정보통신망법 제48조의3 '제4항'은 10월 1일에 다른 조문이 된다 — 신고와 이용자 통지
침해사고가 났을 때 이용자에게 알려야 하는 의무를 두고 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(정보통신망법) 제48조의3 제4항을 인용할 수 있다. 그런데 2026년 9월 17일 기준으로 제4항은 이용자 통지 조문이 아니다. 지금의 제4항은 신고 절차를 대통령령에 넘기는 위임 규정이고, 이용자 통지 문언은 2026년 10월 1일에 시행되는 개정 조문이다. 같은 ‘제4항’이라는 자리에 2주 사이로 다른 내용이 들어선다.
한 줄 답
- 2026년 9월 17일 현재: 제48조의3 제4항은
제1항에 따른 신고의 시기, 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다이다. 이용자 통지 의무는 아직 시행되지 않았다. - 2026년 10월 1일부터: 제4항이
정보통신서비스 제공자는 대통령령으로 정하는 침해사고가 발생하면 지체 없이 그 사실을 해당 이용자에게 통지하여야 한다. 이 경우 정보통신서비스 제공자가 이미 다른 법률에 따른 침해사고 통지를 하였으면 전단에 따른 통지를 한 것으로 본다.로 바뀌고, 종전 제4항은 제5항으로 밀린다. - 근거 법률은 **법률 제21500호(2026. 3. 31. 공포, 일부개정)**이고, 부칙 제1조 본문에 따라 공포 후 6개월이 지난 2026년 10월 1일 시행이다.
자리별로 무엇이 달라지나
| 자리 | 2026년 9월 17일 기준 | 2026년 10월 1일 이후 |
|---|---|---|
| 제1항 | 침해사고가 발생하면 즉시 신고 | 발생 사실을 알게 된 때부터 24시간 이내에, 발생 일시 및 대응 현황 등 대통령령으로 정하는 사항을 신고 |
| 제2항 | 신고를 받거나 침해사고를 알게 되면 제48조의2 제1항 각 호의 조치 | 같음 |
| 제3항 | 다른 법률에 따라 통지ㆍ신고를 받은 관계 기관의 장의 정보 공유 | 같음 |
| 제4항 | 신고의 시기ㆍ방법ㆍ절차 대통령령 위임 | 대통령령으로 정하는 침해사고 시 지체 없이 해당 이용자에게 통지 |
| 제5항 | 없음 | 신고의 방법ㆍ절차와 통지의 대상ㆍ시기ㆍ방법ㆍ절차 대통령령 위임 |
| 항의 수 | 4개 | 5개 |
항이 삭제된 것은 없다. 제1항 안에 1. 삭제ㆍ2. 삭제 표기가 남아 있을 뿐이고, 제4항과 제5항에는 호가 없다.
지금의 제4항 — 신고 절차 위임 규정
2026년 9월 17일 기준 시행본은 다음과 같다.
제48조의3(침해사고의 신고 등) ④ 제1항에 따른 신고의 시기, 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다.
<신설 2024. 2. 13.>
이 문언을 만든 것은 **법률 제20260호(2024. 2. 13. 일부개정)**다. 현행본 상단에 표시되는 [법률 제21445호, 2026. 3. 10., 타법개정]은 제48조의3을 고친 법률이 아니다. 제21445호는 정보보호 최고책임자 업무에서 인용하는 「개인정보 보호법」 제31조의 항 번호를 정비한 타법개정이었다. 조문 상단의 공포번호를 그 조문의 개정 근거로 옮겨 적으면 어긋난다.
10월 1일에 들어서는 제4항 — 이용자 통지 의무
④ 정보통신서비스 제공자는 대통령령으로 정하는 침해사고가 발생하면 지체 없이 그 사실을 해당 이용자에게 통지하여야 한다. 이 경우 정보통신서비스 제공자가 이미 다른 법률에 따른 침해사고 통지를 하였으면 전단에 따른 통지를 한 것으로 본다.
<신설 2026. 3. 31.>
두 가지를 함께 읽어야 한다.
- 모든 침해사고가 아니다. 통지 대상은
대통령령으로 정하는 침해사고다. 어떤 사고가 여기 들어가는지는 대통령령이 정하고, 통지의 대상ㆍ시기ㆍ방법ㆍ절차도 개정 제5항이 대통령령에 넘긴다. 이 글의 확인 범위는 법률 조문이므로, 하위 법령의 구체적 기준은 여기서 말할 수 없다. - 시한 표현이 ‘지체 없이’다. 신고의
24시간 이내와 다른 말이다.
신고와 통지는 상대방도 시한도 다르다
‘침해사고가 나면 알려야 한다’로 뭉뚱그리면 네 가지가 한꺼번에 어긋난다. 시점(시행 전인지 후인지), 상대방(정부인지 이용자인지), 시한(24시간인지 지체 없음인지), 금액(과태료 조항이 다르다).
| 신고 | 이용자 통지 | |
|---|---|---|
| 근거 | 제48조의3 제1항 | 제48조의3 제4항(2026. 10. 1. 시행) |
| 상대방 | 과학기술정보통신부장관이나 한국인터넷진흥원 | 해당 이용자 |
| 시한 | 발생 사실을 알게 된 때부터 24시간 이내(시행 후) | 지체 없이 |
| 대상 | 침해사고 발생 시. 신고 사항은 대통령령 | 대통령령으로 정하는 침해사고 |
이미 다른 법률에 따라 침해사고 통지 또는 신고를 한 경우에는 제1항 후단에 따라 신고를 한 것으로 본다. 이 후단은 현행본과 시행예정본에 모두 있다.
과태료는 세 갈래로 갈린다
시점과 조문을 구별해야 하는 지점이다. 신고를 안 한 경우와 이용자에게 알리지 않은 경우는 서로 다른 항에 걸린다.
- 2026년 9월 17일 기준 — 신고 미이행: 제76조 제1항 제6호의6,
3천만원 이하의 과태료. 이 규정에는 지연신고가 들어 있지 않다. - 2026년 10월 1일 이후 — 신고 미이행ㆍ지연신고: 제76조 제1항 제2호,
5천만원 이하의 과태료. 개정으로 신설된 제1항이며, 종전 제1항부터 제4항까지는 각각 제2항부터 제5항까지로 밀린다. - 2026년 10월 1일 이후 — 이용자 미통지: 제76조 제4항 제11호의4. 제4항은 종전 제3항이 옮겨 온 항이고, 그 항의 상한은
1천만원이다.
즉 시행 후의 5천만원은 신고 쪽 숫자이지 이용자 통지 쪽 숫자가 아니다. 두 의무를 같은 과태료 조항으로 합쳐 쓰면 금액과 조문이 동시에 틀린다.
제48조의3 위반에 연결되는 제재는 과태료이지 형벌이 아니다. 이 조문 위반에 징역 또는 벌금의 선택형 법정형은 없다.
언제 발생한 사고부터 적용되나 — 부칙
법률 제21500호 부칙 제1조는 이렇게 정한다.
제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제45조의5 및 제76조제2항제6호의4의 개정규정은 공포 후 1년이 경과한 날부터 시행한다.
제48조의3은 단서 대상이 아니므로 본문에 따라 2026년 10월 1일 시행이다.
적용 범위는 부칙 제4조가 정한다. 이용자 통지에 관한 제48조의3 제4항의 개정규정은 이 법 시행 이후 대통령령으로 정하는 침해사고가 발생한 경우부터 적용한다. 시행 전에 발생한 사고를 거슬러 잡는 구조가 아니다.
과태료에 관해서는 부칙에 별도의 경과조치가 있다. 시행 전의 행위에 대해 과태료를 적용할 때에는 종전의 규정에 따른다. 부칙 제4조는 적용례이고, 이 경과조치는 그와 별개 조항이라는 점을 구분해야 한다.
함께 개정된 조문
법률 제21500호는 제48조의3만 고친 것이 아니다. 정보보호 관리체계 인증(제47조ㆍ제47조의7), 침해사고 대응과 원인 분석(제48조의2ㆍ제48조의4), 이행강제금(제48조의7), 과징금(제48조의8), 침해사고로 인한 이용자 피해구제(제48조의10), 전송자격인증(제50조의9ㆍ제50조의10), 과태료(제76조) 등이 함께 개정되었고, 「인터넷주소자원에 관한 법률」 제15조 제2항의 인용 항 번호도 따라 옮겨졌다. 다만 이 글의 확인 범위에서 개정 대상 전체 목록이 빠짐없이 확정된 것은 아니므로, 위 열거를 완전한 목록으로 인용하지 않는 편이 안전하다.
판례ㆍ결정
제48조의3 제4항의 이용자 통지 문언은 2026년 10월 1일에 시행되는 신설 규정이다. 이 글의 확인 범위에서는 이 항을 대상으로 한 판례ㆍ결정이 확인되지 않는다.
자주 묻는 질문
해킹 사고가 나면 이용자에게도 알려야 하나요?
2026년 9월 17일 기준으로는 정보통신망법 제48조의3에 이용자 통지 의무가 아직 시행되어 있지 않다. 2026년 10월 1일부터 시행되는 개정 제4항이 대통령령으로 정하는 침해사고가 발생하면 지체 없이 그 사실을 해당 이용자에게 통지하도록 정한다. 모든 침해사고가 아니라 대통령령이 정하는 침해사고가 대상이다.
침해사고 신고와 이용자 통지는 모두 24시간 안에 해야 하나요?
아니다. 시한 표현이 서로 다르다. 신고는 개정 제1항에 따라 그 침해사고의 발생 사실을 알게 된 때부터 24시간 이내에 과학기술정보통신부장관이나 한국인터넷진흥원에 해야 하고, 이용자 통지는 개정 제4항에 따라 지체 없이 해당 이용자에게 해야 한다. 통지의 시기ㆍ방법ㆍ절차는 개정 제5항이 대통령령에 위임한다.
침해사고를 이용자에게 알리지 않으면 과태료가 얼마인가요? 2026년 10월 1일 시행 후 이용자 미통지는 제76조 제4항 제11호의4에 걸리고, 제4항의 과태료 상한은 1천만원이다. 같은 시행일에 신고를 하지 않거나 지연하여 신고한 경우는 제76조 제1항 제2호로 상한이 5천만원이어서 조항과 금액이 모두 다르다. 2026년 9월 17일 기준 신고 미이행은 제76조 제1항 제6호의6의 3천만원 이하다. 과태료 액수는 상한이며 실제 부과액은 부과 기준에 따라 정해진다.
언제 발생한 사고부터 통지 의무가 생기나요? 부칙 제4조에 따라 이 법 시행 이후 대통령령으로 정하는 침해사고가 발생한 경우부터 적용된다. 또한 시행 전의 행위에 대한 과태료 적용은 부칙의 경과조치에 따라 종전 규정에 따른다.
제48조의3 위반이면 전과가 남나요?
제48조의3의 제재는 과태료다. 이 조문에는 징역 또는 벌금의 선택형 법정형이 없다.
정리
- 제48조의3의 ‘제4항’은 2026년 9월 17일에는 신고 절차 위임 규정, 2026년 10월 1일부터는 이용자 통지 의무다.
- 항의 수는 4개에서 5개로 늘고, 종전 제4항은 제5항으로 이동한다.
- 신고는 정부 기관에 24시간 이내(시행 후), 통지는 해당 이용자에게 지체 없이.
- 과태료는 시행 후 신고 미이행ㆍ지연신고 5천만원 이하(제76조 제1항 제2호), 이용자 미통지는 제76조 제4항 제11호의4로 그 항의 상한 1천만원, 기준일 현재 신고 미이행은 3천만원 이하(제76조 제1항 제6호의6)로 갈린다.
- 통지 대상이 되는 침해사고의 범위와 통지의 구체적 방법은 대통령령에 달려 있다.
참고 법령
- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조의3(침해사고의 신고 등)
- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조의2 제1항(침해사고의 대응 등)
- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제76조(과태료) — 제1항 제2호, 제1항 제6호의6, 제4항 제11호의4
- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 일부개정법률(법률 제21500호, 2026. 3. 31. 공포, 2026. 10. 1. 시행) 부칙 제1조(시행일), 제4조(침해사고 이용자 통지에 관한 적용례) 및 과태료에 관한 경과조치
- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 일부개정법률(법률 제20260호, 2024. 2. 13.) — 현행 제48조의3 제4항 신설
- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 타법개정법률(법률 제21445호, 2026. 3. 10.)
- 「인터넷주소자원에 관한 법률」 제15조 제2항
※ 법령은 개정될 수 있다. 이 글은 2026년 9월 17일 기준 시행본과 2026년 10월 1일 시행예정본을 대조한 내용이며, 조문의 최신 상태는 국가법령정보센터에서 확인할 수 있다.
