침해사고 신고와 이용자 통지는 같은 24시간 규정일까
침해사고가 발생했을 때 정부에 신고하는 일과 해당 이용자에게 알리는 일은 같은 의무가 아니다. 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조의3은 2026년 10월 1일을 경계로 항의 내용과 번호가 바뀐다. 따라서 같은 “제4항”이라는 인용만으로 이용자 통지 의무를 설명하면, 시행 전후의 규정을 섞을 수 있다.
이 글의 기준일은 2026년 9월 17일이다. 이 날 제48조의3제4항은 이용자 통지 조문이 아니라 신고 절차의 대통령령 위임 규정이다. 이용자 통지 의무는 법률 제21500호에 따라 2026년 10월 1일부터 시행될 새 제4항에 들어간다.
먼저 답하면
- 2026년 9월 17일 현재 제48조의3제4항은 이용자 통지 의무가 아니다.
- 2026년 10월 1일부터 정보통신서비스 제공자는 대통령령으로 정하는 침해사고가 발생하면 지체 없이 그 사실을 해당 이용자에게 통지하여야 한다.
- 같은 날부터 침해사고 발생 사실을 안 때부터 24시간 이내에 과학기술정보통신부장관이나 한국인터넷진흥원에 신고하는 규정도 적용된다.
- 신고를 하지 않거나 지연해 신고한 경우와 이용자에게 통지하지 않은 경우는 서로 다른 과태료 조항이 적용된다.
같은 제4항이 다른 조문이 되는 이유
기준일 현재 제48조의3은 제1항부터 제4항까지 네 개 항으로 구성된다. 이때 제4항의 문언은 다음과 같다.
제1항에 따른 신고의 시기, 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다.
즉, 기준일 제4항은 제1항 신고에 관한 세부사항을 대통령령에 맡기는 규정이다. 이용자에게 통지하라는 문언은 없다. 이 현행 제4항은 법률 제20260호로 2024년 2월 13일 신설되었다.
법률 제21500호가 2026년 10월 1일 시행되면 구조가 달라진다. 새 제4항이 이용자 통지 의무를 규정하고, 종전 제4항은 제5항으로 이동한다. 항 수 역시 네 개에서 다섯 개가 된다. 제1항 안에는 삭제된 제1호와 제2호의 표기가 남아 있지만, 삭제된 항은 없다.
| 구분 | 2026년 9월 17일 | 2026년 10월 1일 이후 |
|---|---|---|
| 제1항 신고 시기 | 침해사고가 발생하면 즉시 | 발생 사실을 알게 된 때부터 24시간 이내 |
| 제4항 | 신고 시기·방법·절차의 대통령령 위임 | 대통령령으로 정하는 침해사고 발생 시 해당 이용자에게 지체 없이 통지 |
| 제5항 | 없음 | 신고 방법·절차와 통지 대상·시기·방법·절차의 대통령령 위임 |
| 항 수 | 4개 | 5개 |
개정 제4항의 적용에도 시점 기준이 있다. 법률 제21500호 부칙 제4조는 이 법 시행 이후 대통령령으로 정하는 침해사고가 발생한 경우부터 제48조의3제4항 개정규정을 적용하도록 정한다. 시행 전 발생 행위에 관한 과태료는 부칙 제9조에 따라 종전 규정에 따른다.
정부 신고의 시계와 이용자 통지의 시계
2026년 10월 1일 이후에도 신고와 통지를 하나의 절차처럼 합쳐 읽어서는 안 된다. 상대방과 기한을 정한 문언이 다르기 때문이다.
신고: 24시간 이내, 과학기술정보통신부장관 또는 한국인터넷진흥원
개정 제48조의3제1항은 정보통신서비스 제공자가 침해사고의 발생 사실을 알게 된 때부터 24시간 이내에, 침해사고의 발생 일시 및 대응 현황 등 대통령령으로 정하는 사항을 과학기술정보통신부장관이나 한국인터넷진흥원에 신고하도록 한다.
여기서 24시간은 침해사고가 발생한 시각 자체가 아니라, 발생 사실을 알게 된 때부터 계산하는 문언이다. 신고 사항의 구체적 범위는 대통령령에 맡겨져 있다.
이용자 통지: 지체 없이, 해당 이용자에게
개정 제48조의3제4항은 대통령령으로 정하는 침해사고가 발생하면 그 사실을 해당 이용자에게 지체 없이 통지하도록 정한다. 이미 다른 법률에 따른 침해사고 통지를 하였으면 전단에 따른 통지를 한 것으로 본다. 이 의무는 2026년 10월 1일부터 시행되는 규정이며, 통지 대상이 되는 침해사고의 범위와 통지의 대상·시기·방법·절차는 제5항에 따라 대통령령으로 정해진다.
따라서 “모두 24시간 안에 해야 한다”는 설명은 정확하지 않다. 정부 신고에는 24시간 이내라는 문언이 있고, 이용자 통지에는 지체 없이라는 문언이 있다. 두 의무의 상대방도 각각 과학기술정보통신부장관이나 한국인터넷진흥원, 해당 이용자로 다르다.
과태료도 서로 다른 조항이다
2026년 10월 1일 이후 제76조는 신고와 이용자 통지를 별도로 다룬다.
- 제76조제1항제2호는 제48조의3제1항을 위반하여 침해사고 신고를 하지 않거나 지연하여 신고한 사람에게 적용되며, 제1항의 과태료 상한은 5천만원이다.
- 제76조제4항제11호의4는 제48조의3제4항을 위반하여 침해사고 발생 사실을 이용자에게 통지하지 않은 사람을 대상으로 한다. 제4항의 과태료 상한은 1천만원이다.
두 경우는 근거 조항과 상한이 다르다. 신고 지연을 이유로 한 제76조제1항제2호의 5천만원 이하 과태료를 이용자 미통지에 그대로 연결할 수 없다.
기준일 현재의 규율도 구별할 필요가 있다. 2026년 9월 17일 현재 제76조제1항제6호의6은 제48조의3제1항을 위반하여 침해사고 신고를 하지 않은 경우를 대상으로 하고, 제1항의 과태료 상한은 3천만원이다. 5천만원 상한과 지연신고를 포함하는 규정은 2026년 10월 1일 시행되는 개정사항이다.
제48조의3은 신고·통지와 대통령령 위임을 정한 조문이다. 이 조문에 징역 또는 벌금의 형사 법정형이 있는 것은 아니다.
자주 묻는 질문
해킹 사고가 나면 이용자에게도 알려야 하나요?
2026년 9월 17일 기준으로 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조의3제4항에 이용자 통지 의무는 아직 시행되지 않았다. 법률 제21500호에 따른 새 제4항은 2026년 10월 1일부터 시행된다. 시행 후에는 대통령령으로 정하는 침해사고가 발생한 경우 정보통신서비스 제공자가 지체 없이 해당 이용자에게 통지하여야 한다.
침해사고 신고와 이용자 통지는 모두 24시간 안에 해야 하나요?
아니다. 2026년 10월 1일 이후 신고는 침해사고 발생 사실을 알게 된 때부터 24시간 이내에 과학기술정보통신부장관이나 한국인터넷진흥원에 하는 의무다. 이용자 통지는 대통령령으로 정하는 침해사고가 발생한 경우 해당 이용자에게 지체 없이 하는 의무다. 두 의무의 상대방과 시간 기준은 다르다.
침해사고를 이용자에게 알리지 않으면 과태료가 얼마인가요?
2026년 10월 1일 이후 제48조의3제4항에 따른 이용자 통지를 하지 않은 경우에는 제76조제4항제11호의4가 연결되고, 그 항의 과태료 상한은 1천만원이다. 이는 신고를 하지 않거나 지연하여 신고한 경우의 제76조제1항제2호 및 5천만원 상한과 별개다. 시행 전 행위의 과태료는 법률 제21500호 부칙 제9조에 따라 종전 규정에 따른다.
인용할 때 확인할 네 가지
제48조의3을 인용할 때에는 다음 네 가지를 함께 확인해야 한다. 첫째, 사고 발생 시점이 2026년 10월 1일 전인지 후인지다. 둘째, 말하는 의무가 정부 신고인지 이용자 통지인지다. 셋째, 제4항이라는 번호가 어느 시행본의 제4항인지다. 넷째, 제재를 말할 때 제76조의 어느 항·호를 근거로 하는지다.
이 네 가지를 분리하면 “침해사고가 나면 알려야 한다”는 짧은 설명에서 생길 수 있는 시행 시점, 상대방, 기한, 과태료 상한의 혼동을 줄일 수 있다.
참고 법령과 조문
- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조의3제1항, 제4항, 제5항
- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제76조제1항제2호, 제76조제1항제6호의6, 제76조제4항제11호의4
- 법률 제21500호 부칙 제1조, 제4조, 제9조
