해킹 사고가 나면 이용자에게도 알려야 하나요 — 정보통신망법 제48조의3 '제4항'이 2026년 10월 1일에 다른 조문이 되는 이유
요약 및 결론: 정보통신서비스 제공자의 이용자 통지 의무는 2026년 9월 17일 기준으로 아직 시행되지 않았습니다. 이용자 통지 의무는 법률 제21500호(2026. 3. 31. 공포)가 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조의3에 새로 넣는 제4항이고, 시행일은 2026년 10월 1일입니다. 2026년 9월 17일 현재의 제4항은 "제1항에 따른 신고의 시기, 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다"는 위임 규정이어서, 지금 제4항을 근거로 이용자 통지 의무를 말하면 틀린 인용이 됩니다.
침해사고가 발생했을 때 회사가 정부에 신고하는 것과 이용자 개개인에게 알리는 것은 서로 다른 의무이고, 지금까지 정보통신망법 제48조의3에는 뒤쪽 의무가 없었습니다. 법률 제21500호가 그 의무를 신설하면서 조문 번호도 함께 밀려, 같은 "제48조의3 제4항"이라는 자리가 2026년 10월 1일을 경계로 전혀 다른 내용을 담게 됩니다. 시행 전후를 구분하지 않고 인용하면 의무의 상대방도, 기한도, 과태료 금액도 한꺼번에 어긋나므로 시점을 먼저 확인해야 합니다.
2026년 9월 17일 현재 제48조의3 제4항은 무슨 조문인가
2026년 9월 17일 기준 시행본(법률 제21445호, 2026. 3. 10. 타법개정)에서 제48조의3 제4항은 “제1항에 따른 신고의 시기, 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다”입니다. 이용자에게 알리라는 문언은 들어 있지 않고, 신고 절차를 대통령령에 넘기는 위임 규정입니다. 이 제4항은 법률 제20260호(2024. 2. 13. 일부개정)가 신설한 것으로, 조문 끝의 <신설 2024. 2. 13.> 표기가 그에 대응합니다.
현행본 맨 위에 적힌 법률 제21445호는 제48조의3을 고친 법률이 아닙니다. 법령정보 화면의 상단 공포번호는 그 법령 전체의 최신 개정 이력을 뜻하므로, 특정 조문의 문언을 누가 만들었는지는 조문 끝의 개정 표기로 따로 확인해야 합니다.
2026년 9월 17일 기준 제48조의3은 제1항부터 제4항까지 4개 항으로 되어 있습니다. 삭제된 항은 없고, 제1항 아래에 1. 삭제 <2022. 6. 10.>과 2. 삭제 <2022. 6. 10.> 표기만 남아 있습니다. 제4항에는 호가 없습니다.
2026년 10월 1일부터 제48조의3은 어떻게 바뀌나
법률 제21500호는 제48조의3에 이용자 통지 의무를 제4항으로 신설하고, 종전 제4항(대통령령 위임)을 제5항으로 옮깁니다. 시행 후 제4항은 “정보통신서비스 제공자는 대통령령으로 정하는 침해사고가 발생하면 지체 없이 그 사실을 해당 이용자에게 통지하여야 한다. 이 경우 정보통신서비스 제공자가 이미 다른 법률에 따른 침해사고 통지를 하였으면 전단에 따른 통지를 한 것으로 본다.”입니다. 같은 개정으로 제1항의 신고 시점도 “침해사고가 발생하면 즉시”에서 “그 침해사고의 발생 사실을 알게 된 때부터 24시간 이내”로 바뀝니다.
시행 후 제5항은 “제1항에 따른 신고의 방법 및 절차와 제4항에 따른 통지의 대상, 시기, 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다”입니다. 통지해야 하는 침해사고의 범위, 통지의 대상과 시기, 방법과 절차는 모두 대통령령이 정할 사항이므로, 법률 문언만으로는 구체적 기준을 알 수 없습니다.
| 자리 | 2026년 9월 17일 기준 | 2026년 10월 1일 이후 |
|---|---|---|
| 제1항 | 침해사고 발생 시 즉시 신고 | 발생 사실을 안 때부터 24시간 이내 신고 |
| 제4항 | 신고의 시기ㆍ방법ㆍ절차 대통령령 위임 | 대통령령으로 정하는 침해사고 시 지체 없이 이용자에게 통지 |
| 제5항 | 없음 | 신고의 방법ㆍ절차, 통지의 대상ㆍ시기ㆍ방법ㆍ절차 대통령령 위임 |
| 항의 수 | 4개 | 5개 |
신고와 통지는 무엇이 다른가
신고와 통지는 상대방, 기한, 근거 항이 모두 다릅니다. 신고는 과학기술정보통신부장관이나 한국인터넷진흥원에 하는 것이고, 통지는 해당 이용자에게 하는 것입니다. 시행 후 기준으로 신고는 발생 사실을 알게 된 때부터 24시간 이내, 통지는 지체 없이 해야 합니다.
신고에는 이미 면제 규정이 있습니다. 제48조의3 제1항 후단은 정보통신서비스 제공자가 이미 다른 법률에 따른 침해사고 통지 또는 신고를 했으면 전단에 따른 신고를 한 것으로 본다고 정하고 있고, 이 문언은 시행 전후 모두 같습니다. 제3항은 그 통지나 신고를 받은 관계 기관의 장이 관련 정보를 과학기술정보통신부장관 또는 한국인터넷진흥원에 지체 없이 공유하도록 합니다.
| 어떤 행위 | 적용 조문 | 과태료 상한 |
|---|---|---|
| 2026년 9월 17일 기준, 침해사고 신고를 하지 아니한 경우 | 제48조의3 제1항 위반, 제76조 제1항 제6호의6 | 3천만원 이하 |
| 2026년 10월 1일 이후, 침해사고 신고를 하지 아니하거나 지연하여 신고한 경우 | 제48조의3 제1항 위반, 제76조 제1항 제2호 | 5천만원 이하 |
| 2026년 10월 1일 이후, 침해사고 발생 사실을 이용자에게 통지하지 아니한 경우 | 제48조의3 제4항 위반, 제76조 제4항 제11호의4 | 1천만원 이하 |
표에서 보듯 세 줄은 서로 다른 조문입니다. 2026년 9월 17일 기준 제76조 제1항 제6호의6은 “신고를 하지 아니한 자”만 규정하고 지연신고를 포함하지 않으며, 상한은 3천만원입니다. 법률 제21500호는 제76조의 종전 제1항부터 제4항까지를 각각 제2항부터 제5항까지로 밀어내고 5천만원 이하의 과태료를 정하는 제1항을 새로 넣는데, 그 제1항 제2호가 신고 불이행과 지연신고를 함께 규정합니다. 이용자 미통지는 그 제1항이 아니라 종전 제3항이 이동한 제4항의 제11호의4에 들어가고, 제4항의 상한은 1천만원입니다.
형벌인가 과태료인가
제48조의3의 신고 의무와 통지 의무에 대한 제재는 과태료이고, 이 조문에는 징역이나 벌금 같은 형사 법정형이 규정되어 있지 않습니다. 과태료는 질서위반행위에 대한 행정질서벌이므로 전과가 남는 형벌과 성격이 다릅니다. 제48조의3 자체는 신고 의무, 정부의 조치 의무, 기관 간 정보 공유 의무, 대통령령 위임을 정하는 조문이고, 시행 후에는 여기에 이용자 통지 의무가 더해집니다.
실제 제재 수위는 얼마나 되나
제48조의3 제4항은 2026년 10월 1일 신설ㆍ시행 예정 조문이므로, 이 항을 적용한 실제 부과 사례나 공표된 통계는 존재할 수 없습니다. 이 글의 확인 범위에서는 제48조의3 제4항을 대상으로 한 판례ㆍ결정도 확인되지 않습니다. 과태료 부과 실무의 감경ㆍ가중 비율에 관한 공표 자료 역시 이 글의 확인 범위에서는 없습니다.
법령상 확정된 것은 상한입니다. 2026년 9월 17일 기준 신고 불이행은 3천만원 이하, 2026년 10월 1일 이후 신고 불이행ㆍ지연신고는 5천만원 이하, 이용자 미통지는 1천만원 이하입니다. 상한은 부과할 수 있는 최대액이지 실제 부과액이 아닙니다.
시행 전에 일어난 사고에는 어느 규정이 적용되나
적용 시점은 부칙이 정합니다. 법률 제21500호 부칙 제1조 본문은 “이 법은 공포 후 6개월이 경과한 날부터 시행한다”이고, 2026년 3월 31일 공포에 따라 제48조의3 개정규정의 시행일은 2026년 10월 1일입니다. 부칙 제1조 단서가 공포 후 1년으로 미룬 대상은 제45조의5 및 제76조 제2항 제6호의4의 개정규정이며, 제48조의3은 단서 대상이 아닙니다.
이용자 통지에는 별도의 적용례가 있습니다. 부칙 제4조는 제48조의3 제4항의 개정규정을 “이 법 시행 이후 대통령령으로 정하는 침해사고가 발생한 경우부터” 적용한다고 정합니다. 기준이 되는 것은 통지를 하는 시점이 아니라 침해사고가 발생한 시점입니다.
과태료에는 경과조치가 따로 있습니다. 부칙 제9조는 시행 전의 행위에 대하여 과태료를 적용할 때에는 종전의 규정에 따르도록 합니다. 적용례(부칙 제4조)와 경과조치(부칙 제9조)는 이름도 기능도 다른 조항이므로 함께 묶어 인용하면 안 됩니다.
조문을 인용할 때 무엇을 확인해야 하나
첫째, 기준일을 먼저 정해야 합니다. 같은 “제48조의3 제4항”이 2026년 9월 17일에는 대통령령 위임 규정이고 2026년 10월 1일에는 이용자 통지 규정이므로, 날짜 없이 항 번호만 말하면 어느 쪽인지 정해지지 않습니다.
둘째, 조문 위쪽의 공포번호와 그 항을 만든 공포번호를 구분해야 합니다. 2026년 9월 17일 기준 현행본 상단은 법률 제21445호이지만 제4항의 문언을 만든 것은 법률 제20260호이고, 이용자 통지 문언을 새로 만드는 것은 법률 제21500호입니다.
셋째, 위임 규정이 남아 있는지 보아야 합니다. 통지의 대상ㆍ시기ㆍ방법ㆍ절차가 대통령령으로 넘어가 있으므로, 법률 조문만 읽고 “어떤 사고가 통지 대상인지”를 단정할 수 없습니다.
법률 제21500호는 제48조의3 외에도 제45조, 제47조, 제48조의2, 제48조의4, 제50조의9, 제64조, 제71조, 제76조 등 여러 조문을 함께 고쳤습니다. 다만 이 글의 확인 범위에서 그 목록이 완전하게 확정되지는 않았으므로, 여기 적힌 것이 개정 대상의 전부라고 읽어서는 안 됩니다.
관련 법령
2026년 9월 17일 기준 제4항은 제1항 신고의 시기·방법·절차 등을 대통령령으로 정하도록 한 위임 규정이다. 2026년 10월 1일 시행되는 개정 제1항은 침해사고 발생 사실을 알게 된 때부터 24시간 이내에 과학기술정보통신부장관이나 한국인터넷진흥원에 신고하도록 정한다. 같은 날 신설되는 제4항은 대통령령으로 정하는 침해사고의 사실을 해당 이용자에게 지체 없이 통지하도록 하고, 다른 법률에 따른 침해사고 통지를 이미 한 경우의 간주 규정도 둔다.
기준일 현재 제1항제6호의6은 제48조의3제1항을 위반하여 침해사고 신고를 하지 않은 경우에 적용되고, 제1항의 과태료 상한은 3천만원이다. 2026년 10월 1일 이후 제1항제2호는 신고를 하지 않거나 지연하여 신고한 경우에 적용되며, 제1항의 상한은 5천만원이다. 같은 날 제4항제11호의4는 이용자에게 침해사고 발생 사실을 통지하지 않은 경우를 규정하고, 제4항의 상한은 1천만원이다.
법률 제21500호는 공포 후 6개월이 경과한 날부터 시행한다. 제48조의3 개정규정은 공포 후 1년 시행의 단서 대상이 아니므로 2026년 10월 1일부터 시행된다.
제48조의3제4항의 개정규정은 이 법 시행 이후 대통령령으로 정하는 침해사고가 발생한 경우부터 적용한다. 이용자 통지 의무의 적용 시점은 시행일과 해당 침해사고의 발생 시점을 함께 보도록 정한 규정이다.
이 법 시행 전의 행위에 대하여 과태료를 적용할 때에는 종전의 규정에 따른다. 따라서 시행 후의 신고·이용자 통지 과태료 규정을 시행 전 행위에 적용하지 않는다.
자주 묻는 질문
해킹 사고가 나면 이용자에게도 알려야 하나요?
2026년 9월 17일 기준으로 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조의3에는 침해사고를 이용자에게 알리라는 의무 규정이 없습니다. 법률 제21500호가 신설하는 제48조의3 제4항이 2026년 10월 1일부터 시행되면, 정보통신서비스 제공자는 대통령령으로 정하는 침해사고가 발생한 경우 지체 없이 그 사실을 해당 이용자에게 통지해야 합니다. 어떤 침해사고가 통지 대상인지는 대통령령이 정하므로 법률 조문만으로는 확정되지 않습니다.
침해사고 신고와 이용자 통지는 모두 24시간 안에 해야 하나요?
아닙니다. 2026년 10월 1일 시행 기준으로 신고는 "그 침해사고의 발생 사실을 알게 된 때부터 24시간 이내"에 과학기술정보통신부장관이나 한국인터넷진흥원에 해야 하고, 이용자 통지는 "지체 없이" 해당 이용자에게 해야 합니다. 24시간이라는 시간 기준은 신고에만 붙어 있고 통지에는 붙어 있지 않습니다.
침해사고를 이용자에게 알리지 않으면 과태료가 얼마인가요?
2026년 10월 1일 시행 기준으로 제48조의3 제4항을 위반해 침해사고 발생 사실을 이용자에게 통지하지 아니한 자는 제76조 제4항 제11호의4에 따른 과태료 대상이고, 같은 조 제4항의 상한은 1천만원입니다. 이는 신고를 하지 않거나 지연해 신고한 경우의 제76조 제1항 제2호(5천만원 이하)와 다른 조항입니다. 2026년 9월 17일 기준으로는 이용자 통지 의무 자체가 시행 전이므로, 통지하지 않았다는 이유로 이 과태료가 부과되지 않습니다.
