반복된 침해사고, 과징금은 언제 부과될까: 2026년 10월 시행 예정 규정의 요건
해킹 등 침해사고가 반복되면 회사에 과징금이 자동으로 부과된다고 보기 어렵다. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조의8은 반복 횟수만이 아니라 정보통신서비스 제공자의 고의 또는 중과실, 5년 이내 2회 이상 발생이라는 요건을 함께 둔다. 그리고 그 효과도 과학기술정보통신부장관이 과징금을 부과할 수 있다고 정한 재량 규정이다.
이 조문은 2026년 9월 9일 기준으로는 아직 시행 전이며, 2026년 10월 1일 시행 예정이다. 따라서 아래 내용은 법률 제21500호로 신설되어 같은 날부터 시행되는 제48조의8을 기준으로 한 설명이다.
핵심: 반복 횟수만으로는 부족하다
제48조의8 제1항의 구조는 세 단계로 읽을 수 있다.
- 정보통신서비스 제공자의 고의 또는 중과실로 침해사고가 발생해야 한다.
- 그 침해사고가 5년 이내의 기간 동안 2회 이상 발생해야 한다.
- 두 요건이 충족되더라도 과학기술정보통신부장관은 과징금을 부과할 수 있다.
즉, 사고가 두 번 있었다는 사실만으로 무과실·자동 부과가 되는 규정은 아니다. 법문은 고의 또는 중과실을 요구하고, 처분 여부도 장관의 부과 재량으로 정한다.
과징금의 상한은 대통령령으로 정하는 매출액에 100분의 3을 곱한 금액이다. 이는 제48조의8에 따른 행정상 과징금의 상한이며, 이 조문에는 징역이나 벌금의 형사 법정형이 규정되어 있지 않다.
과징금 부과 때 살피는 일곱 가지
장관이 과징금을 부과하는 경우 제2항은 다음 사항을 고려하도록 한다.
- 침해사고의 횟수
- 정보통신서비스 제공자의 고의·과실 여부
- 정보 유출·위조·변조·훼손이 있었다면 위반행위와의 관련성 및 그 규모
- 피해 회복과 피해 확산 방지 조치의 이행 여부
- 정보통신서비스 제공자의 업무 형태 및 규모
- 이용자에게 미치는 영향 및 이용자 피해 규모
- 침해사고 예방과 신속한 대응을 위한 노력
제48조의8은 모두 8개 항으로 구성되며, 제2항에는 7개의 호가 있다. 삭제로 남아 있는 항은 없다. 구체적인 과징금 산정 기준과 절차는 이 고려사항을 바탕으로 대통령령에서 정하도록 되어 있다.
시행일과 적용례는 다르다
법률 제21500호 부칙 제1조에 따라 제48조의8은 2026년 10월 1일부터 시행된다. 부칙 제7조제1항은 이 조문 자체의 시행을 늦추는 규정이 아니다. 이는 개정규정을 법 시행 이후 최초로 정보통신서비스 제공자의 고의 또는 중과실로 침해사고가 5년 이내의 기간 동안 2회 이상 발생한 경우부터 적용한다는 적용례다.
따라서 시행일은 2026년 10월 1일이고, 적용은 그 시행 후 최초로 법이 정한 요건이 충족되는 경우부터 시작한다. 시행 전 침해사고를 어떤 방식으로 산입한다고 명시한 별도 규정은 이 글의 확인 범위에서는 확인되지 않았다.
납부·환급 관련 규정도 함께 있다
과징금을 납부기한까지 내지 않으면, 납부기한 다음 날부터 미납 과징금의 연 100분의 6에 해당하는 가산금을 징수한다. 가산금을 징수하는 기간은 60개월을 넘을 수 없다. 지정된 기간에도 과징금과 가산금을 내지 않으면 국세 강제징수의 예에 따라 징수한다.
한편 법원 판결 등의 사유로 과징금을 환급할 때에는 법정 방식으로 계산한 환급가산금을 지급해야 한다. 법원의 판결에 따라 과징금 부과처분이 취소된 뒤 그 판결이유에 따라 새 과징금을 부과하는 경우에는, 당초 납부액에서 새로 부과하기로 결정한 과징금을 뺀 나머지에 대해서만 환급가산금을 계산한다. 여기서 판결과 결정은 특정 사건을 가리키는 표현이 아니라, 조문이 정한 환급가산금 산정의 요건이다.
자주 묻는 질문
해킹 사고가 반복되면 회사에 과징금이 부과되나요?
자동으로 부과되지는 않는다. 제48조의8 제1항은 정보통신서비스 제공자의 고의 또는 중과실, 5년 이내 2회 이상 발생을 요구하며, 장관이 과징금을 부과할 수 있도록 정한다. 이 규정은 2026년 10월 1일 시행 예정이다.
침해사고 과징금은 매출의 몇 퍼센트까지인가요?
제48조의8에 따른 상한은 대통령령으로 정하는 매출액의 100분의 3이다. 실제 부과 때에는 침해사고 횟수, 고의·과실, 피해 회복 조치, 이용자 영향 등 법정 고려사항을 함께 본다.
예전에 있었던 해킹 사고도 과징금 계산에 들어가나요?
부칙 제7조제1항은 제48조의8을 법 시행 이후 최초로 고의 또는 중과실에 따른 침해사고가 5년 이내 2회 이상 발생한 경우부터 적용한다고 정한다. 이 문언은 시행유예가 아니라 적용례이며, 시행일은 2026년 10월 1일이다. 시행 전 사고의 산입 방식을 별도로 밝힌 규정은 이 글의 확인 범위에서는 확인되지 않았다.
참고 법령
- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조의8
- 법률 제21500호 부칙 제1조, 제7조제1항