個人情報漏洩したティービングとCU…クーパンの最終制裁を待つ

個人情報保護委、10日にクーパン過料の規模を決定

ティービング [写真=聯合ニュース]

静かだった個人情報漏洩事件が、オンライン動画サービス（OTT）ティービングとCUをきっかけに再び注目を集めている。

8日、業界によると、個人情報を大量に漏洩したティービングとコンビニエンスストアCUを運営するBGFネットワークスに対する調査が進行中であり、個人情報保護委員会（以下、個人情報委）が推進中の個人情報保護法施行令改正案に対する関心が高まっている。

個人情報委は最近、ティービングからの個人情報漏洩の報告を受け、調査に着手した。ティービングから漏洩したと推定される情報は、ID、名前、生年月日、性別、携帯電話番号、メールアドレス、連結情報（CI）、重複加入確認情報（DI）、返金口座番号、パスワードなどである。BGFネットワークスも顧客情報が外部に漏洩した兆候を確認し、対応に乗り出している。漏洩した個人情報の項目は、ID、パスワード、名前、生年月日、性別、住所、メール、携帯電話番号などである。

業界ではCIの漏洩を深刻に捉えている。CIは本人確認機関が生成する固有の識別値であり、住民登録番号を直接保存せずとも同一人物を確認するために使用される。過去にクーパンやロッテカードなどの大規模な個人情報漏洩事件でもCI情報が含まれていたため、個別の事件だけでは被害が限定的である可能性があるが、複数回漏洩したデータが結合されるとリスクが大きくなるとの指摘がある。

セキュリティ業界では、既に漏洩した情報が相互に結びつく場合、個人の消費パターンや嗜好、生活情報まで復元できるとの懸念がある。例えば、過去に漏洩したショッピング履歴データとティービングのコンテンツ利用情報が同一のCIを通じて結びつくと、特定の個人のオンライン活動をかなりの部分で特定できる。さらに、住所や連絡先情報が結合されると、ボイスフィッシングやスミッシングなどの二次犯罪のリスクも高まる可能性がある。

このような点を懸念し、個人情報委は繰り返し行われる重大な個人情報侵害行為に対して、全体売上高の10%まで過料を課すことができるようにする個人情報保護法施行令改正案を提出した。従来は全体売上の最大3%であった。個人情報保護を軽視した企業に対して懲罰的過料を課し、セキュリティ投資を促す意図がある。改正案は2026年9月11日から施行される予定で、現在は立法予告期間中で意見収集が行われている。

業界では、個人情報保護法改正案が国内企業に対する逆差別の事例となる可能性があると見ている。クーパンがその良い例である。個人情報委は10日に全体会議を通じてクーパンの個人情報漏洩に対する最終制裁の水準を決定する計画である。

漏洩当時適用されていた現行法では、最大過料は全体売上高の最大3%であり、1兆ウォンを超える。だが、アメリカ政府がクーパンの事例を巡って自国企業に不利益を与えるとして反発しているため、実際の制裁水準はこれよりも低くなると見られている。法曹界では、クーパンに課される過料の規模を約3000億〜4000億ウォンと見込んでいる。

そのため、過料引き上げを主な内容とする個人情報保護法改正案が国内企業に対する逆差別につながる懸念も出ている。グローバルプラットフォーム事業者に対する執行は容易ではない一方で、国内企業だけが規制負担を大きく受ける可能性があるからである。業界では、クーパンの制裁結果が今後の漏洩事件に対する判断基準となると見ている。

朴春植（パク・チュンシク）元アジュ大学サイバーセキュリティ学科教授は「個人情報保護責任を強化する方向自体は必要だが、国内企業だけが過度な負担を負うという認識が形成されると逆差別の論争が生じる可能性がある」とし、「処罰の強化とともに企業のセキュリティ投資拡大を促す政策が並行して進められるべきだ」と述べた。



* この記事はAIによって翻訳されました。

亜洲日報の記事等を無断で複製、公衆送信 、翻案、配布することは禁じられています。