11日から事前予防中心の個人情報保護体制を強化した改正個人情報保護法が施行される。重大な侵害に対する制裁を強化する一方、企業の先制的投資と迅速な対応にはインセンティブを与え、最高経営者（CEO）と取締役会の個人情報保護責任も強化される。
今回の改正では制裁強化とともに、企業の先制的投資と迅速な対応を引き出すためのインセンティブ構造も強化された。個人情報保護への投資を促すための施策として、事前予防と事故後の対応をしっかり行った企業には過料が最大80%減免される。
楊青三個人情報保護委員会事務局長は10日、ソウル政府庁舎で行われたブリーフィングで「今回の法改正の核心は事後制裁を超え、事前予防を中心とする個人情報保護政策のパラダイム転換である」と強調した。個人情報保護を事故発生後に負担するコストではなく、顧客の信頼と企業の価値を高める先制的投資として認識させることを説明した。
改正法は繰り返しまたは重大な個人情報侵害に対する過料上限を従来の全体売上の3%から最大10%に引き上げた。故意または重大な過失で違反行為を繰り返したり、1000万人以上の大規模な被害を発生させた場合、是正命令を履行せずに流出事故が発生した場合などが適用対象となる。
楊事務局長は繰り返しの事故でなくても故意または重大な過失が認められ、1000万人以上の被害が発生すれば最大10%の過料が適用されると説明した。これらの要件はすべて満たす必要があるのではなく、それぞれ独立した加重理由として適用される。
一方、個人情報保護のために事前に十分な投資と管理体制を整えた企業には過料が最大40%減免される。事故発生後にも異常徴候を迅速に検知し、情報主体や関係当局に通知した後、被害拡大防止や脆弱性改善などに積極的に取り組む企業に限られる。
個人情報委員会は制裁を強化する一方、企業の予防投資と事故後の対応を引き出す仕組みにも重きを置いた。事前投資と事故後の対応をすべてしっかり行った場合、減免幅が80%まで高まる。事故後の制裁だけでは個人情報流出を減らすには限界があるため、企業が普段から保護体制を整え、事故発生時に迅速に公開・対応するよう促す方針である。
ただし、投資額が多いからといって減免幅が大きくなるわけではない。個人情報委員会は投資規模と持続性、個人情報資産とリスクの特定、安全措置のレベル、情報保護責任者（CPO）とCEOの役割などを総合的に考慮して減免レベルを判断する方針である。楊事務局長は「業種ごとの特性が異なるため、個人情報保護投資を特定の数字で一律に決めるのは難しい」と述べた。
経営陣の責任も一層大きくなる。改正法は事業主または代表者を個人情報処理と保護の最終管理責任者として明記した。個人CPOは個人情報保護の現状や主要なリスク、改善が必要な事項をCEOや取締役会に報告し、経営陣は必要な予算と人員を支援しなければならない。個人情報保護を実務部門の業務ではなく、経営陣の主要な意思決定事項として位置づけることになる。
これにより、企業が流出事実を知らせる時期も早まる見込みである。今後は個人情報流出が最終的に確認されていなくても、客観的に流出の可能性が高いと見なされる状況が必要であると説明されている。
個人情報委員会はダークウェブで実際のデータベース構造と一致する情報が流通している場合や、侵入の兆候が確認されたが被害規模が確定していない場合などを例に挙げた。
楊事務局長は「単に脆弱性があるとか痕跡があるという漠然とした疑念だけで通知するわけではない」と述べ、客観的に疑わしい状況が明確でなければならないと説明した。
CPOの報告義務は来年12月までの指導期間を設けて運営される。専門CPO指定対象は現在約600～700社である。1年以上の指導期間が長すぎるのではないかとの指摘がある中、楊事務局長は「報告期限が施行日から6ヶ月であり、実質的に違反事例が発生するのは来年3月以降であることを考慮して年末まで指導期間を設けた」と説明した。
* この記事はAIによって翻訳されました。
