「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제정·개정사 종합 정리 (1986 전산망법 ~ 2026.10)

면책 — 이 문서는 일반 정보 정리이며 법률 자문(legal advice)이 아닙니다. 구체적인 사안의 판단·대응은 반드시 변호사 등 전문가의 자문을 받으십시오. 법령·판례·처분은 이 문서 작성 뒤에도 바뀔 수 있습니다.

기준일자: 2026-10-21. 이날 국가법령정보센터(law.go.kr) 연혁 목록에서 "현재 시행 중"으로 표시된 판은 법률 제21988호(2026.9.29 공포, 2026.10.2 시행) 와 시행령 대통령령 제36728호(2026.9.29 타법개정, 2026.10.2 시행) 입니다. 공포는 되었지만 아직 시행되지 않은 부분은 법률 제21500호 중 제45조의5(정보보호수준 평가)와 제76조제2항제6호의4(평가 자료제출 거부 과태료) — 2027.4.1 시행 예정입니다. [1][2][73]

주요 출처 — ① 국가법령정보센터 법령 원문·「제정·개정이유」·「제정·개정문」·부칙(law.go.kr, 법률 lsId=000030, 시행령 lsId=004797) ② 국회 의안정보시스템(likms.assembly.go.kr)·열린국회정보 API ③ law.go.kr 대법원 판례 원문, 헌법재판소 결정 원문과 헌법재판소 판례검색 데이터 ④ 과학기술정보통신부·방송미디어통신위원회·방송미디어통신심의위원회 보도자료·통계 원문 ⑤ 개인정보보호위원회(PIPC) 보도자료(같은 프로젝트 2026-10-20 교차검증 기록 경유) ⑥ RISS·KCI 학술논문 초록, 국회입법조사처(NARS) 보고서 상세페이지 ⑦ 언론·로펌 자료(보조). 원자료는 같은 프로젝트 refs/ 폴더의 2026-10-21자 수집본 5종과 원문 사본 폴더(refs/2026-10-21_망법_raw/)입니다.

작성 원칙 — 위 수집본에 들어 있는 사실만 적었습니다(기억에 의존한 추가 사실 없음). 수집본끼리 값이 다르면 refs/2026-10-21_망법_교차검증.md의 정정 13건과 "문서 작성 지침"을 따랐고, 끝내 결론이 안 난 것은 두 값을 모두 적고 이유를 밝혔습니다. 사건과 법 개정의 인과관계는 개정이유나 정부 공식 문서가 그 사건(또는 그 유형)을 직접 언급한 경우에만 사실로 적고, 시기만 맞는 경우는 해석으로 표시했습니다.

같이 보면 좋은 문서 — docs/개인정보보호법_개정사_정리.md(2020년에 이 법의 개인정보 규정이 옮겨 간 「개인정보 보호법」의 개정사).

0-1. 범례 — 출처 등급 표시

• 국회 정보의 대응 근거(한 번만 밝힘): 의안정보시스템 상세 데이터에는 법률번호가 없습니다. 이 문서는 의안정보시스템의 공포일(announceDt)이 law.go.kr의 이 법 일부·전부개정 공포일과 같은 의안을 짝지었습니다. 같은 날 공포된 이 법의 일부·전부개정은 각 1건뿐이라 짝이 하나로 정해집니다. 예외: 1991년 제4439호는 의안 데이터에 정부이송일·공포일이 비어 있어 "시기상 대응 해석"입니다. [84][85] 1차-국회
• 대법원 판례 원문 출처: 대법원 종합법률정보(glaw.scourt.go.kr)는 교차검증 시점에 도메인이 더 이상 존재하지 않았고(DNS "Non-existent domain"), 후속 사이트(portal.scourt.go.kr)는 읽기 전용 호출로 판결 검색이 되지 않았습니다. 그래서 대법원 판결은 모두 law.go.kr 판례 원문(precSeq=…) 으로 확인했습니다(교차검증 노트 기재). 법원 자체 DB와의 교차확인은 못 했으므로 11장 C에 남겨 두었습니다.

0-2. 처음 읽는 분을 위한 용어 풀이

1. 한눈에 보기

1-1. 전체 연혁표 (법률 69개 판)

law.go.kr 연혁 목록은 시행일 기준으로 82개 항목이고, 법률번호 기준으로 묶으면 69개 판입니다. 구분 집계: 제정 1 · 전부개정 2(1999, 2001) · 일부개정 38 · 타법개정 28. [1] 국회 의안번호·본회의 의결일은 교차검증에서 제정·전부·일부개정 41개 판 전부 확인했고(0-1의 대응 근거 참조), 타법개정 28개 판은 다른 법률의 의안이라 조사 범위 밖입니다(→ 미확인). [84][85]

보충 설명

• 1999 전부개정의 단계 시행 정정: law.go.kr 연혁 목록은 1999.7.1 시행 항목 하나만 보여 주지만, 부칙 제1조 단서는 "제16조 내지 제18조, 제30조 및 제32조제1항제3호 내지 제7호의 개정규정은 2000년 1월 1일부터 시행한다"고 정합니다. 즉 법 전체는 1999.7.1, 개인정보 보호규정은 2000.1.1 시행입니다. 목록이 하나만 보여 주는 것은 목록 표시 방식 때문입니다. [12][1]
• 2016 개정의 단계 시행 정정: 수집 단계 일부 노트가 징벌적 손해배상 시행일을 2016.9.23으로 적었으나, 부칙 제1조는 "제32조제2항·제3항 및 제32조의2제3항의 개정규정은 2016년 7월 25일부터"라고 정합니다. [47]
• 2012 개정의 단계 시행 정정: ISMS 의무화·안전진단 폐지·CISO 지정 근거·사전점검·관리등급은 2013.2.18 시행이고, 주민번호 원칙 금지·누출 통지·신고는 2012.8.18 시행입니다. [38]
• 현행본과 미시행분: 2026.10.2 시행 현행본(lsiSeq 290001)에는 2026.10.1 시행된 제21500호 내용이 이미 들어 있고, 2027.4.1 시행 예정인 제45조의5·제76조②6의4는 2027.4.1 시행본(lsiSeq 285199)에서만 보입니다. [1][2]
• 현행 본문 소관 표시: 방송미디어통신위원회(스팸·이용자정책·불법정보 및 청소년보호·본인확인제), 과학기술정보통신부(통신과금·해킹 등 침해대응·집적정보통신시설). [1]

1-2. 시대 구분 (6기)

시대 구분은 이 문서가 법률 명칭 변경(1999·2001), 개정이유가 밝힌 입법 목적의 변화, 2020년 개인정보 규정 이관, 2025~2026년 대형 침해사고 후속 입법을 기준으로 나눈 것입니다 해석. 학계에서는 방동희(2012, 문헌 A2)가 1986년 전산망법 제정을 기점으로 정보화법제를 "제1기 전산망법기, 제2기 정보화촉진기본법기, 제3기 국가정보화 기본법기"로, 황창근(2016, 문헌 A3)이 정보법을 "1980년대 도입기, 1990년대의 성장기, 2천년대 중반 이후의 성숙기"로 나누었습니다. 학술

2. 제정 이전의 배경과 전신 법률

2-1. 1986년 「전산망 보급확장과 이용촉진에 관한 법률」 — 출발은 진흥법

2-2. 1990년대 개정 — 표준화·전자문서·안전성

• 1991.12.14 제4439호: 표준화 추진근거, 한국전산원 업무 보강, 재단법인 정보문화센터를 한국정보문화센터로 개편, 벌칙 상향(3-2). [6]
• 1995.8.4 제4969호(타법, 「정보화촉진기본법」 제정): 정보화추진위원회가 생기면서 이 법의 전산망조정위원회 등(제5조~제7조)이 삭제되었습니다. 모법의 제정이유는 "정보화촉진과 정보통신산업의 기반조성 및 초고속정보통신사업의 추진을 범국가적으로 일관성있게 효율적으로 추진"이었습니다. [8]
• 1995.12.6 제4998호: 전자문서(EDI) 효력, 안전성·신뢰성 기술기준, 형식승인 삭제와 표준적합인증 신설(3-3). [9]
• 1999.1.21 제5669호(타법): 한국전산원 설립근거를 「정보화촉진기본법」으로 옮기면서 이 법 제13조·제19조의2가 삭제되었습니다. [11]
• 1998년 정보통신정책연구원(KISDI)에 「전산망 보급확장과 이용촉진에 관한 법률 개정연구반 운영보고서」(참고자료 Vol.1998 No.6, 188쪽)가 있으나 초록이 없어 내용은 미확인입니다(문헌 A1). 학술

2-3. 1999년 전부개정 — 「정보통신망 이용촉진 등에 관한 법률」로

• 개정이유(원문): "정보통신망을 통하여 수집·처리·보관·유통되는 개인정보의 오·남용에 대비하여 개인정보에 대한 보호규정을 신설하고, 수신자의 의사에 반하여 광고성 정보를 전송하는 행위를 금지하며, 한국전산원의 설립에 관한 사항등을 정보화촉진기본법으로 이관하는 등 정보화촉진기본법과의 관계를 재정비". [12]
• 명칭 변경 이유(원문): "전산망 보급확장사업이 정보화촉진기본법에 의한 정보화사업으로 전환되어 추진되고, 개인정보의 보호에 관한 제도가 신설됨에 따라 법률의 명칭을 정보통신망이용촉진등에관한법률로 변경함". [12]
• 국회: 의안 151426(정부, 제안 1998.11.26), 본회의 1998.12.24 수정가결, 정부이송 1999.1.29. [84][85] 1차-국회
• 상세는 3-4.

2-4. 2001년 전부개정의 배경 — "인터넷 확산·스팸·해킹"

• 개정이유(원문): "정보통신망의 이용을 촉진하기 위하여 인터넷서비스 품질 개선 및 인터넷주소자원의 확충을 위한 시책을 마련하고, 정보통신서비스이용자의 개인정보를 보호하기 위하여 정보통신서비스제공자에 대한 규제를 강화하며, 인터넷상의 음란·폭력물로부터 청소년을 보호하기 위하여 … 내용선별소프트웨어의 개발 및 보급 등의 시책을 마련하도록 하고 타인의 정보통신서비스제공을 위하여 집적된 정보통신시설의 안정적 운영을 위한 제도를 신설". [14]
• 명칭(원문): "정보통신망의 이용촉진 등에 관한 사항외에 정보통신서비스이용자의 개인정보의 보호제도에 관한 사항이 대폭 규정됨에 따라 법률의 명칭을 「정보통신망이용촉진및정보보호등에관한법률」로 변경함". [14]
• "인터넷 확산, 스팸, 해킹"이라는 흔한 설명 가운데, 해킹·바이러스(제48조)와 청소년 보호는 2001 개정이유에, 스팸은 1999 개정이유(제19조제2항)와 2002 개정이유("급증하고 있는 스팸메일")에 원문으로 나옵니다. [12][14][16]
• 국회: 「정보통신망이용촉진등에관한법률개정법률안(대안)」 의안 160529(과학기술정보통신위원장, 제안 2000.12.14), 본회의 2000.12.15 원안가결, 정부이송 2001.1.5, 공포 2001.1.16(법률 제6360호), 시행 2001.7.1. [14][84][85] 1차-법령+1차-국회
• 학술 단서: 조성훈(2013, 문헌 A5)의 초록이 "2001. 1. 16. 법률 제6360호로 전부 개정된" 정보통신망법이라고 적었고, 이는 law.go.kr 원문과 일치합니다(교차검증 확인). 학술[14]
• 상세는 3-5.

2-5. 법 체계에 대한 초기 평가

• 강동범(2007, 문헌 A4): 정보통신망법 처벌규정(명예훼손죄, 침입죄, 악성프로그램 유포죄, 불법광고성정보전송죄 등)에 "형법의 특별법인 정보통신망법에 규정하여야 할 합리적인 이유가 없는 구성요건", 서로 다른 법익을 한 조문에 묶은 점, "과잉범죄화와 과잉형벌화"가 있다고 지적하고, 명예훼손죄의 형법 편입과 공포심유발정보전달죄·불법광고성정보전송죄의 과태료 전환(비범죄화)을 제안했습니다. 학술
• 방동희(2012, 문헌 A2): 정보화법제의 문제로 "기술경도 즉 현상지향적 입법", 기본개념의 정보화 패러다임 수용 미비, "구심점 미비와 체계혼선"을 들었습니다. 학술
• 이 문서의 정리 해석: 이 법은 진흥·개인정보·내용규제·침해사고·형벌을 한 법에 담아 왔습니다. 문헌 노트는 이를 '백화점식'이라고 정리했으나 이 말은 논문이 직접 쓴 표현이 아닙니다(논문 표현은 "체계혼선", "과잉범죄화와 과잉형벌화" 등). 학술

3. 개정별 상세

읽는 법: 제정·전부개정·일부개정 41개 판마다 ① 배경·계기 ② 주요 개정사항(이전 → 이후 비교표, 조문번호) ③ 시행일·부칙 ④ 영향받는 대상 ⑤ 학계·현장 평가 순서로 적었습니다. 개정이유 인용은 law.go.kr 원문 그대로이며, 조문번호 중 "안 제○조"는 국회 법안 단계 번호입니다. "이전" 칸은 개정이유·개정문이 밝힌 종전 내용이고, 원문에 종전 내용이 없으면 "—(신설)" 또는 미확인으로 적었습니다. 타법개정 28건은 3-42에 한데 모았습니다.

3-1. 제정 — 법률 제3848호 (1986.5.12 공포 / 1987.1.1 시행)

① 배경·계기

• 제정이유(원문 첫 항): "①전기통신과 전자계산조직의 균형적인 발전 및 효율적인 이용을 촉진하여 정보화사회의 기반조성과 고도화에 필요한 사항을 규정함으로써 국가경쟁력우위확보는 물론 다가온 정보화사회의 물결을 능동적으로 수용함으로써 국가선진화의 목표를 달성하고 국민생활의 향상과 공공복리의 증진에 기여하려는 것임." [4]
• 국회: 의안 120162(김영선의원등 3인 외 61인, 제안 1985.11.19), 본회의 1986.4.8 수정가결, 정부이송 1986.4.26. 1차-국회 [84][85]

② 주요 내용 (제정이유 ②~⑫)

③ 시행일·부칙: 부칙 제1조 "이 법은 1987년 1월 1일부터 시행한다. 다만, 제13조의 규정은 이 법을 공포한 날로부터 시행한다." 제2조 설립준비(한국전산원 설립위원 위촉 등). 시행령 대통령령 제12049호(1986.12.31 공포, 1987.1.1 시행). [4][73]

④ 영향받는 대상: 체신부(주무부처), 전산망사업자·전기통신사업자, 국가기관·공공단체(전산화 대상), 한국전산원. [4]

⑤ 학계·현장 평가: 방동희(2012, A2)는 1986년 전산망법 제정을 정보화법제의 기점(제1기 전산망법기)으로 보았고, 황창근(2016, A3)은 1980년대를 정보법의 "도입기"로 보았습니다. 학술

3-2. 일부개정 — 법률 제4439호 (1991.12.14 공포 / 1991.12.14 시행)

① 배경·계기

• 개정이유(원문): "정보통신의 국제화와 전산망의 급속한 확산에 따른 환경의 변화에 효과적으로 대처하기 위하여 전산망에 관한 표준화의 추진근거를 마련하고 한국전산원의 업무를 보강하여 국가기간전산망의 안정적 운영을 도모하려는 것임." [6]
• 국회: 의안 131346(정부, 제안 1991.10.28), 본회의 1991.11.20 원안가결. 의안 데이터에 정부이송일·공포일이 비어 있어 법률번호와의 대응은 시기상 해석입니다. 1차-국회 [84][85]

② 주요 개정사항

③ 시행일·부칙: 공포일 시행. 부칙 제2조 — 체신부장관이 공포일부터 30일 이내에 5인 이내 설립위원 위촉, 정관 인가, 설립등기 / 제3조 — 재단법인 정보문화센터의 권리·의무 승계(이사회 의결·승인 신청, 해산 간주, 장부가액 승계, 직원 임용) / 제4조 — 「전기통신사업법」 제68조제2항 "정보통신진흥협회" → "한국정보통신진흥협회". 시행령 대통령령 제13674호(1992.6.30)가 한국전산원 업무 확대를 반영. [6][73]

④ 영향받는 대상: 한국전산원, 전산망사업자(표준화 권고 대상), 재단법인 정보문화센터와 그 직원. [6]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-3. 일부개정 — 법률 제4998호 (1995.12.6 공포 / 1996.3.7 시행)

① 배경·계기

• 개정이유(원문): "전자문서의 이용을 촉진하기 위하여 법적효력을 인정하는 근거를 신설하고, 정보화의 진전에 따라 중요성이 커져가는 전산망의 안전·신뢰성을 확보하기 위하여 관련제도를 보완하며, 현행규정의 시행상 나타난 일부 미비점을 개선·보완하려는 것임." [9]
• 국회: 의안 141246(정부, 제안 1995.10.17), 본회의 1995.11.17 수정가결, 정부이송 1995.11.24. 1차-국회 [84][85]

② 주요 개정사항

• 【관보정정】 1996.2.13 법제처장 공고로 이 법 제4조제2항 제1호 "공공단체의 전산망" → "공공단체등의", 제8호 "공동활용 촉진" → "공동활용"으로 정정. [9]

③ 시행일·부칙: "이 법은 공포후 3월이 경과한 날부터 시행한다." 시행령 대통령령 제14947호(1996.3.14 전부개정)가 전자문서 시행 규정을 마련. [9][73]

④ 영향받는 대상: 전자문서로 민원을 처리하는 행정기관과 신청인, 전산망 관련 기기 제조·공급자(형식승인 → 표준적합인증). [9]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-4. 전부개정 — 법률 제5835호 (1999.2.8 공포 / 1999.7.1 시행, 개인정보 보호규정 2000.1.1) ★제명 변경·개인정보 규정 신설

① 배경·계기

• 개정이유(원문): "정보통신망을 통하여 수집·처리·보관·유통되는 개인정보의 오·남용에 대비하여 개인정보에 대한 보호규정을 신설하고, 수신자의 의사에 반하여 광고성 정보를 전송하는 행위를 금지하며, 한국전산원의 설립에 관한 사항등을 정보화촉진기본법으로 이관하는 등 정보화촉진기본법과의 관계를 재정비하는 한편, 현행 제도의 운영상 나타난 일부 미비점을 개선·보완하려는 것임." [12]
• 국회: 「전산망보급확장과이용촉진에관한법률개정법률안」 의안 151426(정부, 제안 1998.11.26), 본회의 1998.12.24 수정가결, 정부이송 1999.1.29. 1차-국회 [84][85]

② 주요 개정사항 (개정이유 주요골자 가~라)

③ 시행일·부칙 정정: 부칙 제1조(본문 원문) "이 법은 1999년 7월 1일부터 시행한다. 다만, 제16조 내지 제18조, 제30조 및 제32조제1항제3호 내지 제7호의 개정규정은 2000년 1월 1일부터 시행한다." → 개인정보 보호조항은 2000.1.1 시행. 제2조 "종전의 전산망보급확장과이용촉진에관한법률 제17조의2의 규정에 의한 전산망관리자는 제12조의 개정규정에 의한 전자문서중계자로 본다." 제3조 벌칙 경과조치. law.go.kr 연혁 목록은 1999.7.1 항목 하나만 보여 줍니다(목록 표시 방식). [12][1]

• 시행령: 대통령령 제16456호(1999.6.30 전부개정, 1999.7.1 시행) — 개인정보 수집 시 고지사항(령 제7조) / 제16883호(2000.7.1) — 개인정보보호지침 제정·고시, 개인정보 위반 과태료 부과절차. [73]
• 같은 해 1999.5.24 타법개정(제5986호, 「전기통신사업법」)으로 제2조제3호 인용조문이 정비되었습니다(3-42). [13]

④ 영향받는 대상: 정보통신망으로 이용자 개인정보를 수집하는 정보통신서비스제공자(동의·제한 의무), 광고성 정보를 보내는 모든 자(수신자 의사 존중). [12]

⑤ 학계·현장 평가: 1998년 KISDI 개정연구반 보고서(A1)가 이 전부개정 직전의 정부 연구로 보이지만 초록이 없어 내용은 미확인입니다. 학술

3-5. 전부개정 — 법률 제6360호 (2001.1.16 공포 / 2001.7.1 시행) ★현재 제명·정보보호 체계

① 배경·계기

• 개정이유 첫 단락은 2-4 참조. 국회: 「정보통신망이용촉진등에관한법률개정법률안(대안)」 의안 160529(과학기술정보통신위원장, 제안 2000.12.14), 본회의 2000.12.15 원안가결, 정부이송 2001.1.5. [14][84][85] 1차-법령+1차-국회

② 주요 개정사항 (개정이유 주요골자 가~자)

③ 시행일·부칙: 부칙 제1조 "이 법은 2001년 7월 1일부터 시행한다." 제2조 "이 법 시행당시 정보화촉진기본법 제14조의2의 규정에 의하여 설립된 한국정보보호센터는 이 법 제52조의 규정에 의한 한국정보보호진흥원으로 본다." 제3조 한국정보통신진흥협회 → 한국정보통신산업협회. 시행령 대통령령 제17344호(2001.8.25 전부개정): 윤리강령, 정보 공동활용, 영업양도 통지, 개인정보분쟁조정위원회 운영 등. [14][73]

• 2001.12.31 타법개정(제6585호, 「전자서명법」)으로 제18조제2항 "전자서명" → "공인전자서명"(3-42). [15]

④ 영향받는 대상: 정보통신서비스제공자(개인정보·위탁 책임), 개인정보를 정보통신망으로 처리하는 그 밖의 자, 청소년유해매체물 제공자, 집적정보통신시설(IDC) 사업자, 한국정보보호진흥원(구 한국정보보호센터). [14]

⑤ 학계·현장 평가

• 조성훈(2013, A5): "2001. 1. 16. 법률 제6360호로 전부 개정된" 제48조와 1995년 개정 형법의 컴퓨터범죄 규정의 관계가 "반드시 명확한 것은 아니"라고 지적하고, 미국 CFAA(컴퓨터 사기 및 남용법)와 비교해 '권한 없는 침입'을 기술적 보호조치를 무력화하거나 우회한 접근으로 제한하는 해석론을 제시. 학술
• 황창근(2016, A3): 1990년대를 정보법의 "성장기", 2000년대 중반 이후를 "성숙기"로 정리. 학술

3-6. 일부개정 — 법률 제6797호 (2002.12.18 공포 / 2003.1.19 시행, 일부 공포 후 6월) ★스팸 규제 강화

① 배경·계기

• 개정이유(원문): "현행 정보통신망이용촉진및정보보호등에관한법률로는 급증하고 있는 스팸메일 등 악성 광고성 정보 전송행위와 개인정보 침해행위에 적절히 대응하기 어려우므로, 전화·모사전송 등에 의한 영리성 광고행위에 대한 규제 강화, 수신 거부를 고의로 회피하는 행위 금지, 연락처 자동 생성을 통한 광고 전송행위 금지, 전자우편주소 추출행위 금지, 청소년유해매체물 광고 금지 등 악성 광고성 정보 전송행위에 대한 규제를 강화하고, 불법하게 개인정보를 제공받은 자를 처벌함으로써 국민의 사생활을 보호하려는 것임." — 사건 유형("급증하고 있는 스팸메일")을 직접 명시. [16]
• 국회: 의안 161975(대안, 과학기술정보통신위원장, 제안 2002.11.7), 본회의 2002.11.12 원안가결, 정부이송 2002.12.5. 1차-국회 [84][85]

② 주요 개정사항 (가~카)

③ 시행일·부칙: 부칙 ① "이 법은 공포후 1월이 경과한 날부터 시행한다. 다만, 제50조제2항·제5항, 제56조제3항·제4항, 제60조 및 제67조제1항(제15호의2 및 제15호의5의 규정에 한한다)의 개정규정은 공포후 6월이 경과한 날부터 시행한다." ② 시행 전 위반행위 과태료는 종전 규정. 시행령 대통령령 제18100호(2003.9.15): 광고성 정보 명시방법, 수신거부 무료전화. [16][73]

④ 영향받는 대상: 광고성 정보(전자우편·전화·팩스) 전송자와 그 위탁자·수탁자, 정보통신서비스제공자, 개인정보를 불법으로 제공받은 자, 한국정보보호진흥원(민원 처리). [16]

⑤ 학계·현장 평가

• 이병준(2003, E1) 「2002년 개정정보통신망법상의 스팸규제 ― 개정과정과 개정법의 비판적 고찰을 중심으로 ―」 — 초록 없음, 요지 미확인. 같은 저자의 2004년 논문(『인터넷법연구』 3권 1호)은 제목만 확인. 문헌 노트는 2002년 개정을 스팸 규제의 전환점으로 다룬다고 정리. 학술
• 관련 판례: 전화번호를 엑셀로 자동 생성해 휴대폰 광고 문자를 보낸 행위가 구법 제50조제6항제2호 위반이라고 본 대법원 2008.12.11. 2008도7061(상고기각). 1차-판결 [89]

3-7. 일부개정 — 법률 제7139호 (2004.1.29 공포·시행 / 일부 2004.7.30 시행) ★침해사고 대응·안전진단

① 배경·계기

• 개정이유(원문): "무단으로 수집되거나 유출 또는 남용될 위험이 있는 이용자의 개인정보를 보호하기 위하여 정보통신서비스제공자의 의무를 강화하고, 다양해지고 있는 인터넷 침해사고에 효과적으로 대응하기 위하여 인터넷에 대한 침해사고 대응체계를 강화하며, 정보통신서비스제공에 관한 사업을 하는 자에 대하여 당해 서비스의 정보보호에 필요한 조치를 하도록 하는 등 현행 제도의 운영상 나타난 미비점을 개선·보완하려는 것임." [17]
• 시기상 배경: 2003.1.25 인터넷 대란(SQL 슬래머 웜). 정통부 발표(아이뉴스24 2003.2.18): 원인은 "서버 관리자들의 보안 소홀", 조사 대상 SQL 서버 3,974대 중 1,603대 감염, 공격 패킷의 93.2%가 해외로 향해 국제관문국 라우터 병목과 국내 DNS 과부하, "인터넷 불통이 아닌 지연"으로 규정, TF·ISP 핫라인 구축 예고. 2차 [162] 당일 원인 추정, 26일 14:30 KT·하나로통신 라우터 1433·1434 포트 차단 등은 검색요약. 개정이유에 '1·25'나 '슬래머'라는 말은 없으므로 연결은 해석입니다. [17]
• 국회: 의안 163085(대안, 과학기술정보통신위원장, 제안 2003.12.26), 본회의 2003.12.29 원안가결, 정부이송 2004.1.16. 1차-국회 [84][85]

② 주요 개정사항 (가~사)

③ 시행일·부칙: 부칙 ① "이 법은 공포한 날부터 시행한다. 다만, 제28조·제45조제4항·제46조의3·제47조의2제4항 및 제48조의4제6항의 개정규정은 공포후 6월이 경과한 날부터 시행한다." → 정보보호 안전진단(제46조의3) 2004.7.30 시행(교차검증 확인). ② 과태료 경과조치. 시행령 대통령령 제18505호(2004.7.30): 정보보호관리체계 인증 대상, 침해사고 대응조치, 침해사고 정보제공 의무자. [17][73]

• 같은 날 타법개정(제7142호, 「인터넷주소자원에관한법률」 제정)으로 제16조·제17조·제53조제1호가 삭제되고, 그 법이 인터넷주소자원 전담기관으로 한국인터넷진흥원을 설립했습니다(3-42). [18]

④ 영향받는 대상: 쿠키 등을 쓰는 정보통신서비스제공자, 전국 단위 접속서비스 제공자·IDC 사업자(안전진단·긴급조치), 주요정보통신서비스제공자, 침입 시도자. [17]

⑤ 학계·현장 평가: 해당 문헌 없음. (2012년 안전진단 폐지·ISMS 일원화로 이어짐 — 3-18)

3-8. 일부개정 — 법률 제7262호 (2004.12.30 공포 / 2005.3.31 시행) ★전화·팩스 광고 옵트인·청소년보호책임자

① 배경·계기

• 개정이유(원문): "사이버 공간에서의 불법·유해정보가 확산되고 있고 정보통신망을 통한 불법적인 개인정보침해 및 무차별적인 광고성 정보전송으로 인한 이용자 불편을 해소하기 위한 대책마련이 시급하다는 국민적 공감대가 형성됨에 따라, 정부가 마련해야 할 시책에 개인정보보호 기술의 개발·보급을 명시하고, 청소년 유해매체물에 대한 광고 및 전시행위 금지 대상을 확대하며 전화·모사전송을 이용한 광고전송행위는 수신자의 사전 동의를 얻도록 하여 국민의 사생활을 보호하려는 것임." [19]
• 국회: 의안 171079(대안, 과학기술정보통신위원장, 제안 2004.12.7), 본회의 2004.12.8 원안가결, 정부이송 2004.12.16. 1차-국회 [84][85]

② 주요 개정사항 (가~바)

③ 시행일·부칙: "이 법은 공포후 3월이 경과한 날부터 시행한다." 시행령 대통령령 제18759호(2005.3.30, 2005.3.31 시행): 청소년보호책임자 지정 기준 매출 10억원 이상 또는 일평균 이용자 10만명 이상. [19][73]

④ 영향받는 대상: 전화·팩스 광고 전송자, 홈페이지 운영자, 일정 규모 이상의 정보통신서비스제공자(청소년보호책임자), 청소년유해매체물 광고자. [19]

⑤ 학계·현장 평가: 이인호(2004, E2)는 스팸도 "헌법 제21조의 언론출판의 자유(광고표현의 자유)에 의한 보장을 받는다"며 "모든 스팸을 불법화해서는 안 된다"고 하고, "opt-in 방식을 채택하여 수신자의 사전 동의 없는 전자우편광고의 발송 자체를 불법화하는 것은 … 지나친 부담"이라고 비판했습니다. EU·미국 입법도 소개. 학술

3-9. 일부개정 — 법률 제7812호 (2005.12.30 공포 / 2006.3.31 시행) ★피싱 처벌

① 배경·계기

• 개정이유(원문): "정보통신망을 통하여 기망의 방법으로 타인의 정보를 수집하는 행위를 금지하고, 이를 위반하였을 때에는 3년 이하의 징역 또는 3천만원 이하의 벌금을 부과하도록 하여 피싱 등의 수법을 이용한 금융사기 피해 등을 원천적으로 방지하고, 스팸 발송행위에 대한 처벌을 강화하여 불법 스팸 발송행위에 대한 경각심을 제고함으로써 스팸으로 인한 국민의 피해를 최소화하며, 현행법상 불명확한 스팸 발송자 신원정보 요청권을 명문화함으로써 실질적으로 불법스팸을 단속할 수 있는 근거를 마련하고, 정보통신서비스제공자들이 스팸 발송자의 서비스를 제한할 수 있는 근거조항을 마련하는 한편, 정보통신서비스제공자 등의 법 위반 여부에 대한 검사시 검사일시 및 검사내용 등에 대한 검사계획을 정보통신서비스제공자 등에게 사전통지 하도록 하는 법적근거를 마련함으로써 행정조사의 투명성 및 예측가능성을 제고하려는 것임." [21]
• 국회: 의안 173558(대안, 과학기술정보통신위원장, 제안 2005.12.7), 본회의 2005.12.8 원안가결, 정부이송 2005.12.16. 1차-국회 [84][85]

② 주요 개정사항

③ 시행일·부칙: "이 법은 공포 후 3개월이 경과한 날부터 시행한다." 현행 본문에는 제65조의2가 "삭제 <2005. 12. 30.>"으로 표시되어 있습니다(삭제된 조문의 내용은 미확인). 시행령 대통령령 제19424호(2006.3.29, 2006.3.31 시행): 스팸 발송자 신원정보 요청 근거 반영, 광고 명시사항 완화. [21][1][73]

④ 영향받는 대상: 피싱 행위자, 스팸 발송자, 정보통신서비스제공자(신원정보 제공·서비스 제한), 검사를 받는 사업자. [21]

⑤ 학계·현장 평가: 해당 문헌 없음. (2016년 개정으로 피싱에 노출된 이용자 통지 근거가 추가됨 — 3-24)

3-10. 일부개정 — 법률 제7917호 (2006.3.24 공포 / 2006.6.25 시행)

① 배경·계기

• 개정이유(원문): "청소년유해매체물로부터 청소년을 보호하기 위하여 청소년 접근을 제한하는 조치 등이 없이 인터넷 홈페이지 게시판에 게재된 청소년유해매체물을 정보통신서비스제공자로 하여금 삭제하게 하고, 안전진단 수행기관을 15인 이상의 정보보호기술인력을 보유하고 최근 3년 이내에 정보보호컨설팅을 수행한 실적이 있는 법인으로 확대하여 정보통신서비스제공자 등 안전진단 수행기관의 선택권을 확대하는 등 현행 제도의 운영상 나타난 일부 미비점을 개선·보완하려는 것임." [22]
• 국회: 의안 173976(대안, 과학기술정보통신위원장, 제안 2006.2.24), 본회의 2006.3.2 원안가결, 정부이송 2006.3.9. 1차-국회 [84][85]

② 주요 개정사항

③ 시행일·부칙: ① 공포 후 3개월 시행. ② "이 법 시행 전에 「정보통신기반 보호법」 제17조의 규정에 의한 정보보호컨설팅전문업체가 정보보호 안전전단 업무를 시작한 경우에는 제46조의3제1항의 개정규정에 불구하고 종전의 규정에 따라 정보보호 안전진단 업무를 계속하여 수행할 수 있다." [22]

④ 영향받는 대상: 게시판 운영 정보통신서비스제공자, 안전진단 의무 사업자(수행기관 선택권), 정보보호 컨설팅 법인. [22]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-11. 일부개정 — 법률 제8030호 (2006.10.4 공포 / 2007.1.5 시행)

① 배경·계기

• 개정이유(원문 요지): 모든 정보통신서비스제공자에게 개인정보관리책임자를 지정하게 하는 것은 "종업원이 없거나 서너 명에 불과한 소규모 사업자에게까지 … 과도한 의무부과"이고, 정정요구를 받으면 정정할 때까지 개인정보를 제공·이용하지 못하게 한 규정은 "수용하기 어려운 부당한 정정요구에도 요구받은 대로 정정하지 아니하면 해당개인정보를 제공 또는 이용하지 못하게 되는 모순"이 있다. [23]
• 국회: 의안 174100(이종걸의원등 14인, 제안 2006.3.24), 본회의 2006.9.8 수정가결, 정부이송 2006.9.21. 1차-국회 [84][85]

② 주요 개정사항

③ 시행일·부칙: 공포 후 3개월 시행. 같은 날 타법개정(제8031호)으로 '한국전산원' → '한국정보사회진흥원'(3-42). [23][24]

④ 영향받는 대상: 소규모 정보통신서비스제공자, 정정요구를 받는 사업자와 이용자. [23]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-12. 일부개정 — 법률 제8289호 (2007.1.26 공포 / 2007.7.27 시행) ★임시조치·제한적 본인확인제·불법정보 유통금지

① 배경·계기

• 개정이유(원문): "정보통신망을 이용한 신규서비스의 보급 및 이용 확산 등 정보통신환경의 변화에 따라 새롭게 등장하는 개인정보침해 문제에 적극 대처하기 위하여 개인정보의 수집·이용·제공 등에 관한 절차를 강화하고, 정보통신망의 특성상 익명성 등에 따라 발생하는 역기능 현상에 대한 예방책으로 사회적 영향력이 큰 정보통신서비스제공자와 공공기관의 책임성을 확보·강화하기 위하여 제한적인 본인확인제도를 도입하며, 권리를 침해받은 자의 삭제 요청이 있는 경우 그 피해확산을 방지하기 위하여 이용자의 접근을 정보통신서비스제공자가 임시적으로 차단할 수 있도록 하는 임시조치제도를 도입하기로 하고, 친북게시물과 같은 불법통신이 정보통신망에서 유통되었을 때 사회적 영향력이 크다는 점 등을 고려하여 불법통신과 관련된 이행명령 대상을 확대하고 불법통신물의 삭제 절차 등을 보완하기로 하며, 자료제출요구권 등의 행사요건을 명확히 하며 행사방법 및 절차 등 적법절차 규정을 신설하여 관련 공무원에 의한 불합리하고 과도한 업무개입을 차단함으로써 규제의 투명성과 예측가능성을 확보하려는 것임." [25]
• 국회: 의안 175781(대안, 과학기술정보통신위원장, 제안 2006.12.21), 본회의 2006.12.22 원안가결, 정부이송 2007.1.11. 1차-국회 [84][85]

② 주요 개정사항 (가~사)

③ 시행일·부칙: 부칙 제1조 공포 후 6개월 시행(= 2007.7.27). 제2조 — 종전 「전기통신사업법」 제53조에 따른 명령은 제44조의7에 따른 것으로 봄. 제3조 — 종전 「전기통신사업법」 제53조의2의 정보통신윤리위원회는 이 법 제44조의8의 위원회로 봄. 제4조 — 종전 동의는 개정규정에 따른 적법한 동의로 봄. 제5조 벌칙 경과. 제6조 — 「전기통신사업법」 제53조·제53조의2 삭제, 제71조제8호 정비. 시행령 대통령령 제20199호(2007.7.27): 개인정보 통지·동의 방법, 게시판 본인확인·이용자정보 제공청구 절차. [25][73]

• 임시조치 도입 연도 정정: 임시조치는 2007.1.26 법률 제8289호로 신설, 2007.7.27 시행입니다. 박진우(2018, D13)의 초록은 "2008년 … 개정을 통해 도입"이라 적었는데, 이는 2008.6.13 전문개정(법률 제9119호, 현행 제44조의2의 "[전문개정 2008. 6. 13.]" 표시)과 혼동한 것으로 보입니다 해석. [25][30][1]
• 본인확인 대상 확대의 구분: 2007 법률이 본인확인 의무를 도입했고, 대상 사업자 확대는 시행령 대통령령 제21278호(2009.1.28)에도 있습니다("본인확인조치 의무대상 사업자를 확대"). 임규철(2012, D5)의 "2004년 공직선거법에 적용된 뒤 2007년 정보통신망법을 통해 적용대상이 확대"라는 서술과 함께, 법률 도입(2007)과 시행령 대상 확대(2009)를 구분해 읽어야 합니다. [25][79]학술
• 결말: 본인확인제(제44조의5제1항제2호)는 헌재 2012.8.23. 2010헌마47 등에서 재판관 전원 일치 위헌, 이후 법률 제12681호(2014.5.28 공포·시행)로 정식 삭제(3-19, 5장). [103][40]

④ 영향받는 대상: 게시판을 운영하는 공공기관·대형 포털 등(일평균 10만 명 이상), 권리침해 정보 삭제 요청인과 게시자, 불법정보 게시자·게시판 운영자, 정보통신윤리위원회, 개인정보 제3자 제공·위탁 사업자. [25]

⑤ 학계·현장 평가

• 본인확인제: 우지숙·나현수·최정민(2010, D2) — 실명제 이후 게시글·댓글 수·참여자가 줄어 글쓰기가 "다소 위축", "게시글의 비방과 욕설 사용은 줄어들지 않은 반면" 댓글의 비방·욕설, 특히 '반응적 비방성 댓글'은 급감 → 효과는 "부분적으로 검증". 김기창(2011, D4) — "하루 10만명 이상이 접속하는 웹사이트"에 상시 본인확인을 요구하지만 "성명과 주민등록번호는 본인을 '유일하게 특정'하는 정보일 뿐, 본인이 '배타적으로 지배'하는 비밀정보가 아니"어서 본인확인 기능을 할 수 없고, 공직선거법 실명확인이 정통망법 본인확인처럼 "묵인, 통용"되는 데 근거가 없다고 비판. 임규철(2012, D5) — 사전검열 논란, "인터넷 산업의 갈라파고스 현상", 익명권 훼손, 국외사업자와의 역차별, 최소성 원칙 미충족, 주민번호 유출 위험 → "득보다 실이 더 큰 제도". 성낙인·허진성(2010, D3)·NARS 김여라(2009, D1)는 결론 미확인. 학술
• 임시조치: 최승원·손현(2008, D9) — 불법정보 책임이 방송통신위원회(G)·정보통신서비스제공자(B)·이용자(C)로 나뉘어 규율, 역할분담 모색. 황창근(2009, D10) — 임시조치는 "원래 미국의 DMCA의 'notice and takedown'제도에서" 유래했으나 "정보통신서비스제공자의 판단이라는 별도의 절차"로 신속성 이념에 반하고 사업자에게 부담, 재게재 신청 절차가 없어 표현의 자유 침해. 김현귀(2014, D11) — "the most efficient one"이지만 "it has shifted the responsibility observing due process onto ISPs", 남용 방지 장치 없이 피해자 쪽으로 기울어짐. 박진우(2018, D13) — "권리침해를 주장하는 자의 일방적 주장만으로 발동", 개선안 ① 사실상 폐지·반박내용 게재 ② 소명·분쟁조정 신청 요건 추가·기간 단축 ③ 재개시청구권 법정화. NARS 김유향·심우민(2013, D12) 입법영향분석은 결론 미확인. 학술

3-13. 일부개정 — 법률 제8778호 (2007.12.21 공포 / 2008.3.22 시행) ★통신과금서비스

① 배경·계기

• 개정이유(원문 첫 부분): "통신과금(通信課金)서비스는 정보통신망을 이용한 재화 및 용역의 구매에 있어 거래대금과 정보이용료 등을 통신요금에 합산하여 통합 청구하는 통신사업자의 후불형 부가서비스인바, 이러한 통신과금서비스는 기존 「전자금융거래법」이 대상으로 하는 전자금융거래와 서비스의 구조 및 성격에 차이가 있음에 따라 그 서비스의 특성에 맞는 개념정의와 규제원칙 및 서비스의 법적 근거를 마련함으로써 해당 서비스의 활성화를 도모하는 한편, 사업자의 재무건전성 등의 확보를 위한 등록제도를 도입하고 이용자 보호를 위한 사업자 간 역할과 책무 등을 명확하게 규정함으로써 …" [27]
• 국회: 의안 175617(서혜석의원등 16인, 제안 2006.12.6), 본회의 2007.11.22 수정가결, 정부이송 2007.12.7. 1차-국회 [84][85]

② 주요 개정사항 (가~마)

③ 시행일·부칙: 부칙 제1조 공포 후 3개월 시행. 제2조 — 기존 사업자는 시행일부터 3개월 이내 등록, 「전자금융거래법」 제28조제2항 등록자는 3개월 이내 증명 서면 제출 시 등록 간주. 시행 전인 2008.2.29 타법개정(제8867호 ⑯)으로 이 개정법률의 "정보통신부장관"이 "방송통신위원회"로 바뀌었습니다(제53조①·제54조제4호·제56조①·제60조③·제68조① 등, 제66조제5호 삭제). [27][29]

• 시행령 대통령령 제20756호(2008.3.28): 통신과금서비스 등록요건 "자본금 10억원 이상 등". 법률 개정이유의 "5억원 이상"과 시행령 요지의 "10억원 이상"이 서로 다른데, 그 이유는 미확인입니다. [27][73]

④ 영향받는 대상: 휴대폰 소액결제 등 통신과금서비스 제공자(등록·약관·회계·손해배상), 통신과금서비스 이용자, 「전자금융거래법」 등록 사업자. [27]

⑤ 학계·현장 평가: 해당 문헌 없음. (현행 제5조 단서는 통신과금서비스(제7장)에 대해 다른 법과 경합할 때의 적용 관계를 정함 — 7-2 금융 참조) [1]

3-14. 일부개정 — 법률 제9119호 (2008.6.13 공포 / 2008.12.14 시행) ★개인정보 과징금 신설

① 배경·계기

• 개정이유(원문): "정보통신서비스 제공자가 이용자의 동의를 받지 아니하고 개인정보를 제3자에게 제공하는 사례가 발생함에 따라 정보통신망을 통한 개인정보의 침해행위를 방지하고, 침해행위에 대한 제재의 실효성을 높이기 위하여 개인정보 보호 규정을 위반한 전기통신사업자에게 그 부당이득을 환수하기 위한 과징금을 부과하며, 일부 과태료 부과대상 행위를 형사처벌 대상으로 변경하고, 현재의 과태료 부과금액을 상향 조정하는 한편, 법 문장의 어려운 용어를 쉬운 용어로 바꾸고, 복잡한 문장은 간결하게 하는 등 국민이 법 문장을 이해하기 쉽게 정비하려는 것임." [30]
• 과징금 신설 이유(원문): "기업 간 고객유치의 경쟁으로 개인정보의 수요가 급증하면서 개인정보 대량 유출 사례가 자주 발생하고 있으나, 현행 제재수단은 과태료나 벌칙 중심이어서 그 제재 및 예방 효과가 불충분한 문제가 있음." [30]
• 시기상 배경: 2008.1~4 옥션 해킹(유출 규모는 4장). 개정이유는 옥션을 거명하지 않으므로 연결은 해석. [30][178]
• 국회: 의안 178039(정부, 제안 2007.12.28), 본회의 2008.5.22 수정가결, 정부이송 2008.5.29. 1차-국회 [84][85]

② 주요 개정사항

• 비율의 시점 주의(교차검증): 2008년 신설 당시 과징금 상한은 관련 매출액 1% 이고, 헌재 2020헌바259가 심사한 3% 는 2014년 개정(제12681호) 이후의 구법입니다. [30][40][120]

③ 시행일·부칙: ① 공포 후 6개월 시행(2008.12.14). ② 시행 전 행위의 벌칙·과태료는 종전 규정. 시행령 대통령령 제21278호(2009.1.28): 주민번호 외 가입방법 제공 대상(포털 일평균 5만명 등), 제한적 본인확인 대상 확대. 시행령 제22423호(2010.10.1)가 과징금·과태료 세부 부과기준을 신설. [30][79][73]

④ 영향받는 대상: 회원가입을 받는 대형 정보통신서비스 제공자(대체 가입방법), 개인정보 보호 규정을 위반한 전기통신사업자(과징금), 동의 없는 수집 등 위반자(형사처벌). [30]

⑤ 학계·현장 평가: 해당 문헌 없음. (과징금 제도에 대한 평가는 3-19·5장·9-4)

3-15. 일부개정 — 법률 제9637호 (2009.4.22 공포 / 2009.7.23 시행) ★한국인터넷진흥원(KISA) 통합 설립

① 배경·계기

• 개정이유(원문): "정보통신망 이용 및 보호와 방송통신 관련 국제협력 등에 관한 업무를 체계적·종합적으로 수행할 수 있도록 하기 위해 한국정보보호진흥원, 한국인터넷진흥원, 정보통신국제협력진흥원을 통합하여 한국인터넷진흥원을 설립하는 한편, 유사 공공기관의 통합을 통해 공통 업무 부문을 축소하고 사업분야의 지원을 증가시켜 기관 운영의 효율성을 제고하려는 것임." [31]
• 국회: 의안 1803052(주호영의원등 17인, 제안 2008.12.15), 본회의 2009.4.1 수정가결, 정부이송 2009.4.10. 1차-국회 [84][85]

② 주요 개정사항

③ 시행일·부칙: 제1조 공포 후 3개월 시행(연혁상 2009.7.23, 교차검증 확인). 제2조 — 방송통신위원회가 5명 이내 설립위원 위촉·정관 인가·설립등기. 제3조 — 세 기관의 소관 사무, 권리·의무와 재산, 직원 고용관계, 행위, 등기 명의를 새 한국인터넷진흥원이 포괄 승계. 제4조 다른 법률 개정. 시행령 제22423호(2010.10.1)가 한국인터넷진흥원을 반영. [31][73]

④ 영향받는 대상: 통합되는 3개 기관과 그 직원, 정보보호·인터넷주소 업무 이용자. 현행 KISA의 법정 업무는 6-1 참조. [31][1]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-16. 일부개정 — 법률 제10138호 (2010.3.17 공포·시행) ★양벌규정 책임주의

① 배경·계기

• 개정이유(원문): "현행 양벌규정은 문언상 영업주가 종업원 등에 대한 관리·감독상 주의의무를 다하였는지 여부에 관계없이 영업주를 처벌하도록 하고 있어 책임주의 원칙에 위배될 소지가 있으므로, 영업주가 종업원 등에 대한 관리·감독상 주의의무를 다한 경우에는 처벌을 면하게 함으로써 양벌규정에도 책임주의 원칙이 관철되도록 하려는 것임." [32]
• 국회: 의안 1802753(이명수의원등 18인, 제안 2008.11.28), 본회의 2010.2.25 수정가결, 정부이송 2010.3.5. 1차-국회 [84][85]
• 7·7 DDoS와의 관계: 2009.7.7 DDoS 공격(방통위 집계 좀비PC 11만5,044대, 하드디스크 손상 신고 1,466건 — 아이뉴스24 2011.3.15 2차 [163]) 이후의 개정이지만 개정이유에 DDoS 언급이 없습니다. 다음 개정(제10560호)도 마찬가지입니다. 7·7 DDoS가 이 법의 특정 개정을 직접 이끌었다는 근거는 미확인. [32][36]

② 주요 개정사항

③ 시행일·부칙: "이 법은 공포한 날부터 시행한다." [32]

④ 영향받는 대상: 종업원의 위반으로 처벌될 수 있는 법인·영업주. [32]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-17. 일부개정 — 법률 제10560호 (2011.4.5 공포 / 2011.7.6 시행) ★본인확인기관 지정제

① 배경·계기

• 개정이유(원문): "본인확인업무 수행기관에 대한 관리규정을 신설하여 본인확인업무가 안전하고 효율적으로 운영되도록 하고, 정보통신서비스 제공자가 개인정보의 제공 동의 절차와 취급위탁 동의의 절차를 회원가입 절차와 별도로 진행하도록 개선하며, 통신과금서비스제공자가 고지하여야 할 사항을 법률에서 직접 규정함으로써 행정규제의 예측가능성을 높이려는 것임." [36]
• 국회: 의안 1811055(대안, 문화체육관광방송통신위원장, 제안 2011.3.9), 본회의 2011.3.10 원안가결, 정부이송 2011.3.25. 1차-국회 [84][85]
• 일주일 전인 2011.3.29 「개인정보 보호법」 제정(이 법에는 타법개정 제10465호, 3-42·8장). [35]

② 주요 개정사항 (가~라)

③ 시행일·부칙: 제1조 공포 후 3개월 시행. 제2조 — 종전 본인확인기관의 행위는 지정을 받은 경우에 한해 적법. 제3조 — 시행 당시 본인확인업무를 하는 자는 시행일부터 3개월 이내 방송통신위원회 지정. 시행령 대통령령 제23104호(2011.8.29): 본인확인기관 지정심사·휴지·폐지·정지·지정취소 세부. (같은 해 3.29 시행령 제22773호는 정보보호 기술인력 자격기준을 정비.) [36][73]

• 현행 제23조의3: "방송미디어통신위원회는 … 대체수단의 개발ㆍ제공ㆍ관리 업무(이하 "본인확인업무"라 한다)를 안전하고 신뢰성 있게 수행할 능력이 있다고 인정되는 자를 본인확인기관으로 지정할 수 있다." [본조신설 2011. 4. 5.], <개정 2025. 10. 1.>. [1]

④ 영향받는 대상: 아이핀·휴대폰·신용카드 등 대체수단 제공 사업자(지정 대상), 회원가입을 받는 정보통신서비스 제공자, 통신과금서비스제공자. [36]

⑤ 학계·현장 평가: 김종배(2020, E6) — 주민번호 대체수단(아이핀, 휴대폰, 신용카드, 마이핀, 범용인증서) 발급을 위한 지정기준이 "used in 2010 without revision"(2010년 이후 개정 없이 사용)되어 다양한 수단의 평가기준에 맞지 않는다고 지적. NARS 심우민(2014, E7) — 본인확인기관 활용의 문제점("개인정보 민간 활용의 위험성", "개인정보 독점 우려", "본인확인 목적의 불분명"), "본인확인체계의 전반적 재검토". 학술

3-18. 일부개정 — 법률 제11322호 (2012.2.17 공포 / 2012.8.18 시행, ISMS·CISO 등 2013.2.18 시행) ★주민번호 수집 금지·누출 통지·ISMS 의무화

① 배경·계기

• 개정이유(원문): "대규모 개인정보 유출사고가 발생하는 것을 방지하기 위하여 법령에서 이용자의 주민등록번호 수집·이용을 허용하는 경우 등을 제외하고는 주민등록번호의 무분별한 수집과 이용을 제한하고, 개인정보 누출 시 이용자에게 해당 사항을 통지하고 방송통신위원회에 신고하도록 하며, 개인정보보호 관리체계 인증제도를 도입하고, 중대한 개인정보보호법규 위반행위가 있는 경우에는 방송통신위원회가 해당 정보통신서비스 제공자 등을 수사기관에 고발할 수 있도록 하는 등 개인정보보호 체계를 전반적으로 강화하는 한편, 현행 정보보호 안전진단제도를 폐지하고 기업의 정보보호를 체계적으로 관리·지원할 수 있는 정보보호 관리체계 인증제도로 일원화하며, 정보보호 사전점검 제도에 대한 법적 근거를 마련하고, 개인정보 누출의 통지·신고의무 등을 이행하지 아니한 자에 대하여 과태료를 부과하는 등 실질적인 정보보호체계를 확립하려는 것임." [38]
• 시기상 배경: 2011.7.28 SK커뮤니케이션즈(네이트·싸이월드) 해킹(약 3,500만 명), 2011.11.25 넥슨 메이플스토리 해킹(약 1,320만 명) — 10-20 노트의 보도 기준 수치. 개정이유는 회사명을 거명하지 않으므로 연결은 해석. [38][178]
• 국회: 의안 1814330(대안, 문화체육관광방송통신위원장, 제안 2011.12.29), 본회의 2011.12.29 원안가결, 정부이송 2012.2.3. 1차-국회 [84][85]

② 주요 개정사항 (개정이유 가~마 + 개정문 원문)

③ 시행일·부칙 정정: 부칙 제1조 "이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제45조, 제45조의2, 제45조의3, 제46조의3, 제47조, 제47조의2, 제47조의3, 제47조의5, 제52조제3항제7호, 제66조 및 제76조제3항제6호부터 제9호까지의 개정규정은 공포 후 1년이 경과한 날부터 시행한다." → 원칙 2012.8.18, ISMS 의무화·안전진단 폐지·CISO 근거·사전점검·관리등급 2013.2.18. 제2조 — 주민번호로 회원가입을 받던 사업자는 시행일부터 2년 이내 보유 주민번호 파기(예외: 제23조의2제1항 각 호), 미파기 시 위반 간주. 제3조 — 안전진단을 받은 사업자는 그 해 ISMS 인증을 받은 것으로 봄. 제4조 — KISA의 기존 PIMS 인증은 개정규정에 따른 인증으로 봄. 제5조 과태료 경과. 시행령 대통령령 제24047호(2012.8.17, 2012.8.18 / 2013.2.18 시행): 누출 통지·신고 방법(안 제14조의2), 이용내역 통지 등. [38][73]

④ 영향받는 대상: 주민번호로 회원가입을 받던 모든 정보통신서비스 제공자(수집 중단·2년 내 파기), 개인정보 누출을 겪은 사업자(통지·신고), 기간통신사업자·IDC·대통령령 기준 매출·이용자 규모 사업자(ISMS 의무 인증), 안전진단 수행기관(제도 폐지). [38]

⑤ 학계·현장 평가

• 김환국·고규만·이재일(2013, C1): 정부가 "정보보호 안전진단 제도를 폐지하고 정보보호 관리체계(ISMS) 인증제도로 일원화"했고, 관리등급제·사전점검·"임원급 정보보호 최고책임자(CISO) 지정 등"이 신설되었다고 소개. 문헌 노트는 개정 연도를 미확인으로 두었으나 교차검증으로 2012.2.17 공포, 해당 조문 2013.2.18 시행으로 확인. 학술[38]
• 이부하(2013, C2): DDoS 같은 중대 침해사고에 대비해 악성코드 감염 PC 접근 요청 근거, 웹사이트 운영자의 악성코드 즉시 제거 의무와 제재, ISP가 도메인·IP·포트 등 확산 경로를 차단하는 긴급조치 명령 신설을 제안. 학술
• NARS 심우민(2011.8.9, G1) 「네이트 해킹사고와 포털의 개인정보보호」(목차): 포털의 개인정보 수집 확대와 위험성("인터넷 실명제", SNS, 클라우드), 정책과제("주민등록번호 등 수집 최소화", 관리체계 개선, 피해자 손해배상). NARS 심우민(2012.5.21, G2) 「해킹 등 개인정보 침해사고에서 사업자 책임 범위」(목차): "입증책임의 전환", 기존 판례의 "허용된 위험의 법리", "손해배상 산정기준의 불명확성". 학술
• 헌법재판소: 주민번호 수집 원칙 금지와 본인확인기관 예외(제23조의2제1항제1호)는 헌재 2015.6.25. 2014헌마463에서 기각(전원 일치). 1차-헌재 [109]

3-19. 일부개정 — 법률 제12681호 (2014.5.28 공포 / 2014.11.29 시행, 일부 공포일 시행) ★24시간 신고·법정손해배상·과징금 3%

① 배경·계기

• 개정이유(원문): "최근 은행, 카드사 등에서 1억 건이 넘는 개인정보가 유출되는 사건이 발생하는 등 개인정보 누출사고가 지속적으로 발생하고 있고, 특히 정보통신망을 통한 개인정보 유출은 그 피해 정도가 지대하며, 유출된 개인정보는 2차 피해 발생 가능성도 높아 사전에 개인정보가 유출되지 못하도록 법적ㆍ제도적 장치를 마련할 필요성이 크므로, 개인정보보호조치를 강화함과 동시에 동 법상의 의무위반에 대한 정보통신서비스 제공자의 처벌을 엄격히 하고, 법정손해배상제도를 도입하는 등 이용자 권리구제 수단을 보완하며, 영리성 광고정보 전송조치에 대한 규제를 개선하고, 통신과금서비스이용자의 권리보호를 위한 각종 조치를 마련하려는 것임." — 사건 유형을 직접 명시하므로 인과관계를 사실로 적습니다. [40]
• 같은 시기 KT 홈페이지 해킹(2013.8.8~2014.2.25, 11,708,875건)이 있었으나 개정이유는 이를 거명하지 않습니다 → 연결은 해석. [98][40]
• 국회: 의안 1910479(대안, 미래창조과학방송통신위원장, 제안 2014.5.2), 본회의 2014.5.2 원안가결, 정부이송 2014.5.16. 1차-국회 [84][85]

② 주요 개정사항 (개정이유 가~아 + 개정문 원문)

• 위헌 조항 삭제 시점은 수집 단계에서 미확인이었으나, 교차검증으로 법률 제12681호, 2014.5.28 공포·시행으로 확인되었습니다. [40][1]

③ 시행일·부칙: 부칙 제1조 "이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제44조제3항, 제44조의5, 제76조제1항제6호의 개정규정은 공포한 날부터 시행한다." → 원칙 2014.11.29, 본인확인제 삭제 등 2014.5.28. 제2조 — 시행 전 위반행위의 과징금·벌칙은 종전 규정. 시행령 대통령령 제25789호(2014.11.28, 2014.11.29 / 2015.8.18 시행): 법정손해배상, CISO 지정·신고 대상, 바이오정보 암호화 저장. [40][73]

④ 영향받는 대상: 개인정보를 처리하는 모든 정보통신서비스 제공자(24시간 신고, 파기, 법정손해배상 청구 대상), 대통령령 기준 CISO 신고 의무 사업자, 모든 전자적 광고 전송자(옵트인 전면화), 통신과금서비스 제공자, 명예훼손 게시자(벌금 상향). [40]

⑤ 학계·현장 평가

• 이동진(2014, B8): "2014. 5. 28. 개정 정보통신망법"이 제32조의2로 법정손해배상을 도입했고, 저작권법·상표법에 이은 세 번째이자 "한미 FTA라는 외부의 영향과 무관하게 … 지적재산권법 밖에서 법정손해배상을 도입한 첫 번째 예"라고 설명. 증명도 경감 장치로 해석하면서도 "피해구제를 크게 개선할 것으로 보이지도 아니한다", "입법적 개선이 필요하다"고 평가. 문헌 노트는 그 이유를 "증명하기 어려운 고의·과실은 여전히 피해자에게 증명시킨다"는 점으로 요약했는데, 공포 법률 제32조의2제1항 후단은 사업자가 고의·과실 없음을 입증하도록 정하고 있어 초록 요지와 법문이 어긋나 보입니다. 초록의 정확한 취지는 본문 미열람으로 미확인 해석. 학술[40]
• 최돈수·김태성(2023, C6): 2014년 1월 카드사 정보유출 이후 CISO 겸직 제한이 먼저 전자금융거래법에 들어왔다고 서술. 학술

3-20. 일부개정 — 법률 제13014호 (2015.1.20 공포 / 2015.4.21 시행)

① 배경·계기

• 개정이유(원문): "'소액결제 깡'이란 휴대전화 대출 또는 소액결제 대출 등의 이름으로 소액급전이 필요한 자를 유인하여 휴대전화로 결제한 재화 등을 할인하는 등의 방식으로 금전을 편취하는 행위로, 자금을 융통하거나 알선하는 자에 대해서는 처벌규정(제72조제1항제4호)이 마련되어 있지만, '소액결제 깡'을 위하여 광고 등의 행위를 한 자에 대해서는 처벌 규정이 없어 사전적 예방에 어려움이 있음. 따라서 '소액결제 깡'을 중개ㆍ권유하거나 또는 이를 위하여 광고행위를 한 자까지 처벌하도록 하여 '소액결제 깡'에 의한 금전 편취행위를 보다 강력하게 단속하고자 함." [42]
• 국회: 의안 1901194(최재천의원 등 17인, 제안 2012.8.17), 본회의 2014.12.29 원안가결, 정부이송 2015.1.9. 1차-국회 [84][85]

② 주요 개정사항

③ 시행일·부칙: 공포 후 3개월 시행. [42]

④ 영향받는 대상: 휴대폰 소액결제를 이용한 불법 대출 광고·중개자. [42]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-21. 일부개정 — 법률 제13280호 (2015.3.27 공포·시행) ★재난 악용 광고 처벌

① 배경·계기

• 개정이유(원문): "국가적 재난사태인 세월호 침몰 참사를 이용하여 잘못된 정보 또는 광고성 정보를 전송하여 재산상의 이익을 취득하려는 범죄가 발생하여 국민적 분노를 유발하고 있음. 그러나 이러한 행위에 대한 본법에서의 처벌수준이 낮아 이러한 범죄행위가 반복적으로 일어나고 있는 상황임. 이에 본법의 벌칙조항을 개정하여 「재난 및 안전관리 기본법」 제14조제1항에 따른 대규모 재난 상황을 이용하여 이 법 또는 다른 법률에서 금지하는 불법행위를 위한 광고성 정보를 전송하는 자에 대해서 3년 이하의 징역 또는 3천만원 이하의 벌금에 처하려는 것임." — 사건을 직접 명시. [43]
• 국회: 의안 1911153(최민희의원 등 15인, 제안 2014.7.15), 본회의 2015.3.3 수정가결, 정부이송 2015.3.13. 1차-국회 [84][85]

② 주요 개정사항

③ 시행일·부칙: "이 법은 공포한 날부터 시행한다." [43]

④ 영향받는 대상: 재난을 악용한 광고성 정보 전송자. [43]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-22. 일부개정 — 법률 제13344호 (2015.6.22 공포 / 2015.12.23 시행)

① 배경·계기

• 개정이유(원문): "「개인정보 보호법」 상의 유사 행위에 대한 벌칙조항과 형평을 기하기 위하여 정보통신서비스 이용자의 개인정보 제3자 제공 미동의시 정보통신서비스 제공자가 서비스의 제공을 거부하는 경우에 부과하는 과태료를 3천만원 이하로 상향하려는 것임. 전자정부 제도의 정착으로 전자문서중계자 제도를 활용하지 아니하게 됨에 따라 사문화된 규정을 삭제하는 한편, 장기 휴업하더라도 이용자에게 중대한 피해를 발생시킨다고 보기 어려운 통신과금서비스제공자의 1년 이상 휴업을 등록취소 사유에서 제외하는 등 현행 제도의 운영상 나타난 일부 미비점을 개선ㆍ보완하려는 것임." [45]
• 국회: 의안 1915024(대안, 미래창조과학방송통신위원장, 제안 2015.5.6), 본회의 2015.5.29 원안가결, 정부이송 2015.6.11. 1차-국회 [84][85]

② 주요 개정사항 (가~다)

③ 시행일·부칙: 제1조 공포 후 6개월 시행. 제2조 — 제55조제1항 개정규정은 시행 전 위반행위의 행정처분에도 적용. 시행령 대통령령 제26757호(2015.12.22, 2015.12.23 시행): 전자문서중계자 폐지 반영, 과태료 상향. [45][73]

• 같은 날 타법개정(제13343호, 「정보보호산업의 진흥에 관한 법률」 제정): 제2조제1항제8호·제68조의2 삭제, KISA 업무에 「정보보호산업의 진흥에 관한 법률」 제25조제7항의 조정위원회 운영지원 추가(3-42). 정보보호 공시의 자율공시 근거도 이 법(2015.12.23 시행)에서 출발했습니다. [44][83]

④ 영향받는 대상: 제3자 제공 미동의를 이유로 서비스를 거부하는 정보통신서비스 제공자, 통신과금서비스 제공자(등록취소 사유 완화), 옛 전자문서중계자. [45]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-23. 일부개정 — 법률 제13520호 (2015.12.1 공포 / 2016.6.2 시행, 파기 통지 공포일 시행) ★ISMS 의무대상 확대·미인증 과태료 3천만원

① 배경·계기

• 개정이유(원문): "정보통신서비스를 이용하지 아니하는 이용자의 개인정보 보호를 위하여 정보통신서비스 미사용 이용자의 개인정보 파기의무 발생기간을 1년으로 명시하고, 정보보호 관리체계 인증의무 대상을 업무를 위하여 정보통신망을 활용하는 자로서 대통령령으로 정하는 규모 이상인 자도 포함하려는 것임. 그 밖에 인증심사의 신뢰성ㆍ공정성을 확보하기 위하여 심사업무만을 전문으로 수행하는 전담기관 지정에 관한 근거를 마련하고, 인증의무 위반 시 부과하는 과태료를 1,000만원 이하에서 3,000만원 이하로 상향하는 등 현행 제도의 운영상 나타난 일부 미비점을 개선ㆍ보완하려는 것임." [46]
• 국회: 의안 1917524(대안, 미래창조과학방송통신위원장, 제안 2015.11.2), 본회의 2015.11.12 원안가결, 정부이송 2015.11.20. 1차-국회 [84][85]

② 주요 개정사항 (가~사 + 개정문 원문)

③ 시행일·부칙: 제1조 공포 후 6개월 시행(2016.6.2). 단서 — 제29조제2항·제3항은 공포일(2015.12.1) 시행. 제2조 — 파기 규정은 시행 전에 수집한 개인정보에도 적용. 제3조 — 심사 생략은 진행 중인 신청에도 적용. 제4조 — 인증을 받지 않은 자는 시행 후 6개월 이내 인증. 제5조 과태료 경과. 시행령 대통령령 제27188호(2016.5.31, 2016.5.31 / 2016.6.2 시행): ISMS 인증 대상 범위·심사기관 지정. [46][73]

④ 영향받는 대상: 1년 이상 미이용자 정보를 보유한 사업자(파기·사전 통지), 대학·병원 등 "업무를 위하여 정보통신망을 활용하는 자"로서 매출·세입 1,500억원 이상인 자, 정보통신서비스 매출 100억원 또는 이용자 100만명 이상인 자(ISMS 의무), ISMS 심사기관. [46]

⑤ 학계·현장 평가: 김원·조용연·강승찬(2022, C5)은 ISMS-P 운영 현황을 살펴 의무대상자 확대 필요성을 제시하고, 국가 차원의 수용 가능 위험 수준 "NDoA(National Degree of Assurance)" 산출 방법과 단계적 확대 방안을 제안. 학술

3-24. 일부개정 — 법률 제14080호 (2016.3.22 공포 / 2016.9.23 시행, 징벌적 손해배상 2016.7.25, 앱 접근권한 2017.3.23) ★징벌적 손해배상·앱 접근권한

① 배경·계기

• 개정이유(원문 발췌): "첫째, 최근 이동통신사, 은행, 카드사 등에서 대량의 개인정보가 유출되는 사건이 증가하고 있음. 정보통신망을 통한 개인정보의 유출은 그 피해 정도가 지대하며, 유출된 개인정보로 인한 2차 피해의 발생 가능성이 높아 이에 대한 시급한 대책 마련이 필요함. … 또한 개인정보를 유출한 기업의 최고 경영자 등 임원에 대한 책임을 강화하고, 웹사이트에 노출되어 있는 개인정보의 삭제 등 조치를 강화함과 동시에 제재 수준의 상향을 통하여 … 아울러 개인정보 국외이전의 유형을 특정하여 줌으로써 법 해석 및 적용상의 혼란을 방지하고, 이용자의 동의없이 개인정보를 국외로 이전한 정보통신서비스 제공자등에 대한 제재 규정을 마련 … 둘째, 현행법상 법정손해배상제로 개인정보 유출에 대한 손해배상책임을 물고 있으나 법정손해배상제만으로는 재산적 피해 보전 어려움 및 피해방지의 실효성 의문이 제기되는 상황임. 이에 징벌적 손해배상제를 도입해 정보통신서비스 제공자의 책임성을 강화하고자 함. 셋째, … 사이버 사기에 노출된 이용자의 피해 예방을 위하여 이용자에게 알리도록 하는 등 1대1 방식의 제도적 보호 장치가 필요함. … 넷째, 스마트폰 응용프로그램(앱) 접근권한은 … 대부분의 이용자가 부득이하게 접근권한을 허용하고 있음. … 다섯째, 한국인터넷진흥원은 … 수수료 수입을 자체수입으로 사용하고 있는 바, 이는 … 예산총계주의 원칙에 위반된다 할 것이므로 … 수입금 처리에 관한 법적 근거를 마련하려는 것임." — 사건 유형을 직접 명시. [47]
• 국회: 의안 1918598(대안, 미래창조과학방송통신위원장, 제안 2016.2.29), 본회의 2016.3.2 원안가결, 정부이송 2016.3.11. 1차-국회 [84][85]

② 주요 개정사항 (개정이유 주요내용 가~타 — 원문 사본은 '타' 항목 중간까지)

③ 시행일·부칙 정정: 부칙 제1조 "이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제22조의2, 제76조제1항제1호 및 제1호의2의 개정규정은 공포 후 1년이 경과한 날부터, 제32조제2항·제3항 및 제32조의2제3항의 개정규정은 2016년 7월 25일부터, 제52조제4항의 개정규정은 공포한 날부터 시행한다." 제2조 — 징벌적·법정손해배상 개정규정은 시행 후 분실·도난·유출 등이 된 개인정보에 관한 청구분부터 적용. 제3조 — 공포 후 6개월 이내 안내메시지 발송 설비 구축. 제4조 벌칙 경과. 제5조 — 「인터넷주소자원에 관한 법률」 인용 정비. 시행령 대통령령 제27510호(2016.9.22, 2016.9.23 / 2017.9.23 시행): 시정명령 불이행 과태료, 분리보관, 국외 제공 통지 / 제27951호(2017.3.22, 2017.3.23 시행): 스마트폰 접근권한 범위·동의 방법(제9조의2). [47][73]

④ 영향받는 대상: 앱 개발자·개발회사(접근권한), 개인정보 처리를 위탁하는 사업자와 수탁자, 유출 사고를 낸 정보통신서비스 제공자(징벌적 손해배상), 전화권유판매자, 개인정보 불법 거래자, KISA. [47]

⑤ 학계·현장 평가: 이 판의 징벌적 손해배상에 대한 정보통신망법 대상 문헌은 수집 범위에 없음(해당 문헌 없음). 2018년 방송통신위원회의 접근권한 실태조사 근거(3-26)가 뒤따랐습니다. [50]

3-25. 일부개정 — 법률 제14580호 (2017.3.14 공포·시행)

① 배경·계기

• 개정이유(원문): "「질서위반행위규제법」에 따라 과태료의 부과ㆍ징수 절차를 일원화하기 위하여 과태료 처분에 대한 이의제기 절차 및 이의를 제기하지 아니하고 과태료를 납부하지 아니한 때의 징수에 관한 규정을 삭제하려는 것임." [48]
• 국회: 의안 2001814(정부, 제안 2016.8.25), 본회의 2017.2.23 원안가결, 정부이송 2017.3.3. 1차-국회 [84][85]

② 주요 개정사항

③ 시행일·부칙: "이 법은 공포한 날부터 시행한다." [48]

④ 영향받는 대상: 과태료 처분을 받는 모든 수범자(절차는 「질서위반행위규제법」에 따름). [48]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-26. 일부개정 — 법률 제15628호 (2018.6.12 공포 / 2018.12.13 시행, CISO·보험 2019.6.13) ★망법 우선·CISO 의무화·겸직 금지

① 배경·계기

• 개정이유(원문): "정보통신 분야의 개인정보의 보호에 관하여 현행법과 「개인정보 보호법」의 적용이 경합하는 경우에 현행법을 우선 적용하도록 명시적으로 규정하고, 방송통신위원회가 정보통신서비스 제공자 등이 접근권한에 대한 이용자의 정보 보호에 필요한 조치를 하고 있는지 등의 여부에 대한 실태조사를 실시할 수 있도록 하는 한편, 대통령령으로 정하는 일정 규모 이상의 정보통신서비스 제공자등으로 하여금 손해배상책임의 이행을 위하여 보험 또는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 하도록 하고, 정보통신망을 이용하여 총포ㆍ화약류를 제조할 수 있는 방법이나 설계도 등의 정보 유통을 금지하며, 정보보호 최고책임자 제도의 실효성 확보를 위하여 정보보호 최고책임자의 겸직을 금지하며, 자격요건 등을 대통령령으로 정하도록 하려는 것임." [50]
• 국회: 의안 2013791(대안, 과학기술정보방송통신위원장, 제안·본회의 2018.5.28 원안가결), 정부이송 2018.5.29. 1차-국회 [84][85]

② 주요 개정사항 (개정이유 가~바 + 개정문 원문)

③ 시행일·부칙: "이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제32조의3, 제45조의3 및 제76조제2항제4호의2(제32조의3의 개정규정과 관련된 부분에 한정한다)의 개정규정은 공포 후 1년이 경과한 날부터 시행한다." → 원칙 2018.12.13, CISO·손해배상 보장 2019.6.13. 시행령 대통령령 제29339호(2018.12.11, 2018.12.13 시행): 통신과금 구매자정보 요청서·과태료(300만/600만/1천만원) / 제29852호(2019.6.11, 2019.6.11·6.13·6.25 시행): 법정대리인 동의 확인, 손해배상 보험 가입금액(최저 5천만원~최고 10억원), CISO 겸직금지 대상(자산 5조원 이상). [50][73]

• CISO 연혁 정정: 문헌 C6이 "2018년 6월 … 겸직 제한이 신설"이라 적은 것은 공포월이고, 실제 시행은 2019.6.13입니다. [50]

④ 영향받는 대상: 정보통신 분야 개인정보 처리자(망법 우선 적용), 앱 서비스 제공자(실태조사), 대통령령 규모 이상 사업자(보험·준비금), 사실상 모든 정보통신서비스 제공자(CISO 지정·신고 — 소규모 예외), 자산 5조원 이상 등 대기업(CISO 겸직 금지), 통신과금 거래 상대방. [50]

⑤ 학계·현장 평가

• 최돈수·김태성(2023, C6): CISO 겸직 제한은 "국제적으로도 드문 것"이라며 공시기업 CISO 설문조사. 학술
• 윤승용·원유재(2021, C7): 정보통신망법이 "모든 정보통신서비스 제공자에게 특정 지위의 정보보호 최고책임자(CISO)를 지정하도록 개정"되었지만 "매출액·자산총액 기준으로만" 지위를 차등화하고 그 차등도 "임원·비임원 여부로만" 정해 실효성이 떨어진다며, 업종별 특성·종업원 수 기준 반영을 제안. 학술
• 제5조 망법 우선 규정 관련: 임규철(2018, B4)은 일반법과 특별법 사이에 "특별법의 절대적 우위는 없다"며 규정마다 동시 적용·각각 적용을 나눠 검토(예: 개인정보보호책임자 규정은 정보통신망법에도 적용)하고, 입법론으로 "「정보통신망법」상의 이용자 보호규정의 일괄폐지 후 … 「개인정보보호법」으로의 편입"을 제시하면서도 "현실에서는 정반대로 방송통신위원회 주도하에 각 개별법의 구체화를 강화시키는 입법안이 나타나고 있다"고 지적. 김일환(2018, B3)은 정보통신망법이 "특별법의 외관을 가진 채 일반법으로서 역할을 포기하지 않으려 하고 있지만, 더 이상 특별법으로서 존재해야할 이론적, 실무적 필요성이 존재하지 않는다"고 봄. 학술

3-27. 일부개정 — 법률 제15751호 (2018.9.18 공포 / 2019.3.19 시행) ★국내대리인·재이전·상호주의

① 배경·계기

• 개정이유(원문): "대한민국 국민이 글로벌 사업자에게도 국내 사업자에 대해 행사하는 것과 마찬가지로 본인의 개인정보에 대해 수집ㆍ이용ㆍ제공 등의 동의 철회, 열람청구, 정정요구 등 자기결정권을 실질적으로 행사할 수 있도록 하고, 방송통신위원회가 글로벌 사업자의 개인정보 침해 여부를 판단하기 위해 자료를 요청할 경우 필요한 자료를 신속하게 제출할 수 있도록 하는 한편, 글로벌 사업자가 대한민국 국민의 개인정보를 해외로 이전한 후 제3국으로 재이전 하는 등 해외 시장에서 유통되고 있음에도 법적 근거가 마련되어 있지 않고, 특히 우리나라보다 개인정보 보호 수준이 낮은 나라로의 이전에 대해서는 국제규범상 동등하게 보호하는 등 우리 국민의 개인정보가 해외에서도 안전하게 유통될 수 있는 방안을 마련하려는 것임." [51]
• 국회: 의안 2015146(대안, 과학기술정보방송통신위원장, 제안 2018.8.29), 본회의 2018.8.30 원안가결, 정부이송 2018.9.7. 1차-국회 [84][85]

② 주요 개정사항 (개정문 원문)

③ 시행일·부칙: 공포 후 6개월 시행(2019.3.19). 시행령 대통령령 제29633호(2019.3.19): 국내대리인 지정 대상(전년도 매출 1조원 이상 등), 미지정 과태료 2천만원. [51][73]

• 이후 경과: 2020.2.4 제16955호로 제32조의5제1항제1호·제2호(개인정보 관련 대리 사항)가 삭제되고, 제63조·제63조의2도 삭제되었습니다. 현행 국내대리인이 대리하는 사항은 "제64조 제1항에 따른 관계 물품ㆍ서류 등의 제출"만 남았습니다. [55][1]

④ 영향받는 대상: 국내에 주소·영업소가 없는 글로벌 정보통신서비스 제공자 중 대통령령 기준 해당자, 개인정보를 국외 이전·재이전하는 사업자. [51]

⑤ 학계·현장 평가: NARS 최진응(2017.12.29, A8) 「국내 인터넷 규제의 역외 적용 한계와 개선 과제」(목차: 해외 인터넷 서비스 역외 규제의 한계, 유럽 사례, 해외 서비스와의 협력 시스템·규제 합리성 제고) — 요약문 없음, 결론 미확인. 학술

3-28. 일부개정 — 법률 제16021호 (2018.12.24 공포 / 2019.6.25 시행, 일부 2019.3.25) ★아동 개인정보·자율규제·불법촬영물 심의요청

① 배경·계기

• 개정이유(원문 발췌): "만 14세 미만 아동의 개인정보 처리에 대한 동의를 받아야 할 때에는 법정대리인의 동의를 받도록 하고 있으나 이에 대한 동의가 형식적으로 이루어지거나 동의를 받지 않는 사례가 다수 있어 … 또한 정부 주도의 규제 정책만으로는 개인정보 침해와 청소년유해정보 및 불법정보 등에 대한 신속한 대응이 어려운바 … 한편, 디지털 성범죄가 급증하고 있으나 수사기관이 수사 과정에서 발견한 불법 촬영물에 대해 방송통신심의위원회에 심의를 요청할 권한이 없어 불법 촬영물의 신속한 차단에 어려움이 있는바 …" — 사건 유형 직접 명시. [53]
• 국회: 의안 2017172(대안, 과학기술정보방송통신위원장, 제안 2018.12.6), 본회의 2018.12.7 원안가결, 정부이송 2018.12.14. 1차-국회 [84][85]

② 주요 개정사항 (가~사)

③ 시행일·부칙: "이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제44조의4 및 제44조의7제3항제1호의 개정규정은 공포 후 3개월이 경과한 날부터 시행한다." → 2019.6.25 / 2019.3.25. 시행령 제29852호(2019.6.11)가 법정대리인 동의 확인 방법을 정함(앞서 2018.7.17 제29053호는 14세 미만 아동 본인확인을 위한 주민등록전산정보 확인 요청 근거를 마련). 같은 날 타법개정(제16019호, 「전기통신사업법」)으로 제47조제2항제1호 "허가를 받은 자" → "등록을 한 자"(3-42). [53][73][52]

④ 영향받는 대상: 아동 대상 서비스 사업자, 정보통신서비스 제공자단체, 수사기관·방송통신심의위원회, AI 챗봇 등 대화형 서비스 제공자. [53]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-29. 일부개정 — 법률 제16825호 (2019.12.10 공포 / 2020.6.11 시행)

① 배경·계기

• 개정이유(원문 요지): 과징금 환급 시 "연 100분의 6에 해당하는 환급가산금"을 지급하는 고정요율은 "저금리가 장기간 계속되는 현재의 경제상황을 탄력적으로 반영하지 못하고" 있고, 판결로 처분이 취소된 뒤 판결이유에 따라 새 과징금을 부과할 때 "취소된 과징금 금액 전체에 대하여 환급가산금을 지급"하는 것은 불합리하다. [54]
• 국회: 의안 2016858(노웅래의원 등 12인, 제안 2018.11.28), 본회의 2019.11.19 원안가결, 정부이송 2019.11.29. 1차-국회 [84][85]

② 주요 개정사항

③ 시행일·부칙: 제1조 공포 후 6개월 시행. 제2조 — 시행 후 환급하는 경우부터 적용. 시행령 대통령령 제30691호(2020.5.19, 2020.6.11 시행): 환급가산금 이자율 = 국세환급가산금 이자율. 그러나 2020.2.4 제16955호가 "법률 제16825호 … 일부개정법률 제64조의3제7항 및 제8항을 각각 삭제"하고 제64조의3 자체도 삭제(2020.8.5 시행)했습니다. [54][73][55]

• 같은 환급가산금 구조는 2026년 신설된 침해사고 과징금(제48조의8⑦⑧)과 스팸 과징금(제50조의9⑧⑨)에 다시 들어갔습니다 [해석: 조문 문언 비교]. [71]

④ 영향받는 대상: 과징금 처분 취소소송에서 이긴 사업자(환급가산금). [54]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-30. 일부개정 — 법률 제16955호 (2020.2.4 공포 / 2020.8.5 시행) ★데이터 3법 — 개인정보 규정 이관

① 배경·계기

• 개정이유(원문): "데이터를 핵심 자원으로 하는 4차 산업혁명 시대를 맞아 개인정보의 보호와 활용을 조화시킬 수 있는 제도를 마련하여 더 나은 국민의 삶을 만들어 나가야 할 시점인데, 이를 위해서는 이 법과 「개인정보 보호법」 등 개인정보 관련 법령에 산재되어 있는 유사ㆍ중복조항을 정비하고, 법령 체계를 재정비할 필요가 있는바, 이 법에 규정된 개인정보 보호에 관한 사항을 삭제하고, 이를 「개인정보 보호법」으로 이관하는 한편, 방송통신위원회가 그 권한 중 일부를 소속기관에 위임할 수 있는 근거를 마련하는 등 현행 제도의 운영상 나타난 일부 미비점을 개선ㆍ보완하려는 것임." [55]
• 짝이 되는 「개인정보 보호법」 개정: 법률 제16930호(2020.2.4 공포, 2020.8.5 시행). 개정이유 원문 "「정보통신망 이용촉진 및 정보보호 등에 관한 법률」상의 개인정보 보호 관련 규정을 이 법으로 일원화함에 따라, 정보통신서비스 제공자 등의 개인정보 처리에 관한 특례 등을 규정함(제6장 신설 등)", 개정문 "제6장(제39조의3부터 제39조의15까지)을 다음과 같이 신설한다 … 제6장 정보통신서비스 제공자 등의 개인정보 처리 등 특례". [81]
• 국회: 의안 2024491(대안, 과학기술정보방송통신위원장), 제안·본회의 2020.1.9 원안가결, 정부이송 2020.1.23. 1차-국회 [84][85]

② 주요 개정사항 (개정문 원문을 옮겨 정리)

③ 시행일·부칙: "이 법은 공포 후 6개월이 경과한 날부터 시행한다." 시행령 대통령령 제30894호(2020.8.4, 2020.8.5 시행): 데이터 3법에 따른 개인정보 규정 삭제·정비, 방송통신사무소장 권한 위임. [55][73]

• 결과적으로 현행 정보통신망법에 남은 개인정보 관련 조문은 제22조의2(접근권한), 제23조의2~제23조의6(주민등록번호 사용제한·본인확인기관·연계정보), 제32조의5(국내대리인) 정도입니다(8장). [1]
• 감독기구: 개인정보보호위원회가 국무총리 소속 중앙행정기관으로 개편되어 방송통신위원회·행정안전부의 개인정보 사무를 승계했습니다. 승계 조문을 집행 노트는 「개인정보 보호법」 제16930호 "부칙 제10조"로 적었으나, 같은 프로젝트의 10-20 연혁 노트는 원문 대조로 "부칙 제3조: 방송통신위원회·행정안전부의 개인정보 사무를 보호위원회가 승계"로 적었습니다. 이 문서는 10-20 원문 대조값(부칙 제3조)을 따르되, 이번 수집에서 다시 대조하지는 않았습니다. [161][160]
• 그 뒤 「개인정보 보호법」 제6장 특례는 2023.3.14 법률 제19234호로 일반 규정과 통합(특례 일원화)되었습니다. [161]

④ 영향받는 대상: 이 법상 "정보통신서비스 제공자"로서 개인정보를 처리하던 모든 온라인 사업자 — 2020.8.5부터 개인정보 의무의 근거가 「개인정보 보호법」(제6장 특례)으로, 감독기관이 방송통신위원회에서 개인정보보호위원회로 바뀜. 정보통신망법상 의무는 정보보호·내용규제·스팸 등으로 축소. [55][81]

⑤ 학계·현장 평가

• 이관 전 통합론: 윤석진(2016, B1) — 개인정보보호법·정보통신망법·신용정보법·위치정보법을 분석해 "'개인정보보호법'과 '정보통신망법'은 2011년 이후부터 중복조항의 문제가 발생", "비체계성, 중복성, 중복규제, 불일치" → 일원화 제언. 김현경(2016, B2) — 개인정보 법령이 "계획적 설계 하에 종합적·단계적으로 제정된 것이 아니라 … 개별적·산발적으로" 만들어졌고, "「정보통신망법」과 「위치정보법」의 개인정보 규정은 「개인정보 보호법」을 중심으로 통합". 김일환(2018, B3) — "정보통신망법상 개인정보보호부분은 삭제, 폐지하고 일반법인 개인정보보호법과 통합". 이제희(2019, B5) — "온라인과 오프라인에서의 개인정보 수집·활용의 차이가 크지 않다는 점에서 … 통합이 요구"되며, 지연 이유는 "체계 정합성과 가명정보 도입·활용 등 동태적 정합성의 문제를 동시에 해결하고자 했기 때문" → 단계적 접근 제안. 학술
• 이관 이후 평가: 이양복(2020, B6) — 가명정보·익명정보 도입, "개인정보보호위원회의 위상 강화, 마이데이터 산업 도입 등". 다만 초록은 정보통신망법 개인정보 조항의 이관 사실을 직접 서술하지 않음. 주승희(2021, B7) — 정책 방향이 "'보호'에서 '활용'으로", 처벌조항이 형식상 늘었지만 "명확성 원칙 침해 우려가 상당 부분 불식되고 가벌성 영역도 다소 줄어든 것", 비범죄화 요구 강화 전망. 학술
• 이관 직전 개별 특칙 확충 경향의 예: 김현경·김선아·김수영(2018, B10)은 정보통신망법에 개인영상정보 처리 특칙(이용자용 지침 제공·준수, 삭제 요청 조치 절차)을 두자고 제안 — 당시 이 법이 '정보통신서비스 분야 개인정보 특별법'으로 기능하던 상황을 보여 줌. 학술

3-31. 일부개정 — 법률 제17358호 (2020.6.9 공포 / 2020.12.10 시행, 딥페이크 시책 2020.9.10) ★n번방 대응·역외적용·백도어

① 배경·계기

• 개정이유(원문): "현행법상 금지되는 정보통신망 침해행위에 최근 정보통신망의 정상적인 보호ㆍ인증 절차를 우회하여 정보통신망에 접근할 수 있도록 하는 프로그램이나 기술적 장치 등의 백도어를 정보통신망 또는 정보시스템에 설치하는 행위를 명확히 규정하고 있지 않아 백도어로 인한 개인정보 유출 등의 피해를 사전에 방지하지 못할 우려가 있고, 최근 인공지능 기술을 이용하여 만든 거짓의 음향ㆍ화상 또는 영상 등의 딥페이크(Deep Fake) 정보가 인터넷에 유통되는 사례가 늘어나고 있는바 … 또한, 최근 발생한 텔레그램 N번방 사건처럼 불법촬영물의 유통으로 인한 피해자의 2차 피해를 방지하기 위해서는 정보통신서비스 제공자의 신속한 삭제와 접속 차단이 우선되어야 하고, 특히 해외 정보통신서비스 제공자의 경우 해외사업자라는 이유로 국내법을 적용하기 어려운 실정인바, 이를 개선할 필요가 있음. 한편, 정보통신망에 연결되어 정보를 송ㆍ수신할 수 있는 정보통신망연결기기 등과 관련된 침해사고가 국민의 생명ㆍ신체ㆍ재산에 큰 피해로 이어질 우려가 커지고 있음에도 …" — 사건을 직접 명시. [60]
• 국회: 의안 2024963(대안, 과학기술정보방송통신위원장), 제안·본회의 2020.5.20 원안가결, 정부이송 2020.5.29. 수집 단계의 검색요약이 1차-국회로 확인됨. "20대 국회 마지막 본회의"라는 표현과 'n번방 방지법'이라는 묶음 명칭(아청법·전기통신사업법·정보통신망법)은 검색요약. [84][85][169]

② 주요 개정사항 (가~사 + 개정문 원문)

③ 시행일·부칙: "이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제4조제2항제7호의2의 개정규정은 공포 후 3개월이 경과한 날부터 시행한다." → 2020.12.10 / 2020.9.10. 시행령 대통령령 제31247호(2020.12.8, 2020.12.10 / 2021.1.1 시행): 불법촬영물 유통방지 책임자 대상(매출 10억원 이상 또는 일평균 이용자 10만명 이상), IoT 정보보호인증 절차. [60][73]

• 함께 개정된 「전기통신사업법」 법률 제17352호(2020.6.9 공포, 2020.12.10 시행): 개정이유 "불법촬영물 등의 유포, 확산을 방지하기 위하여 부가통신사업자 등에게 아동ㆍ청소년이용성착취물 등의 유통방지 조치의무 등을 부과" — 삭제·접속차단과 기술적·관리적 조치 의무(제22조의5제1항·제2항), 과징금(제22조의6), 국내대리인(제22조의8). 이 사전조치 의무조항(제22조의5제2항, 시행령 제30조의6)은 헌재 2025.10.23. 2021헌마290 등에서 기각(전원 일치). [82][128]
• 투명성 보고서의 이동: 제64조의5는 2026.1.6 제21305호로 삭제되고, 같은 내용이 제44조의14제2항으로 옮겨졌습니다(2026.7.7 시행, 교차검증으로 개정문·본문 대조 완료 — 3-39). [69][1]
• 같은 날 타법개정 4건(제17344호·제17347호·제17348호·제17354호)이 있었습니다(3-42). [56][57][58][59]

④ 영향받는 대상: 해외 사업자 포함 대통령령 기준 SNS·포털·커뮤니티(유통방지 책임자·투명성 보고서), IoT 기기 제조·수입자, 백도어 설치 행위자, 딥페이크 대응 기술 개발 분야. [60]

⑤ 학계·현장 평가

• 허진성(2020, F1): 2020.6.9 개정·12.10 시행 예정인 전기통신사업법 제22조의5와 정보통신망법 제44조의9를 소개하고, 사회적 사건이 강력한 대응 입법을 불러온 맥락을 서술(비판부는 초록이 잘려 미확인). 학술
• 임석순(2020, F2): 일정 규모 이상 사업자의 연간 처리 보고서 제출이 독일 NetzDG(2017)와 "상당히 흡사"하고, "'위법성'에 대한 사법적 판단을 사기업에 불과한 정보통신서비스 제공자에게 위임"하여 과잉 삭제로 표현의 자유를 제한할 수 있다며 객관적 제3기구 판단·의견제시 기회 보장을 제안. 학술
• NARS 최진응(2020.5.7, F4): "디지털성범죄정보의 법적 요건이 모호하고, 플랫폼에 대한 사후적인 통제 방식이 법제화되어 있으며, 법적 규제 강화가 … 해외 플랫폼을 실효적으로 규제하는데 한계가 있다는 점 등을 종합적으로 고려"해야 한다고 요약. 학술
• 이보라·김면기(2025, F5): 입법 관여자 12명 심층 인터뷰 — 국회국민동의청원 기반의 "절차적 정당성"은 인정하나 "비례성 심의 절차의 결여로 형량 강화 조치 외 다른 사회정책적 조치가 충분히 고려되지 못한 지점"이 한계. 학술
• 윤정숙(2020, F3)·정지웅(2026, F6)은 서지만 확인. F6의 제목("'N번방 방지법' 합헌 결정의 법리적 고찰")이 가리키는 결정은 헌재 2021헌마290(2025.10.23 기각)일 가능성이 있으나 초록이 없어 대응은 해석. 학술[128]

3-32. 일부개정 — 법률 제18201호 (2021.6.8 공포 / 2021.12.9 시행) ★CISO 자격·업무 법정화·CPO 겸직 허용

① 배경·계기

• 개정이유(원문): "현행법에서 정보통신서비스 제공자는 보안 및 정보의 안전한 관리를 위하여 임원급인 정보보호 최고책임자를 지정하고 이를 과학기술정보통신부장관에게 신고하도록 하며, 자산총액과 매출액 등이 대통령으로 정하는 기준에 해당하는 경우에는 지정하지 아니할 수 있도록 규정하고 있음. 그리고 정보보호 최고책임자는 정보보호와 관련하여 현행법에서 열거된 업무를 총괄하는 것 외에는 다른 업무를 겸직할 수 없도록 제한하고 있음. 그러나 임원급이라는 모호한 정의로 법 해석을 둘러싼 혼선이 있는 바 정보보호 최고책임자의 자격에 관한 구체적인 사항을 대통령령으로 위임하고, 정보보호 최고책임자 지정에 관한 신고의무가 없는 소규모 기업의 정보보호 최고책임자를 대표이사로 간주하여 정보보호 공백을 방지하는 한편, 정보보호 최고책임자의 총괄 업무 내용 및 겸직 가능 업무의 범위를 법률에 명시하려는 것임." [61]
• 국회: 의안 2105726(김영식의원 등 10인, 제안 2020.11.25), 본회의 2021.5.21 수정가결, 정부이송 2021.5.28. 1차-국회 [84][85]

② 주요 개정사항 (개정문 원문)

③ 시행일·부칙: "이 법은 공포 후 6개월이 경과한 날부터 시행한다." → 2021.12.9. 시행령 대통령령 제32179호(2021.12.7, 2021.12.9 시행): CISO 자격(소기업 등은 사업주·대표자, 자산 5조원 이상 대기업 등은 이사 등), 겸직 과태료. [61][73]

• CISO 연혁 정정: 문헌 C6의 "2021년 12월에 CPO와 겸직 가능하도록 법이 개정"은 시행월이고, 공포는 2021.6.8입니다. [61]
• 같은 날(2021.6.8) 「정보보호산업의 진흥에 관한 법률」 법률 제18200호가 정보보호 공시 의무화를 도입했습니다(2021.12.9 시행, 공시 기한 "매년 6월 30일까지" → 첫 의무공시 2022년). 이는 정보통신망법이 아니라 정보보호산업법 조문입니다. 자율공시 근거는 2015.6.22 제13343호(2015.12.23 시행)에서 출발. [83]

④ 영향받는 대상: CISO를 지정·신고해야 하는 정보통신서비스 제공자, CISO와 CPO를 한 사람이 맡으려는 기업, 소규모 기업(대표이사 간주). [61]

⑤ 학계·현장 평가

• 최돈수·김태성(2023, C6): CISO 겸직 제한의 경과(2014 카드사 사고 → 전자금융거래법 → 2018 정보통신망법 → 2021 CPO 겸직 허용)와 "국제적으로도 드문" 겸직 제한의 타당성을 공시기업 CISO 설문으로 검토. 학술
• 김주희·이동연·박형준(2024, C4): CISO 지정·신고, ISMS 인증, 정보보호 공시의 의무 기준이 서로 달라 "inefficiencies in both the management and effectiveness"(관리와 효과 양면의 비효율)가 생긴다고 지적, CISO 중심 중점관리 대상 선정 방안(결론부는 초록이 잘려 미확인). 학술
• 정보보호 공시(정보보호산업법): NARS 경선주(2022.12.29, C10) — 공시제도는 "2015년 도입되었으나, 자율공시 형태의 운영에 따른 기업의 참여 저조로 실효성 문제"가 있었고 "2022년부터 공시 의무화를 시행하여 전년 대비 약 10배의 기업이 공시에 참여", 과제는 허위·불성실 공시 검증·제재 미흡, 접근성 부족, 의무대상 한정. 이현우·권익현(2024, C8) — 의무화 이후 "정보보호 인력비율에서 유의미한 증가"는 있었으나 "정보보호 투자비율에는 통계적으로 유의미한 변화가 나타나지 않아" 한계, 경영진 책임 명확화·사고 신속 공시·비재무 공시 연계 제안. 정은수(2025, C9) — 2023.1~2024.12 사고 기업 102곳 분석, "security incidents had minimal impact on disclosure rates, which were determined by legal obligations", "incident-based mandatory disclosure" 제안. 학술

3-33. 일부개정 — 법률 제18871호 (2022.6.10 공포 / 2022.12.11 시행) ★취약점 포상·침해사고 원인분석·속임 전화번호 중지

① 배경·계기

• 개정이유(원문): "침해사고를 예방하기 위하여 정보통신서비스 등의 보안에 관한 취약점을 신고한 자에게 포상금을 지급할 수 있는 근거를 마련하고, 국민이 안심하고 디지털서비스를 이용할 수 있도록 침해사고의 원인분석 및 대책 마련을 위한 후속 대응 체계를 강화하는 한편, 실제 피해로 이어지지 아니하더라도 속이는 행위에 의한 정보의 수집 등이 발생한 경우 과학기술정보통신부장관은 그 행위에 이용된 전화번호에 대하여 정보통신서비스의 제공 중지를 요청할 수 있도록 하고, 경찰청장 등은 과학기술정보통신부장관에게 해당 전화번호에 대한 전기통신역무 제공의 중지를 요청할 수 있도록 함으로써 추가적인 피해 발생을 원천적으로 방지하려는 것임." [62]
• 국회: 의안 2115724(대안, 과학기술정보방송통신위원장, 제안 2022.5.26), 본회의 2022.5.29 원안가결, 정부이송 2022.5.29. 1차-국회 [84][85]

② 주요 개정사항 (가~사 + 개정문 원문)

③ 시행일·부칙: 공포 후 6개월 시행(2022.12.11). 시행령 대통령령 제33039호(2022.12.9, 2022.12.11 시행): 침해사고 자료 보호, 속임 피해 예방 이용약관, 전화번호 이용중지 이의신청. [62][73]

④ 영향받는 대상: 침해사고를 겪은 정보통신서비스 제공자(다른 법 신고 시 간주, 자료 보전·제출), 보안 취약점 신고자, 피싱·스미싱에 이용된 전화번호와 그 통신사, 수사기관·금융감독원. [62]

⑤ 학계·현장 평가: 이태승(KISA, 2023, C3) — 언론보도를 분석해 신고제도의 문제를 "unreported"(미신고)와 "not timely reporting"(지연신고)으로 정의하고, 개선 요건으로 "a reporting entity", "a starting point of reporting", "a reporting deadline", "a protection of reporting information"(신고 주체, 기산점, 기한, 신고정보 보호)을 도출. 학술

3-34. 일부개정 — 법률 제19154호 (2023.1.3 공포 / 2023.7.4 시행) ★삭제요청 통지수단·IDC 점검·서비스 중단 보고

① 배경·계기

• 개정이유(원문): "정보통신망을 통하여 일반에게 공개를 목적으로 제공된 정보의 삭제 등을 요청하는 자가 문자메시지, 전자우편 등 그 처리 경과 및 결과를 통지받을 수단을 지정할 수 있도록 하여 삭제 등을 요청하는 자의 권리를 두텁게 보호하고자 함. 또한, 과학기술정보통신부장관이 정기적으로 정보통신시설에 대한 보호조치의 이행 여부를 점검할 수 있도록 하고, 일정 규모에 해당하는 집적정보통신시설 사업자 등은 재난 등으로 인하여 정보통신서비스 제공 중단이 발생한 경우 그 중단 현황, 발생원인, 응급조치 및 복구대책을 지체 없이 과학기술정보통신부장관에게 보고하도록 하는 한편, 집적정보통신시설 임차사업자에 대하여 집적정보통신시설 사업자의 보호조치 이행에 협조하도록 의무를 부과함." [63]
• 개정이유는 특정 사고를 거명하지 않습니다. 최경미·지성우(2022, H3)의 초록은 "2022년 카카오 데이터센터 화재 이후 방송통신발전기본법·정보통신망법 개정안이 국회 심사 중"이라고 적었습니다 학술. 화재 사고 자체를 1차 출처로 확인하지 않았으므로 이 개정과의 연결은 [해석·미확인]입니다. [63]
• 국회: 의안 2118766(대안, 과학기술정보방송통신위원장, 제안 2022.12.7), 본회의 2022.12.8 원안가결, 정부이송 2022.12.23. 1차-국회 [84][85]

② 주요 개정사항 (개정문 원문)

③ 시행일·부칙: 공포 후 6개월 시행(2023.7.4). 시행령 대통령령 제33612호(2023.7.3, 2023.7.4 시행): IDC 보호조치 대상(전산실 500㎡ 이상 등), 서비스 중단 보고(제40조). 현행 시행령: 타인용 IDC 전산실 바닥면적 500㎡ 이상, 자가 IDC는 500㎡ 이상 + 매출 100억원·일평균 100만명 추가 요건(공공기록물법상 공공기관 제외), 중단 보고는 연속 30분 이상 또는 24시간 내 2회 이상 합계 45분 이상. [63][73]

④ 영향받는 대상: 데이터센터 사업자와 자체 데이터센터를 운영하는 대형 플랫폼, IDC 임차사업자, 게시물 삭제 신청인·게시자. [63]

⑤ 학계·현장 평가: 최경미·지성우(2022, H3) — EU 디지털서비스법(DSA)의 시사점으로 "기술적 특성과 규모에 따라 차등적인 규제", "'규제된 자율규제' 방식", 주요 매개변수 공개, 다크패턴 금지를 제시. 학술

3-35. 일부개정 — 법률 제20069호 (2024.1.23 공포 / 2024.7.24 시행, 일부 공포일·2025.3.13) ★연계정보(CI)·ISMS 간편인증·백도어 유포 금지

① 배경·계기

• 개정이유(원문): "불법스팸 전송자에 대한 처벌을 강화하고, 통신사의 불법스팸 전송 방지에 대한 책임을 강화하는 등 불법스팸 대응을 위한 제도를 개선하고, 정보보호 관리체계(ISMS) 간편인증 제도를 도입하여 영세ㆍ중소기업의 인증기준 및 절차 등을 완화하며, 본인확인기관이 이용자의 주민등록번호를 비가역적으로 암호화한 정보를 생성ㆍ처리하는 경우 해당 정보 생성ㆍ처리의 안전성 확보를 위한 물리적ㆍ기술적ㆍ관리적 조치를 하도록 의무화 하는 한편, 국내에 데이터를 임시적으로 저장하는 서버를 설치ㆍ운영하는 정보통신서비스 제공자 중 일정 기준에 해당하는 자가 불법정보의 유통을 방지하기 위한 기술적ㆍ관리적 조치를 하도록 의무화하고, 누구든지 정당한 사유 없이 정보통신망의 정상적인 보호ㆍ인증 절차를 우회하여 정보통신망에 접근할 수 있도록 하는 프로그램이나 기술적 장치 등을 정보통신망 또는 이와 관련된 정보시스템에 설치하거나 이를 전달ㆍ유포하는 행위를 금지하는 등 현행 제도의 운영상 나타난 일부 미비점을 개선ㆍ보완함." [64]
• 국회: 의안 2125982(대안, 과학기술정보방송통신위원장, 제안 2023.12.19), 본회의 2023.12.20 원안가결, 정부이송 2024.1.12. 1차-국회 [84][85]

② 주요 개정사항 (개정문 원문 — 원문 사본 앞부분 기준)

③ 시행일·부칙: 제1조 "이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제48조제4항 및 제71조제1항제13호의 개정규정은 공포한 날부터 시행하고, 제23조의5제1항제3호의 개정규정은 법률 제19234호 개인정보 보호법 일부개정법률 부칙 제1조제2호에 따른 시행일부터 시행한다." → 2024.7.24 / 백도어 2024.1.23 / 전송의무 연계 2025.3.13. 제2조 — 간편인증은 시행 이후 인증 신청자부터. 제3조 — 「정보통신 진흥 및 융합 활성화 등에 관한 특별법」 제37조 등에 따른 임시허가·특례로 CI를 처리하던 자는 시행일부터 1년까지 승인 없이 처리 가능. 시행령 대통령령 제34723호(2024.7.23, 2024.7.24 시행): 간편인증 대상(중기업·정보통신서비스 매출 300억원 미만 등) / 제35533호(2025.5.20): 연계정보 안전조치(제13조), 불법정보 유통방지 조치 의무 대상. [64][77][78]

• 집행 사례: 방송미디어통신위원회는 2026.4.29 롯데카드㈜에 제23조의6제2항(CI 안전조치) 위반으로 과태료 1,125만원(위반 상태가 2025.5.21 이후 3개월 이상 지속 등으로 1/2 가중)을 부과했습니다. 약 129만명 CI 유출(그중 45만명은 주민번호와 함께). 2027.5.1 시행 예정 3개 항목(주민번호·CI 분리보관, CI 암호화, 제공기록 보관)은 개선권고. 1차-정부 [144] 2027.5.1 시행 근거 조문·부칙 원문은 미확인.

④ 영향받는 대상: 본인확인기관(이동통신사·카드사·은행 등)과 CI 이용기관(금융·플랫폼 등), 국내 캐시서버를 운영하는 해외 대형 사업자 등 대통령령 기준 제공자, 영세·중소 ISMS 의무자(간편인증), 백도어 유포자, 대량문자 사업자·통신사(스팸). [64]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-36. 일부개정 — 법률 제20260호 (2024.2.13 공포 / 2024.8.14 시행) ★침해사고 조치명령·신고 위반 과태료 3천만원

① 배경·계기

• 개정이유(원문): "침해사고가 발생한 경우 과학기술정보통신부장관이 해당 정보통신서비스 제공자에게 필요한 조치를 이행할 것을 명령할 수 있도록 하고, 해당 조치의 이행 여부를 점검하여 보완이 필요한 사항에 대하여 해당 정보통신서비스 제공자에게 시정을 명할 수 있도록 하며, 침해사고 신고 의무 위반 시 부과되는 과태료의 상한을 1천만원에서 3천만원으로 상향하는 등 현행 제도의 운영상 나타난 일부 미비점을 개선ㆍ보완함." [65]
• 국회: 의안 2126369(대안, 과학기술정보방송통신위원장, 제안 2024.1.24), 본회의 2024.1.25 원안가결, 정부이송 2024.2.2. 1차-국회 [84][85]

② 주요 개정사항 (개정문 원문)

③ 시행일·부칙: 공포 후 6개월 시행(2024.8.14). 시행령 대통령령 제34821호(2024.8.13, 2024.8.14 시행): 침해사고 신고 시기·방법 — "알게 된 때부터 24시간 이내"(제58조의2, 현행 제58조의8로 이동), 이행점검(제58조의3), 과태료(부과액 750만/1,500만/3,000만원). [65][75]

• 신고 기한의 근거 단계(교차검증): 2024.8.14~2026.9.30에는 법률은 "즉시", 시행령이 "24시간"이었고, 2026.10.1부터 법률 자체에 "24시간"이 들어갔습니다(3-40). 과기정통부 SKT 보도자료의 "'24.8.14일부터 24시간 이내 신고 의무가 시행"은 시행령 기준으로 일치합니다. [75][1][130]
• 집행: SKT(2025.4)·KT(2025.9)·쿠팡(2025.11)·티빙(2026.5) 신고 지연에 대해 과기정통부는 이 조항에 따른 "3천만원 이하" 과태료를 "부과할 예정"이라고 발표(실제 부과액 미확인, 6장). [130][131][133][134]

④ 영향받는 대상: 침해사고를 겪은 모든 정보통신서비스 제공자(24시간 신고, 조치명령 이행). [65]

⑤ 학계·현장 평가: 이태승(2023, C3)의 신고제도 개선 4요건(3-33)이 이 개정의 신고 시기 위임·과태료 상향과 같은 문제의식이라는 연결은 해석입니다. 학술

3-37. 일부개정 — 법률 제20534호 (2024.12.3 공포 / 2025.6.4 시행) ★딥페이크 피해 예방

① 배경·계기

• 개정이유(원문): "딥페이크 범죄 영상물의 유포ㆍ확산을 방지하고 건전한 정보통신망 환경을 조성하기 위하여, 과학기술정보통신부와 방송통신위원회가 합성영상 등의 무분별한 유통으로 인한 성범죄, 명예훼손 또는 사기 등의 피해를 예방하기 위한 시책을 마련하도록 하고, 정부가 정보통신서비스 제공자단체에 자율규제 가이드라인의 개선ㆍ보완을 권고할 수 있도록 하며, 방송통신위원회가 정보통신서비스 제공자나 게시판 관리ㆍ운영자에게 게시중단을 명령할 수 있는 범위에 「성폭력범죄의 처벌 등에 관한 특례법」에 따른 편집물ㆍ합성물ㆍ가공물ㆍ복제물과 「아동ㆍ청소년의 성보호에 관한 법률」에 따른 아동ㆍ청소년성착취물을 추가하는 등 현행 제도의 운영상 나타난 일부 미비점을 개선ㆍ보완함." [66]
• 국회: 의안 2205447(대안, 과학기술정보방송통신위원장, 제안 2024.11.11), 본회의 2024.11.14 원안가결, 정부이송 2024.11.22. 1차-국회 [84][85]

② 주요 개정사항 (개정문 원문)

③ 시행일·부칙: 공포 후 6개월 시행(2025.6.4). [66]

④ 영향받는 대상: 게시판 운영 정보통신서비스 제공자, 정보통신서비스 제공자단체, 딥페이크 유포자. [66]

⑤ 학계·현장 평가: NARS 정준화(2025.12.31, F12) 「정보통신망법 일부개정법률안(의안번호 2213740) 입법영향분석 ― 온라인 광고의 AI 생성물(딥페이크) 활용 고지·표시의 훼손 또는 위·변조 금지 의무」(목차: 소비자 보호, 광고 게시자의 표현의 자유, 영업의 자유 영향, 이해관계자 의견 등) — 결론 미확인. 같은 목록의 「… 일부개정법률안(의안번호 2126048) 입법영향분석 ― 인공지능으로 만든 가상 정보임을 표시하도록 하는 의무」(2024.8.23)는 제목만 확인. 두 의안의 처리 결과는 미확인. 학술

3-38. 일부개정 — 법률 제20678호 (2025.1.21 공포 / 2025.7.22 시행)

① 배경·계기

• 개정이유(원문): "정보통신망을 통한 유통이 금지되는 정보의 범위에 '「마약류 관리에 관한 법률」에서 금지하는 마약류의 사용, 제조, 매매, 매매의 알선 등에 해당하는 내용의 정보'를 추가함으로써 정보통신망을 통해 유통되는 마약류 관련 불법정보에 대한 관리를 강화하려는 것임." [67]
• 국회: 의안 2204517(양부남의원 등 13인, 제안 2024.10.4), 본회의 2024.12.26 수정가결, 정부이송 2025.1.10. 1차-국회 [84][85]

② 주요 개정사항

③ 시행일·부칙: 공포 후 6개월 시행(2025.7.22). [67]

④ 영향받는 대상: 마약류 정보 게시자, 게시판 운영자(심의·명령 대상). [67]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-39. 일부개정 — 법률 제21305호 (2026.1.6 공포 / 2026.7.7 시행) ★허위조작정보 유통금지·가중배상·대규모 플랫폼 의무

① 배경·계기

• 개정이유(원문): "불법정보의 기준을 보완하고, 고의로 불법정보 또는 허위조작정보를 정보통신망에 유포하여 타인에게 손해를 가한 자에 대해서는 징벌적 요소를 반영하여 일반적인 손해배상보다 무거운 배상 책임을 지우도록 하며, 불법정보 또는 허위조작정보로 인정되어 관련 재판의 판결이 확정된 정보를 정보통신망에 반복적으로 유통한 경우 과징금을 부과할 수 있도록 하고, 비방 목적 허위사실 명예훼손죄에 대한 벌금형을 상향하며, 그 이득의 몰수ㆍ추징 근거를 마련함으로써 불법정보와 허위정보의 폐해에 실효적으로 대응할 수 있도록 하려는 것임." [69]
• 공포: 대통령 이재명, 국무총리 김민석, 과기정통부 장관 배경훈, 행정안전부 장관(방송미디어통신위원회 소관) 윤호중. [69]
• 국회 경과: 의안 2215443(대안, 과학기술정보방송통신위원장, 제안 2025.12.19), 과방위 대안가결 2025.12.10, 법사위 수정가결 2025.12.18, 본회의 2025.12.24 수정가결, 정부이송 2025.12.26. 수집 단계의 2차 (기자협회보) 날짜가 1차-국회로 확인됨. 경향신문 사설(2025.12.24)은 "국민의힘 불참 속에 … 더불어민주당 주도로" 통과했다고 보도 2차. 본회의 표결 수·재의요구 여부는 미확인. [84][85][167][168]

② 주요 개정사항 (개정이유 가~아 + 개정문 원문)

• 사실적시 명예훼손(제70조제1항) [충돌 확인]: 한 검색요약은 "사실적시 명예훼손 폐지 … 일부 반영"이라 했으나, 공포 법률 제21305호에는 제70조제1항 삭제·수정 규정이 없습니다(제70조는 제2항 벌금 상향과 제4항 신설뿐). 기자협회보가 전한 "사생활 관련 경우에만 남김" 안은 법사위 단계 보도이며 최종 공포문에는 반영되지 않았습니다(다른 법률 반영 여부는 미확인). [69][167]

③ 시행일·부칙: 제1조 공포 후 6개월 시행(2026.7.7). 제2조 — 제44조의10은 시행 이후 유통해 손해를 끼친 경우부터. 제3조 — 과징금(제44조의24~26)은 시행 이후 최초로 법원이 불법정보·허위조작정보로 인정해 판결이 확정된 정보를 유통한 경우부터. 제4조 — 제70조②④는 시행 이후 범죄부터. 제5조 — 종전 명예훼손 분쟁조정부의 사건·위원·행위를 분쟁조정부가 승계. 제6조 벌칙 경과. [69]

• 하위법령: 시행령 대통령령 제36502호(2026.7.7): 대규모 정보통신서비스 제공자 범위(일평균 이용자 100만명 이상, SNS·온라인 커뮤니티 등), 가중 손해배상 게재자 범위, 과징금 기준. 현행 시행령 제2조의2는 직전 3개월 일평균 100만명 이상 + 이용자 간 정보매개·검색 기준이며, 범위는 2027.1.1 기준 3년마다 타당성 검토(시행령 부칙). 입법예고: 방미통위 2026.5.12~5.27(lawSeq 86720), 재입법예고 2026.5.18~5.27(86778). [76][73][155]

④ 영향받는 대상: 직전 3개월 일평균 100만명 이상 SNS·포털·커뮤니티 등 대규모 정보통신서비스 제공자(신고 처리·이의신청·자율정책·6개월 보고서), 업으로 사실·의견을 전달하는 대통령령 기준 게재자(정보게재 수·구독자 수·조회 수 등)(5배 가중배상·10억원 과징금), 모든 게시자(허위조작정보·혐오선동 금지), 언론사(조치 대상 제외), 사실확인 단체. [69][73]

⑤ 학계·현장 평가

• 입법 전 논쟁: NARS 김여라(2020.6.4, F7) — 제20대 국회 관련 법안 "약 43건", 규제는 "표현의 자유를 침해하거나 위축시킬 수 있다는 우려가 있으므로 … 신중", 정의·범위 명확화, 사업자 책임 부여는 "효율적일 수 있"으나 대상·범위·제재 논의 필요, 미디어 리터러시 교육. 황성기(2021, F8) — 윤영찬 의원안(2020.7.22, 허위사실·불법정보 손해 3배 징벌적 손해배상)은 "체계정당성원칙, 명확성원칙, 과잉금지원칙에 반할 가능성이 높"고, 양기대 의원안(2020.11.5, 신고만으로 게시판 운영제한)은 "과잉금지원칙에 반할 가능성이 매우 높다". NARS 최진응(2022.7.5, F9) — 사이버폭력 법적 정의 + "형사규제가 아닌 플랫폼의 책임을 강화하는 행정규제", "민간차원의 자율규제를 제도화". 이승선(2023, F10) — 제21대 국회 개정안 "94개 전체" 중 48개 분석, 중복·집행가능성 결여, "'임의의 임시조치'나 '자율규제'에 대해 면책 규정" 보완 시도 부재 → 자율규제 영역의 법적 강제 자제. 김민정(2025, F11) — 허위조작정보는 "too abstract to serve as a singular legal category", 발의안 구성요건에도 "substantial room for arbitrary interpretation". 박용숙(2022, H4) — 형법·정보통신망법 해석으로 개인적 법익 침해에 대처 가능해 "독일과 같이 네트워크집행법을 제정하지 않고도 효과를 거둘 수 있다". 학술
• 개정 후 평가(2026): 황용석(F13) — 조항은 "2025년 12월 24일 국회를 통과하고 2026년 7월 7일부터 시행될 예정", "허위성과 조작성은 동일한 인식론적 범주가 아니다", "현행 법은 메시지를 규율하지만 허위조작정보의 사회적 피해는 시스템에서 발생한다", 플랫폼 자율규제는 "역량과 유인 두 차원 모두에서 구조적 한계". 이희옥(F14) — 대규모 사업자의 자율운영정책·투명성 보고 의무 등을 정리하고, 플랫폼 매개 "간접규제 체계는 국가가 플랫폼을 매개로 사실상의 검열", 명확성 원칙 위반 소지, "'디지털 사전금지' 등 사적 검열 구조가 고착화" 우려. KISO 「혐오표현 자율정책 가이드라인」(2023.4)·「허위조작정보 자율정책 가이드라인」 초안(2026.4) 언급. 정필운(F15) — 허위정보는 "객관적으로 검증 가능한 사실명제", 조작정보는 "평균적 수용자 기준", 공공의 이익은 금융시장 신뢰·민주적 의사형성 공정성·재난 대응 등으로 엄격 한정하는 합헌적 축소해석론. 이원상(F16) — 불법정보 요건 추가로 사이버 명예훼손 처벌범위가 "다소 확장", "'인간으로서의 존엄성을 현저히 훼손하는 정보'라는 요건 등은 형법의 명확성원칙을 위배할 위험성", 5배 배상·10억원 과징금·필요적 몰수추징 정리. 김슬기(F17) — UN·OECD의 "정보무결성(Information Integrity)" 패러다임, 투명성 보고·"사실확인 단체와의 협력체계 구축" 평가, 투명성·데이터 접근성·다층 거버넌스 제언. 오병일(F18, 시민사회 관점)·『언론중재』 180호 관련 글은 서지만. NARS 최진응(2026.9.22, F19) — "7.7. 정보통신망법 이후 국내의 인터넷 내용규제 체계는 여전히 국가주도 모델을 유지하면서도 민간의 법적 책임도 강화하여 온라인 공론장에서 표현의 자유를 크게 제약할 수 있다는 우려", "온라인 안전법 제정을 통해 인터넷 내용규제 주체를 국가주도에서 민관공동으로 전환". 학술
• 언론·시민단체 반응(보도): 한국기자협회보(2025.12.20) — 법사위가 '허위정보'와 '조작정보'를 나눠 "내용 일부만 거짓인 정보라도" 유통을 금지했다는 비판, 과방위 대안의 "권력자의 징벌적 손배 청구 제외" 조항 삭제 비판, 사실적시 명예훼손 폐지 요구는 법사위에서 "사생활과 관련된 경우에만" 남기는 방향 보도, 허위사실 명예훼손의 친고죄 전환 무산, 전국언론노동조합 성명(12.19) "개악" 규탄. 경향신문 사설(2025.12.24) — 정의 모호성, 정치인·고위공직자·대기업 임원 미배제, '입틀막 소송' 남발 우려, 인터넷 기사 심의에 따른 이중처벌 논란, 대통령 재의요구권 행사 촉구. 2차 [167][168]
• 헌법적 선례 해석: 헌재 2010.12.28. 2008헌바157 등은 전기통신기본법 허위통신죄("공익을 해할 목적")를 "그 의미가 불명확하고 추상적"이라며 위헌으로 결정했습니다. 2026 허위조작정보 조항과의 관계는 공식 문서에서 확인하지 못했습니다. 위헌 소송 제기 여부도 미확인. [125]

3-40. 일부개정 — 법률 제21500호 (2026.3.31 공포 / 2026.10.1 시행, 정보보호수준 평가 2027.4.1) ★침해사고 대응 전면 강화

① 배경·계기

• 개정이유(원문): "최근 주요 이동통신사와 금융회사 등을 대상으로 심각한 침해사고가 발생하였거나 발생 의심 정황이 있어 이용자의 피해도 계속하여 발생하고 있는바, 침해사고의 예방과 사고 발생 시 신속한 대응, 피해자 구제를 위한 법적 기반을 강화하려는 것임." [71]
• 정부의 공식 인과 설명: 과기정통부 보도자료(2026.9.30 배포, 10.1 조간) "이번 정보통신망법 및 시행령 시행은 작년 연이은 대형 침해사고 발생을 계기로 발표된 '범부처 정보보호 종합대책'을 제도적으로 뒷받침하기 위한 것". 이 공식 문서가 계기를 명시하므로 2025 통신사 등 침해사고 → 2026 개정의 인과관계는 사실로 적습니다. 다만 보도자료가 SKT·KT·LGU+를 이름으로 거명했는지는 추출 텍스트 일부 잘림으로 미확인-부분. [137]
• 범부처 정보보호 종합대책(2025.10.22): CEO 보안책임 명문화, 정보보호 등급제, 「국가 사이버안보 전략」 연내 수립 예정, 1,600여개 IT 시스템 점검, 해킹 지연신고 등 과태료·과징금 상향·이행강제금·징벌적 과징금. 점검 대상에 "보안 인증 제도(ISMS) 인증기업 949개". 1차-정부 [142][143]
• 국회 경과: 의안 2214896(대안, 과학기술정보방송통신위원장, 제안 2025.12.4), 과방위 대안가결 2025.11.24, 법사위 수정가결 2025.12.3, 본회의 2026.3.12 원안가결, 정부이송 2026.3.20. 과기정통부 KT·LGU+ 보도자료(2025.12.29)의 "CISO의 정보보호 인력·예산 편성권, 이사회에 정보보호 현황 보고 등 권한을 강화하는 정보통신망법 개정이 진행 중인 상황('25.12.3 법사위 통과)"과 일치. 과기정통부(2026.3.24)는 국무회의 의결과 3.12 국회 통과, 20여 개 법안 통합을 알렸습니다. 로펌 자료(세종 2차, BKL 검색요약)의 "2026년 3월 12일 본회의 통과"도 일치. [84][85][131][138][176][177]
• 공포: 대통령 이재명, 국무총리 김민석, 과기정통부 장관 배경훈, 행정안전부 장관(방송미디어통신위원회 소관) 윤호중. [71]

② 주요 개정사항 (개정이유 가~자 + 개정문 원문)

• 과징금 표현의 차이: 법률 제48조의8은 "대통령령으로 정하는 매출액"의 3%이고, 과기정통부 보도자료는 "관련 매출액의 3% 범위 내", 세종 뉴스레터는 "매출액 3% 이하"로 적었습니다. 법률 원문을 기준으로 삼습니다. [71][137][176]
• 제76조 호 번호 주의(교차검증): 2026.10.2 시행본에서는 ISMS 미인증 = ②6의5, IDC 시정명령 불이행 = ②6의4이고, 2027.4.1 시행본에서는 정보보호수준 평가 자료제출 거부 = ②6의4, 제46조③ 시정명령 = ②6의5, ISMS 미인증 = ②6의8입니다(개정문 "제6호의4 및 제6호의5를 각각 제6호의5 및 제6호의8로"). law.go.kr 편집상 단계 시행이 반영된 결과로 보입니다 해석. 인용 시 시행일별 본문을 지정해야 합니다. 세종 뉴스레터 검색요약의 "제76조제2항제6호의8(평가 벌칙)" 표기는 부칙 원문 "제76조제2항제6호의4"와 달라 1차 원문을 따릅니다. [1][2][71][176]
• 2026.10.1 이전 자료의 "제76조제1항·제2항·제3항"은 지금의 제2항·제3항·제4항에 해당합니다(부칙 제10조가 「인터넷주소자원에 관한 법률」 인용을 그렇게 고침). [71]

③ 시행일·부칙 (원문)

제1조(시행일) 이 법은 공포 후 6개월이 경과한 날부터 시행한다. 다만, 제45조의5 및 제76조제2항제6호의4의 개정규정은 공포 후 1년이 경과한 날부터 시행한다.

제2조(정보보호 관리체계의 인증취소에 관한 적용례) 제47조제10항제4호의 개정규정은 이 법 시행 이후 정보보호 관계 법령의 중대한 위반사유가 발생한 경우부터 적용한다.

제3조(정보보호 관리체계 인증의 차등적용 등에 관한 적용례) 제47조의7제2항부터 제4항까지의 개정규정은 이 법 시행 이후 제47조제1항 또는 제2항에 따른 인증을 받으려는 자부터 적용한다.

제4조(침해사고 이용자 통지에 관한 적용례) 제48조의3제4항의 개정규정은 이 법 시행 이후 대통령령으로 정하는 침해사고가 발생한 경우부터 적용한다.

제5조(침해사고의 원인 분석 등에 관한 적용례) 제48조의4제1항ㆍ제2항 및 제4항부터 제7항까지의 개정규정은 이 법 시행 이후 침해사고가 발생하거나 침해사고가 발생하였다고 의심할 만한 정황이 있는 경우부터 적용한다.

제6조(이행강제금에 관한 적용례) 제48조의7의 개정규정은 이 법 시행 이후 … 시정명령을 따르지 아니하거나 … 자료를 제출하지 아니하거나 거짓으로 제출하는 경우 또는 사업장 출입 및 조사를 방해하거나 거부 또는 기피하는 경우부터 적용한다.

제7조(과징금의 부과에 관한 적용례) ① 제48조의8의 개정규정은 이 법 시행 이후 최초로 정보통신서비스 제공자의 고의 또는 중과실로 인하여 침해사고가 5년 이내의 기간 동안 2회 이상 발생한 경우부터 적용한다. ② 제50조의9 및 제50조의10의 개정규정은 이 법 시행 이후 제50조의9제1항의 개정규정에 따른 위반행위가 발생한 경우부터 적용한다.

제8조(침해사고로 인한 이용자 피해구제에 관한 적용례) 제48조의10의 개정규정은 이 법 시행 이후 침해사고가 발생한 경우부터 적용한다.

제9조(과태료에 관한 경과조치) 이 법 시행 전의 행위에 대한 과태료를 적용할 때에는 종전의 규정에 따른다.

제10조(다른 법률의 개정) 「인터넷주소자원에 관한 법률」 제15조제2항 인용 항 번호 정비.

1차-법령 [71]

• 함의: 부칙 제9조 때문에 2026.10.1 전 위반(SKT·KT·쿠팡·티빙 신고 지연)에는 종전 "3천만원 이하"가 적용된다고 과기정통부 보도자료들이 적시했습니다. 반복 침해사고 과징금은 "시행 이후 최초로" 5년 내 2회 이상 발생한 경우부터 적용되므로, 시행 전 사고만으로는 부과 근거가 되지 않는 것으로 읽힙니다 해석. [71][130][131][133][134]
• 하위법령: 시행령 대통령령 제36735호(2026.9.30 공포, 2026.10.1 시행): 정보보호 인력·예산 대상, ISMS 강화적용 대상, 침해사고조사심의위원회, 이용자 통지방법, 반복사고 과징금 산정. 과기정통부 설명(2026.9.30): CISO 임원 격상(중기업 예외), 정보보호위원회 의무, ISMS 강화인증(전년도 매출 1조원 이상 통신사 등, 3조원 이상 정보통신서비스 제공자 등), 침해사고조사심의위원회 15명, 이행강제금 1일 평균 매출액의 0.02%, "고의 또는 중과실로 반복적인 침해사고를 일으킨 사업자에게는 … 관련 매출액의 3% 범위 내에서 과징금". KDI 게재본은 CISO 임원 지정에 6개월 유예를 적었습니다. [74][137]
• 이행강제금 두 값: 법률 상한 = 1일 평균매출액의 1만분의 3(0.03%), 시행령 부과기준 = 1만분의 2(0.02%)(별표 5의2) — 상한과 부과기준의 차이로 모순이 아닙니다. [71][73][74][137]
• 스팸 과징금 부과기준: 중대성 3단계(매우 중대·중대·보통), 관련 매출액 1~6%, 정액 1억~20억원 — 방송미디어통신위원회 2026.9.9 의결, "10월 1일 공포·시행 예정", 시행령 제64조의2(2026.9.30 신설). 전송자격인증 미취득자 위탁 과태료 최대 3천만원(입법예고안, 2026.8.3~8.25). 1차-정부 [146][147][154][73]

④ 영향받는 대상: 통신사(주요정보통신서비스 제공자 — 인력·예산, 매출 1조원 이상 강화인증), 매출 3조원 이상 정보통신서비스 제공자, 최근 3년 내 민관합동조사·반복사고 과징금을 받은 사업자(강화인증), 중기업 제외 모든 CISO 지정 의무 사업자(임원 CISO·이사회 보고), 자산·매출 기준 사업자(정보보호위원회), 침해사고를 겪은 모든 정보통신서비스 제공자(24시간 신고·이용자 통지·조사 협조), 대량문자 위탁자(전송자격인증 사업자 이용), 2027.4.1부터 정보보호수준 평가 대상자. [71][73][137]

⑤ 학계·현장 평가

• NARS 박소영(2025.5.7, G3): SKT 사태는 "이동통신망 핵심부가 해킹될 경우 사회 전반에 심대한 영향을 미칠 수 있음에도 기업과 정부의 대처가 미흡한 현실", 입법과제로 유출 통지의무, 정부의 경보 조치·조사 권한, 피해자 보호 조치. NARS 강은수(2025.5.21, G4): "2012년과 2014년 KT, 2023년 LG유플러스 해킹 사고에 이어 2025년 4월 SKT 해킹 사고까지" 반복은 "구조적 문제", 원인은 정보보호 투자 미흡·"정보보호 인증제도 실효성 미흡"·주요정보통신기반시설 미지정, 개선안은 망법 개정을 통한 투자 확대·인증 실효성 제고와 「정보통신기반 보호법 시행령」 개정. NARS 박소영(2025.11.26, G6): 소액·다수 피해 구제 한계, 집단소송제·공중피해보상조치·동의의결제(목차, 결론 미확인). NARS 강은수·박소영(2026.3.26, G7): "반복된 2025년 사이버 침해사고: '기법' 아닌 '기본'의 문제", 사전예방·사후대응 과제, "정부와 국회의 역할: 사후조사를 넘어서는 선제적 대응"(목차). 학술
• 이부하(2025, A6): EU NIS-2의 "24시간 조기경보, 72시간 초기평가, 1개월 최종보고"를 소개하고, 개인정보 관련 법의 통합·일원화, 불법정보 차단 절차 간소화, 침해사고 신고의무·절차 명확화, 이용자 피해구제의 간이·신속 절차를 제시. 학술
• 과징금 설계 비판(개인정보 보호법 대상): 김태오(2026, G10) — SKT·쿠팡 사건에서 "경제적 이득이 없음에도 매출액에 비례하여 수천억 원의 과징금"이 부과되어 과징금이 "'매출액 기준 비례 제재금'으로 전환", 일본 2026 개정방침 비교. 배기철(2026, G11) — 안전조치의무 위반과 유출을 구분하지 않는 "결과책임적 구조", "전체 매출액을 기준으로 하는 현행 산정 방식"이 비례성·예측가능성을 해치고 "사전예방적 보안투자보다는 사후적인 법적 대응에 치중"하게 할 우려. 이 비판이 정보통신망법 침해사고 과징금(제48조의8)에도 그대로 적용되는지는 문헌에서 직접 확인되지 않았습니다. 학술
• 로펌 자료: 법무법인(유) 세종(2026.3.19, G8)은 개정안 주요 내용과 함께 추가 발의안으로 김소희 의원안(2025.11.12, 신고 지연 일수에 따른 과태료 가산)과 김용만 의원안(2026.2.9, 수사기관 고지)을 소개. 처리 결과는 미확인. 2차 [176]

3-41. 일부개정 — 법률 제21988호 (2026.9.29 공포 / 2026.10.2 시행) ★형사사법체계 개편 반영(현행 판)

① 배경·계기

• 개정이유(원문): "2026년 10월 2일 시행 예정인 「검찰청법」 폐지와 「공소청법」 및 「중대범죄수사청 조직 및 운영에 관한 법률」에 따라 수사와 기소가 제도적으로 분리되는 형사사법 체계가 마련됨에 따라, 2026년 8월 4일 우리나라 형사소송 절차의 기본법인 「형사소송법」을 개정하여 검사의 직접수사권을 폐지하고, 수사의 주체를 사법경찰관으로 일원화하며, 검사는 공소제기 및 공소유지를 담당하도록 하는 방향으로 형사사법 체계가 정비되었음. 이에 새로운 형사사법 체계와 맞지 않는 내용을 정비하려는 것임." [72]
• 국회: 의안 2221268(한준호의원 등 11인, 제안 2026.9.9), 법사위 원안가결 2026.9.16, 본회의 2026.9.17 수정가결, 정부이송 2026.9.18. 찬 156·반 49는 열려라국회 기준 2차 (이번 API로는 표결 수 미확인). 수집 단계의 "2221268과 제21988호의 동일 여부 미확인"은 공포일 일치로 해소. [84][85][175]

② 주요 개정사항 (개정문 원문)

③ 시행일·부칙: "이 법은 2026년 10월 2일부터 시행한다." 이 판이 기준일 현재 시행 중인 현행 법률입니다(lsiSeq 290001). 같은 날 시행령은 타법개정 대통령령 제36728호(2026.9.29)가 현행. [72][73]

④ 영향받는 대상: 불법정보 심의 요청·전화번호 중지 요청 절차를 이용하는 수사·공소기관. [72]

⑤ 학계·현장 평가: 해당 문헌 없음.

3-42. 타법개정 28건 일람

다른 법률의 제정·개정 부칙으로 이 법의 문구가 바뀐 판입니다. "이 법 관련 개정 부분"은 원문 앞부분만 옮긴 것이 있고(특히 제8852·8867·14839·21066호는 대상 조문이 많아 일부만 인용), 국회 의안번호는 다른 법률의 의안이라 조사 범위 밖(→ 미확인)입니다. [1]

4. 관련 사고·사건 연대표 — 사고 → 입법 반응

인과 표시 규칙: 원문 명시 = 해당 법률의 개정이유(또는 정부 공식 문서)가 그 사건이나 그 유형을 직접 언급 / 보도 = 언론이 연결 / 해석 = 이 문서의 해석(시기만 맞고 개정이유가 사건을 거명하지 않음). 기관마다 수치의 단위·대상이 다르면 합치지 않고 기관명·단위(건/명)와 함께 나란히 적었습니다.

읽는 요령 — 인과 관계에 대해 확인된 것과 아닌 것

• 개정이유(또는 정부 공식 문서)가 사건·유형을 직접 언급한 것: 2002(스팸메일 급증), 2004.12(불법·유해정보와 무차별 광고에 대한 국민적 공감대), 2005(피싱), 2007(익명성 역기능·친북게시물), 2014.5(은행·카드사 1억 건), 2015.3(세월호), 2016.3(이동통신사·은행·카드사 대량 유출), 2018.12(디지털 성범죄), 2018.9(글로벌 사업자), 2020.6(텔레그램 N번방), 2024.12(딥페이크), 2026.3(주요 이동통신사·금융회사 침해사고 + 과기정통부의 "작년 연이은 대형 침해사고" 공식 설명). [16][19][21][25][40][43][47][53][51][60][66][71][137]
• 시기만 맞아 해석으로 둔 것: 1·25 인터넷 대란 → 2004, 옥션 → 2008, SK컴즈·넥슨 → 2012, 2022 데이터센터 화재 → 2023. 7·7 DDoS는 이 법의 특정 개정과의 연결 자체를 찾지 못했습니다(미확인).
• 회사명(옥션·SK컴즈·넥슨·KT·SKT·LGU+·쿠팡·티빙 등)과 특정 개정의 연결은 모두 보도 또는 해석입니다. 2026.3 개정이유도 "주요 이동통신사와 금융회사 등"이라고만 씁니다.
• 기관별 수치를 합치지 않는 이유: 과기정통부는 정보통신망법상 침해사고 조사(IMSI 건수·계정 수 등)를, 개인정보보호위원회는 「개인정보 보호법」상 처분(정보주체 수)을 기준으로 셉니다. SKT 2,696만 건 vs 23,244,649명, KT 22,227명 vs 16,647명, 쿠팡 33,673,817건 vs 약 3,755만 명은 단위·대상이 달라 하나로 합치거나 "약 2,300만~2,700만 명"처럼 섞어 쓰지 않습니다. 차이의 산식은 두 기관 문서 모두 설명하지 않습니다(미확인). [130][131][133][156][157][158]

5. 주요 판례·헌법재판소 결정

대법원 판결은 law.go.kr 판례 원문(precSeq)으로, 헌법재판소 결정은 law.go.kr 결정 원문으로 확인하고 선고일은 헌법재판소 판례검색 데이터와 대조했습니다(28건 중 27건 일치, 2018헌마456만 정정). [129]

5-1. 헌법재판소 — 정보통신망법 조항 대상 (23건)

5-2. 헌법재판소 — 관련 법률(비교·맥락) (5건)

• D27 선고일 정정: law.go.kr 결정문 머리글은 "2021. 1. 26."이지만(본문 다른 곳에 이 날짜 없음), 헌법재판소 판례검색 데이터는 date: 20210128, 제목 "공직선거법 제82조의6 제1항 등 위헌확인 등 [2021. 1. 28. 2018헌마456, 2020헌마406, 2018헌가16(병합)]"입니다. 뉴스토마토(2021.1.28)도 "헌재는 28일 … 재판관 6대 3의 의견으로 위헌 결정"이라 보도. 헌재 자체 데이터를 우선해 2021.1.28로 적고, law.go.kr 머리글은 표기 오류로 봅니다. [127][129][170]

5-3. 대법원 (13건 + 관련)

• P12 피고 정정: 판결문 당사자란은 "【피고, 상고인】 개인정보 보호위원회(경정 전 피고: 방송통신위원회)". 처분청은 방송통신위원회이고, 상고심 피고는 2020.8.5 사무 승계에 따라 경정된 개인정보 보호위원회입니다. 수집 단계의 "[해석: 사건명과 주문의 비용부담으로 판단]" 표시는 지웁니다. [98]
• P12 처분 내용 정정: 원심 주문 "피고가 2014. 6. 26. 원고에 대하여 한 '과징금 7,000만 원 부과'처분을 취소한다." 처분 근거 "구 정보통신망법 제64조의3 제1항 제6호". 8,500만원(코리아중앙데일리 2014.6.26)은 과징금 액수가 아니며, "과태료 1,500만원과 합하면 8,500만원"이라는 설명은 과태료가 1차 출처로 확인되지 않아 해석에 그칩니다. 재판부 "제3부"(아시아경제 2021.9.13 보도)는 1차 원문에서 확인하지 않았습니다. 2021.9.13은 보도일입니다. [99][166][172]
• 인터파크 선고일: 바이라인네트워크(2020.3.19)·보안뉴스는 대법원이 2020.3.18 심리불속행 기각했다고 보도했으나, 헌재 결정문(1차)은 2020.3.12입니다. 이 문서는 2020.3.12를 쓰고, 3.18은 보도 날짜로만 적습니다. law.go.kr 판례 DB에 2019두60851·2020아506·원심·1심 검색 결과 0건(심리불속행 판결은 보통 미수록 해석). [120][171]

5-4. 주요 결정·판결 요지 (판시사항·결정요지 원문 발췌)

D3 헌재 2012.8.23. 2010헌마47 등 — 인터넷 본인확인제 위헌

• 주문: "'정보통신망 이용촉진 및 정보보호 등에 관한 법률'(2008. 6. 13. 법률 제9119호로 개정된 것) 제44조의5 제1항 제2호, … 시행령 … 제29조, 제30조 제1항은 헌법에 위반된다."
• 결정요지: "이 사건 법령조항들이 표방하는 건전한 인터넷 문화의 조성 등 입법목적은, 인터넷 주소 등의 추적 및 확인, 당해 정보의 삭제ㆍ임시조치, 손해배상, 형사처벌 등 … 다른 수단에 의해서도 충분히 달성할 수 있음에도 … 침해의 최소성이 인정되지 아니한다." "본인확인제 시행 이후에 명예훼손, 모욕, 비방의 정보의 게시가 표현의 자유의 사전 제한을 정당화할 정도로 의미 있게 감소하였다는 증거를 찾아볼 수 없는 반면에 … 게시판 이용자의 개인정보가 외부로 유출되거나 부당하게 이용될 가능성이 증가".
• 결론부: "관여 재판관 전원의 일치된 의견으로 주문과 같이 결정한다." 사건개요: 청구인들이 2009.12.30과 2010.1.17 유튜브·오마이뉴스·와이티엔 게시판에 익명 댓글을 쓰려다 본인확인 절차에 막힘. [103]

D4 헌재 2012.5.31. 2010헌마88 / D13 헌재 2020.11.26. 2016헌마275 등 — 임시조치 합헌(기각)

• D4 판시사항: 제44조의2제2항 중 '임시조치' 부분 및 제4항이 "과잉금지원칙에 위반되어 청구인의 표현의 자유를 침해하는지 여부(소극)". 결정요지: "'사생활'이란 이를 공개하는 것 자체로 침해가 발생하고 … 빠른 전파가능성으로 말미암아 사후적인 손해배상이나 형사처벌로는 회복하기 힘들 정도의 인격 파괴가 이루어질 수도 있어, 정보의 공개 그 자체를 잠정적으로 차단하는 것 외에 … 입법목적을 효과적으로 달성할 수 없다." [104]
• D13은 같은 결론을 유지(명확성 원칙·과잉금지 모두 소극, 재판관 3인 반대). [113]

D8 헌재 2016.2.25. 2013헌바105 등 / D22 헌재 2023.9.26. 2021헌바281 등 — 사실적시 명예훼손(제70조제1항) 합헌

• D8 결정요지: "'비방할 목적'은 고의 외에 추가로 요구되는 주관적 구성요건요소로서 사람의 명예에 대한 가해의 의사나 목적을 의미한다. … '비방할 목적'과 공공의 이익을 위하여 사물의 옳고 그름에 대한 판단을 표현하는 '비판할 목적'은 서로 구별되는 개념". (반대: 김이수·강일원) [108]
• D22 결정요지: "진실한 사실이라도 사람을 비방할 목적으로 정보통신망을 통하여 이루어지는 명예훼손적 표현은, 정보통신망이 갖는 익명성과 비대면성, 빠른 전파가능성으로 말미암아 개인에 대한 정보가 무차별적으로 살포될 가능성". (반대: 유남석·김기영·문형배·김형두 4인) [122]
• 비교: D26 헌재 2021.2.25. 2017헌마1113은 형법 제307조제1항(일반 사실적시 명예훼손)에 대한 합헌 결정 — "'징벌적 손해배상'이 인정되는 입법례와 달리 우리나라의 민사적 구제방법만으로는 형벌과 같은 예방효과를 확보하기 어려우므로". (반대 4인) 흔히 말하는 "2021 사실적시 명예훼손 결정"은 이 형법 사건입니다. [126]

D12 헌재 2021.3.25. 2015헌바438 등 — 허위사실 명예훼손(제70조제2항) 합헌

• 결정요지: "'외적 명예'라는 보호법익의 특성과 익명성ㆍ비대면성ㆍ전파성이 크다는 '정보통신망'이란 매체의 특성을 고려하여, '비방할 목적'이란 초과주관적 구성요건과 '공공연한 거짓 사실의 적시'라는 행위태양이 충족되는 범위에서 명예훼손적 표현행위를 한정적으로 규제". 법정형(7년 이하 징역 등)도 평등원칙 위반 아님. 2026 개정(제21305호)으로 이 조항의 벌금 상한이 7천만원으로 올라갔습니다(시행 이후 행위부터). [112][69]

D6 헌재 2014.9.25. 2012헌바325 / D7 2015.10.21. 2012헌바415 — 불법정보(제44조의7)

• D6 판시사항: 제44조의7제1항제8호(국가보안법에서 금지하는 행위를 수행하는 내용의 정보)가 명확성원칙(소극)·언론의 자유 침해(소극)·권력분립 위반(소극). 결정요지 "인터넷 매체는 기존의 통신수단과는 차원이 다른 신속성, 확장성, 복제성". 전원 일치. [106]
• D7 결정요지: "웹호스팅 서비스의 중단, 즉 웹사이트 폐쇄는 해당 정보의 '취급거부'에 포함된다고 보아야 한다." (반대: 이정미·김이수) [107]

D2 헌재 2009.5.28. 2006헌바109 등 — 음란 정보 합헌 및 선례 변경

• 결정요지: "이 사건 법률조항의 음란표현은 헌법 제21조가 규정하는 언론ㆍ출판의 자유의 보호영역 내에 있다고 볼 것인바, 종전에 이와 견해를 달리하여 … 판시한 우리 재판소의 의견(헌재 1998. 4. 30. 95헌가16 …)을 변경한다." [102]

D17 헌재 2022.12.22. 2019헌마654 — 공공기관 게시판 본인확인 합헌(기각)

• 결정요지: "공공기관등이 설치운영하는 게시판의 경우 본인확인조치를 통해 책임성과 건전성을 사전에 확보함으로써 해당 게시판에 대한 공공성과 신뢰성을 유지할 필요성이 크며". (반대 4인) → 2012 위헌은 민간 게시판(제2호)에 한정되고 공공기관 게시판(제1호)은 존치·합헌. [117]

D27 헌재 2021.1.28. 2018헌마456 등 — 공직선거법 선거기간 인터넷 실명확인 위헌

• 결정요지: "인터넷홈페이지의 게시판 등에서 이루어지는 정치적 익명표현을 규제하는 것은 인터넷이 형성한 '사상의 자유시장'에서의 다양한 의견 교환을 억제". 반대 3인(이선애·이종석·이영진). [127]

D25 헌재 2010.12.28. 2008헌바157 등 — 전기통신기본법 허위통신죄 위헌

• 결정요지: "'공익'은 형벌조항의 구성요건으로서 구체적인 표지를 정하고 있는 것이 아니라, 헌법상 기본권 제한에 필요한 최소한의 요건 … 을 그대로 법률에 옮겨 놓은 것에 불과할 정도로 그 의미가 불명확하고 추상적이다." 사건: 2008.6.2 시위 관련 허위 글 게시로 기소. 2026 허위조작정보 조항(제44조의7제2항)과의 관계는 공식 문서에서 확인하지 못함 → 연결은 해석. [125]

D20 헌재 2022.5.26. 2020헌바259 — 유출 과징금(관련 매출액 3%) 합헌

• 판시사항: "이용자의 개인정보를 유출한 경우로서 정보통신서비스 제공자가 법률상 요구되는 기술적ㆍ관리적 보호조치를 하지 아니한 경우 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있도록 한" 조항.
• 결정요지: "'위반행위와 관련한 매출액'은 위반행위로 인하여 취득한 이익만을 의미하는 것이 아니라 위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 매출액을 의미". "과징금부과조항은 법률에 명시된 보호조치를 하지 않은 경우에만 과징금을 부과할 수 있도록 하므로, … 지나친 제재를 가한다고 볼 수 없다." (반대: 이은애) [120]

D28 헌재 2025.10.23. 2021헌마290 등 — n번방 방지 사전조치 의무 기각

• 결정요지: "불법촬영물등 유통을 방지하기 위한 기술 변화와 우회 시도에 대응할 필요가 있으므로, 기술적ㆍ관리적 조치의 내용을 위임할 필요성이 인정". 전원 일치. [128]

D16 헌재 2021.7.15. 2018헌바428 — 악성프로그램(제48조제2항) 합헌

• 결정요지: "금지조항은 정보통신망의 안정성 및 정보의 신뢰성을 저해하는 침해사고가 증가하자 그러한 저해행위를 금지하고 정보보호 관리체계를 확립하기 위하여 도입되었다." 악성프로그램 여부는 "사용용도 및 기술적 구성, 작동방식, 정보통신시스템 등에 미치는 영향, 프로그램 설치에 대한 운용자의 동의 여부 등을 종합적으로 고려하여 판단". 사건: 퀵서비스 배차 프로그램 소스코드 변경. [116]

D11 헌재 2016.12.29. 2014헌바434 / D23 2026.5.21. 2025헌바130 — 사이버스토킹 합헌

• D11 결정요지: "형법상 협박죄는 해악의 고지를 그 요건으로 하고 있어서, … 소위 '사이버스토킹'을 규제하기는 불충분". 사건: 256회 문자 전송. [111]
• D23: 대상 조항을 "2026. 1. 6. 법률 제21305호로 개정되기 전의 것"으로 특정, "관여 재판관 전원의 일치된 의견"으로 합헌. 스토킹처벌법상 스토킹범죄와 함께 성립할 수 있어도 형법 제40조로 처리 가능하다고 설시. 당해사건은 대법원 2024도11541. [123]

P5 대법원 2009.4.16. 2008다53812 전원합의체 — 포털의 게시물 삭제·차단 의무

• 판결요지 (2) 다수의견: "명예훼손적 게시물의 불법성이 명백하고, 위 사업자가 … 피해자로부터 구체적·개별적인 게시물의 삭제 및 차단 요구를 받은 경우는 물론, 피해자로부터 직접적인 요구를 받지 않은 경우라 하더라도 그 게시물이 게시된 사정을 구체적으로 인식하고 있었거나 그 게시물의 존재를 인식할 수 있었음이 외관상 명백히 드러나며, 또한 기술적, 경제적으로 그 게시물에 대한 관리·통제가 가능한 경우에는, … 삭제하고 향후 같은 인터넷 게시공간에 유사한 내용의 게시물이 게시되지 않도록 차단할 주의의무가 있고, … 부작위에 의한 불법행위책임이 성립한다."
• 별개의견(대법관 박시환, 김지형, 전수안): 삭제의무를 "'구체적·개별적으로 특정'하여 '삭제하여 달라는 요구'를 받았고 … 불법성이 '현존'하는 것을 '명백'히 인식"한 경우 등으로 제한. 피고 엔에이치엔 주식회사 외 2인(상고인)(판결 이유상 (주)다음커뮤니케이션 등). [91]

P9 대법원 2015.2.12. 2013다43994, 44003 — 옥션

• 피고 "주식회사 이베이옥션의 소송수계인 주식회사 이베이코리아 외 1인". 판시사항 (2): 정보통신부장관이 마련한 "'개인정보의 기술적·관리적 보호조치 기준'에서 정하고 있는 기술적·관리적 보호조치를 다한 경우, … 의무를 위반하였다고 볼 수 있는지 여부(원칙적 소극)". 판결요지: "해킹 등 침해사고 당시 사회통념상 합리적으로 기대 가능한 정도의 보호조치를 다하였는지 여부를 기준으로" 판단. 판결문에는 유출 인원·건수가 없습니다. [95]

P10 대법원 2018.1.25. 2015다24904 등 — SK컴즈(네이트·싸이월드)

• 판결 제목: "네이트ㆍ싸이월드 회원들의 개인정보 유출로 인한 손해배상 청구사건". 판시사항 (2): 고시(방송통신위원회 고시 제2011-1호)의 보호조치를 다한 경우 원칙적으로 의무 위반 아님(원칙적 소극), 다만 "고시에서 정하고 있는 기술적·관리적 보호조치를 다하였더라도 위법행위로 평가되거나 민법 제760조 제3항에 따른 책임을 부담하게 되는 경우"를 설시. 판시사항 (3): "작업 종료 후 로그아웃을 하도록 하는 것은 보호조치 의무에 해당하지만, 위와 같은 보호조치의 미이행과 해킹사고의 발생 사이에 상당인과관계가 인정되지 아니하여 … 손해배상책임이 인정되지 않는다고 한 사례". [96]

P12 대법원 2021.8.19. 2018두56404 — KT 홈페이지 해킹 과징금

• 사실관계: 해커가 "파로스 프로그램"으로 파라미터를 변조해 "2013. 8. 8.부터 2014. 2. 25.까지 위 과정을 반복하며 11,708,875건의 개인정보를 유출"(회사명은 가려짐). 판시사항 (1): 고시 제4조제9항의 "'개인정보처리시스템'의 의미 및 개인정보처리시스템에 데이터베이스(DB)와 연동되어 개인정보의 처리 과정에 관여하는 웹 서버 등이 포함되는지 여부(적극)". 판결요지 (2): 의무는 "해킹 등 침해사고에 의해 유출되지 않도록 개인정보처리시스템과 개인정보취급자의 컴퓨터에 취하여야 할 사회통념상 합리적으로 기대 가능한 정도의 기술적 보호조치"이고, 이행 여부는 당시 보안기술 수준, 업종·규모, 설계 단계 보안대책과 검증 등을 "종합적으로 고려하여 판단". [98]

P1 대법원 2005.11.25. 2005도870 / P13 대법원 2022.5.12. 2021도1533 / P6 2010도63 — 제48조제1항 정보통신망 침입

• P1 판결요지 (1): 제48조제1항은 구 전산망법·구 정보통신망법과 달리 "보호조치를 침해하거나 훼손할 것을 구성요건으로 하지 않고 … 부정한 방법으로 타인의 식별부호(아이디와 비밀번호)를 이용하거나 … 침입하는 행위도 금지". (2): "접근권한을 부여하거나 허용되는 범위를 설정하는 주체는 서비스제공자". [87]
• P13 판결요지 (1): 같은 법리를 재확인하며 "정보통신망에 대하여 서비스제공자가 접근권한을 제한하고 있는지 여부는 보호조치나 이용약관 등 객관적으로 드러난 여러 사정을 종합적으로 고려하여 신중하게 판단하여야 한다." [100]
• P6: 온라인 게임 계정 양도 사안에서 "정보의 귀속은 정보통신서비스 제공자에 의하여 그 접근권한이 부여되거나 허용된 자가 누구인지에 따라" 정한다며 원심 파기. [92]

P2·P7·P8·P11 — 제49조 비밀 침해·누설

• P2(2006도6389) 이유: "제49조에서 말하는 타인의 비밀이란 일반적으로 알려져 있지 않은 사실로서 이를 다른 사람에게 알리지 않는 것이 본인에게 이익이 있는 것을 의미한다(대법원 2006. 3. 24. 선고 2005도7309 판결 참조)." [88]
• P7(2010도2212): 미니홈피 방문자 추적 프로그램은 제48조제2항 악성프로그램에 해당하지 않으나(무죄 유지), 방문자 접속기록은 제49조의 "타인의 비밀"에 해당. [93]
• P8(2013도15457): 제49조 "타인의 비밀 침해·도용"의 의미를 다룬 상고기각 사건(요지 상세는 수집본에 없음). [94]
• P11(2017도15226) 판시사항 (1): "정보통신망으로 처리·전송이 완료된 다음 사용자의 개인용 컴퓨터(PC)에 저장·보관되어 있으나 정보통신체제 내에서 저장·보관 중인 것으로 볼 수 있는 비밀이 이에 포함되는지 여부(적극)". 사건명: "컴퓨터에 저장되어 있던 직장 동료의 사내 메신저 대화내용을 몰래 열람·복사한 행위". [97]

P3·P4 — 스팸(광고성 정보)

• P3(2008도7061) 판시사항: "핸드폰 가입자 유치 영업을 위하여 … 엑셀프로그램으로 다량의 전화번호를 자동 생성한 다음, 수회에 걸쳐 휴대폰 광고용 문자메세지를 전송한 행위가 … 제50조 제6항 제2호 위반죄에 해당한다고 한 사례". [89]
• P4(2009마817 등) 판시사항: 사전 동의 없이 전송된 광고에 표시된 "회신번호의 가입명의자가 '정보를 전송하게 한 자'로서 … 과태료 처분 대상자에 해당하는지 여부의 판단 방법" → 원심결정 파기환송. [90]

5-5. 판례 흐름 요약 (위 표의 내용만으로 정리)

1. 인터넷 실명제: 민간 게시판 본인확인(제44조의5①2)은 2012 전원 일치 위헌(D3) → 2014 법률에서 삭제. 공공기관 게시판(제1호)은 2022 합헌(D17). 선거기간 인터넷언론 실명확인(공직선거법)도 2021 위헌(D27). [103][40][117][127]
2. 임시조치: 2012(D4)·2020(D13) 두 번 합헌(기각) — 사생활 침해의 빠른 확산을 이유로 잠정 차단의 필요성 인정. 다만 2020 결정에서는 재판관 3인이 반대. [104][113]
3. 명예훼손: 사실적시(제70조①)는 2016(D8)·2023(D22, 4인 반대) 합헌, 허위사실(제70조②)은 2021(D12·D19) 합헌, 반의사불벌(제70조③) 2021(D15) 합헌. 2026 개정은 제70조①을 건드리지 않고 제70조② 벌금만 올렸습니다. [108][122][112][119][115][69]
4. 불법정보·표현: 음란표현도 표현의 자유 보호영역(D2, 선례 변경), 국가보안법 위반 정보 규제 합헌(D6·D10), 웹사이트 폐쇄도 취급거부(D7), 사이버스토킹 처벌 합헌(D11·D23). 불온통신(D24)·허위통신(D25)은 위헌. [102][106][110][107][111][123][124][125]
5. 플랫폼 책임: 포털은 불법성이 명백하고 인식이 "외관상 명백히 드러나"는 경우 등에는 요청이 없어도 삭제·차단 의무(P5, 2009 전원합의체). n번방 방지 사전조치 의무 위임은 합헌 취지(D28). [91][128]
6. 보호조치·과징금: 옥션(P9)은 고시 준수 시 원칙적 면책·"사회통념상 합리적으로 기대 가능한" 기준, SK컴즈(P10)는 고시를 지켜도 위법일 수 있으나 인과관계 부정, KT(P12)는 웹 서버도 개인정보처리시스템이라면서도 보호조치 이행을 종합 판단해 과징금 취소 확정. 과징금 조항(관련 매출액 3%) 자체는 합헌(D20), 인터파크 과징금은 대법원에서 유지(2020.3.12, 헌재 결정문 기준). [95][96][98][120]
7. 침입·비밀 침해(제48조·제49조): 접근권한 판단 주체는 서비스제공자(P1·P13), 정보 귀속은 접근권한을 받은 자(P6), PC 저장 메신저 대화도 비밀 침해 객체(P11). [87][100][92][97]
8. 이 흐름이 특정 법 개정에 직접 영향을 줬다는 1차 출처는 본인확인제 삭제(현행 본문 주석이 위헌 결정을 명시)를 빼면 없습니다 → 나머지 연결은 해석. [1]

6. 감독기구와 집행

6-1. 감독기구 변천

현재(2026.10.21) 소관 분담 — 현행본 머리글 담당부서 + 조문상 권한 주체 [1]

한국인터넷진흥원(KISA) — 법정 근거 제52조 [1]

• 설립 목적(제52조①): "정보통신망의 고도화(…구축ㆍ개선 및 관리에 관한 사항은 제외)와 안전한 이용 촉진 및 방송통신과 관련한 국제협력ㆍ국외진출 지원을 효율적으로 추진하기 위하여" 설립. 법인(②), 민법 재단법인 규정 준용(⑤).
• 사업(제52조③ 1~23호) 중 집행 관련: 7호 ISMS 인증·정보보호시스템 평가·인증 등 / 8·9호 개인정보 보호 대책 연구·「개인정보 보호법」상 개인정보침해 신고센터 운영 / 10호 광고성 정보 전송·인터넷광고 고충 상담·처리 / 11호 "정보통신망 침해사고의 처리ㆍ원인분석ㆍ대응체계 운영" / 17·18호 인터넷주소자원 관리·분쟁조정위 지원 / 21호 본인확인업무·연계정보 정책 지원 / 23호 과기정통부·행안부·방미통위 등 위탁사업.
• 침해사고 신고 접수: "과학기술정보통신부장관이나 한국인터넷진흥원에 신고"(제48조의3①). ISMS 인증: "한국인터넷진흥원 또는 … 지정한 기관"(제47조⑥), 연 1회 이상 사후관리 + 현장·서면 병행(제47조⑧ 후단, 2026.3.31 신설). 자료제출·검사 위탁(제65조③), 매뉴얼 표준안 위탁(제48조의9②).

방송미디어통신심의위원회 — 불법정보 심의 [80][1]

• 설치: "정보통신의 올바른 이용환경 조성을 위하여 독립적으로 사무를 수행하는 방송미디어통신심의위원회"(방미통위법 제18조①). 직무: "「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제44조의7에 따른 사항의 심의"(제22조3호), 전기통신회선 유통 정보 중 대통령령 정보의 심의 및 시정요구(제22조4호).
• 망법상 연결: 방미통위는 제44조의7①1·2·2의2·3~6·6의2~6의4호 정보에 대해 "심의위원회의 심의를 거쳐" 처리 거부·정지·제한 명령. 7~9호(국가기밀·국가보안법·범죄)는 관계기관 요청 → 7일 이내 심의 후 시정요구 → 불응 시 명령. 명령 불이행은 2년 이하 징역 또는 2천만원 이하 벌금(제73조5호).

6-2. 주요 처분·조치표

(1) 과학기술정보통신부 침해사고 조사결과 — 정보통신망법 위반 확인 사항 1차-정부

• 과태료 실제 부과 금액·부과일(SKT·KT·쿠팡·티빙)과 수사의뢰 결과는 확정 발표를 찾지 못했습니다 → 미확인. 위 사건들은 개정법(2026.10.1) 시행 전 위반이라 종전 상한 3천만원이 적용된다고 보도자료가 적시합니다(부칙 제9조). [71][130][131]
• 통신 3사 비교(SKT 조사, '24년 공시 기준): 가입자 100만명당 정보보호 인력 SKT/SKB 15.0명(KT 25.1, LGU+ 14.3, 평균 17.7), 투자액 37.9억원(KT 90.8, LGU+ 57.5, 평균 57.4). [130]

(2) 같은 사고에 대한 개인정보보호위원회(「개인정보 보호법」) 처분 — 비교용 1차-PIPC

(3) 방송미디어통신위원회(구 방통위) 처분·지정 1차-정부

(4) 방통위 시기 개인정보 처분(2008~2020) — 교차검증 반영

• 방통위 의결서 원문·연도별 처분 통계(2008~2020)는 열람하지 못했습니다 → 미확인.

(5) 스팸(영리목적 광고) 관련 집행

6-3. 통계

(1) 침해사고 신고 건수 (KISA 신고·접수, 과기정통부 발표) 1차-정부

• 2023 상반기 랜섬웨어 "(134, 0.2%)" 표기는 원문 그대로이며 비율 표기 오류로 보입니다 해석. [136]

(2) 불법정보 심의·시정요구 (방송미디어통신심의위원회 통신심의 의결현황) 1차-정부

• 분야별 수치는 심의 건수 기준, "기타 법령 위반"은 불법금융·지적재산권·불법무기류 등. 2026년 상반기 표의 "2026년 제1차 통신심의소위원회 : 4월 16일(목)" 주석으로 보아 2026년 1~4월 중순 소위원회 공백이 있었던 것으로 보입니다 해석. 2025년 하반기·연간 통계는 게시판에서 찾지 못함 → 미확인. [153]
• 범정부(2026.9.22 관계부처 합동): 불법촬영물 유통 사이트 "5,077개 차단 시정요구 완료", 활성 불법사이트 6,683개 → 4,736개(29% 감소). [150]

(3) 스팸 유통현황: 2025 하반기 1인당 월평균 스팸 10.35통(문자 2.74·음성 4.26·이메일 3.35), 신고·탐지 2,367만건. 1차-정부 [145]

(4) ISMS 인증 기업 수 — 시점·집단을 구분해 적음

• 참고(국회 발언 보도, 2차): 2025.12.3 국회 정무위에서 "ISMS 인증을 받은 기업은 500여 개", "ISMS-P까지 받은 기업은 총 263개"(위원장 발언 보도), ISMS-P 인증기업 27곳에서 33건 유출(의원 발언). 집계 기준이 불명하고 국회 회의록을 열람하지 않아 위 949개와 대등하게 놓지 않습니다. [173]

(5) 정보보호 공시(「정보보호산업법」 — 간략): 현재 666개사 의무 → 2027.1.1부터 전체 상장사(SPAC 제외)·ISMS 의무자 등으로 확대(규제영향분석서 3,023개 추정), 소기업 2029.1.1. 「정보보호산업법 시행령」 2026.10.20 국무회의 통과. 1차-정부 [143]

(6) 본인확인기관 수 — 시점과 함께: 2025.2.28 방통위 "현재 NICE평가정보, 국민카드, 우리은행 등 총 24곳" / 2026.4.27 방미통위 "현재 나이스(NICE)평가정보, 농협카드, 우리은행 등 총 23곳". 증감 사유와, 2025.2.28 "24곳"에 그날 지정된 농협은행·기업은행이 포함되는지는 미확인. 심사기준: 87개 항목 중 중요 21개·계량 2개 '적합' + 나머지 64개 1,000점 만점 800점 이상. 1차-정부 [149][148]

6-4. 제재 체계의 변화 — 과태료·과징금·이행강제금·벌칙

(1) 큰 흐름: 형벌·과태료 중심 → 개인정보 과징금(2008~2020) → 이관 후 과징금 공백 → 2026 침해사고·스팸·허위조작정보 과징금 3종 + 이행강제금

(2) 현행 제재 수단 정리 (2026.10.2 시행본 기준) [1][73]

7. 영향받는 분야별 정리

기준: 법률 제21988호(2026.10.2 시행)·시행령 대통령령 제36728호(2026.10.2 시행), 일부 2027.4.1 시행본. [1][2][73] 아래 "분야"는 이해를 돕기 위한 분류이며 법이 이렇게 나누는 것은 아닙니다. 현행 기준치는 교차검증에서 원문과 모두 일치함을 확인했습니다(T1~T13).

7-1. 현행 주요 수치 기준 한눈에 보기

7-2. 분야별

8. 개인정보 보호법과의 관계 — 2011 분리, 2020 이관

8-1. 연혁 — 영역별 특별법에서 일반법으로

8-2. 무엇이 옮겨 갔고, 무엇이 남았나 (2020.2.4 제16955호 개정문 기준)