디지털·성범죄

해킹 사고가 5년 안에 두 번 나면 회사에 과징금이 자동으로 붙을까

입력 2026.09.09. 오전 10:08

요약 및 결론: 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조의8 제1항은 정보통신서비스 제공자의 고의 또는 중과실로 침해사고가 5년 이내의 기간 동안 2회 이상 발생한 경우, 과학기술정보통신부장관이 대통령령으로 정하는 매출액에 100분의 3을 곱한 금액을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다고 정한다. 사고 횟수만 채워지면 자동으로 부과되는 구조가 아니라, 고의 또는 중과실이라는 주관적 요건이 함께 필요하고 부과 여부는 장관의 재량이다. 이 조문은 법률 제21500호(2026년 3월 31일 공포)로 신설되어 2026년 10월 1일부터 시행된다.

침해사고 대응을 다루는 정보통신망법에 반복 사고에 대한 과징금 조항이 새로 들어왔다. 법률 제21500호가 2026년 3월 31일 공포되면서 제48조의8이 신설됐고, 부칙 제1조 본문에 따라 공포 후 6개월이 경과한 날인 2026년 10월 1일부터 시행된다. 시행일이 다가오는 동안 "5년 안에 두 번이면 과징금"이라는 요약이 돌지만, 조문이 실제로 정한 요건은 그보다 한 겹 더 있다.

침해사고가 5년 안에 두 번 나면 과징금이 자동으로 부과되나

자동으로 부과되지 않는다. 제48조의8 제1항은 과징금 부과의 요건을 두 개, 효과를 하나로 나눠 두었고 그 효과가 재량이다. 요건은 ① 정보통신서비스 제공자의 고의 또는 중과실이 있을 것, ② 그로 인하여 침해사고가 5년 이내의 기간 동안 2회 이상 발생했을 것이다. 이 두 가지가 모두 충족되어도 조문의 어미는 “부과할 수 있다”이므로, 부과 여부는 과학기술정보통신부장관의 판단에 맡겨져 있다.

바꿔 말하면 사고가 두 번 났다는 사실만으로는 조문의 요건이 채워지지 않는다. 사고가 제공자의 고의 또는 중과실로 인한 것이어야 한다. 경과실이나 무과실 사고까지 이 조문이 곧바로 잡아내는 구조는 아니다.

과징금 상한은 매출액의 몇 퍼센트인가

상한은 “대통령령으로 정하는 매출액에 100분의 3을 곱한 금액”이다. 여기서 중요한 것은 퍼센트 숫자가 아니라 곱하는 대상이다. 조문은 회사의 전체 매출이라고 쓰지 않고 “대통령령으로 정하는 매출액”이라고 썼다. 어떤 매출을 어떻게 산정할지는 대통령령이 정한다.

산정 기준도 마찬가지다. 제48조의8 제3항은 과징금을 제2항의 고려사항을 반영해 산정하되, 구체적인 산정 기준과 절차는 대통령령으로 정한다고 규정한다. 3%는 상한선이지 부과액이 아니다.

개인정보 보호법에도 3%라는 숫자가 등장하지만, 정보통신망법 제48조의8의 과징금은 근거 법률과 요건이 다른 별개의 제재다. 두 제도의 숫자가 같다는 이유로 같은 계산을 적용할 수 없다.

어떤 상황에 어떤 조문이 붙나

표의 마지막 줄과 관련해, 「개인정보 보호법」 제64조의2제1항제9호가 구체적으로 무엇을 정하는 호인지는 이 글의 확인 범위에서는 확인되지 않았다. 제48조의8 제4항이 그 호에 해당하는 경우를 적용 대상에서 빼 두었다는 사실만 조문에 적혀 있다.

과학기술정보통신부장관은 금액을 정할 때 무엇을 보나

제48조의8 제2항은 과징금을 부과하는 경우 일곱 가지 사항을 “고려하여야 한다”고 정한다. 제1항의 부과 여부가 재량인 것과 달리, 제2항의 고려는 의무다. 일곱 가지는 다음과 같다.

1. 침해사고의 횟수
2. 정보통신서비스 제공자의 고의ㆍ과실 여부
3. 침해사고로 인하여 정보가 유출ㆍ위조ㆍ변조ㆍ훼손된 경우 위반행위와의 관련성 및 유출ㆍ위조ㆍ변조ㆍ훼손의 규모
4. 침해사고로 인한 피해의 회복 및 피해 확산 방지 조치의 이행 여부
5. 정보통신서비스 제공자의 업무 형태 및 규모
6. 침해사고가 이용자에게 미치는 영향 및 이용자의 피해 규모
7. 침해사고 예방 및 신속한 대응을 위한 노력

제1호가 “침해사고의 횟수”라는 점은 읽는 방향을 알려 준다. 횟수는 제1항의 요건이면서 동시에 금액을 정할 때 고려하는 여러 사항 중 하나일 뿐이다. 제4호와 제7호처럼 사고 이후의 회복 조치와 사전 예방 노력도 함께 고려 대상에 올라 있다.

시행 전에 있었던 사고도 계산에 들어가나

부칙 제7조 제1항이 이 물음에 대한 조문이다. 조문은 “제48조의8의 개정규정은 이 법 시행 이후 최초로 정보통신서비스 제공자의 고의 또는 중과실로 인하여 침해사고가 5년 이내의 기간 동안 2회 이상 발생한 경우부터 적용한다”고 정한다.

이 조항은 제48조의8의 시행일을 늦추는 규정이 아니라 적용례다. 조문 자체의 시행일은 부칙 제1조에 따라 2026년 10월 1일이고, 부칙 제7조 제1항은 시행 후 최초로 요건이 충족되는 경우부터 적용한다는 시간적 적용 범위를 정한 것이다. 시행유예와 적용례는 다른 장치다.

과거 사고가 횟수에 어떻게 반영되는지에 대해서는 조문 문언 이상을 이 글에서 단정하지 않는다. 부칙 제7조 제1항이 정한 기준은 “이 법 시행 이후 최초로 … 2회 이상 발생한 경우”라는 문구이며, 그 구체적 해석을 다룬 판례나 결정은 이 글의 확인 범위에서는 확인되지 않았다.

이 과징금은 형벌인가

형벌이 아니다. 제48조의8은 과징금의 부과, 산정, 징수, 환급만 규정한다. 이 조문에는 징역이나 벌금 같은 형사 법정형이 없고, 따라서 “징역 또는 벌금”의 선택형 문제도 생기지 않는다. 행정청이 부과하는 금전적 제재, 즉 행정상 과징금이다.

성질이 다르기 때문에 절차도 다르다. 미납 시 제5항의 가산금이 붙고, 제6항에 따라 국세 강제징수의 예로 징수된다. 형사 절차가 아니라 행정 징수 절차다.

과징금을 냈다가 돌려받게 되면

제7항은 법원 판결 등의 사유로 부과된 과징금을 환급하는 경우, 과징금을 낸 날부터 환급하는 날까지의 기간에 대해 금융회사 등의 예금이자율 등을 고려하여 대통령령으로 정하는 이자율을 적용해 계산한 환급가산금을 “지급하여야 한다”고 정한다. 어미가 의무형이다.

제8항은 그 예외를 둔다. 법원의 판결에 따라 과징금 부과처분이 취소되고 그 판결이유에 따라 새로운 과징금을 부과하는 경우에는, 당초 납부한 과징금에서 새로 부과하기로 결정한 과징금을 공제한 나머지 금액에 대해서만 환급가산금을 계산해 지급한다. 처분이 취소돼도 다시 부과되는 금액이 있으면 그만큼은 환급가산금 계산에서 빠진다는 뜻이다.

제7항과 제8항에 나오는 “판결”과 “결정”은 조문의 요건을 이루는 문언이다. 특정 사건의 사건번호나 선고일을 가리키는 표현이 아니다.

조문은 몇 개 항으로 되어 있나

제48조의8은 총 8개 항이다. 제2항에만 호가 있고 그 수는 7개이며, 다른 항에는 호가 없다. 삭제로 남아 있는 항도 없다. 조문 말미 표기는 “[본조신설 2026. 3. 31.]”이다.

조문을 신설한 법률은 법률 제21500호(2026년 3월 31일 공포)다. 2026년 10월 1일 시행본 상단의 공포번호도 같은 법률 제21500호다.

실제 부과 수위는 어느 정도인가

공표 자료 없음. 제48조의8은 2026년 10월 1일 시행 예정 조문이므로, 이 글의 확인 범위에서는 이 조문에 따른 과징금 부과 실적이나 부과 기준을 다룬 공식 통계가 확인되지 않았다. 형사처벌 조항이 아니므로 양형기준이 적용될 자리가 아니다.

제48조의8에 관한 판례나 결정 역시 이 글의 확인 범위에서는 확인되지 않았다. 사건번호, 선고일, 사건명, 판시사항을 국가법령정보센터에서 확인하지 못했다.

현재 확실하게 말할 수 있는 것은 조문이 정한 상한과 절차뿐이다. 상한은 대통령령으로 정하는 매출액의 100분의 3이고, 구체적 산정 기준과 절차는 제3항에 따라 대통령령에 위임되어 있다.

일반 정보이며 법률 자문이 아닙니다 — 콘텐츠 원칙 보기

본 콘텐츠는 법률브리프 에디터가 작성 및 검수하였으며, 일부는 AI로 작성되었습니다.