침해사고 이용자 보호조치: 2026년 10월 1일 시행 예정인 전기통신사업법 제32조의20
전기통신사업법 제32조의20은 2026년 9월 14일 기준으로 아직 시행 전인 규정이다. 법률 제21499호로 2026년 3월 31일 신설되었고, 부칙에 따라 2026년 10월 1일부터 시행될 예정이다. 따라서 이 글은 현재의 법적 의무나 현행 처벌을 설명하는 것이 아니라, 시행 예정 규정의 구조를 정리한다.
이 조문은 침해사고가 발생했거나 발생할 우려가 있는 상황의 이용자 보호를 다룬다. 다만 다섯 항은 같은 강도의 의무를 정하지 않는다. 제1항은 사업자의 노력, 제2항은 과학기술정보통신부장관의 재량적 명령, 제3항은 명령에 따른 조치를 할 때의 준수사항을 각각 구분한다. 형사처벌의 연결 지점도 제2항 명령 위반으로 한정된다.
한 조문 안에서 달라지는 다섯 항의 기능
| 구분 | 핵심 문언 | 규정의 기능 |
|---|---|---|
| 제1항 | 노력하여야 한다 | 이용자 보호 매뉴얼 작성ㆍ운용과 침해사고 대응 조치 마련 |
| 제2항 | 명할 수 있다 | 긴급한 이용자 보호가 필요하다고 판단한 경우의 보호조치 명령 |
| 제3항 | 준수하여야 한다 | 제2항 조치를 할 때의 통지 및 해지 방법 제공 |
| 제4항 | 금지행위로 보지 아니한다 | 명령 이행을 위한 약관 예외 |
| 제5항 | 대통령령으로 정한다 | 기준ㆍ절차ㆍ종류 및 통지ㆍ해지 방법의 구체화 위임 |
제1항에서 전기통신사업자는 이용자 보호 매뉴얼을 작성ㆍ운용하고, 가입 전환의 대행과 가입 해지 등 침해사고 대응에 필요한 조치를 마련하도록 노력하여야 한다. 문언은 노력하여야 한다이다. 이 항만으로 특정한 결과, 서비스 내용 또는 실제 사고 때의 대응 결과를 단정할 수는 없다.
제2항은 해킹 등 정보통신망 침해사고로 피해확산방지 등 이용자 보호가 긴급히 필요하다고 과학기술정보통신부장관이 판단하면, 해당 전기통신사업자에게 특정 부가서비스 제공 등 필요한 조치를 명할 수 있다고 정한다. 명할 수 있다는 표현이므로, 조문은 장관에게 명령 권한을 부여하면서 그 판단 구조를 두고 있다.
제3항은 제2항에 따른 조치를 하는 경우에만 이어진다. 전기통신사업자는 이용자에게 부가서비스 제공 등 이용자 보호조치 사실을 통지하여야 하고, 이용자가 쉽게 이해할 수 있도록 부가서비스 해지 방법을 제공하여야 한다. 두 사항은 제3항의 제1호와 제2호다. 이 규정은 모든 부가서비스 일반에 관한 설명이 아니라 제2항 조치가 이루어지는 경우의 준수사항으로 읽어야 한다.
약관과 다른 서비스 제공이 언제 예외가 되는가
제4항은 제2항에 따른 명령을 이행하기 위하여 이용약관과 다르게 특정 부가서비스 등을 제공하는 경우를 정한다. 이 경우 제50조제1항제5호에도 불구하고 금지행위로 보지 아니한다.
예외의 범위에는 두 조건이 함께 있다. 제2항에 따른 명령을 이행하기 위한 제공이어야 하고, 이용약관과 다르게 특정 부가서비스 등을 제공하는 경우여야 한다. 따라서 제4항만으로 약관과 다른 모든 서비스 제공이 예외가 된다고 볼 수는 없다.
형벌이 연결되는 지점은 제2항 명령 위반이다
법률 제21499호는 전기통신사업법 제97조제8호도 신설했다. 시행 예정인 제97조제8호는 제32조의20제2항에 따른 이용자 보호조치명령을 위반한 자를 1년 이하의 징역 또는 5천만원 이하의 벌금에 처하도록 정한다. 징역과 벌금은 또는으로 연결된 선택형이다.
중요한 구별은 처벌 조항이 가리키는 대상이다. 제97조제8호는 제1항의 노력하여야 한다는 문언 전체를 처벌 대상으로 정하지 않는다. 또한 제3항의 통지 또는 해지 방법 제공 일반을 직접 처벌 대상으로 적은 규정도 아니다. 형벌의 방아쇠는 제2항에 따른 이용자 보호조치명령의 위반이다.
같은 개정은 제33조제1항제3호에서 제32조의20제2항 조치 이행과 관련한 손해방지 실패를 손해배상 사유에 포함했다. 이는 손해배상에 관한 규정이며, 제97조제8호의 형벌과는 구별해야 한다.
시행일을 기준으로 읽어야 하는 이유
제32조의20은 제1항부터 제5항까지 다섯 항으로 구성되고, 호는 제3항의 제1호와 제2호 두 개다. 다만으로 시작하는 단서는 없다. 부칙은 “이 법은 공포 후 6개월이 경과한 날부터 시행한다.”고 정하며, 적용례와 경과조치를 두지 않았다.
이 신설 규정과 제97조제8호는 2026년 10월 1일부터 시행될 예정이다. 그러므로 2026년 9월 14일을 기준으로 한 설명에서는 사업자가 이미 부담하는 현행 의무 또는 이미 적용되는 현행 처벌로 표현해서는 안 된다. 조문이 도입하는 구조는 매뉴얼과 대응 조치 마련, 긴급한 경우의 장관 명령, 명령에 따른 조치의 통지와 해지 방법 제공, 그리고 명령 이행을 위한 제한적 약관 예외로 나누어 이해할 수 있다.
자주 묻는 질문
통신사 해킹이 나면 정부가 이용자 보호조치를 명령할 수 있나요?
2026년 10월 1일부터 시행될 예정인 제32조의20제2항은 해킹 등 정보통신망 침해사고로 피해확산방지 등 이용자 보호가 긴급히 필요하다고 과학기술정보통신부장관이 판단하면, 해당 전기통신사업자에게 특정 부가서비스 제공 등 필요한 조치를 명할 수 있도록 정한다. 조문은 명령이 가능한 요건과 권한을 정한 것이며, 개별 상황에서 실제로 어떤 조치가 명해질지는 조문만으로 단정할 수 없다.
통신사 해킹 보호조치 명령을 어기면 처벌받나요?
시행 예정인 제97조제8호는 제32조의20제2항에 따른 이용자 보호조치명령을 위반한 자에 대해 1년 이하의 징역 또는 5천만원 이하의 벌금을 정한다. 이는 제2항의 명령 위반에 연결된 법정형이다.
해킹 피해 방지를 위한 부가서비스도 해지 방법을 알려줘야 하나요?
제3항은 제2항에 따른 조치를 하는 경우, 이용자에게 보호조치 사실을 통지하고 이용자가 쉽게 이해할 수 있도록 부가서비스 해지 방법을 제공하도록 정한다. 이 의무는 2026년 10월 1일부터 시행될 예정이며, 제2항 조치와 연결하여 보아야 한다.
정리
전기통신사업법 제32조의20은 침해사고 시 이용자 보호를 하나의 주제로 다루지만, 각 항의 법적 기능은 다르다. 제1항은 조치 마련의 노력, 제2항은 긴급 보호조치 명령 권한, 제3항은 명령에 따른 조치의 통지와 해지 방법 제공, 제4항은 명령 이행 목적의 제한적 예외, 제5항은 대통령령 위임이다. 제2항 명령 위반에는 제97조제8호의 형벌이 연결되지만, 이를 제1항의 노력의무나 제3항의 준수사항 전체로 넓혀 읽을 수는 없다.
참고 법령
- 전기통신사업법 제32조의20
- 전기통신사업법 제33조제1항제3호
- 전기통신사업법 제50조제1항제5호
- 전기통신사업법 제97조제8호
