해킹으로 이용자 피해가 번지면 통신사는 무엇을 해야 하나 — 2026년 10월 1일 시행되는 전기통신사업법 제32조의20
요약 및 결론: 전기통신사업법 제32조의20은 2026년 3월 31일 법률 제21499호로 신설돼 **2026년 10월 1일부터 시행**되는 규정으로, 2026년 9월 14일 현재는 아직 시행 전이다. 이 조문은 사업자에게 침해사고 대비 이용자 보호 매뉴얼과 가입 전환 대행ㆍ가입 해지 등의 조치를 마련하도록 `노력하여야 한다`고 정하고, 과학기술정보통신부장관에게는 긴급한 경우 특정 부가서비스 제공 등 보호조치를 `명할 수 있다`고 정한다. 형사처벌은 다섯 개 항 가운데 제2항의 보호조치명령을 위반한 경우에만 연결되며, 같은 법률이 함께 신설한 제97조제8호에 따라 1년 이하의 징역 또는 5천만원 이하의 벌금에 처해진다.
전기통신사업법 제32조의20이 다루는 것은 "번호를 옮길 수 있나", "해지가 되나", "보호용 부가서비스는 어떻게 끊나" 같은 문제다. 2026년 3월 31일 공포된 법률 제21499호가 제32조의20을 신설해 사업자의 준비 의무와 정부의 긴급 명령권을 한 조문에 담았다. 시행일은 2026년 10월 1일이므로, 지금 적용되는 의무가 아니라 다가오는 규정으로 읽어야 한다.
이 조문은 지금 적용되는가
적용되지 않는다. 전기통신사업법 제32조의20은 2026년 3월 31일 공포된 법률 제21499호로 신설됐고, 같은 법률 부칙은 이 법은 공포 후 6개월이 경과한 날부터 시행한다고만 정한다. 공포 후 6개월이 지난 날은 2026년 9월 30일이고 시행일은 그 다음 날인 2026년 10월 1일이므로, 2026년 9월 14일 기준으로는 시행 전 규정이다.
부칙에는 단서도, 적용례도, 경과조치도 없다. 늦춰진 것이 기존 조문의 일부 개정규정뿐이라고 읽어서도 안 된다. 제32조의20은 이 법률로 새로 만들어진 조문 자체이고, 그 신설규정 전체가 2026년 10월 1일부터 효력을 갖는다.
공포번호도 헷갈리기 쉬운 자리다. 이 문언을 만든 법률은 제21499호이며, 현행본 상단에 찍힌 법률 제21652호는 다른 조문을 고친 후속 공포법률일 뿐 제32조의20을 손대지 않았다.
다섯 항은 서로 의무의 세기가 다르다
한 조문 안에 있지만 문장 끝이 제각각이다. 제1항은 사업자에게 노력하여야 한다고 하고, 제2항은 장관에게 명할 수 있다고 하며, 제3항은 사업자에게 준수하여야 한다고 한다. 제4항은 금지행위로 보지 아니한다는 예외 규정이고, 제5항은 대통령령에 넘기는 위임 규정이다.
제1항의 내용은 침해사고로 이용자 피해가 발생하거나 발생할 우려가 있는 경우를 대비한 이용자 보호 매뉴얼의 작성ㆍ운용, 그리고 가입 전환의 대행, 가입 해지 등 침해사고 대응에 필요한 조치의 마련이다. 어미가 노력하여야 한다이므로 결과를 달성하지 못한 것 자체를 곧바로 위반으로 단정하는 구조가 아니다.
제2항은 과학기술정보통신부장관이 해킹 등 정보통신망 침해사고로 인하여 피해확산방지 등 이용자 보호가 긴급히 필요하다고 판단할 때 해당 사업자에게 특정 부가서비스 제공 등 필요한 조치를 명할 수 있도록 한 재량 규정이다. 조문은 명하여야 한다가 아니라 명할 수 있다로 쓰여 있다.
제3항은 사업자가 제2항에 따른 조치를 하는 경우에 지켜야 할 두 가지를 든다. 제1호는 이용자에게 부가서비스 제공 등 이용자 보호조치 사실을 통지할 것, 제2호는 이용자가 쉽게 이해할 수 있도록 부가서비스 해지 방법을 제공할 것이다. 항은 제1항~제5항으로 다섯 개, 호는 제3항에만 제1호ㆍ제2호 두 개이며 삭제된 항은 없고 다만으로 시작하는 단서도 없다.
약관에 없는 서비스를 제공하면 금지행위가 되지 않나
제4항이 그 경우를 정한다. 사업자가 제2항에 따른 명령을 이행하기 위하여 이용약관과 다르게 특정 부가서비스 등을 제공하는 경우에는 제50조제1항제5호에도 불구하고 금지행위로 보지 아니한다.
다만 이 예외는 제2항 명령의 이행이라는 목적에 걸려 있다. 모든 보호조치 명령이 약관에 없는 서비스를 제공하라는 명령이라는 뜻도 아니고, 명령과 무관하게 약관과 다른 조건을 적용해도 된다는 뜻도 아니다.
행위별로 어떤 조문과 효과가 붙는가
| 어떤 행위 | 적용 조문 | 법정형ㆍ효과 |
|---|---|---|
| 이용자 보호 매뉴얼 작성ㆍ운용, 가입 전환의 대행ㆍ가입 해지 등 조치 마련 | 전기통신사업법 제32조의20제1항 | 노력의무(조문에 형벌ㆍ과태료 규정 없음) |
| 장관이 긴급히 필요하다고 판단해 특정 부가서비스 제공 등 보호조치를 명함 | 전기통신사업법 제32조의20제2항 | 장관의 재량(명할 수 있다) |
| 제2항에 따른 보호조치명령을 위반 | 전기통신사업법 제97조제8호 | 1년 이하의 징역 또는 5천만원 이하의 벌금 |
| 제2항 조치 시 보호조치 사실 통지, 해지 방법 제공 | 전기통신사업법 제32조의20제3항제1호ㆍ제2호 | 준수의무(이 조문 자체에 벌칙 규정 없음) |
| 명령 이행을 위해 약관과 다르게 부가서비스 등 제공 | 전기통신사업법 제32조의20제4항 | 제50조제1항제5호의 금지행위로 보지 아니함 |
| 해킹 등 침해사고 및 제2항 조치 이행 관련 손해방지 실패 | 전기통신사업법 제33조제1항제3호 | 손해배상 사유(형벌 아님) |
| 매뉴얼ㆍ보호조치의 기준ㆍ종류ㆍ절차, 통지ㆍ해지 방법 | 전기통신사업법 제32조의20제5항 | 대통령령에 위임(장관이 방송미디어통신위원회와 협의) |
표에서 형벌이 붙는 칸은 한 줄뿐이다. 형사처벌의 방아쇠는 제2항의 보호조치명령 위반이며, 제1항의 노력의무를 게을리한 것이나 제3항의 통지ㆍ해지 방법 제공을 빠뜨린 것이 곧바로 이 형벌 조문에 걸리는 구조가 아니다.
처벌 조문은 어떻게 생겼나
법률 제21499호는 제32조의20을 신설하면서 전기통신사업법 제97조에 제8호를 함께 신설해 제32조의20제2항에 따른 이용자 보호조치명령을 위반한 자를 처벌 대상으로 명시했다. 제97조의 법정형은 1년 이하의 징역 또는 5천만원 이하의 벌금이다.
또는으로 연결된 선택형이므로 징역형과 벌금형 중 하나가 선고되는 구조이고, 벌금형을 빼고 징역형만 있는 규정으로 옮겨 적으면 법정형을 잘못 전달하게 된다. 이 제97조제8호 역시 같은 부칙의 적용을 받아 2026년 10월 1일부터 적용된다.
형벌과 구별해야 할 것이 손해배상이다. 같은 법률은 제33조제1항제3호도 신설해 해킹 등 침해사고 및 제32조의20제2항 조치 이행과 관련한 손해방지 실패를 손해배상 사유에 추가했다. 손해배상 책임과 형사처벌은 요건도 절차도 다른 별개의 제도다.
실제 처벌 수위는 어느 정도인가
공표 자료 없음. 제32조의20과 제97조제8호는 2026년 9월 14일 기준 시행 전 규정이라 이 조문에 따른 선고 사례가 존재할 수 없고, 이 글의 확인 범위에서는 이 조문을 직접 적용한 판례ㆍ결정도 확인되지 않았다. 양형기준이나 선고 통계 역시 마찬가지로 확인되지 않는다.
따라서 현재 제시할 수 있는 수치는 법정형인 1년 이하의 징역 또는 5천만원 이하의 벌금뿐이다. 시행 이후 실제 선고가 어느 선에서 이뤄질지를 지금 단계에서 숫자로 말하는 것은 근거가 없다.
조문이 정하지 않은 것
제5항은 제1항의 이용자 보호 매뉴얼, 이용자 보호조치의 기준 및 절차, 제2항에 따른 보호조치의 종류 및 절차, 제3항에 따른 통지 및 해지 방법의 제공 등에 필요한 사항을 대통령령에 위임한다. 그 과정에서 과학기술정보통신부장관이 방송미디어통신위원회와 협의한다고 정할 뿐이다.
그러므로 매뉴얼에 무엇을 몇 쪽으로 담아야 하는지, 통지를 며칠 안에 어떤 수단으로 해야 하는지 같은 구체적 기준은 조문 문언만으로는 알 수 없다. 조문에 등장하는 말은 이용자 보호 매뉴얼, 가입 전환의 대행, 가입 해지, 특정 부가서비스 제공이며, 위약금 면제ㆍ보상금ㆍ요금 감면ㆍ단말 교체는 이 조문에 없는 말이다.
관련 법령
제1항은 전기통신사업자가 이용자 보호 매뉴얼을 작성ㆍ운용하고 가입 전환의 대행, 가입 해지 등 대응 조치를 마련하도록 노력하여야 한다고 정한다. 제2항은 이용자 보호가 긴급히 필요하다고 판단하면 과학기술정보통신부장관이 특정 부가서비스 제공 등 필요한 조치를 명할 수 있도록 한다. 제3항은 제2항에 따른 조치를 하는 경우 보호조치 사실 통지와 쉽게 이해할 수 있는 부가서비스 해지 방법 제공을 준수하도록 정한다. 제4항은 명령 이행을 위한 약관과 다른 특정 부가서비스 제공을 금지행위로 보지 않는 예외로, 제5항은 세부 사항을 대통령령에 위임한다.
제97조제8호는 제32조의20제2항에 따른 이용자 보호조치명령을 위반한 자를 처벌 대상으로 정한다. 제97조 본문이 정한 법정형은 1년 이하의 징역 또는 5천만원 이하의 벌금이다. 이 벌칙이 가리키는 것은 제2항의 명령 위반이며, 제1항의 노력의무 또는 제3항의 준수사항 일반을 직접 처벌 대상으로 적은 규정은 아니다.
제33조제1항제3호는 해킹 등 정보통신망 침해사고의 발생 및 제32조의20제2항에 따른 이용자 보호조치 이행과 관련하여 이용자에게 발생한 손해를 방지하지 못한 경우를 손해배상 사유로 든다. 이는 제97조제8호의 형벌과는 구별되는 손해배상 규정이다.
제32조의20제4항은 제2항에 따른 명령을 이행하기 위하여 이용약관과 다르게 특정 부가서비스 등을 제공하는 경우 제50조제1항제5호에도 불구하고 금지행위로 보지 아니한다고 정한다. 이 예외는 제2항 명령을 이행하기 위한 경우로 한정된다.
법률 제21499호 부칙은 이 법을 공포 후 6개월이 경과한 날부터 시행한다고 정한다. 제32조의20과 제97조제8호는 법률 제21499호로 신설된 규정으로, 2026년 9월 14일 기준 시행 전이며 2026년 10월 1일부터 시행될 예정이다. 부칙에는 이 시행문 외 단서ㆍ적용례ㆍ경과조치가 없다.
자주 묻는 질문
통신사 해킹이 나면 정부가 이용자 보호조치를 명령할 수 있나요?
2026년 10월 1일부터 시행되는 전기통신사업법 제32조의20제2항이 그 근거를 둔다. 과학기술정보통신부장관은 해킹 등 정보통신망 침해사고로 인하여 피해확산방지 등 이용자 보호가 긴급히 필요하다고 판단하면 해당 전기통신사업자에게 특정 부가서비스 제공 등 이용자 보호에 필요한 조치를 명할 수 있다. 조문의 어미가 `명할 수 있다`이므로 명령 여부는 장관의 판단에 맡겨진 재량이며, 2026년 9월 14일 현재는 아직 시행 전이다.
통신사 해킹 보호조치 명령을 어기면 처벌받나요?
전기통신사업법 제97조제8호는 제32조의20제2항에 따른 이용자 보호조치명령을 위반한 자를 처벌 대상으로 정하고, 제97조의 법정형은 1년 이하의 징역 또는 5천만원 이하의 벌금이다. 징역과 벌금 가운데 하나를 선택하는 선택형이다. 이 처벌 규정은 제32조의20과 같은 부칙의 적용을 받아 2026년 10월 1일부터 적용되며, 처벌이 연결되는 것은 제2항의 명령 위반이지 제1항의 노력의무 전반이 아니다.
해킹 피해 방지를 위한 부가서비스도 해지 방법을 알려줘야 하나요?
전기통신사업법 제32조의20제3항제2호는 사업자가 제2항에 따른 조치를 하는 경우 이용자가 쉽게 이해할 수 있도록 부가서비스 해지 방법을 제공하도록 정한다. 같은 항 제1호는 부가서비스 제공 등 이용자 보호조치 사실을 이용자에게 통지하도록 정한다. 구체적인 통지와 해지 방법 제공의 내용은 제5항에 따라 대통령령으로 정해지며, 이 조항들도 2026년 10월 1일부터 시행된다.
