통신사 해킹 보호조치 명령을 어기면 처벌받나요?

입력 2026.09.14. 오후 2:45

요약 및 결론: 전기통신사업법 제32조의20은 2026년 9월 14일 현재 아직 시행 전이며, 2026년 10월 1일부터 시행될 예정입니다. 시행 후 과학기술정보통신부장관의 제2항 이용자 보호조치명령을 위반하면 제97조제8호에 따라 1년 이하의 징역 또는 5천만원 이하의 벌금에 처할 수 있습니다. 제1항의 매뉴얼ㆍ조치 마련 노력의무나 제3항의 통지ㆍ해지 방법 제공 일반에 이 형벌을 그대로 연결할 수는 없습니다.

침해사고가 이용자에게 번질 우려가 있을 때 적용될 예정인 새 규정은 한 조문 안에서도 의무의 강도를 나눕니다. 전기통신사업자의 사전 준비는 노력의무로, 긴급한 보호조치 명령은 장관의 재량으로, 명령에 따라 조치할 때의 통지와 해지 방법 제공은 준수의무로 정했습니다.

이 규정은 지금 바로 적용되나요?

전기통신사업법 제32조의20은 2026년 9월 14일에는 시행 전입니다. 법률 제21499호가 2026년 3월 31일 이 조문을 신설했고, 부칙에 따라 2026년 10월 1일부터 효력이 생길 예정입니다.

따라서 이 조문을 기준일 현재 사업자에게 적용되는 현행 의무나 현행 처벌로 표현하면 정확하지 않습니다. 법률 제21499호의 부칙에는 적용례나 경과조치가 아니라, “이 법은 공포 후 6개월이 경과한 날부터 시행한다”는 시행일 규정이 있습니다.

다섯 항은 각각 무엇을 정하나요?

제32조의20은 침해사고 대응을 하나의 규정에 담았지만, 제1항부터 제5항의 법적 구조는 서로 다릅니다. 제1항은 노력의무, 제2항은 장관의 재량 명령, 제3항은 명령에 따른 조치 때의 준수의무, 제4항은 제한된 금지행위 예외, 제5항은 대통령령 위임입니다.

어떤 행위	적용 조문	법정형ㆍ효과
이용자 보호 매뉴얼을 작성ㆍ운용하고 가입 전환의 대행ㆍ가입 해지 등 대응 조치를 마련하도록 노력	제32조의20제1항	노력의무
긴급한 이용자 보호가 필요하다고 판단할 때 특정 부가서비스 제공 등 보호조치를 명령	제32조의20제2항	과학기술정보통신부장관의 재량 명령
제2항 조치를 할 때 보호조치 사실을 통지하고 쉽게 이해할 수 있는 해지 방법을 제공	제32조의20제3항제1호ㆍ제2호	준수의무
제2항 명령을 이행하려 약관과 다르게 특정 부가서비스 등을 제공	제32조의20제4항	제50조제1항제5호에도 불구하고 금지행위로 보지 아니함
매뉴얼ㆍ보호조치의 기준ㆍ절차와 통지ㆍ해지 방법의 세부 사항 마련	제32조의20제5항	과학기술정보통신부장관이 방송미디어통신위원회와 협의하여 대통령령으로 정함
제2항 이용자 보호조치명령 위반	제97조제8호	1년 이하의 징역 또는 5천만원 이하의 벌금

제1항은 사업자에게 이용자 보호 매뉴얼의 작성ㆍ운용과 가입 전환의 대행, 가입 해지 등 필요한 조치를 마련하도록 노력하게 합니다. 조문은 “노력하여야 한다”고 정하므로, 제2항이나 제3항과 같은 문언으로 바꾸어 읽을 수 없습니다.

제2항은 해킹 등 정보통신망 침해사고로 피해확산방지 등 이용자 보호가 긴급히 필요하다고 장관이 판단하면, 특정 부가서비스 제공 등을 명할 수 있게 합니다. “명할 수 있다”는 문언이므로, 조문만으로 모든 침해사고에서 반드시 명령이 내려진다고 단정할 수는 없습니다.

제3항은 사업자가 제2항에 따른 조치를 하는 경우에만 적용됩니다. 사업자는 이용자에게 부가서비스 제공 등 이용자 보호조치 사실을 통지하고, 이용자가 쉽게 이해할 수 있도록 부가서비스 해지 방법을 제공해야 합니다.

약관에 없는 부가서비스를 제공해도 되나요?

제32조의20제4항은 제2항 명령을 이행하기 위해 이용약관과 다르게 특정 부가서비스 등을 제공하는 경우, 제50조제1항제5호에도 불구하고 금지행위로 보지 않는다고 정합니다. 이 예외는 제2항 명령 이행 목적에 한정됩니다.

제4항은 모든 부가서비스 제공이 약관과 달라도 된다는 일반 규정이 아닙니다. 또한 조문에는 위약금 면제, 보상금, 요금 감면, 단말 교체의 내용이 없으므로 그 조치를 이 규정만으로 단정할 수 없습니다.

어떤 위반에 형사처벌이 연결되나요?

형사처벌은 제32조의20제2항에 따른 이용자 보호조치명령을 위반한 경우에 연결됩니다. 법률 제21499호로 신설되는 제97조제8호는 그 위반자를 1년 이하의 징역 또는 5천만원 이하의 벌금에 처한다고 정합니다.

제1항의 노력의무 전체를 이행하지 않은 경우나 제3항의 통지ㆍ해지 방법 제공을 빠뜨린 일반적 경우를 제97조제8호의 처벌 대상으로 넓혀 읽을 수는 없습니다. 제97조제8호도 제32조의20과 함께 2026년 10월 1일부터 적용될 예정입니다.

법정형과 실제 처벌 수위는 어떻게 봐야 하나요?

제97조제8호의 법정형은 1년 이하의 징역 또는 5천만원 이하의 벌금이라는 선택형입니다. 징역과 벌금이 함께 반드시 선고된다는 뜻이 아니라, 법문이 정한 두 선택지 가운데 하나가 적용될 수 있는 구조입니다.

제32조의20과 제97조제8호는 기준일에 시행 전이므로, 이 조문을 직접 적용한 판례ㆍ결정이나 실제 선고 수위를 보여 주는 공표 자료는 확인되지 않았습니다. 시행 전 규정의 법정형만으로 실제 처벌 결과를 예측할 수는 없습니다.

손해배상 규정도 형사처벌인가요?

법률 제21499호는 전기통신사업법 제33조제1항제3호에 제32조의20제2항 조치 이행과 관련한 손해방지 실패를 손해배상 사유로 추가했습니다. 손해배상 규정은 제97조제8호의 형사처벌과 법적 성격이 다릅니다.

제33조제1항제3호의 인용만으로 제1항의 노력의무나 제3항의 준수의무 전체에 제97조제8호가 적용된다고 볼 수는 없습니다. 형벌의 직접 근거는 제97조제8호가 특정한 제32조의20제2항 명령 위반입니다.

자주 묻는 질문

통신사 해킹이 나면 정부가 이용자 보호조치를 명령할 수 있나요?

2026년 10월 1일 시행 예정인 전기통신사업법 제32조의20제2항은 해킹 등 침해사고로 이용자 보호가 긴급히 필요하다고 과학기술정보통신부장관이 판단하면 필요한 조치를 명할 수 있게 합니다. 조문은 특정 부가서비스 제공 등을 예로 들지만, 모든 침해사고에 명령이 반드시 내려진다고 정하지는 않습니다.