전기통신사업법 시행령

제개정이유 공식 원문 그대로

[일부개정]
◇ 개정이유
  정보통신서비스 이용자 정보의 유출ㆍ훼손 등 침해사고의 예방과 신속한 대응 및 피해자 구제를 위하여, 침해사고 발생 시 국민의 생명ㆍ신체 또는 재산에 중대한 위험을 초래할 우려가 있는 자에게 정보보호 관리체계 인증 기준 및 절차를 강화하여 적용할 수 있도록 하고, 과학기술정보통신부에 침해사고조사심의위원회를 두며, 정보통신서비스 제공자는 일정한 침해사고 발생 시 지체 없이 그 사실을 이용자에게 통지하도록 하는 한편, 침해사고가 반복적으로 발생한 정보통신서비스 제공자에 대해서는 과징금을 부과할 수 있도록 하는 등의 내용으로 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」이 개정(법률 제21500호, 2026. 3. 31. 공포, 10. 1. 시행)됨에 따라, 정보보호 관리체계 인증의 기준 및 절차를 강화하여 적용하는 대상자의 범위, 침해사고조사심의위원회의 구성ㆍ운영방법 및 이용자에 대한 침해사고의 통지방법을 마련하고, 침해사고가 반복적으로 발생한 정보통신서비스 제공자에 대한 과징금의 산정기준과 절차를 정하는 등 법률에서 위임된 사항과 그 시행에 필요한 사항을 정하려는 것임.
◇ 주요내용
  가. 정보보호 전문 인력 및 예산 확보 대상자(안 제36조의2제2항 및 제3항 신설)
    전기통신회선설비를 설치ㆍ보유하고 서울특별시와 광역시 등에서 정보통신망서비스를 제공하는 자, 정보보호 최고책임자를 지정하여 과학기술정보통신부장관에게 신고해야 하는 정보통신서비스 제공자 등을 정보보호 전문 인력과 예산의 확보를 위하여 노력해야 하는 대상자로 정함.
  나. 정보보호 최고책임자의 지정 및 신고(안 제36조의7제1항)
    「중소기업기본법」에 따른 중기업에 속하면서 전기통신사업자, 정보보호 관리체계 인증을 받아야 하는 자 등에 해당하는 정보통신서비스 제공자는 사업주, 이사, 정보보호 관련 업무를 총괄하는 부서의 장 등을 정보보호 최고책임자로 지정ㆍ신고하도록 함.
  다. 정보보호위원회의 구성 및 운영(안 제36조의10 및 제36조의11 신설)
    1) 정보보호 최고책임자를 지정ㆍ신고해야 하는 정보통신서비스 제공자는 의무적으로 정보보호위원회를 설치ㆍ운영하도록 함.
    2) 정보보호위원회는 정보보호 분야 전문 인력 및 예산 확보에 관한 사항 등을 심의하고, 정보보호위원회의 위원은 정보보호 및 개인정보 처리 업무 등 관련 부서의 장으로 구성하며, 정보보호위원회에서 심의한 결과는 최고경영자에게 보고하도록 함.
  라. 정보보호 관리체계 인증의 방법 및 강화적용 대상자의 범위(안 제47조제3항, 안 제55조의7제3항 신설)
    정보보호 관리체계 인증기관 또는 심사기관 등은 서면심사와 현장심사를 병행하는 방법으로 인증심사를 실시하도록 하고, 전년도 매출액이 1조원 이상인 주요정보통신서비스 제공자 및 집적정보통신시설 사업자 등에 대해서는 정보보호 관리체계 인증의 기준 및 절차 등을 강화하여 적용할 수 있도록 함.
  마. 침해사고조사심의위원회의 구성 및 운영 등(안 제58조의2부터 제58조의6까지 신설)
    1) 침해사고 발생 여부에 대한 조사 필요성이 인정되는 경우 그 조사의 범위ㆍ방식에 관한 사항 및 침해사고의 예보ㆍ경보ㆍ통지를 실시하기 위하여 필요한 조치의 요청 등에 관한 사항을 침해사고조사심의위원회의 심의사항으로 추가함.
    2) 침해사고조사심의위원회는 위원장을 포함한 15명 이내의 위원으로 구성하고, 과학기술정보통신부 소속 공무원 중 과학기술정보통신부장관이 지명하는 사람 및 한국인터넷진흥원에서 정보보호 업무를 담당하는 사람 등을 위원으로 임명하거나 위촉하도록 함.
    3) 침해사고조사심의위원회의 회의는 위원장이 필요하다고 인정하거나 과학기술정보통신부장관의 요청이 있는 경우 위원장이 소집하고, 위원장이 필요하다고 인정하는 경우 관련 분야 전문가를 회의에 참석하게 하여 의견을 들을 수 있도록 함.
  바. 정보통신서비스 이용자에 대한 침해사고의 통지(안 제58조의9 신설)
    정보통신서비스 제공자는 정보통신서비스의 장애가 발생하거나 기능이 중단된 상태가 2시간 이상 지속된 경우 또는 이용자 정보가 분실ㆍ도난ㆍ유출된 경우 등 침해사고가 발생하면 그 사고가 발생한 사실을 확인한 후 지체 없이 서비스 이용자에게 사고의 발생 일시, 원인 및 피해내용 등을 서면, 전화, 전자우편 등의 방법으로 통지하도록 함.
  사. 이행강제금 부과ㆍ징수 등 기준(안 제60조의10 및 별표 5의2 신설)
    침해사고의 피해 확산 방지, 사고대응, 복구 및 재발 방지를 위하여 필요한 조치를 이행해야 하는 정보통신서비스 제공자가 이를 불이행하여 그 시정을 명령한 경우, 그 시정명령을 미이행한 정보통신서비스 제공자에 대하여 총 사업기간별로 구분하여 산정한 1일 평균매출액에 1만분의 2를 곱한 금액 등을 이행강제금으로 부과할 수 있도록 함.
  아. 반복되는 침해사고에 대한 과징금 산정기준(안 제60조의11 및 별표 5의3 신설)
    정보통신서비스 제공자의 고의 또는 중과실로 인하여 5년 이내의 기간 동안 2회 이상 침해사고가 발생한 경우에는 최근의 침해사고 발생일이 속하는 사업연도를 기준으로 총 사업기간별로 구분하여 산정한 매출액에서 침해사고와 관련이 없는 매출액을 제외한 금액에 침해사고의 중대성에 따른 부과기준율을 곱하여 산출한 금액을 과징금으로 부과할 수 있도록 함.
  자. 침해사고 관리ㆍ대응 매뉴얼의 작성ㆍ운용 등(안 제60조의15 신설)
    침해사고 관리ㆍ대응 매뉴얼을 작성하여 과학기술정보통신부장관에게 제출해야 할 대상자를 정보보호 최고책임자를 지정ㆍ신고해야 하는 정보통신서비스 제공자로 정하고, 과학기술정보통신부장관은 정보보호 공시 이행 여부, 최근 침해사고 발생 이력 및 서비스 이용자 수 등을 고려하여 해당 매뉴얼의 작성 및 운용 실태를 점검할 수 있도록 함.
  차. 광고성 정보 전송 위반에 대한 과징금 산정기준(안 제64조의2 및 별표 6의3 신설)
    수신자의 명시적인 사전 동의 없이 영리목적 또는 불법행위를 위한 광고성 정보를 전송한 자 등에 대하여, 위반행위가 있었던 사업연도의 직전 사업연도의 매출액과 직전 3개 사업연도의 연평균 매출액 중 큰 금액에서 위반행위와 관련이 없는 매출액을 제외한 금액에 위반행위의 중대성에 따른 부과기준율을 곱하여 산출한 금액 등을 과징금으로 부과할 수 있도록 함.
<법제처 제공>