72時間の通知期限は、何が漏れたか分かる前に動き出す

2026年9月11日から韓国では、個人情報が漏えいした可能性を知った場合にも72時間以内に情報主体へ通知しなければならない [1]。期限が動き出すのは、何が漏れたかを確認した時ではなく、その可能性を知った時だ。セキュリティ担当が別にいないチームが最初につまずくのは課徴金の計算ではなく、「いつ知ったのか」という問いだ。このアイデアは、その問いに答える記録を疑った最初の一時間から残す軽いインシデントデスクだ。

期限は確認ではなく認知から動く

改正個人情報保護法は通知の対象を二つの方向に広げた。紛失、盗難、漏えいに加えて偽造、変造、毀損も通知しなければならず、漏えいが確定する前の可能性の段階にも通知義務が生じる [1]。その判断基準を定めた個人情報保護法施行令は2026年9月10日に改正され、9月11日から施行された [2]。

立法予告案には、通知義務が始まる条件が二つ書かれていた。一つは、処理システムや取扱者の機器への不法なアクセスを知り、個人情報が出ていった客観的な状況はあるが誰の情報かを特定しにくい場合だ。もう一つは、扱う個人情報が不法に取引・流通しているという事実が確認され、ほかの情報主体の情報も出ていった可能性が高い場合だ。72時間はそれぞれアクセスや取引の事実を知った時から数える [3]。

小さなチームが実際につまずく場所

通知義務には売上の下限がない。個人情報を扱えば適用される。一方、専門の個人情報保護責任者を置く義務の基準は、立法予告案で年間売上1,800億ウォンだ [3]。シード段階のチームはこの基準にかからない。だからセキュリティ担当はたいてい開発者本人になる。

こうしたチームでは、管理者アカウントの見慣れないログイン、サーバーログの異常な照会、自社アカウントが外部で取引されているという情報提供が、アラートチャンネルにたまるだけになる。誰がその信号を見て、いつインシデントと判定したかを残していなければ、72時間を守ったかどうかを自分たちでも証明できない。

何を作るのか

インシデントが疑われた瞬間に開く一枚のデスクだ。機能は四つでいい。

最初に疑った時刻を残す。誰がどの信号を見て、いつインシデントの可能性ありと判定したかを一行で書き、その時刻を固定する。
最初の証拠を保全する。その時点のログの断片、アラートの原文、キャプチャを添付し、後から直せないようにロックする。
次の確認を割り当てる。誰が何をいつまでに確認するかを書き、72時間のうち残りがどれだけかを横に表示する。
提出用のタイムラインを書き出す。認知、判定、対応、通知の時刻が順に並んだ一枚の文書にする。

対象は個人情報保護責任者を別に置いていないスタートアップだ。アラートツールやSIEMを新しく入れる話ではなく、すでにたまっているアラートのうちインシデントと判定したものの時刻と根拠を残す役割だけを担う。

まず確認すること

施行令の最終版に、立法予告案の二つの発動条件と起算点がそのまま残ったかを条文で確かめる必要がある。個人情報保護委員会が8月21日に公開した漏えい対応マニュアル案には、施行令の文言が変わりうるという但し書きが付いていた [4]。デスクが表示する判定基準の文言は、最終の条文と確定版マニュアルを確認してから合わせる。

参考文献

[1] 大韓民国政策ブリーフィング（korea.kr）、「개인정보 유출 가능성, 이제 통지합니다」（個人情報漏えいの可能性も通知へ）2026-09-18（韓国語）。 https://www.korea.kr/news/policyNewsView.do?newsId=148972151

[2] 国家法令情報センター、「個人情報保護法施行令」（大統領令第36671号、2026年9月10日一部改正）施行 2026-09-11（韓国語）。 https://www.law.go.kr/LSW/lsInfoP.do?lsId=011468

[3] 法制処、「個人情報保護法施行令一部改正令案の立法予告」（個人情報保護委員会公告第2026-59号）（韓国語）。 https://www.moleg.go.kr/lawinfo/makingInfo.mo?lawSeq=86980&lawCd=0&lawType=TYPE5&mid=a10104010000

[4] 個人情報保護委員会（韓国）、「個人情報漏えい等対応マニュアル」案の公開と意見募集（韓国語）。 https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS061&mCode=C010010000&nttId=12399