해킹 나면 통신사가 지는 의무, 항마다 세기가 다르다 — 형벌은 제2항 명령 위반 하나에만 붙는다
2026년 9월 14일 기준, 이 글이 다루는 「전기통신사업법」 제32조의20은 아직 시행 전이다. 법률 제21499호(2026. 3. 31. 공포)로 신설됐고, 부칙이 이 법은 공포 후 6개월이 경과한 날부터 시행한다고 정해 2026년 10월 1일부터 효력을 갖는다. 아래 내용은 전부 그날부터 적용될 예정인 규정이며, 지금 통신사가 지고 있는 의무나 현행 처벌이 아니다.
한 줄 답
- 정부가 보호조치를 명령할 수 있나 → 2026년 10월 1일부터 과학기술정보통신부장관이 명할 수 있다.
명하여야 한다가 아니라명할 수 있다— 재량이다. - 명령을 어기면 처벌받나 → 시행 후에는 1년 이하의 징역 또는 5천만원 이하의 벌금(제97조제8호). 다만 형벌이 붙는 자리는 제2항의 명령 위반 하나뿐이다.
- 부가서비스 해지 방법을 알려줘야 하나 → 제2항 명령에 따라 보호조치를 하는 경우에는 그렇다. 조치 사실을 통지하고, 이용자가 쉽게 이해할 수 있도록 해지 방법을 제공해야 한다(제3항).
조문은 한 덩어리로 보이지만, 문장 끝이 항마다 다르다
제32조의20은 제1항~제5항 5개 항으로 되어 있고, 호는 제3항에만 제1호ㆍ제2호 두 개가 있다. 삭제된 항은 없고, 다만으로 시작하는 단서도 없다.
조문 이름은 「침해사고 시 이용자 보호조치」 하나지만, 항마다 의무의 세기가 갈린다. 법률 문장에서 세기를 정하는 것은 제목이 아니라 문장 끝의 어미다.
| 항 | 누가 | 조문의 문장 끝 | 성격 |
|---|---|---|---|
| 제1항 | 전기통신사업자 | 노력하여야 한다 | 노력의무 |
| 제2항 | 과학기술정보통신부장관 | 명할 수 있다 | 재량 |
| 제3항 | 전기통신사업자 | 준수하여야 한다 | 준수의무 |
| 제4항 | — | 금지행위로 보지 아니한다 | 금지행위 규정의 예외 |
| 제5항 | — | 대통령령으로 정한다 | 하위법령 위임 |
제1항 — 미리 준비해 두라는 노력의무
전기통신사업자는 전기통신역무에 관하여 정보통신망 침해사고 등으로 이용자 피해가 발생하거나 발생할 우려가 있는 경우를 대비해 이용자 보호 매뉴얼을 작성ㆍ운용하고, 가입 전환의 대행, 가입 해지 등 침해사고 대응에 필요한 조치를 마련하도록 노력하여야 한다.
조문이 예로 든 조치는 가입 전환의 대행과 가입 해지다. 위약금 면제, 보상금, 요금 감면, 단말 교체 같은 말은 이 조문에 없다.
제2항 — 장관이 명령할 수 있는 자리
과학기술정보통신부장관은 해킹 등 정보통신망 침해사고로 인하여 피해확산방지 등 이용자 보호가 긴급히 필요하다고 판단하면, 해당 전기통신사업자에게 특정 부가서비스 제공 등 이용자 보호에 필요한 조치를 명할 수 있다.
명할 수 있다는 재량 표현이다. 침해사고가 났다고 해서 명령이 자동으로 나가는 구조가 아니라, 긴급히 필요하다는 판단이 앞에 놓인다.
제3항 — 명령에 따라 조치할 때 지켜야 하는 두 가지
전기통신사업자가 제2항에 따른 조치를 하는 경우 다음을 준수하여야 한다.
- 이용자에게 부가서비스 제공 등 이용자 보호조치 사실을 통지할 것
- 이용자가 쉽게 이해할 수 있도록 부가서비스 해지 방법을 제공할 것
제3항이 걸리는 시점은 제2항에 따른 조치를 하는 경우다. 보호조치를 해 주고 끝내는 것이 아니라, 그 사실을 알리고 빠져나올 방법까지 함께 안내하라는 구조다.
제4항 — 약관과 다르게 해도 금지행위로 보지 않는 예외
전기통신사업자가 제2항에 따른 명령을 이행하기 위하여 이용약관과 다르게 특정 부가서비스 등을 제공하는 경우에는, 제50조제1항제5호에도 불구하고 금지행위로 보지 아니한다.
약관대로 하라는 규제와 명령대로 하라는 요구가 부딪히는 자리를 정리한 조항이다. 다만 이 예외가 붙는 범위는 제2항에 따른 명령을 이행하기 위하여로 한정된다. 모든 보호조치 명령이 약관에 없는 서비스를 제공하라는 명령이라는 뜻도 아니다.
제5항 — 구체적인 내용은 대통령령으로
제1항의 이용자 보호 매뉴얼, 이용자 보호조치의 기준 및 절차, 제2항에 따른 이용자 보호조치의 종류 및 절차, 제3항에 따른 통지 및 해지 방법의 제공 등에 필요한 사항은 과학기술정보통신부장관이 방송미디어통신위원회와 협의하여 대통령령으로 정한다.
매뉴얼에 무엇을 담아야 하는지, 보호조치의 종류가 무엇인지, 통지를 어떤 방식으로 해야 하는지는 법률 본문에 없다. 제5항이 대통령령에 넘겨 둔 부분이며, 이 글의 확인 범위에서는 그 내용이 확인되지 않는다.
형벌이 닿는 자리는 제2항 하나다
같은 법률 제21499호가 함께 신설한 제97조제8호는 제32조의20제2항에 따른 이용자 보호조치명령을 위반한 자를 1년 이하의 징역 또는 5천만원 이하의 벌금에 처한다. 징역과 벌금을 함께 매기는 병과형이 아니라 둘 중 하나를 고르는 선택형이다. 이 벌칙 역시 2026년 10월 1일부터 적용된다.
방아쇠는 제2항 명령 위반이다.
- 제1항의 노력의무를 게을리한 것 → 이 형벌 조문이 잡는 자리가 아니다.
- 제3항의 통지ㆍ해지 방법 제공을 빠뜨린 것 일반 → 이 형벌 조문이 잡는 자리가 아니다.
- 제2항에 따라 내려진 이용자 보호조치명령을 위반한 것 → 제97조제8호가 적용된다.
‘해킹이 나면 통신사가 이런 의무를 지고 어기면 처벌받는다’로 뭉뚱그리면, 노력의무와 명령 위반이 한데 섞여 처벌 범위가 실제보다 넓어진다.
형벌과 손해배상은 다른 줄이다
같은 법률은 제33조제1항제3호도 신설해, 해킹 등 침해사고 및 제32조의20제2항 조치 이행과 관련한 손해방지 실패를 손해배상 사유에 추가했다. 이는 민사 손해배상이지 형벌이 아니다. 처벌과 배상은 요건도 절차도 다른 줄이므로 섞어 읽지 않는 편이 정확하다.
시행일과 공포번호를 헷갈리기 쉬운 지점
첫째, 시행일. 부칙은 이 법은 공포 후 6개월이 경과한 날부터 시행한다 한 문장뿐이다. 단서도, 적용례도, 경과조치도 없다. 2026년 3월 31일 공포 후 6개월이 경과한 날은 2026년 9월 30일이고, 시행일은 그다음 날인 2026년 10월 1일이다.
둘째, 늦춰진 것이 무엇인지. 제32조의20은 기존 조문을 고친 것이 아니라 제21499호로 새로 만들어진 조문이다([본조신설 2026. 3. 31.]). 그러므로 2026년 10월 1일부터 효력을 갖는 것은 일부 개정 부분이 아니라 이 신설규정 자체다.
셋째, 공포번호. 국가법령정보센터에서 「전기통신사업법」 현행본을 열면 상단에 더 나중의 공포번호가 찍혀 있을 수 있다. 이 조문의 문언을 만든 법률은 제21499호이고, 그 뒤의 공포법률은 다른 조문을 고친 것일 뿐 제32조의20을 손대지 않았다. 조문을 인용할 때 상단 번호와 본조신설 번호를 섞어 쓰면 출처가 어긋난다.
넷째, 재판례. 이 글의 확인 범위에서는 제32조의20을 직접 적용한 판례ㆍ결정이 확인되지 않는다. 아직 시행되지 않은 조문이므로 적용 사례가 쌓일 수 없다.
자주 묻는 질문
통신사 해킹이 나면 정부가 이용자 보호조치를 명령할 수 있나요?
2026년 10월 1일부터 시행되는 「전기통신사업법」 제32조의20제2항에 따라 과학기술정보통신부장관이 명할 수 있다. 요건은 해킹 등 정보통신망 침해사고로 인하여 피해확산방지 등 이용자 보호가 긴급히 필요하다고 판단하는 경우이고, 명령의 내용은 특정 부가서비스 제공 등 이용자 보호에 필요한 조치다. 조문 표현이 명할 수 있다이므로 재량이다. 2026년 9월 14일 현재는 시행 전이다.
통신사 해킹 보호조치 명령을 어기면 처벌받나요?
시행 후에는 같은 법 제97조제8호에 따라 제32조의20제2항에 따른 이용자 보호조치명령을 위반한 자에게 1년 이하의 징역 또는 5천만원 이하의 벌금이 적용된다. 징역과 벌금 중 하나를 택하는 선택형이다. 제1항의 노력의무나 제3항의 통지ㆍ해지 방법 제공 일반이 아니라, 제2항 명령 위반에 연결된 법정형이다. 이 벌칙도 2026년 10월 1일부터 적용된다.
해킹 피해 방지를 위한 부가서비스도 해지 방법을 알려줘야 하나요? 제32조의20제3항은 제2항에 따른 조치를 하는 경우 ① 이용자에게 보호조치 사실을 통지할 것, ② 이용자가 쉽게 이해할 수 있도록 부가서비스 해지 방법을 제공할 것을 준수하도록 정한다. 통지와 해지 방법 제공의 구체적인 방식은 제5항이 대통령령에 위임해 두었다.
제1항의 매뉴얼을 만들지 않으면 어떻게 되나요?
제1항의 문장 끝은 노력하여야 한다이고, 이 글의 확인 범위에서 제1항 위반을 직접 처벌하는 규정은 확인되지 않는다. 제97조제8호가 가리키는 것은 제2항 명령 위반이다.
약관에 없는 서비스를 제공하면 문제가 되지 않나요? 제4항은 제2항 명령을 이행하기 위하여 이용약관과 다르게 특정 부가서비스 등을 제공하는 경우 제50조제1항제5호에도 불구하고 금지행위로 보지 아니한다고 정한다. 예외가 붙는 범위는 명령 이행 목적으로 한정된다.
정리
- 제32조의20은 2026년 10월 1일 시행 예정 규정이다(법률 제21499호, 2026. 3. 31. 공포).
- 제1항은 노력의무, 제2항은 장관의 재량 명령, 제3항은 명령 이행 시의 준수의무, 제4항은 금지행위 예외, 제5항은 대통령령 위임.
- 형벌(1년 이하의 징역 또는 5천만원 이하의 벌금, 제97조제8호)이 붙는 자리는 제2항 명령 위반 하나다.
- 손해배상(제33조제1항제3호)은 형벌과 별개의 줄이다.
- 매뉴얼의 기준, 보호조치의 종류ㆍ절차, 통지와 해지 방법의 구체적 내용은 아직 대통령령에 남아 있다.
참고 법령
- 「전기통신사업법」 제32조의20(침해사고 시 이용자 보호조치) — 제1항~제5항, 제3항 제1호ㆍ제2호. [본조신설 2026. 3. 31.] [시행일: 2026. 10. 1.]
- 「전기통신사업법」 제33조 제1항 제3호(손해배상 사유)
- 「전기통신사업법」 제50조 제1항 제5호(금지행위)
- 「전기통신사업법」 제97조 제8호(벌칙 — 제32조의20제2항에 따른 이용자 보호조치명령 위반)
- 법률 제21499호(2026. 3. 31. 일부개정) 부칙:
이 법은 공포 후 6개월이 경과한 날부터 시행한다
이 글은 조문의 구조를 정리한 설명이며, 개별 사안에 대한 판단이 아니다. 조문의 최신 문언과 시행 상태는 국가법령정보센터의 원문으로 확인하는 것이 정확하다.
