韓国個人情報保護委員会、データ漏洩の罰則を総売上の最大 10% に引き上げ──故意・重大な過失が対象
個人情報保護法改正により、1,000万人以上の漏洩や是正命令違反に対する罰則が現行の売上比 3% から 3.3 倍に強化された。
リリース: 2026-09-10 · 読了 3 分記事の要約
1. 核心（What）
- 韓国の個人情報保護法 (PIPC) 改正により、1,000万人以上の個人データを漏洩させた企業に対する罰則上限が総売上の最大 10% に引き上げられた。
- 適用対象は、3年以内に故意または重大な過失による違反を繰り返した企業、あるいは是正命令に違反して漏洩を引き起こした企業となる。
- データ保護の予算・人員・設備投資を事前に継続して行っている場合や、漏洩の早期発見と速やかな報告を行った場合は、罰則が最大 40% 減免される。
- 年間売上 180 億ウォンを超え一定の条件を満たす企業は、CPO の任免時に取締役会の承認と PIPC への報告が必須化された。
2. 影響（Why）
- コンプライアンス費用の概念変化: 罰則が売上の 10% に跳ね上がったことで、事後対応のコストをリスクバジェットに含める従来の経営判断が通用しなくなり、事前のインフラ・セキュリティ投資が経営の必須防衛策になる。
- CPO の権限と法的責任の拡大: 取締役会承認を通じた CPO の設置義務化と大規模漏洩時の過酷な罰金は、開発組織やセキュリティチームがセキュリティ要件をプロダクトのロードマップ上流に強制的に組み込むための強力な社内根拠になる。
3. 根拠・詳細（How）
- 改正法の適用要件と減免規定: 2026年9月10日施行の改正個人情報保護法に基づき、故意または重大な過失による 1,000 万人以上のデータ漏洩に対して総売上の最大 10% を課す。一方で、セキュリティ体制への継続投資や 72 時間以内の迅速な通知を行った場合は最大 40% の減免措置が適用される。
- 適用対象企業の規模基準: 年間売上 180 億ウォン超で 100 万人以上の個人データ、または 5,000 人以上の機微情報を処理する企業、および生徒 2,000 人以上の大学や主要公共システムを対象に CPO の任免手続きの厳格化が義務付けられている。
4. 展望・課題（Next）
- 実例に基づく適用の厳格化: 過去に発生した大規模漏洩事案（Coupang の 3,755 万人漏洩で 6,246 億ウォン課徴金など）に新基準を適用した場合、罰則額が数兆ウォン規模に達する可能性があり、今後の司法判断と適用実態が注視される。