시행 전에 난 침해사고 한 번은 「2회」에 들어가나 — 정보통신망법 부칙 제7조의 기산점

핵심 요약 — 2026년 10월 1일 시행되는 개정 정보통신망법 제48조의8은 침해사고가 5년 이내에 2회 이상 발생하면 매출액의 100분의 3까지 과징금을 부과합니다. 그래서 바로 걸리는 질문이 시행 전 사고를 횟수에 넣는가입니다. 부칙 제7조 제1항은 「이 법 시행 이후 최초로 … 2회 이상 발생한 경우부터 적용한다」고 적었는데, 이 문언은 앞의 사고가 시행 후여야 한다고 말하지 않습니다. 같은 문제를 다룬 개정 개인정보 보호법 부칙 제3조 제1항이 「시행 이후 발생한 위반행위로 과징금 부과처분을 받은 후」라고 앞의 사건을 명시적으로 한정한 것과 대비됩니다. 두 법이 같은 문제에 다른 문언을 썼습니다. 확정적 해석이 나오기 전에는 시행 전 사고가 횟수에 들어갈 수 있다고 보고 준비하는 편이 안전합니다.

개정법이 시행되면 실무자가 가장 먼저 하는 일은 우리 회사가 사정권에 들어가는지 세어 보는 것입니다. 5년 이내 2회라는 요건은 세기 쉬워 보입니다. 그런데 세기 시작하면 곧 막힙니다 — 어디서부터 세는지가 정해져 있지 않기 때문입니다.

부칙은 무엇이라고 적었나

개정 정보통신망법 부칙(법률 제21500호) 제7조 제1항입니다.

① 제48조의8의 개정규정은 이 법 시행 이후 최초로 정보통신서비스 제공자의 고의 또는 중과실로 인하여 침해사고가 5년 이내의 기간 동안 2회 이상 발생한 경우부터 적용한다.

읽는 방법이 둘로 갈립니다.

첫째 읽기. 「최초로」가 꾸미는 것은 「2회 이상 발생한 경우」라는 상태입니다. 시행 후에 그 상태가 처음 성립하면 적용된다는 뜻이고, 앞의 한 번이 언제였는지는 묻지 않습니다. 그러면 2026년 10월 1일 이후에 사고가 한 번 나고 그 5년 안에 시행 전 사고가 있었다면 요건이 충족됩니다.

둘째 읽기. 부칙은 원칙적으로 시행 후의 사실관계에 적용되므로, 「침해사고가 … 2회 이상 발생한 경우」 전체가 시행 후의 사건이어야 한다고 봅니다. 시행 전 사고를 세면 개정 전에는 존재하지 않던 불이익을 과거 사실에 붙이는 결과가 되기 때문입니다.

문언만 놓고 보면 첫째 읽기가 더 자연스럽습니다. 「최초로」는 상태가 처음 성립하는 시점을 가리키는 말이고, 조문 어디에도 앞의 사고를 시행 후로 한정하는 구절이 없습니다. 둘째 읽기는 문언이 아니라 소급의 한계에서 근거를 끌어옵니다.

같은 문제를 개인정보 보호법은 어떻게 적었나

두 법이 같은 시기에 같은 구조의 문제를 만났습니다. 그런데 부칙 문언이 다릅니다.

2026년 9월 11일 시행된 개정 개인정보 보호법 제64조의2 제2항 제1호는 과징금 부과처분을 받은 날부터 3년 안에 같은 호의 위반행위를 다시 하면 상한을 10%로 올립니다. 그 부칙 제3조 제1항은 이렇게 적었습니다.

제64조의2제2항제1호의 개정규정은 이 법 시행 이후 발생한 위반행위로 과징금 부과처분을 받은 후 다시 같은 호의 위반행위를 한 경우부터 적용한다.

앞의 사건이 무엇이어야 하는지를 문장 안에 박아 두었습니다. 「이 법 시행 이후 발생한 위반행위로 … 처분을 받은 후」입니다. 그래서 시행 전에 받은 과징금 처분은 3년 가중의 기산점이 되지 않는다는 결론이 문언에서 바로 나옵니다. 그 결론과 실사에서 확인할 것은 대상회사에 개인정보 과징금 이력이 있습니다 — 그 처분이 3년 가중의 방아쇠가 되는 경우와 되지 않는 경우에 정리해 두었습니다.

정보통신망법 부칙 제7조 제1항에는 그 한정이 없습니다. 두 부칙을 나란히 놓으면 차이가 분명합니다.

입법이 같은 시기에 두 문장을 다르게 썼다는 사실 자체가 해석의 재료가 됩니다. 한쪽에서 쓴 한정을 다른 쪽에서 빼놓은 것을 두고 의도적인 차이로 볼 것인지, 입법기술의 차이로 볼 것인지가 갈립니다. 지금 단계에서 어느 쪽이라고 단정할 근거는 없습니다.

세는 대상이 처분이 아니라 사고라는 점

문언 차이보다 실무에 먼저 걸리는 것은 이쪽입니다. 개인정보 보호법은 처분을 세고 정보통신망법은 사고를 셉니다.

처분은 문서로 남습니다. 의결서 정본이 있고 주문과 이유가 적혀 있으므로 종류와 날짜를 특정할 수 있습니다. 반면 침해사고는 처분 없이 끝나는 경우가 많습니다. 법 제48조의3에 따라 신고하고, 한국인터넷진흥원의 지원을 받아 복구하고, 원인분석 결과를 제출하고 종결되는 사고가 훨씬 많습니다. 제재 이력을 조회해서는 이 횟수가 잡히지 않습니다.

그래서 정보통신망법 제48조의8을 앞에 두고 회사가 셀 것은 처분 목록이 아니라 사고 목록입니다. 확인해야 할 자료도 달라집니다.

• 제48조의3에 따른 침해사고 신고 이력 — 신고 일자와 사고 내용
• 한국인터넷진흥원·과학기술정보통신부와 주고받은 문서
• 제48조의4에 따른 원인분석 관련 자료 제출과 그에 따른 시정명령 이력
• 사고 대응 보고서·포렌식 보고서처럼 사내에만 남은 기록

인수·투자 실사에서도 같습니다. 자료요청 목록에 「개인정보 관련 제재 이력」 한 줄만 두면 침해사고는 통째로 빠집니다. 처분 이력과 사고 이력은 다른 항목으로 나누어 물어야 합니다.

그러면 지금 무엇을 하나

10월 1일 전에 확정되지 않을 것과 지금 할 수 있는 것을 나누는 편이 낫습니다.

확정되지 않을 것. 「최초로」의 해석은 과학기술정보통신부의 해설이나 첫 사건이 나와야 정해집니다. 과징금 금액도 마찬가지입니다 — 제48조의8 제1항의 「대통령령으로 정하는 매출액」과 제3항이 위임한 산정 기준이 시행령에 맡겨져 있는데, 2026년 9월 16일 현재 정보통신망법 시행령 개정령은 공포되지 않았고 국가법령정보센터 시행예정법령에도 올라와 있지 않습니다(현행은 대통령령 제36502호, 2026년 7월 7일 시행).

지금 할 수 있는 것. 최근 5년의 침해사고 이력을 사고 단위로 정리해 두는 일입니다. 첫째 읽기가 맞는 것으로 정리되면 그 목록이 그대로 위험 목록이 되고, 둘째 읽기가 맞더라도 그 목록은 반복 발생을 다투는 자리에서 그대로 쓰입니다. 어느 쪽이든 버리는 일이 아닙니다.

같은 사고가 정보통신망법이 아니라 개인정보 보호법 쪽으로 넘어가는 경우도 함께 확인해 두어야 합니다. 개정 제48조의8 제4항이 개인정보가 유출된 침해사고를 이 과징금의 적용 대상에서 빼 두었기 때문입니다. 그 갈림선은 침해사고에 과징금이 두 번 나올 수 있나 — 10월 1일부터 두 법이 갈리는 지점에서 다룹니다.

자주 묻는 질문

Q. 2026년 10월 1일 전에 발생한 침해사고도 「5년 이내 2회」의 횟수에 들어가나요?

문언으로 확정되지 않습니다. 부칙 제7조 제1항이 앞의 사고를 시행 후로 한정하지 않았고, 같은 시기 개정된 개인정보 보호법 부칙이 그 한정을 명시한 것과 대비됩니다. 확정적 해석 전까지는 들어갈 수 있다는 전제로 준비하는 편이 안전합니다.

Q. 개인정보 보호법의 3년 가중과 무엇이 다른가요?

세는 대상이 다릅니다. 개인정보 보호법은 과징금 부과처분을, 정보통신망법은 침해사고 자체를 셉니다. 확인할 서류도 달라집니다.

Q. 실사에서 대상회사의 침해사고 이력은 어떻게 확인하나요?

제재 이력 조회로는 잡히지 않습니다. 제48조의3 신고 이력, 한국인터넷진흥원과 주고받은 문서, 제48조의4 원인분석·시정명령 이력을 별도 항목으로 요청해야 합니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

• 정보통신망 이용촉진 및 정보보호 등에 관한 법률(법률 제21500호, 2026. 3. 31. 공포, 2026. 10. 1. 시행) — 국가법령정보센터 시행예정 법령. 부칙 제7조 제1항 문언을 확인했습니다
• 개정 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행) — 국가법령정보센터 현행 법령. 부칙 제3조 제1항 문언을 확인했습니다