5년 안에 침해사고 두 번이면 과징금? 요건은 셋이고, 마지막은 재량이다
한 줄 답부터. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조의8은 침해사고 횟수만으로 과징금을 자동으로 붙이지 않는다. ① 정보통신서비스 제공자의 고의 또는 중과실이 있어야 하고, ② 그로 인한 침해사고가 5년 이내의 기간 동안 2회 이상 발생해야 하며, ③ 그때 과학기술정보통신부장관이 과징금을 “부과할 수 있다”. 상한은 대통령령으로 정하는 매출액에 100분의 3을 곱한 금액이다. 그리고 이 조문은 2026년 10월 1일부터 시행될 예정이다.
이 조문은 아직 시행 전이다
먼저 시점을 맞춰 둔다. 제48조의8은 **법률 제21500호(2026년 3월 31일 공포)**로 신설된 조문이고, 시행일은 2026년 10월 1일이다. 이 글을 쓰는 2026년 9월 9일 현재 시행 중인 법은 [시행 2026. 7. 7.] [법률 제21305호, 2026. 1. 6., 일부개정] 본이며, 그 시행본에는 제48조의8이 들어 있지 않다.
시행일이 이렇게 정해지는 근거는 부칙에 있다.
부칙 <법률 제21500호, 2026. 3. 31.> 제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제45조의5 및 제76조제2항제6호의4의 개정규정은 공포 후 1년이 경과한 날부터 시행한다.
제48조의8은 단서에 열거된 조문이 아니라 본문 대상이므로, 공포 후 6개월이 경과한 날인 2026년 10월 1일에 시행된다.
한 가지 주의할 것이 있다. 같은 법률의 상단 공포번호와 조문을 만든 공포번호를 섞으면 안 된다. 제48조의8의 문언을 만든 것은 법률 제21500호이고, 2026년 10월 1일 시행본 상단의 공포번호도 같은 제21500호다. 반면 2026년 9월 9일 시점 시행본 상단의 법률 제21305호는 제48조의8을 손댄 법률이 아니다.
제1항을 세 토막으로 끊어 읽는다
조문 제1항의 원문은 이렇다.
제48조의8(침해사고의 반복적 발생에 대한 과징금의 부과) ① 과학기술정보통신부장관은 정보통신서비스 제공자의 고의 또는 중과실로 인하여 침해사고가 5년 이내의 기간 동안 2회 이상 발생한 경우에는 해당 정보통신서비스 제공자에게 대통령령으로 정하는 매출액에 100분의 3을 곱한 금액을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다.
한 문장이라 뭉쳐 읽히지만, 실제로는 요건 둘과 효과 하나가 붙어 있다.
요건 ① — 고의 또는 중과실. 사고가 났다는 사실만으로는 요건이 채워지지 않는다. 조문은 침해사고가 “정보통신서비스 제공자의 고의 또는 중과실로 인하여” 발생했을 것을 요구한다. 경과실이 아니라 중과실이라고 못 박혀 있다는 점, 그리고 그 귀책이 정보통신서비스 제공자의 것이어야 한다는 점이 함께 걸린다.
요건 ② — 5년 이내의 기간 동안 2회 이상. 횟수 요건은 여기 한 자리뿐이다. 조문이 정한 기간은 “5년 이내”, 횟수는 “2회 이상”이다.
효과 — “부과할 수 있다”. 이 어미가 이 조문의 성격을 결정한다. “부과하여야 한다”가 아니라 “부과할 수 있다”, 즉 과학기술정보통신부장관의 재량이다. 요건이 모두 채워져도 부과 여부는 장관의 판단에 남는다. 조문이 재량과 의무를 갈라 둔 자리이므로 바꿔 읽으면 내용이 달라진다.
정리하면 “두 번 나면 과징금”은 조문을 한 겹 벗겨 낸 요약이다. 정확히는 “고의 또는 중과실로 5년 안에 두 번 이상 나면, 장관이 상한 범위에서 부과할 수 있다”이다.
상한 3%는 “무엇의” 3%인가
조문이 정한 상한은 “대통령령으로 정하는 매출액에 100분의 3을 곱한 금액을 초과하지 아니하는 범위”다. 3%라는 숫자만 떼어 오면 절반만 옮긴 것이 된다. 기준이 되는 매출액 자체가 조문이 아니라 대통령령에 맡겨져 있기 때문이다.
산정 방식도 마찬가지다.
③ 제1항에 따른 과징금은 제2항을 고려하여 산정하되, 구체적인 산정 기준과 절차는 대통령령으로 정한다.
즉 상한선의 계산 기준(어떤 매출액인지)과 구체적 산정 기준·절차 두 가지가 모두 하위 법령의 몫이다. 그 대통령령이 매출액을 어떻게 정의하는지는 이 글의 확인 범위에서는 확인되지 않았다.
숫자가 같다고 같은 규정으로 묶는 것도 조심해야 한다. 다른 법률에도 매출액 대비 비율로 정한 과징금 규정이 있지만, 제48조의8의 3%는 정보통신망법이 정보통신서비스 제공자의 반복 침해사고에 대해 따로 둔 상한이다. 조문 스스로도 다른 법률과의 경계를 하나 그어 둔다.
④ 제1항에 따른 과징금은 「개인정보 보호법」 제64조의2제1항제9호에 해당하는 경우에는 적용하지 아니한다.
제4항이 정하는 것은 딱 여기까지, 즉 그 경우에는 “적용하지 아니한다”는 것이다. 인용된 「개인정보 보호법」 조항이 구체적으로 무엇을 정하는지는 이 글의 확인 범위에서는 확인되지 않았다.
부과할 때 반드시 고려해야 하는 7가지
제2항의 어미는 제1항과 다르다. 부과 여부는 재량이지만, 부과한다면 고려는 의무다.
② 과학기술정보통신부장관은 제1항에 따른 과징금을 부과하는 경우에는 다음 각 호의 사항을 고려하여야 한다.
호는 모두 7개다.
- 침해사고의 횟수
- 정보통신서비스 제공자의 고의ㆍ과실 여부
- 침해사고로 인하여 정보가 유출ㆍ위조ㆍ변조ㆍ훼손된 경우 위반행위와의 관련성 및 유출ㆍ위조ㆍ변조ㆍ훼손의 규모
- 침해사고로 인한 피해의 회복 및 피해 확산 방지 조치의 이행 여부
- 정보통신서비스 제공자의 업무 형태 및 규모
- 침해사고가 이용자에게 미치는 영향 및 이용자의 피해 규모
- 침해사고 예방 및 신속한 대응을 위한 노력
눈여겨볼 자리는 제1호와 제4호, 제7호다. 횟수는 요건이면서 동시에 고려사항이다(제1호). 그리고 사고 이후의 행위, 곧 피해 회복과 확산 방지 조치의 이행 여부(제4호), 예방과 신속 대응을 위한 노력(제7호)이 고려사항으로 조문에 적혀 있다. 조문 구조상 사고가 난 뒤에 무엇을 했는지가 산정 단계에서 다루어지는 셈이다.
형벌이 아니라 과징금이다
제48조의8에는 징역이나 벌금 같은 형사 법정형이 없다. 조문은 과징금의 부과, 산정, 징수, 환급만 규정한다. 그러므로 “징역 또는 벌금”의 선택형이 어떻게 되는지를 따지는 것 자체가 이 조문에는 해당하지 않는다. 행정상 금전 제재인 과징금과 형벌, 그리고 과태료는 성질이 다른 제도이므로 섞어 읽으면 안 된다.
내지 않으면 — 가산금과 강제징수
⑤ 과학기술정보통신부장관은 제1항에 따른 과징금을 내야 할 자가 납부기한까지 이를 내지 아니하면 납부기한의 다음 날부터 내지 아니한 과징금의 연 100분의 6에 해당하는 가산금을 징수한다. 이 경우 가산금을 징수하는 기간은 60개월을 초과하지 못한다.
가산금은 연 100분의 6이고, 징수 기간에는 60개월이라는 상한이 걸려 있다. “초과하지 못한다”는 금지형 어미다.
⑥ 과학기술정보통신부장관은 제1항에 따른 과징금을 내야 할 자가 납부기한까지 이를 내지 아니하면 기간을 정하여 독촉하고, 그 지정된 기간에 과징금과 제5항에 따른 가산금을 내지 아니하면 국세 강제징수의 예에 따라 징수한다.
순서는 독촉이 먼저, 그다음이 국세 강제징수의 예에 따른 징수다.
돌려줄 때 — 환급가산금과 제8항의 공제
⑦ 과학기술정보통신부장관은 법원 판결 등의 사유로 제1항에 따라 부과된 과징금을 환급하는 경우에는 과징금을 낸 날부터 환급하는 날까지의 기간에 대하여 금융회사 등의 예금이자율 등을 고려하여 대통령령으로 정하는 이자율을 적용하여 계산한 환급가산금을 지급하여야 한다.
제7항의 어미는 “지급하여야 한다”, 의무다. 이자율은 다시 대통령령에 맡겨져 있다.
제8항은 그 예외를 하나 둔다.
⑧ 과학기술정보통신부장관은 제7항에도 불구하고 법원의 판결에 따라 과징금 부과처분이 취소되어 그 판결이유에 따라 새로운 과징금을 부과하는 경우에는 당초 납부한 과징금에서 새로 부과하기로 결정한 과징금을 공제한 나머지 금액에 대해서만 환급가산금을 계산하여 지급한다.
부과처분이 취소된 뒤 판결이유에 따라 다시 과징금을 부과하는 상황이라면, 처음 낸 금액 전부가 아니라 새 과징금을 공제한 나머지 금액에 대해서만 환급가산금을 계산한다는 뜻이다. 여기 나오는 “판결”과 “결정”은 조문의 요건 문언이지 특정 사건을 가리키는 표현이 아니다.
시행 전에 있었던 사고는 세는가 — 부칙 제7조제1항
이 조문에서 가장 헷갈리기 쉬운 자리다. 부칙에는 별도의 적용례가 있다.
부칙 <법률 제21500호, 2026. 3. 31.> 제7조(과징금의 부과에 관한 적용례) ① 제48조의8의 개정규정은 이 법 시행 이후 최초로 정보통신서비스 제공자의 고의 또는 중과실로 인하여 침해사고가 5년 이내의 기간 동안 2회 이상 발생한 경우부터 적용한다.
여기서 두 가지를 갈라야 한다.
첫째, 이것은 시행유예가 아니다. 조문 자체의 시행일은 부칙 제1조가 정하며 2026년 10월 1일이다. 제7조제1항은 시행일을 뒤로 미루는 규정이 아니라, 시행된 조문을 어느 경우부터 적용하는지를 정하는 적용례다.
둘째, 적용의 기준점은 “시행 이후 최초로 … 2회 이상 발생한 경우”다. 조문 문언이 정하는 것은 여기까지다. 이 문언을 넘어 개별 사고를 언제부터 어떻게 세는지에 관한 해석이나 하위 기준은 이 글의 확인 범위에서는 확인되지 않았다.
제48조의8에 관한 법원의 판례나 헌법재판소 결정도 마찬가지다. 기준일에 아직 시행 전인 조문이므로, 이 글의 확인 범위에서는 해당 조문에 관한 판례ㆍ결정이 확인되지 않았다.
짧은 문답
해킹 사고가 반복되면 회사에 과징금이 부과되나요? 반복 자체만으로 자동 부과되지는 않는다. 정보통신망법 제48조의8 제1항은 ① 정보통신서비스 제공자의 고의 또는 중과실로 인할 것, ② 그 침해사고가 5년 이내의 기간 동안 2회 이상 발생할 것을 요건으로 하고, 요건이 채워져도 효과는 과학기술정보통신부장관이 “부과할 수 있다”는 재량이다. 이 조문은 2026년 10월 1일부터 시행될 예정이다.
침해사고 과징금은 매출의 몇 퍼센트까지인가요? 제1항이 정한 상한은 “대통령령으로 정하는 매출액에 100분의 3을 곱한 금액을 초과하지 아니하는 범위”다. 3%라는 비율뿐 아니라 그 3%를 곱하는 매출액이 무엇인지가 대통령령에 맡겨져 있다는 점이 함께 붙는다. 구체적인 산정 기준과 절차도 제3항에 따라 대통령령으로 정해진다.
예전에 있었던 해킹 사고도 과징금 계산에 들어가나요? 법률 제21500호 부칙 제7조제1항은 제48조의8의 개정규정을 “이 법 시행 이후 최초로 정보통신서비스 제공자의 고의 또는 중과실로 인하여 침해사고가 5년 이내의 기간 동안 2회 이상 발생한 경우부터 적용한다”고 정한다. 이는 조문의 시행일을 늦추는 규정이 아니라 적용례이며, 조문 문언이 정하는 범위는 여기까지다.
과징금을 안 내면 어떻게 되나요? 납부기한까지 내지 않으면 그다음 날부터 미납 과징금의 연 100분의 6에 해당하는 가산금이 징수되고, 그 징수 기간은 60개월을 초과하지 못한다(제5항). 기간을 정한 독촉에도 내지 않으면 국세 강제징수의 예에 따라 징수한다(제6항).
이 조문으로 처벌도 받나요? 제48조의8은 과징금의 부과ㆍ산정ㆍ징수ㆍ환급만 정하는 규정이고, 이 조문 자체에는 징역이나 벌금의 형사 법정형이 없다.
조문 구조 요약
- 항: 제1항부터 제8항까지 총 8개. 삭제로 남은 항은 없다.
- 호: 제2항에 7개. 다른 항에는 호가 없다. 목은 없다.
- 어미: 제1항 “부과할 수 있다”(재량), 제2항 “고려하여야 한다”(의무), 제5항 “초과하지 못한다”(금지), 제7항 “지급하여야 한다”(의무), 제4항 “적용하지 아니한다”.
- 신설: 법률 제21500호(2026년 3월 31일 공포), 시행 2026년 10월 1일.
참고 법령
- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조의8(침해사고의 반복적 발생에 대한 과징금의 부과) — 제1항부터 제8항까지, 제2항 제1호부터 제7호까지 [시행 2026. 10. 1.] [법률 제21500호, 2026. 3. 31., 일부개정]
- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 부칙(법률 제21500호, 2026. 3. 31.) 제1조(시행일)
- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 부칙(법률 제21500호, 2026. 3. 31.) 제7조(과징금의 부과에 관한 적용례) 제1항
- 「개인정보 보호법」 제64조의2 제1항 제9호 — 정보통신망법 제48조의8 제4항이 인용하는 조항
- 기준일 시행본 대조: 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 [시행 2026. 7. 7.] [법률 제21305호, 2026. 1. 6., 일부개정]
이 글은 2026년 9월 9일을 기준일로, 위 조문의 문언을 대조해 정리한 것이다. 개별 사안의 판단이나 특정 사건의 결론을 다루지 않는다.