사기·재산

내 통신 정보가 보이스피싱 방지에 쓰일 수 있나 — 2026년 8월 4일부터 시행 중인 제13조의4가 정한 통로와 조건

입력 2026.08.30.

요약 및 결론: 「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법」 제13조의4 제1항은 금융회사와 전기통신사업자, 수사기관, 그 밖에 대통령령으로 정하는 자를 "사기정보제공기관"으로 묶고, 전기통신금융사기에 관한 일정한 정보를 정보주체의 동의를 받지 아니하고 "정보공유분석기관"에 제공할 수 있도록 정한다. 같은 조 제7항은 그 대가로 목적 외 이용 금지, 제공받은 날부터 5년의 범위에서 대통령령으로 정하는 기간이 지나면 파기 또는 삭제, 정보주체가 제공 사실을 조회할 수 있게 할 것을 준수 사항으로 걸어 두었다. 제13조의4는 2026년 2월 3일 신설되어 2026년 8월 4일부터 이미 시행 중인 조문이다.

제13조의4를 신설한 법률 제21320호는 2026년 2월 3일 공포됐고, 그 부칙은 "이 법은 공포 후 6개월이 경과한 날부터 시행한다"는 번호 없는 한 문장이다. 그 계산에 따른 시행일이 2026년 8월 4일이므로 이 조문은 시행 예정이 아니라 이미 적용되는 규정이다. 새로 만들어진 것은 처벌 규정이 아니라, 사기 관련 정보가 어느 방향으로 오갈 수 있는지와 그 통로에 붙은 조건이다.

제13조의4는 언제부터 적용되나

「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법」 제13조의4는 2026년 8월 4일부터 시행 중이다. 조문 끝에 붙은 표기는 “[본조신설 2026. 2. 3.]”으로, 신설을 담은 개정 법률은 [법률 제21320호, 2026. 2. 3. 일부개정, 2026. 8. 4. 시행]이다. 공포와 시행 사이에 6개월이 있었던 셈이다.

이 개정 법률의 부칙은 “이 법은 공포 후 6개월이 경과한 날부터 시행한다”는 한 문장뿐이다. 조 번호도, 단서도, 각 호도 없다. 따라서 이 부칙을 “부칙 제1조”라고 부르는 인용은 원문과 맞지 않는다. 반면 같은 법 제4조의 최종 개정을 담은 법률 제20368호(공포 2024. 2. 27., 시행 2024. 8. 28.)의 부칙은 제1조(시행일)부터 제5조까지 조 번호가 붙어 있어, 두 부칙의 인용 방식이 서로 다르다.

정보를 제공하는 쪽에는 누가 들어 있나

제13조의4 제1항이 정한 “사기정보제공기관”에는 금융회사만 있는 것이 아니다. 조문은 “금융회사, 전기통신사업자(「전기통신사업법」 제2조제8호에 따른 전기통신사업자를 말한다), 수사기관, 그 밖에 대통령령으로 정하는 자(이하 “사기정보제공기관”이라 한다)“라고 적어, 통신 영역의 사업자와 수사기관을 같은 괄호 안에 넣었다.

즉 “내 통신 정보가 보이스피싱 방지에 쓰일 수 있나”라는 질문에 대해, 이 법의 대답은 제13조의4 제1항의 정의 부분에 이미 들어 있다. 전기통신사업자는 정보를 받는 쪽이 아니라 정보를 제공할 수 있는 주체로 열거되어 있다. 다만 “그 밖에 대통령령으로 정하는 자”가 구체적으로 누구인지는 이 조문 문언만으로는 확인되지 않는다(확인 실패).

정보를 받아 분석하는 곳은 어디인가

제13조의4 제1항은 “정보공유분석기관”을 조문 안에서 직접 정의한다. 원문 표현은 “전기통신금융사기 정보공유분석기관(전기통신금융사기에 관한 정보를 제공받아 분석하여 공유하는 기관으로서 금융위원회가 지정하여 고시하는 기관을 말한다. 이하 “정보공유분석기관”이라 한다)“이다. 지정 주체는 금융위원회이고, 지정은 고시의 형식을 취한다.

어느 기관이 실제로 지정·고시되었는지는 조문 문언에 나오지 않아 확인하지 못했다(확인 실패). 지정 요건과 절차, 취소에 필요한 사항은 제13조의4 제8항이 대통령령으로 정하도록 위임해 두었고, 그 대통령령의 내용 역시 조문만으로는 확인되지 않는다.

어떤 정보가 오갈 수 있나

제13조의4 제1항은 제공할 수 있는 정보를 네 개 호로 나눈다. 제1호는 피해발생계좌(피해자의 계좌로서 사기이용계좌로 피해금을 송금·이체한 계좌)와 사기이용계좌, 사기관련의심계좌 및 그 계좌의 거래내역·명의인에 관한 정보다. 제2호는 전기통신금융사기에 이용되거나 이용된 것으로 의심되는 「전기통신사업법」 제2조제15호의 전기통신번호, 같은 조 제20호의 이동통신단말장치, 같은 법 제42조제4항의 단말기기와 관련된 정보통신서비스 이용계약의 내용 및 그 이용자에 관한 정보다.

제3호는 개인정보 등을 수집하는 데 이용되거나 이용된 것으로 의심되는 인터넷 홈페이지, 응용프로그램, 이동통신단말장치에서 사용되는 애플리케이션과 이를 통해 개인정보 등이 유출된 자에 관한 정보를 말한다. 유출된 것으로 의심되거나 유출될 가능성이 현저히 높은 경우도 여기 포함된다고 조문이 명시한다. 제4호는 그 밖에 전기통신금융사기의 예방 및 피해 확산 방지를 위하여 필요한 정보다.

네 개 호에는 공통된 꼬리가 붙어 있다. 각 호 모두 “대통령령으로 정하는 정보”로 끝나므로, 실제로 어느 범위까지 오가는지는 조문이 아니라 대통령령이 정한다. 그 대통령령의 구체적 내용은 조문 문언으로는 확인되지 않는다(확인 실패).

“제공할 수 있다”와 “이에 따라야 한다”는 어떻게 다른가

제13조의4 제1항의 어미는 “제공할 수 있다”이다. 요건에 해당한다고 해서 제공이 강제되는 구조가 아니라, 정보주체의 동의를 받지 않고도 제공하는 것이 허용된다는 뜻의 규정이다.

제2항은 어미가 달라진다. “제1항에도 불구하고 사기정보제공기관은 정보공유분석기관으로부터 제1항 각 호의 정보 중에서 전기통신금융사기의 분석·대응에 필수적인 정보로서 대통령령으로 정하는 정보의 제공을 요청받은 경우에는 정당한 사유가 없으면 이에 따라야 한다”고 정한다. 요청이 있고 그 정보가 대통령령이 정한 “필수적인 정보”에 해당하면, 정당한 사유가 없는 한 제공은 의무가 된다. 어떤 정보가 여기서 말하는 필수적인 정보인지는 대통령령에 위임되어 있어 조문만으로는 확인되지 않는다(확인 실패).

받은 정보를 다시 다른 곳에 줄 수 있나

제13조의4 제3항은 두 번째 방향을 만든다. 정보공유분석기관은 제1항·제2항에 따라 제공받았거나 자신이 분석·생성한 정보로서 전기통신금융사기의 예방 및 피해 확산 방지에 필요한 정보를 “금융회사, 그 밖에 대통령령으로 정하는 자(이하 “사기정보이용기관”이라 한다)“에게 정보주체의 동의를 받지 아니하고 제공할 수 있다.

정리하면 조문이 그리는 흐름은 두 갈래다. 제1항은 사기정보제공기관에서 정보공유분석기관으로, 제3항은 정보공유분석기관에서 사기정보이용기관으로 향한다. 두 방향 모두 어미는 “제공할 수 있다”이고, “따라야 한다”는 의무는 제2항의 요청 국면에만 붙어 있다.

동의 없이 처리한다면서 아무 제한이 없나

제13조의4 제4항은 정보공유분석기관과 사기정보이용기관이 전기통신금융사기의 예방 및 피해 확산 방지 업무 수행 목적으로 제1항부터 제3항까지에 따라 제공받은 정보를 정보주체의 동의를 받지 아니하고 처리할 수 있다고 정한다. 같은 항 후단은 정보공유분석기관과 대통령령으로 정하는 사기정보이용기관이 해당 업무 수행에 불가피한 경우 「개인정보 보호법」 제24조에 따른 고유식별정보(같은 법 제24조의2에 따른 주민등록번호를 포함한다)를 제공받아 처리할 수 있다고 덧붙인다.

동의 면제와 짝을 이루는 조항이 제7항이다. 제7항은 사기정보제공기관·사기정보이용기관·정보공유분석기관이 준수해야 할 사항을 네 개 호로 든다. 제1호는 해당 정보를 전기통신금융사기 예방과 피해 확산 방지 목적 외의 목적으로 이용하지 아니할 것, 제2호는 제공받은 날부터 5년의 범위에서 대통령령으로 정하는 기간이 경과한 때에는 대통령령으로 정하는 바에 따라 파기 또는 삭제할 것, 제3호는 정보주체가 대통령령으로 정하는 바에 따라 정보를 제공하거나 제공받은 사실을 조회할 수 있도록 할 것, 제4호는 그 밖에 필요한 사항으로서 대통령령으로 정하는 사항이다.

여기서 조문이 확정한 숫자는 “5년”이 아니라 “5년의 범위에서 대통령령으로 정하는 기간”이다. 보관 기간이 몇 년인지, 조회를 어떤 방법으로 하는지는 대통령령의 몫이어서 조문만으로는 확인되지 않는다(확인 실패). 제5항은 별도로 정보공유분석기관에 대해, 정보가 분실·도난·유출·위조·변조·훼손되지 않고 정보처리시스템에 대한 제3자의 불법적인 접근이나 그 밖의 위험에 대해 안전성을 확보할 수 있도록 대통령령으로 정하는 바에 따라 기술적·물리적·관리적 대책을 수립·시행하도록 의무를 지운다.

한편 제6항은 세 기관이 제1항부터 제4항까지에 따라 정보를 처리하는 경우 「금융실명거래 및 비밀보장에 관한 법률」 제4조 및 제4조의2, 「신용정보의 이용 및 보호에 관한 법률」 제32조·제35조·제38조, 그 밖에 이와 유사한 법률의 규정으로서 대통령령으로 정하는 법률의 규정을 적용하지 아니한다고 정한다. 이 글은 배제된 조문들이 각각 무엇을 정하는지는 다루지 않는다. 해당 조문의 원문을 확인하지 못했기 때문이다(확인 실패).

계좌 지급정지도 제13조의4가 정하나

계좌 지급정지는 제13조의4가 아니라 같은 법 제4조가 정한다. 제4조 제1항은 금융회사가 각 호의 어느 하나에 해당하는 경우 거래내역 등의 확인을 통하여 전기통신금융사기의 사기이용계좌로 의심할 만한 사정이 있다고 인정되면 즉시 해당 사기이용계좌의 전부에 대하여 지급정지 조치를 “하여야 한다”고 규정한다. 제13조의4 제1항의 “제공할 수 있다”와 어법이 다른 의무 규정이다.

제4조 제1항의 다섯 개 호 가운데 제2호가 “수사기관 또는 「금융위원회의 설치 등에 관한 법률」에 따라 설립된 금융감독원(이하 “금융감독원”이라 한다) 등으로부터 사기이용계좌로 의심된다는 정보제공이 있는 경우”다. 나머지 호는 제3조제1항에 따른 피해구제 신청이나 같은 조 제2항·제4항에 따른 지급정지 요청이 있는 경우(제1호), 제2조의5제2항에 따른 피해의심거래계좌에 대한 본인확인조치 결과 사기이용계좌로 추정되는 경우(제3호), 제15조제3항에 따라 사기이용계좌에 관한 정보를 제공받은 경우(제4호), 그 밖에 대통령령으로 정하는 경우(제5호)로 되어 있다. 인용된 다른 조문들의 문언은 이 글에서 확인하지 못했으므로(확인 실패) 번호만 그대로 옮긴다.

제4조 제2항은 지급정지 조치를 한 금융회사가 지체 없이 통지할 상대방을 여섯 개 호로 열거하고, 단서를 둘 붙였다. 제1호의 명의인의 소재를 알 수 없는 경우에는 금융회사의 인터넷 홈페이지 등에 지급정지 조치에 관한 사실을 공시해야 하고, 제3호에 따른 피해자에게는 제3조제3항 또는 제6조제2항에 따른 수사기관의 통지가 있는 때에 통지해야 한다. 여섯 개 호에는 명의인, 피해구제신청을 한 피해자, 금융회사에 통지된 피해자, 피해금을 송금·이체한 계좌를 관리하는 금융회사, 금융감독원, 그리고 일정한 경우로 한정된 수사기관이 들어 있다. 제4조 제3항은 금융회사가 제1항제1호 또는 제2호를 위반하여 지급정지를 이행하지 아니함으로써 이용자에게 손해가 발생한 경우 그 손해를 배상할 책임을 진다고 정하고, 제4항은 지급정지의 절차·통지 등에 필요한 사항을 대통령령에 위임한다.

제4조의 최종 개정은 [법률 제20368호, 2024. 2. 27. 공포, 2024. 8. 28. 시행]이며, 2026년 8월 4일 시행된 제13조의4 신설 개정으로 바뀐 조문이 아니다.

어떤 행위에 어떤 조문이 붙나

표의 조문들은 모두 정보 제공·처리와 지급정지의 요건을 정한 규정이고, 형벌을 정한 조문이 아니다. 같은 법에 위반 행위를 처벌하는 별도 조문이 있는지, 있다면 법정형이 얼마인지는 이 글에서 원문으로 확인하지 못했다(확인 실패). 조문 번호와 형량을 추정해 적지 않는다.

실제 처벌 수위는 어떤가

제13조의4와 제4조에 대응하는 벌칙 조문의 원문을 확인하지 못했으므로, 법정형과 실제 선고의 간극을 이 글에서 수치로 제시하지 않는다. 이 주제에 관한 양형기준 수치와 선고 통계는 공표 자료 없음.

제13조의4에 관한 판례도 확인하지 못했다(확인 실패). 시행일이 2026년 8월 4일이어서, 이 조문의 해석을 다룬 대법원 판결을 사건번호로 특정할 수 없었다. 사건번호를 붙이지 않는 이유가 그것이다.

일반 정보이며 법률 자문이 아닙니다 — 콘텐츠 원칙 보기

본 콘텐츠는 법률브리프 에디터가 작성 및 검수하였으며, 일부는 AI로 작성되었습니다.