個人情報漏洩事故に対する企業の責任を強化し、事前予防投資を促す改正個人情報保護法と施行令が11日から施行される。故意・重大過失により個人情報を繰り返し漏洩したり、1000万人以上の大規模被害を引き起こした場合、全体売上高の最大10%まで過料が科されることになる。
個人情報保護責任者（CPO）の権限と責任も強化され、実際の漏洩が確認される前でも漏洩の可能性が高いと判断された場合、情報主体に通知しなければならない制度が導入される。
個人情報保護委員会はこのような内容を含む改正個人情報保護法と施行令、関連通知が11日から施行されると10日に発表した。今回の改正は、個人情報漏洩事故に対する事後制裁を強化すると同時に、企業の事前予防投資を過料算定に反映させることが核心である。
まず、繰り返しまたは重大な個人情報侵害行為には過料の課されるレベルが引き上げられる。故意・重大過失により3年以内に違反行為を繰り返したり、故意・重大過失により1000万人以上の大規模被害を引き起こした場合、是正命令を履行せずに個人情報漏洩事故が発生した場合などが対象となる。個人情報委は違反行為の内容や程度、経緯、被害規模などを総合的に考慮し、全体売上高の10%以内で過料を算定することができる。
一方、個人情報保護のために事前に投資した企業には過料減免の特典が与えられる。個人情報保護に関連する予算・人員・設備・装置の投資規模と持続性、最高経営責任者（CEO）・CPO及び専門人材を含む保護体制のレベル、法的義務以上に適用された安全性確保措置などを考慮し、基準金額の最大40%まで減免することができる。
繰り返し違反に対する加重比率も引き上げられる。現行の1回15%、2回以上30%だった加重比率は、今後1回20%、2回40%、3回以上80%に調整される。漏洩の報告・通知を法定期限内に行わず、被害拡大防止措置も履行しなかった場合には最大30%まで過料が加重される。
事故後の迅速な対応も減免要素として反映される。事故対応体制を事前に構築し、事故発生時に早期発見と報告・通知、被害拡大防止措置を実施した場合、最大40%まで減免される。違反行為の内容や被害規模などを考慮し、課される過料を追加で最大50%減免することができ、零細・中小企業の軽微な違反は技術支援を受けて是正すれば過料が免除されることになっている。
CPOの権限と責任も強化される。専門CPO指定義務対象企業・機関はCPOを指定・変更・解除する際、取締役会の決議を経て個人情報委に報告しなければならない。対象は年売上高または収入が1800億ウォンを超え、100万人以上の個人情報または5万人以上の敏感情報・固有識別情報を処理する事業者と、在学生2万人以上の大学、上級総合病院、主要公共システム運営機関などである。
法施行後、CPOを指定・変更・解除する場合、事由が発生した日から6ヶ月以内に報告しなければならない。施行前に指定されたCPOは、別途取締役会の決議なしに施行日である11日から6ヶ月以内に報告しなければならない。
個人情報委は制度定着のため、2027年12月31日まで猶予期間を運営し、この期間中にCPO未指定や資格要件未満、取締役会決議義務違反、報告怠慢などについては過怠金を科さない。
個人情報漏洩可能性通知制度が新たに導入される。個人情報漏洩が最終的に確認されていなくても、客観的に漏洩の可能性が高いと合理的に判断される場合、情報主体に通知しなければならない。不法なシステムアクセスによる漏洩が疑われるが、被害者を特定することが難しい場合や、一部の個人情報の不法取引が確認され、他の情報主体の情報も漏洩した可能性がある場合、該当事実を知った時から72時間以内に通知しなければならない。
通知・報告対象も既存の紛失・盗難・漏洩から、偽造・改ざん・損壊まで拡大される。これにより、ランサムウェアなどで個人情報が損壊された場合も報告・通知対象に含まれる。通知項目には損害賠償請求や紛争調整などの法的被害救済手続きが追加され、漏洩時の個人情報回収・削除などの被害拡大防止措置も具体化される。
ただし、公的・民間の主要個人情報処理者を対象とした個人情報保護管理体制（ISMS-P）認証義務化規定は、企業・機関の予算確保期間などを考慮し、2027年7月1日から施行される。関連施行令は施行前に別途改正される予定である。
ソン・ギョンヒ個人情報委員長は「今回の改正法令施行を契機に、事前予防中心の個人情報保護、強化された安全管理体制が確立され、個人情報保護のための投資が『コスト』ではなく、顧客信頼確保と企業利益拡大のための『先制的投資』として認識されることを期待する」と述べた。
* この記事はAIによって翻訳されました。
