[2026-09-11] 韓国、個人情報漏えいに売上高10%の制裁金 — 改正法9月11日施行

韓国の改正個人情報保護法および施行令が2026年9月11日に施行された。(出典: https://www.korea.kr/news/policyNewsView.do?newsId=148971656, 2026-09-10) 個人情報保護委員会は前日の9月10日、ソウル・鍾路区の政府ソウル庁舎でブリーフィングを開き、反復的または故意・重過失による大規模な個人情報漏えいを起こした事業者に対し、全体売上高の最大10%まで課徴金を科すことができる特例が施行されると発表した。(出典: https://www.korea.kr/news/policyNewsView.do?newsId=148971656, 2026-09-10) 故意・重過失により3年以内に違反行為を繰り返した場合、1000万人以上の大規模被害を発生させた場合、是正命令を履行せず漏えい事故が再発した場合などが対象となる。(出典: https://www.korea.kr/news/policyNewsView.do?newsId=148971656, 2026-09-10)

GDPRとの比較

韓国の売上高10%という上限は、EUの基準と比べても顕著に高い。GDPR第83条では、同意要件や情報主体の権利侵害など最も重大な違反に対し、2000万ユーロまたは全世界年間売上高の4%のいずれか高い方を上限として課徴金を科すと規定している。(出典: https://gdpr-info.eu/art-83-gdpr/, GDPR第83条) 数字だけを見れば、韓国の上限はGDPRの4%の2倍以上に相当する。ただし、個人情報保護委員会の9月10日のブリーフィングでは、10%の算定基準となる売上高が国内売上高のみか全世界売上高を含むかは明示されておらず、GDPRの「全世界年間売上高」という明確な規定とは異なる点であり、今後の実際の執行事例を見て確認する必要がある。

減免制度も併せて導入された。事前に個人情報保護に積極的に投資した場合は課徴金の基準金額の最大40%まで減免でき、違反行為の内容や被害規模、影響などを考慮してさらに最大50%まで追加減免が可能だ。(出典: https://www.korea.kr/news/policyNewsView.do?newsId=148971656, 2026-09-10) この2段階の減免がどのような計算式で組み合わされるかは今回のブリーフィングでは明示されておらず、実際の減免幅は今後の執行事例で確認する必要がある。零細・中小企業は技術支援を受けて軽微な違反を是正した場合、課徴金自体を免除される規定も新設された。(出典: https://www.korea.kr/news/policyNewsView.do?newsId=148971656, 2026-09-10)

CPO選任に理事会決議が必須に

個人情報保護責任者(CPO)の権限と独立性も強化された。届出対象事業者は法施行後にCPOを指定・変更・解除する際、理事会決議を経て、届出事由発生日から6ヶ月以内に個人情報保護委員会に届け出る義務を負う。(出典: https://www.korea.kr/news/policyNewsView.do?newsId=148971656, 2026-09-10) 法施行前にすでに指定されていたCPOは、遡及的な理事会決議は不要だが、法施行日から6ヶ月以内の届出は必要となる。(出典: https://www.korea.kr/news/policyNewsView.do?newsId=148971656, 2026-09-10) 個人情報保護委員会は新制度導入による対象機関の負担を軽減するため、2027年12月31日まで啓発期間を運営する方針だが、この期間中も義務自体は有効である。(出典: https://www.korea.kr/news/policyNewsView.do?newsId=148971656, 2026-09-10)

漏えいの可能性段階での72時間通知

3つ目の変更点は「漏えい可能性通知制」で、漏えいが最終確認される前でも、客観的に漏えいの可能性が高いと合理的に判断される場合は72時間以内に情報主体に通知しなければならない。(出典: https://www.korea.kr/news/policyNewsView.do?newsId=148971656, 2026-09-10) この基準は不正なシステムアクセスや個人情報の不正取引など具体的な状況証拠を必要とし、単にセキュリティ上の脆弱性が発見されただけでは通知義務は発生しない。(出典: https://www.korea.kr/news/policyNewsView.do?newsId=148971656, 2026-09-10)

日本企業にとっての意味

韓国で事業を展開する、または韓国利用者の個人情報を取り扱う日本企業にとって、この改正は直接的な影響を及ぼす。すでにGDPRの4%上限に対応している多国籍企業も、韓国の10%上限とその異なる適用要件を別途評価する必要がある。両制度は適用範囲や算定基準が同一ではないためだ。GDPR対応で構築した漏えい通知フローがある企業は韓国の72時間通知制度への対応で先行できるが、「合理的な可能性」という韓国側のより広い基準に対応するためのプロセス拡張が必要になる。

産業への影響

大量の消費者データを扱う大手プラットフォーム事業者には最も直接的なコスト圧力となる。売上高10%という課徴金リスクが現実のものとなったことで、セキュリティ投資をコストではなくリスク管理予算として再分類する動きが広がるとみられる。一方、中小企業には技術支援による課徴金全額免除という新たな道が開かれ、企業規模によって実質的な負担の方向性が大きく異なる。(出典: https://www.korea.kr/news/policyNewsView.do?newsId=148971656, 2026-09-10)

消費者への影響

一般利用者にとって最も体感しやすい変化は72時間通知制度だ。これまでは漏えいが最終確認された後にのみ通知が来ていたが、今後は合理的に漏えいの疑いが高いと判断された時点から72時間以内に通知を受けられる。(出典: https://www.korea.kr/news/policyNewsView.do?newsId=148971656, 2026-09-10) パスワード変更やカード停止などの対応をより早く取れるようになる一方、結果的に漏えいでなかった事案についても通知が増える可能性があるため、通知を受けた際は過度に不安がらず、案内された対応手順に落ち着いて従うことが求められる。

韓国での個人情報ガバナンスを検討する際は、韓国の個人情報保護に関する最近の解説、韓国の制度対応に関する分析、デジタル規制の関連記事も併読すると、事業者の統治体制と利用者保護の論点を比較しやすい。

出典: 政策ブリーフィング, 2026-09-10 · 参考: GDPR第83条