韓国、データ漏洩時の罰金を収入の10%に引き上げ
Korea raises data breach fines to 10% of revenue
韓国の個人情報保護委員会(PIPC)は、個人情報漏洩時の罰金を大幅に引き上げ、企業にデータ保護を事業コストではなく予防投資として扱うよう促す方針を発表した。金曜日から施行される改正個人情報保護法に基づき、意図的または重大な過失により1000万人以上の個人データが漏洩した場合、企業の総収入の最大10%を罰金として科すことができる。漏洩が確認されていなくても、情報流出のリスクが高い場合は72時間以内にユーザーに通知する必要がある。改正前は売上の3%が上限だった。今回の改正は、小売や通信など、日常生活に密接に関連する分野で個人情報漏洩が繰り返し発生し、その規模も拡大していることを受けて行われた。罰金は違反の性質、重大性、状況、損害規模に基づいて計算されるが、事前のデータ保護への投資(予算、人員、設備など)や、早期発見・迅速な通知・被害拡大防止策などを講じた企業には、罰金が最大40%軽減される可能性がある。また、年間収入1800億ウォン超で100万人以上の個人データなどを処理する企業は、最高プライバシー責任者(CPO)の任命・変更・解任について取締役会の承認を得てPIPCに報告することが義務付けられる。
- 韓国PIPCが、金曜日施行の改正個人情報保護法により、意図的または重大な過失で1000万人以上の個人データが漏洩した場合、企業の総収入の最大10%を罰金として科すことを可能にした(従来は売上の3%が上限)。
- 漏洩が確認されていなくても情報流出リスクが高い場合、72時間以内にユーザーへ通知することが義務付けられる。
- 事前のデータ保護投資(予算・人員・設備)や早期発見・迅速な通知・被害拡大防止策を講じた企業には、罰金が最大40%軽減される可能性がある。
- 年間収入1800億ウォン超かつ100万人以上の個人データを処理する企業は、最高プライバシー責任者(CPO)の任命・変更・解任について取締役会承認を得てPIPCに報告する義務を負う。
韓国が個人情報漏洩の罰金上限を売上の3%から最大10%へと引き上げ、72時間以内の通知義務やCPOの取締役会承認・PIPC報告義務まで課す点は、韓国市場に売上基盤を持つ小売・通信・IT企業にとってコンプライアンス費用と訴訟・制裁リスクの構造的増加を意味する。特に1000万人超の漏洩を想定した総収入比10%の上限は企業規模の大きい事業者ほど影響が大きく、事前投資(予算・人員・設備)で最大40%減免される設計は、データガバナンス関連ソリューションへの支出を促すインセンティブになる。投資家は韓国事業比率の高い企業の開示・リスク要因と、セキュリティ/プライバシー対策ベンダーの需要拡大を注視すべき。カテゴリは11領域に該当せず、規制対応が企業業績に直接影響するためother。