정보보호 법제와 정보통신망 보호

1. 법령을 읽는 순서

법규는 2026년 9월 13일 시행 기준으로 정리한다. 공포일은 발표한 날, 시행일은 효력이 적용되는 날이다. 개정되었어도 아직 시행되지 않은 조문과 현행 조문을 섞지 않는다. 시험에서 기준일이나 적용 법령을 지정하면 그 조건으로 판단한다.

법률은 권리·의무의 기본 틀을 정하고, 시행령은 대통령령으로 위임 사항 등을 구체화하며, 시행규칙은 부령 등으로 세부 사항을 정한다. 고시는 법령의 위임에 따른 기술적 기준 등을 정할 수 있다. 모든 고시를 법률과 같은 효력으로 보거나, 반대로 아무 구속력이 없는 참고문서로만 보지 않는다.

같은 사안에 특별한 규정이 있으면 그 적용 범위에서 특별 규정이 우선할 수 있다. 특정 분야의 법이 있다는 이유로 일반적인 개인정보 보호 의무까지 모두 사라지는 것은 아니다.

2. 정보통신망법의 대상

「정보통신망 이용촉진 및 정보보호 등에 관한 법률」은 정보통신망 이용 촉진과 정보통신서비스 이용자 보호, 안전한 망 이용 환경 등을 다룬다.

• 정보통신망: 전기통신설비를 이용하거나 전기통신설비와 컴퓨터·이용기술을 활용해 정보를 수집·가공·저장·검색·송수신하는 정보통신체제.
• 정보통신서비스 제공자: 전기통신사업자 및 영리를 목적으로 전기통신역무를 이용해 정보를 제공하거나 정보 제공을 매개하는 자 등 법정 정의에 해당하는 주체.
• 침해사고: 해킹, 악성프로그램, 서비스 거부 등으로 정보통신망이나 관련 정보시스템을 공격해 발생한 사태.

개인정보 처리에 관한 일반 규율은 현재 「개인정보 보호법」을 중심으로 학습한다. 과거 온라인 사업자 대상 개인정보 규정이 정보통신망법에 있었다는 이유로 옛 조문을 현재 의무로 적용하지 않는다.

3. 망 보호 의무와 금지행위

정보통신서비스 제공자는 망의 안정성과 정보의 신뢰성을 확보하기 위한 보호조치를 해야 한다. 정보보호 최고책임자(CISO)는 보호계획, 정기 감사·개선, 위험평가·대책, 교육·모의훈련 등을 총괄한다. 지정·신고 및 겸직 제한은 법정 대상·규모 조건과 예외를 확인한다. 모든 회사에 동일한 신고·겸직 제한이 적용된다는 설명은 부정확하다.

취약점 점검도 소유자 승인, 대상과 기간, 허용 행위 및 정보 취급 조건 안에서 수행해야 한다.

4. 침해사고 신고와 개인정보 유출 신고

정보통신서비스 제공자는 침해사고 발생 시 즉시 과학기술정보통신부장관 또는 한국인터넷진흥원(KISA)에 신고한다. 시행령 제58조의2에 따라 인지 후 24시간 이내에 발생 일시·원인·피해, 대응 현황, 담당 부서·연락처를 신고한다. 추가로 확인한 사실도 확인한 때부터 24시간 이내에 신고한다. 다른 법률에 따른 침해사고 통지·신고를 이미 한 경우에는 법이 정한 신고 간주 규정이 있다.

개인정보 유출은 「개인정보 보호법」에 따른 정보주체 통지와 개인정보보호위원회 또는 KISA에 대한 신고 요건도 판단한다. 정보통신망 침해사고 신고와 개인정보 유출 신고는 근거·대상·수신기관을 구분한다. 모든 침해사고에 개인정보가 유출되는 것도, 모든 개인정보 유출이 외부 해킹으로 발생하는 것도 아니다. 상세 비교는 개인정보 안전조치와 유출 통지·신고에서 다룬다.

5. 관련 법률의 보호 대상만 연결하기

이 단원에서는 각 법률의 보호 대상과 관계를 구분하는 데 초점을 둔다. 개별 업종의 모든 인허가·보고 서식·벌칙 금액을 나열하지 않는다. 전자서명은 전자적 형태라는 이유만으로 효력이 부인되지 않지만, 모든 전자서명이 언제나 동일한 증명력이나 모든 법정 요건을 갖추는 것은 아니다.