보이스피싱 정보를 넘기는 쪽에 통신사와 수사기관이 들어 있다 — 2026년 8월 4일부터 시행 중인 제13조의4
보이스피싱을 막는 정보가 금융회사들 사이에서만 돈다고 생각하기 쉽다. 「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법」에 새로 들어온 제13조의4는 그 그림을 바꿔 놓았다. 조문이 정보를 넘길 수 있는 쪽으로 지목한 것은 금융회사만이 아니라 전기통신사업자와 수사기관이고, 그 정보를 모아 분석해 다시 뿌리는 자리에는 금융위원회가 지정하여 고시하는 기관이 놓였다.
이 조문은 앞으로 생길 제도가 아니다. [본조신설 2026. 2. 3.] 으로 들어와 2026년 8월 4일부터 이미 시행 중이다.
1. 언제부터 시행 중인가 — 부칙은 한 문장이다
제13조의4를 신설한 개정은 법률 제21320호, 2026. 2. 3. 일부개정, 2026. 8. 4. 시행이다. 이 개정의 부칙은 조 번호도 단서도 각 호도 없는 한 문장이다.
부칙 이 법은 공포 후 6개월이 경과한 날부터 시행한다.
공포일이 2026년 2월 3일이므로 시행일은 2026년 8월 4일이 된다. 부칙에 번호가 붙어 있지 않으므로 이 부칙을 ‘부칙 제1조’로 부르는 것은 정확한 인용이 아니다. 그냥 부칙이다.
2. 조문이 직접 만든 세 개의 이름
제13조의4는 다른 곳에서 빌려온 용어를 쓰지 않고, 조문 안에서 세 이름을 스스로 정의한다.
| 이름 | 조문이 붙인 정의 | 근거 |
|---|---|---|
| 사기정보제공기관 | 금융회사, 전기통신사업자(「전기통신사업법」 제2조제8호에 따른 전기통신사업자를 말한다), 수사기관, 그 밖에 대통령령으로 정하는 자 | 제1항 |
| 정보공유분석기관 | 전기통신금융사기에 관한 정보를 제공받아 분석하여 공유하는 기관으로서 금융위원회가 지정하여 고시하는 기관 | 제1항 |
| 사기정보이용기관 | 금융회사, 그 밖에 대통령령으로 정하는 자 | 제3항 |
정의 안에 수사기관이 들어 있다는 점, 그리고 전기통신사업자의 범위를 「전기통신사업법」 제2조제8호로 못 박아 두었다는 점이 이 조문의 출발점이다.
3. 정보는 두 방향으로 흐른다
조문을 읽을 때 가장 먼저 갈라야 하는 것은 누가 누구에게 주는가다. 제1항과 제3항은 방향이 반대다.
제1항 — 사기정보제공기관 → 정보공유분석기관
① 금융회사, 전기통신사업자(「전기통신사업법」 제2조제8호에 따른 전기통신사업자를 말한다), 수사기관, 그 밖에 대통령령으로 정하는 자(이하 “사기정보제공기관”이라 한다)는 전기통신금융사기의 예방 및 피해 확산 방지를 위하여 전기통신금융사기에 관한 정보로서 다음 각 호의 정보를 전기통신금융사기 정보공유분석기관(…)에 정보주체의 동의를 받지 아니하고 제공할 수 있다.
제1항이 든 정보는 네 가지다.
- 계좌 쪽 — 피해발생계좌(피해자의 계좌로서 사기이용계좌로 피해금을 송금ㆍ이체한 계좌를 말한다), 사기이용계좌 및 사기관련의심계좌와 그 계좌의 거래내역 및 명의인에 관한 정보로서 대통령령으로 정하는 정보
- 통신 쪽 — 전기통신금융사기에 이용되거나 이용된 것으로 의심되는 「전기통신사업법」 제2조제15호의 전기통신번호, 같은 조 제20호의 이동통신단말장치 및 같은 법 제42조제4항의 단말기기와 관련된 정보통신서비스 이용계약의 내용 및 그 이용자에 관한 정보로서 대통령령으로 정하는 정보
- 수집 통로 쪽 — 개인정보등을 수집하는 데 이용되거나 이용된 것으로 의심되는 인터넷 홈페이지, 응용프로그램, 이동통신단말장치에서 사용되는 애플리케이션(Application) 및 이를 통하여 개인정보등이 유출된 자에 관한 정보로서 대통령령으로 정하는 정보
- 그 밖에 전기통신금융사기의 예방 및 피해 확산 방지를 위하여 필요한 정보로서 대통령령으로 정하는 정보
제2호가 통신 쪽을 정면으로 겨냥한 자리다. 전화번호와 단말장치, 그리고 그 이용계약의 내용과 이용자에 관한 정보가 조문 문언에 그대로 들어 있다.
제3항 — 정보공유분석기관 → 사기정보이용기관
③ 정보공유분석기관은 제1항 및 제2항에 따라 사기정보제공기관으로부터 제공받거나 자신이 분석ㆍ생성한 정보로서 전기통신금융사기의 예방 및 피해 확산 방지에 필요한 정보를 금융회사, 그 밖에 대통령령으로 정하는 자(이하 “사기정보이용기관”이라 한다)에게 정보주체의 동의를 받지 아니하고 제공할 수 있다.
모으는 흐름(제1항)과 내보내는 흐름(제3항)이 각각 다른 항에 놓여 있고, 두 항 모두 정보주체의 동의를 받지 아니하고 제공할 수 있다고 적었다.
4. ‘제공할 수 있다’와 ‘정당한 사유가 없으면 이에 따라야 한다’
같은 조문 안에서 어법이 한 번 바뀐다. 제1항은 할 수 있다이지만, 제2항은 따라야 한다이다.
② 제1항에도 불구하고 사기정보제공기관은 정보공유분석기관으로부터 제1항 각 호의 정보 중에서 전기통신금융사기의 분석ㆍ대응에 필수적인 정보로서 대통령령으로 정하는 정보의 제공을 요청받은 경우에는 정당한 사유가 없으면 이에 따라야 한다.
즉 제공 여부를 스스로 정하는 국면(제1항)과, 정보공유분석기관이 요청해 온 국면(제2항)이 나뉘어 있다. 후자에서는 정당한 사유가 없으면 응해야 한다. 다만 어떤 정보가 ‘분석ㆍ대응에 필수적인 정보’인지는 조문이 대통령령에 넘겼다.
5. 동의 없이 처리하는 대신 무엇을 걸어 두었나
‘동의 없이 준다’만 읽으면 조문의 절반만 본 것이다. 제4항은 처리까지 열어 주면서, 제5항과 제7항이 그 대가로 의무를 건다.
제4항(처리와 고유식별정보) — 정보공유분석기관 및 사기정보이용기관은 예방·피해 확산 방지 업무를 수행하기 위한 목적으로 제공받은 정보를 정보주체의 동의를 받지 아니하고 처리할 수 있다. 이어서 “이 경우 정보공유분석기관 및 대통령령으로 정하는 사기정보이용기관은 해당 업무를 수행하기 위하여 불가피한 경우에는 「개인정보 보호법」 제24조에 따른 고유식별정보(같은 법 제24조의2에 따른 주민등록번호를 포함한다)를 제공받아 처리할 수 있다”고 덧붙였다. 불가피한 경우라는 조건이 문언에 함께 있다.
제5항(안전성 확보) — 정보공유분석기관은 해당 정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조ㆍ훼손되지 아니하고 정보처리시스템에 대한 제3자의 불법적인 접근 또는 그 밖의 위험에 대하여 안전성을 확보할 수 있도록 대통령령으로 정하는 바에 따라 기술적ㆍ물리적ㆍ관리적 대책을 수립ㆍ시행하여야 한다. 여기서도 어법은 ‘하여야 한다’다.
제7항(준수사항 4개 호) — 사기정보제공기관·사기정보이용기관·정보공유분석기관 모두에 걸리는 의무다.
- 해당 정보를 전기통신금융사기를 예방하고 피해 확산을 방지하기 위한 목적 외의 목적으로 이용하지 아니할 것
- 제공받은 정보가 제공받은 날부터 5년의 범위에서 대통령령으로 정하는 기간이 경과한 때에는 대통령령으로 정하는 바에 따라 해당 정보를 파기 또는 삭제할 것
- 정보주체가 대통령령으로 정하는 바에 따라 정보를 제공하거나 제공받은 사실을 조회할 수 있도록 할 것
- 그 밖에 전기통신금융사기의 예방, 피해 확산 방지 및 개인ㆍ신용ㆍ금융거래에 관한 정보의 안전한 관리를 위하여 필요한 사항으로서 대통령령으로 정하는 사항
제3호가 특히 눈에 띈다. 동의 절차를 걷어낸 대신, 정보주체 쪽에 조회의 통로를 남겨 두었다. 다만 조회를 어떤 방법으로 하는지, 보관 기간이 5년 안에서 정확히 몇 년인지는 조문에 없고 대통령령으로 넘어가 있다. 조문만으로 읽을 수 있는 것은 상한이 5년이라는 점까지다.
6. 적용하지 아니하는 법률 — 제6항
제6항은 이 조문에 따라 정보를 처리하는 경우에 적용하지 아니하는 규정을 세 호로 든다.
- 「금융실명거래 및 비밀보장에 관한 법률」 제4조 및 제4조의2
- 「신용정보의 이용 및 보호에 관한 법률」 제32조, 제35조 및 제38조
- 그 밖에 제1호 및 제2호와 유사한 법률의 규정으로서 대통령령으로 정하는 법률의 규정
이 글은 열거된 조문들이 각각 무엇을 정하는지까지는 확인하지 못했다. 여기서 확인 가능한 사실은 제13조의4 제1항부터 제4항까지에 따라 정보를 처리하는 경우 위 규정들이 적용되지 않는다는 것까지다.
그리고 제8항은 정보의 제공·처리, 정보공유분석기관의 지정 요건ㆍ절차 및 취소 등에 필요한 사항을 대통령령으로 넘겼다.
7. 지급정지는 다른 조문이다 — 제4조
정보 공유(제13조의4)와 계좌 지급정지(제4조)를 한 덩어리로 읽으면 안 된다. 제4조는 제13조의4가 생기기 전부터 있던 별도의 조문이고, 어법도 다르다. 제4조 제1항은 하여야 한다로 되어 있다.
① 금융회사는 다음 각 호의 어느 하나에 해당하는 경우 거래내역 등의 확인을 통하여 전기통신금융사기의 사기이용계좌로 의심할 만한 사정이 있다고 인정되면 즉시 해당 사기이용계좌의 전부에 대하여 지급정지 조치를 하여야 한다.
제1항이 드는 다섯 가지 경우는 이렇다.
- 제3조제1항에 따른 피해구제 신청이나 같은 조 제2항 또는 제4항에 따른 지급정지 요청이 있는 경우
- 수사기관 또는 「금융위원회의 설치 등에 관한 법률」에 따라 설립된 금융감독원(이하 “금융감독원”이라 한다) 등으로부터 사기이용계좌로 의심된다는 정보제공이 있는 경우
- 제2조의5제2항에 따른 피해의심거래계좌에 대한 본인확인조치 결과 사기이용계좌로 추정되는 경우
- 제15조제3항에 따라 사기이용계좌에 관한 정보를 제공받은 경우
- 그 밖에 대통령령으로 정하는 경우
제2호가 수사기관·금융감독원발 정보제공을 지급정지의 사유로 이미 삼고 있었다. 즉 수사기관이 관여하는 통로 자체는 새로 생긴 것이 아니고, 제13조의4는 그와 별개로 정보를 모아 분석·공유하는 축을 만든 조문이다.
지급정지를 한 뒤의 통지 의무는 제2항이 정한다. 금융회사는 지체 없이 명의인, 피해구제신청을 한 피해자, 제3조제3항 또는 제6조제2항에 따라 금융회사에 통지된 피해자, 피해금을 송금ㆍ이체한 계좌를 관리하는 금융회사, 금융감독원, 그리고 수사기관(다만 제1항제2호에 따라 정보를 제공한 경우와 제3조제2항에 따라 지급정지를 요청한 경우에 한정)에 통지하여야 한다. 여기에는 단서가 두 개 붙어 있다. 명의인의 소재를 알 수 없는 경우에는 금융회사의 인터넷 홈페이지 등에 지급정지 조치에 관한 사실을 공시하여야 하고, 제3호에 따른 피해자에게는 제3조제3항 또는 제6조제2항에 따른 수사기관의 통지가 있는 때에 통지한다.
제3항은 책임 규정이다. 금융회사가 제1항제1호 또는 제2호를 위반하여 지급정지를 이행하지 아니함으로써 이용자에게 손해가 발생한 경우에는 그 손해를 배상할 책임을 진다.
참고로 제4조 자체의 최종 개정은 이번 개정이 아니라 법률 제20368호(공포 2024. 2. 27., 시행 2024. 8. 28.) 다. 그쪽 부칙은 조 번호가 붙어 있어 부칙 제1조(시행일) 로 인용된다. 같은 법의 부칙이라도 개정 법률마다 형식이 달라, 두 부칙을 섞어 인용하면 틀린다.
짧게 정리하면
- 정보를 넘길 수 있는 쪽(사기정보제공기관)에 금융회사만 있는 것이 아니다. 전기통신사업자와 수사기관이 조문 문언에 함께 들어 있다.
- 통신 쪽 정보가 대상에 명시돼 있다. 제1항 제2호가 전기통신번호·이동통신단말장치·단말기기와 관련된 이용계약의 내용 및 이용자에 관한 정보를 든다. 다만 그 구체적 범위는 대통령령으로 넘어가 있다.
- 정보를 받아 모으는 자리는 금융위원회가 지정하여 고시하는 기관(정보공유분석기관)이다.
- 어법이 두 가지다. 제1항은 제공할 수 있다, 제2항은 요청받으면 정당한 사유가 없으면 따라야 한다.
- 동의를 걷어낸 대신 제5항·제7항이 의무를 건다. 목적 외 이용 금지, 5년의 범위에서 정해지는 기간이 지나면 파기·삭제, 정보주체의 조회, 안전성 확보 대책.
- 지급정지(제4조)는 별도의 조문이고 ‘하여야 한다’로 되어 있다.
- 시행일은 2026년 8월 4일이며, 그 근거 부칙은 번호 없는 한 문장이다.
이 글이 확인하지 못한 것
정확성을 위해 밝혀 둔다. 아래는 조문 문언 밖에 있어 확인하지 못한 사항이다.
- 제13조의4가 여러 곳에서 대통령령에 넘긴 내용 — 각 호의 정보가 구체적으로 무엇인지, 제2항의 ‘필수적인 정보’가 무엇인지, 사기정보이용기관과 정보공유분석기관으로 어디가 지정·고시되는지, 제7항 제2호의 보관 기간이 5년 안에서 몇 년인지, 제7항 제3호의 조회 방법이 무엇인지. 확인 실패.
- 제6항이 적용을 배제한 「금융실명거래 및 비밀보장에 관한 법률」 제4조·제4조의2, 「신용정보의 이용 및 보호에 관한 법률」 제32조·제35조·제38조가 각각 정하는 내용. 확인 실패.
- 제4조가 인용하는 제3조·제2조의5·제15조·제6조의 문언. 조문 번호가 인용된다는 사실까지만 확인했다. 확인 실패.
- 이 제도와 관련한 판례. 특정할 사건번호를 확인하지 못했다. 확인 실패.
참고 법령
- 「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법」[법률 제21320호, 2026. 2. 3. 일부개정, 2026. 8. 4. 시행]
- 제4조(지급정지) 제1항·제2항·제3항·제4항
- 제13조의4(전기통신금융사기 정보의 공유 등) 제1항부터 제8항까지 [본조신설 2026. 2. 3.]
- 부칙(법률 제21320호, 2026. 2. 3.) — 번호 없는 단일 문장
- 부칙 제1조(시행일)(법률 제20368호, 2024. 2. 27.) — 제4조의 최종 개정
- 「전기통신사업법」 제2조제8호·제2조제15호·제2조제20호, 제42조제4항 — 제13조의4 제1항이 인용
- 「개인정보 보호법」 제2조제1호, 제24조, 제24조의2 — 제13조의4 제1항 제3호·제4항이 인용
- 「전자금융거래법」 제2조제1호·제2조제10호 — 제13조의4 제1항 제3호가 인용
- 「금융실명거래 및 비밀보장에 관한 법률」 제4조·제4조의2 — 제13조의4 제6항 제1호가 적용 배제 대상으로 인용
- 「신용정보의 이용 및 보호에 관한 법률」 제32조·제35조·제38조 — 제13조의4 제6항 제2호가 적용 배제 대상으로 인용
- 「금융위원회의 설치 등에 관한 법률」 — 제4조 제1항 제2호가 금융감독원의 설립 근거로 인용