통신사 침해사고 보호조치 10월 1일 시행…형사처벌은 장관 명령 위반에만
다섯 항마다 의무 세기 달라…제2항 보호조치명령 위반은 1년 이하 징역 또는 5천만원 이하 벌금
해킹 등 침해사고로 이용자 피해가 번질 우려가 있으면 과학기술정보통신부장관이 전기통신사업자에게 보호조치를 명할 수 있도록 한 규정이 오는 10월 1일 시행된다.
전기통신사업법 제32조의20(침해사고 시 이용자 보호조치)은 법률 제21499호로 신설된 조항으로 2026년 3월 31일 공포됐다. 같은 법률 부칙은 “이 법은 공포 후 6개월이 경과한 날부터 시행한다”고 정했고, 적용례나 경과조치는 두지 않았다.
이 조문은 2026년 9월 14일 현재 시행 전이다. 현행본 상단에 표시된 법률 제21652호는 다른 조문을 고친 후속 공포법률로, 제32조의20의 문언은 손대지 않았다.
조문은 제1항부터 제5항까지 다섯 개 항으로 구성되고, 호가 달린 항은 제3항 하나뿐이다. 삭제된 항이나 “다만”으로 시작하는 단서는 없다.
항마다 문장의 끝이 다르다. 제1항은 전기통신사업자가 이용자 보호 매뉴얼을 작성·운용하고 가입 전환의 대행, 가입 해지 등 침해사고 대응에 필요한 조치를 마련하도록 “노력하여야 한다”고 정한다.
제2항은 과학기술정보통신부장관이 해킹 등 정보통신망 침해사고로 피해확산방지 등 이용자 보호가 긴급히 필요하다고 판단하면 특정 부가서비스 제공 등 이용자 보호에 필요한 조치를 “명할 수 있다”고 규정한다. 명하여야 한다가 아니라 재량을 정한 문언이다.
제3항은 사업자가 제2항에 따른 조치를 하는 경우 보호조치 사실을 이용자에게 통지할 것과 이용자가 쉽게 이해할 수 있도록 부가서비스 해지 방법을 제공할 것을 “준수하여야 한다”고 정한다. 두 가지가 각각 제1호와 제2호다.
제4항은 제2항에 따른 명령을 이행하기 위하여 이용약관과 다르게 특정 부가서비스 등을 제공하는 경우 제50조제1항제5호에도 불구하고 “금지행위로 보지 아니한다”고 규정한다. 명령 이행이라는 목적에 한정된 예외다.
형벌이 걸리는 자리는 제2항 하나다. 같은 법률이 함께 신설한 제97조제8호는 제32조의20제2항에 따른 이용자 보호조치명령을 위반한 자를 1년 이하의 징역 또는 5천만원 이하의 벌금에 처하도록 했다.
다만 제1항의 노력의무를 다하지 않은 경우나 제3항의 통지·해지 방법 제공을 빠뜨린 경우 일반을 처벌하는 규정은 아니다. 제97조제8호 역시 오는 10월 1일부터 적용된다.
또 같은 법률은 제33조제1항제3호를 신설해 제32조의20제2항에 따른 조치의 이행과 관련한 손해 방지 실패를 손해배상 사유에 추가했다. 이는 손해배상에 관한 규정으로 형사처벌과는 구별된다.
제5항은 이용자 보호 매뉴얼과 이용자 보호조치의 기준·절차, 제2항에 따른 보호조치의 종류·절차, 제3항에 따른 통지 및 해지 방법의 제공 등에 필요한 사항을 과학기술정보통신부장관이 방송미디어통신위원회와 협의해 대통령령으로 정하도록 위임했다.
조문이 적은 조치는 이용자 보호 매뉴얼, 가입 전환의 대행, 가입 해지, 특정 부가서비스 제공이다. 위약금 면제나 요금 감면, 단말기 교체는 이 조문에 규정돼 있지 않다.
시행 전 조문인 만큼 제32조의20을 적용한 판례나 결정은 이 글의 확인 범위에서는 확인되지 않는다.
참고 법령
▲전기통신사업법 제32조의20(침해사고 시 이용자 보호조치) ▲전기통신사업법 제33조제1항제3호 ▲전기통신사업법 제50조제1항제5호 ▲전기통신사업법 제97조제8호 ▲전기통신사업법 부칙(법률 제21499호, 2026. 3. 31.)
