 개인정보 유출 사고와 비교하면 강남언니 사태의 성격은 뚜렷해집니다. 지난해 3370만건(3370만명 규모)이 유출돼 역대 최대 규모를 기록한 쿠팡 사태와 비교하면, 강남언니 유출 규모(약 22만명)는 150분의 1 수준으로 작습니다. 다만 쿠팡에서 유출된 정보가 이름·연락처·배송지 주소 등이었던 반면, 강남언니는 시술 이력·상담 사진·병원명 등 훨씬 민감한 정보가 결합돼 유출됐다는 차이가 있습니다. 규모는 작아도 정보의 민감도만 놓고 보면 결혼정보업체 듀오 사례와 같거나 그 이상이라는 평가가 나오는 이유입니다.
듀오 사건은 지난해 직원 PC가 해킹당해 정회원 42만7464명의 신체 정보, 혼인 경력 등 민감정보가 유출된 사고입니다. 피해자들은 유출 정보가 단순 연락처가 아닌 종교·이혼 사유 등 민감정보의 결합이라는 점을 근거로, 통상 과거 개인정보 유출 사건 위자료 수준(10만~30만원)보다 높은 1인당 100만원을 청구하는 집단소송을 제기한 바 있습니다.
시술·병원 관련 정보가 유출된 만큼, 의료법 위반 여부를 묻는 목소리도 나옵니다. 그러나 법조계는 강남언니가 의료기관이 아닌 정보 플랫폼이라는 점에서 의료법 적용 가능성은 낮게 봤습니다.
위종욱 법무법인 대륙아주 파트너 변호사는 "의료법상 의료 정보 보호 의무를 부담하는 자는 의료인이나 의료기관의 장 및 의료기관 종사자여서 강남언니 플랫폼 운영자는 이에 해당하기 어려울 것으로 보인다"고 말했습니다. 이어 "유출된 정보도 의료인이 아닌 플랫폼이 자체 수집한 정보로 보여서 의료 정보로 인정되지 않을 가능성도 높아 보인다"고 덧붙였습니다.
송각엽 변호사도 "강남언니는 의료기관이 아닌 플랫폼이므로 의료법상 비밀유지·진료기록 관리 의무가 직접 적용될 가능성은 낮고, 개인정보보호법이 중심이 될 것"이라고 봤습니다. 다만 "유출된 정보가 병원의 실제 진료기록이거나, 병원이 이를 플랫폼에 부적절하게 제공·위탁한 경우에는 해당 의료기관과 의료인에 대해 의료법상 책임도 함께 검토할 수는 있어 보인다"고 말했습니다.
유근윤 기자 9nyoon@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 최병호 공동체부장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지