韓国の個人情報保護法改正、課徴金は通常最大3％・重大事案最大10％

【概要】売上高の最大10％を上限とする二層構造：改正個人情報保護法の基本設計

韓国で個人情報保護法の大幅な見直しが行われました。改正法案は2026年2月12日に国会本会議で可決され、3月3日に閣議決定され、3月10日に公布されました。改正法は同年9月11日に施行されました[1]。

新制度の核心は、課徴金（行政制裁金）の上限引き上げです。ただし、すべての漏えい事故に一律で10％を科すわけではありません。一般的な違反に対する課徴金の上限は、従来どおり全体売上高の最大3％に維持されます。その上で、特定の重大事案に限って全体売上高の最大10％を科す二層構造を採用しました[2, 3, 4, 5, 6]。

課徴金の対象となる基礎的な違反行為には、広範な類型が含まれます。違法な個人情報処理をはじめ、14歳未満の児童の個人情報、敏感情報（健康情報など、特別な配慮が必要な情報）、固有識別情報（住民登録番号など、個人を一意に識別できる情報）を同意なく処理する行為が該当します。また、受託者（委託業務を担う事業者）への管理・監督や教育義務に違反する行為も該当します。匿名化情報（個人を特定できないよう加工した情報）や、仮名化情報（他の情報と照合しない限り個人を特定できないよう加工した情報）から個人を特定する処理、国外移転規制違反、個人情報の漏えい、改ざん、毀損なども含まれます[7]。

最大10％の加重枠が適用される加重事由は、厳格に限定されています。第一の要件は、基礎となる課徴金対象違反を、過去の課徴金処分から3年以内に、故意（意図的な行為）または重過失（重大な不注意）によって繰り返した場合です。第二の要件は、故意または重過失による違反によって、1,000万人以上の情報主体（個人情報によって識別される本人）に被害を生じさせた場合です。第三の要件は、行政からの是正措置命令に従わず、その結果として個人情報の漏えいなどを発生させた場合です[8, 9, 10]。

課徴金の基準となる売上高は、全体売上高から違反行為や個人情報処理と無関係な売上を除外して計算します。事業開始から3年以上が経過している企業では、違反年度の直前年度売上高と、直前3事業年度の年平均売上高のうち、いずれか大きい方の金額が基準となります[11]。

区分	一般枠（通常違反）	加重枠（重大事案）
課徴金上限	全体売上高の最大3％	全体売上高の最大10％
適用要件	個人情報の違法処理や漏えい等の基礎的な違反行為	次のいずれかに該当する場合 ・課徴金処分から3年以内に故意または重過失で違反を反復 ・故意または重過失により1,000万人以上の情報主体に被害を発生 ・行政の是正措置命令に従わず漏えい等を発生
制度的位置づけ	従来の制裁水準を維持する基本枠	悪質・大規模事案に対する抑止力強化のための加重枠

【背景】通信・ECの大規模漏えいが契機：なぜ今、厳罰化が必要だったのか

韓国政府が制裁金の大幅な引き上げに踏み切った背景には、国民生活に不可欠なサービスで起きた大規模漏えいがあります。通信や金融、プラットフォーム事業者などで情報漏えいが相次ぎ、国民被害と社会的不安が拡大しました。従来の売上高3％という制裁水準では、巨大企業に対する抑止力として不十分であるという認識が強まっていました[12]。

法改正を直接促す契機となったのは、大手通信事業者SK Telecomで2025年に発生した大規模漏えい事故です。この事故では約2,300万人におよぶ加入者データが影響を受けました。個人情報保護委員会（PIPC）は同社に対し、1,347億9,100万ウォンの課徴金を科しました[13]。政府はこの重大事故を受け、反復事故への加重課徴金や予防投資への減免制度、CPO（最高プライバシー責任者）の権限強化など、事後処分型から予防中心型へと舵を切る政策転換を進めました[14]。

さらに2025年11月には、電子商取引大手Coupangにおいて約3,755万人分の個人情報漏えいが発覚しました。PIPCは調査を経て、2026年6月に過去最大規模となる6,246億8,100万ウォンの課徴金を決定しました[15]。Coupangへの処分決定は法案の国会通過後だったため、少なくともその処分自体は立法原因ではありません。事故そのものが立法に与えた影響は、本文の情報だけでは判断できません。しかし、SK Telecom事件をきっかけに進められた政策転換の正当性を裏付け、改正法施行前からの当局の厳格な運用姿勢を示す事例となっています[16]。

【制度設計】事後処分から予防中心へ：予防投資で課徴金を最大40％減額

課徴金の算定では、上限枠の中で詳細な総合判断が行われます。当局は違反行為の内容や程度、期間、回数、得られた利益を評価します。さらに暗号化などの安全措置、漏えいの規模、被害拡大防止の取り組み、事業規模、情報の種類、被害者数、認証取得や自主活動、当局への協力度などを総合的に考慮します[17]。基準となる売上高は、個人情報処理や違反行為と関係のない商品・サービスの売上を除外した金額です。3年以上事業を営む企業では、直前年度売上高と直前3事業年度の年平均売上高のうち、大きい方を用います[18]。

新制度の重要な特徴は、事前のセキュリティ投資を促す仕組みです。予算、人員、設備、装置への投資や運用が一定の基準を満たす場合、算定された課徴金から最大40％が減額されます[19, 20]。減額の認定を受けるには、投資額や売上に対する投資比率、投資の継続性に加え、代表者の責任履行、CPOの役割や組織体制、追加的な安全対策など、PIPC告示が定める要件を充足する必要があります[21]。

ただし、この予防投資による減額措置には厳格な制約が設けられています。故意または重過失による違反行為については、投資減額の対象から明確に除外されます[19, 20]。法は一般的な減免事由として、客観的な支払能力の欠如、違法性を認識できなかった正当な理由、違反や課徴金が軽微な場合、被害がないか軽微な場合を定めています。軽微な違反を是正して基準を満たした場合の条件は、施行令やPIPC告示で具体化されます[22]。

【実務への影響】経営陣の責任明確化と迅速な通知：企業に求められるガバナンス

改正法は、企業統治（組織を管理・監督する仕組み）の体制を大幅に見直すよう企業に求めています。最高経営責任者（CEO）は、個人情報の処理および保護に関する最終責任者として位置づけられました。CEOには全社的な管理・監督体制を構築する責任が明確に課されます[23]。

年間売上高が1,800億ウォンを超える事業者は、CPOの指定、変更、解任について取締役会の決議を経る必要があります。100万人分以上の一般個人情報、または5万人分以上の敏感情報・固有識別情報を処理する事業者も対象です。CPOの指定、変更、解任に関する事由が発生した日から6か月以内に、PIPCへ届け出る義務も課されます[24]。CPOには専門人材の管理や予算の確保、保護計画の実施、代表者や取締役会への定期報告を行う実質的な権限とリソースを付与しなければなりません[25]。

事故対応の実務でも迅速性が求められます。漏えいの事実が完全に確定していなくても、事業者が漏えいの可能性が高いと認識した時点で、通知義務が発生します。漏えいだけでなく、個人情報の改ざんや毀損も報告・通知の対象に含まれます[26]。事業者は情報主体への通知を、認識から原則として72時間以内に行わなければなりません。一定規模の事案では、PIPCまたは韓国インターネット振興院（KISA）などの当局への報告も72時間以内に行う必要があります[27]。本人通知には漏えい項目や日時、経緯に加え、被害最小化の方法、事業者の対応、相談窓口、損害賠償請求や紛争調停といった権利行使の方法を記載する必要があります[28]。

委託先などを含むサプライチェーン（供給網）全体の安全管理も強化されました。委託元企業は委託契約において目的外利用の禁止や技術的・管理的措置を明記し、受託者への教育や点検、監督を行わなければなりません。受託者自身も安全管理義務や通知・報告義務を負い、違反時には課徴金処分の対象となります[29]。またクラウド事業者については、単なる基盤提供者か、顧客データを処理・運用する受託者かを契約と実態に即して整理する必要があると指摘されています。受託者とみなされる場合、アクセス管理やログ監視、問題発生時の関係者への即時報告、証拠保全を契約上も運用上も担う必要があると考えられています[30]。

【論点と課題】過大制裁リスクと予見可能性：新制度が直面する批判

売上高を基準とする制裁金は、大企業に対する強い抑止力となる一方で、比例原則（過剰な制裁を禁じる原則）に反する過大制裁になり得ると懸念されています。違反行為による被害や得られた利益と直接結び付かない売上まで算定基準に含まれると、制裁が過剰になるリスクが指摘されています[31]。制度上は無関係な売上を除外する仕組みが用意されていますが、複数事業を多角的に営む企業では、どの売上が個人情報処理に関連しているかを正確に配分することが難しく、算定結果をめぐる法的争いが残ると見られています[32]。

最大10％という極めて高い上限枠は、企業の実際の責任や被害規模を大きく上回る制裁を科す可能性を内包しています。Coupangに科された6,246億8,100万ウォンの制裁金は、先行したSK Telecomへの課徴金の4倍を超える規模に達しました。こうした巨額の制裁については、企業の新規投資を抑制する懸念が論じられています[33]。また、当局の裁量が大きく残るため、企業が制裁額を事前に見通せる度合い（予見可能性）が低いという批判もあります[34]。

さらに、被害者数1,000万人や処分後3年以内の再犯という数値基準は、明確である反面、最大10％枠の適用可能性が生じる境界を設けます。ただし、実際の課徴金額が自動的に3％から10％へ跳ね上がるわけではなく、違反の内容、被害規模、各種減免事由などの個別事情を総合して決まります。この境界の設定が平等な扱いや公平性の観点から疑問を招き得るとされています[35]。過大な制裁を恐れるあまり、企業が早期申告や協力を避け、事故の隠蔽や防御的な法務対応に走る誘因にならないよう、減免制度の透明な運用が求められています[36]。加えて、課徴金は被害者への自動的な賠償になるわけではありません。実質的な被害救済には、個別の損害賠償や紛争調停制度が実効的に機能する必要があると指摘されています[37]。

【日本との比較】売上高連動型と不当利得剥奪型：日本企業への示唆

日韓の規制体系を比較すると、制裁の設計思想に顕著な違いが見られます。日本の現行法でも、要配慮個人情報（人種、病歴など、取り扱いに特別な配慮が必要な情報）や財産的被害のおそれがある情報、不正目的の漏えい、1,000人分を超える個人データの漏えい等では、当局への報告と本人通知が義務付けられています[38]。しかし、当局報告は、速報（発覚時の第一報）を概ね3〜5日以内、確報（詳細な報告）を原則30日以内（不正目的のおそれがある場合は60日以内）に行うと定められています[39]。本人通知も「事態の状況に応じて速やかに」行う義務にとどまり、韓国のような原則72時間以内という厳格な期限ではありません[40]。

また、日本の個人情報保護委員会は報告徴収や立入検査、指導、助言、勧告、命令を行う権限を持ちますが、漏えい事故そのものに対して売上高連動の課徴金を直接科す制度は現行法にありません[41]。刑事罰には、命令違反に対する行為者への1年以下の拘禁刑（刑事施設に収容する刑罰）または100万円以下の罰金が定められています。不正な利益を得る目的で個人情報データベース等を提供・盗用した行為者には、1年以下の拘禁刑または50万円以下の罰金が科されます。法人には最大1億円の罰金が科されます[42, 43]。固定額の罰則と行政指導を中心とする日本に対し、韓国は企業規模に応じて制裁額が膨らむ売上高連動制裁を採用している点が大きな違いです[44]。

一方、日本でも法改正が進められ、2026年7月10日に課徴金制度を導入する改正個人情報保護法が成立し、7月17日に公布されました（公布から2年以内に施行）[45]。導入の契機となったのは、現行法では命令後に違反を停止すれば、事業者が不当に得た利益をそのまま保持できてしまうという問題意識でした[46]。産業界からは事業活動への萎縮効果を懸念する慎重論も出されましたが[47]、最終的に、違反行為に関係する本人の数が1,000人を超える重大な違反を対象に、「違反行為の対価として得た財産的利益等に相当する額」を徴収する不当利得剥奪型の課徴金が創設されました[48]。安全管理措置義務違反は算定の難しさから対象外とされ、第三者提供違反など実績のある類型に限定したバランス型の設計となっています[49, 50]。

韓国の売上高連動型制裁は、日本において将来的に課徴金の対象や算定基準を拡大する議論を促す比較材料になり得ると考えられています[51]。韓国法の適用対象となる日本企業や現地法人は、本人への通知は原則72時間以内、当局への報告は法令上の報告対象となる一定の事案について72時間以内に行う必要があります。重大事案では、売上高の最大10％の課徴金リスクがあります。日本国内でも、個人情報の第三者提供や利用に伴う収益を正確に把握する必要があります。相当な注意を払った記録の保全や、委託先を含むデータガバナンス（データを適切に管理・運用する体制）の総点検も、今後いっそう重要になります[52]。

比較項目	韓国（2026年9月施行）	日本（現行法および2026年改正法）
制裁金の算定基準	全体売上高連動型（一般枠：最大3％、重大枠：最大10％）	不当利得剥奪型（違反で得た財産的利益等に相当する額）※改正法 （現行の法人罰は最大1億円の固定額）
主な課徴金対象	個人情報の違法処理、漏えい・改ざん、安全管理義務違反など	大量の個人情報（1,000人超）に関する第三者提供違反など（安全管理違反は対象外）
当局への報告期限	法令上の報告対象となる一定規模の事案：認識から原則72時間以内[27]	速報：発覚から概ね3～5日以内 確報：原則30日以内（不正目的は60日以内）
本人への通知期限	認識から原則72時間以内	事態の状況に応じて速やかに