韓国の漏えい通知は9月11日から、確定を待たずに72時間が始まる

外に出ていなくても、社内で壊れれば通知の対象になる

韓国の改正個人情報保護法(法律第21445号)は2026年3月10日に公布され、9月11日に施行される。韓国の国家法令情報センターに載る改正理由は、通知制度を二つの方向へ広げたと書いている。

一つは事故の種類だ。従来は個人情報が紛失、盗難、漏えいした場合に本人へ知らせる建て付けだった。これからは偽造、改ざん、毀損された場合も知らせなければならない。データを持ち出さず暗号化して止めるだけの攻撃も、バックアップから戻せなければここに入る。韓国の個人情報保護委員会(PIPC)のマニュアル草案は、復旧が不可能な場合を毀損とみなしている。

もう一つのほうが大きい。大統領令で定める「漏えい等の可能性がある場合」にも通知義務が付く。何がどれだけ出たのかを確かめた後ではなく、その手前で72時間の期限が始まるという意味になる。

課徴金にも手が入った。現行の全体売上高3%という上限はそのまま残し、その上に10%の上限を別に新設した。10%が適用される事由は三つある。課徴金を科された日から3年を経過する前に同じ号の違反を繰り返した場合、被害を受けた本人が1千万人以上の場合、そしてPIPCの是正措置命令に従わなかったために個人情報の漏えい等が起きた場合だ。前の二つは故意または重大な過失を前提とし、繰り返しの違反は先の違反と後の違反の双方に故意または重大な過失が要る。三つ目にその要件はない代わりに、安全性の確保に必要な措置を尽くしていた場合は外れる。

但し書きが付いたまま、9月11日が来る

法律が決めていないものが一つ残っている。「漏えい等の可能性がある場合」とは具体的に何を指すのかだ。その線引きは施行令に委ねられた。

PIPCは施行令の改正案を6月2日から7月13日まで立法予告した。案には通知義務が始まる場合が二つ書かれている。一つは、個人情報処理システムまたは個人情報取扱者の機器に不法なアクセスがあったことを知り、個人情報が外部に出た客観的な事情はあるものの、誰の情報が出たのかを特定しがたい場合だ。もう一つは、処理している個人情報が不法に取引または流通していることが客観的に確認され、すでに把握した本人以外の個人情報も出た可能性が高いと認められる場合である。72時間の起算は、前者では不法なアクセスを知った時から、後者では取引や流通の事実を知った時からになる。客観的に漏えいの可能性がなければ知らせなくてよい。

ここまでは案だ。9月5日時点で、国家法令情報センターに9月11日施行の改正施行令は載っていない。

PIPCもこの空白を文書に残した。8月21日に「個人情報漏えい等対応マニュアル」の草案を公開し、8月24日から9月3日まで意見を受け付けている。その告知には「案内書に書かれた施行令は現在改正中であるため、一部の文言が変わりうる」という但し書きが付いた。施行日は決まったのに、義務が始まる条件のほうは確定した文書のどこにもない。

新設された義務の大半は、売上高と処理人数の線で止まる

この改正を扱った記事は、たいてい売上高10%を見出しに置く。ただし当たる場所は狭い。被害を受けた本人が1千万人以上の場合、課徴金を科されて3年以内に同じ号を再び破った場合、是正措置命令に従わなかったために個人情報が出た場合の三つで、前の二つには故意または重大な過失が要り、三つ目はPIPCがすでに是正を命じた後でなければ成り立たない。利用者が数万人の会社がこの敷居に届くとしたら、事故そのものより事故の後に何をしたのかが問われる場面だ。

立法予告された施行令案が載せる他の義務も、規模で分かれる。専門の個人情報保護責任者を置く義務はもとからある制度で、案はその指定義務の基準を年間売上高1,500億ウォンから1,800億ウォンへ引き上げ、対象を絞る。そのうえで新しい義務を一つ足し、その範囲を絞られた指定義務の対象に合わせる。責任者を指定、変更、解任する際に取締役会の議決を経てPIPCへ届け出よ、というものだ。絞られた対象は年間売上高1,800億ウォン以上で、かつ機微情報や固有識別情報を5万人以上処理するか個人情報を100万人以上処理する事業者、在学生2万人以上の大学、大規模な機微情報を扱う上級総合病院、公共システム運営機関である。

ISMS-P認証の義務対象は四つに分かれる。PIPCが告示する公共システム運営機関、移動通信事業者、本人確認機関、そして前年度売上高1兆ウォン以上かつ情報通信サービス部門の売上高100億ウォン以上で、直前3か月の1日平均3,000万人以上の韓国内の本人の情報を保存、管理する事業者だ。最後の区分からは電子金融取引法上の金融会社が外れる。ただしこの条項は9月11日施行分ではない。施行日を2027年7月1日へ切り離しているのは法律の附則第1条ただし書と施行令案の附則第1条ただし書で、対象になった事業者が2028年12月31日までに認証を受ければよいと定めているのは施行令案の附則第3条だ。

シード段階のチームがこの数字に届くことはない。一方、通知義務のほうには売上高の下限がない。個人情報を処理していれば付いてくる。今回の改正で規模の小さい会社に実際に降りてくるのは、課徴金ではなく72時間だ。

守ったと示せる材料は、気づいた時刻の記録しかない

実務で変わるのは順番だ。これまでは侵害の兆候を見つけたらまず調べ、何が出たのかを確かめてから通知の準備に入った。これからは調査と通知準備が並んで進む。調査を終えてから取りかかっていた作業を、調査と同時に動かすことになる。

起算点が認知の時点である以上、いつ知ったのかを記録に残しておけば半分は済んでいる。管理者アカウントに見慣れない地域からのログインが残った時、サーバーログに異常な照会が出た時、自社ドメインのアカウントが外部で売られているという通報が届いた時、それを誰が受け取るのかが先に決まっていなければならない。通知チャンネルにボットのメッセージだけが積み上がり、誰も確認の印を残さないチームは、後になっていつ知ったのかを自分でも答えられない。その状態では、72時間を守ったのか破ったのかを示すこともできない。

決めておくものは三つだ。どの信号を侵害の兆候と見なすか、その判定を誰が下すか、判定した時刻をどこに書くか。三つ目がいちばん些細に見えて、事故が起きると最初に出せと言われる。

自国の制度で漏えい対応を経験したチームほど、手元にある手順をそのまま韓国に当てようとする。だが期限の長さも、起算の時点も、知らせる相手と様式も、韓国の条文とPIPCの文書で別に数え直すことになる。韓国にユーザーや拠点を持つなら、自社がどの範囲で対象に入るのかを、現地の窓口を誰が務めるのかまで含めて先に決めておきたい。

施行令が公布されたら、読みに行く文章も決まっている。不法なアクセスを知っただけでは足りず、漏えいの事情と対象の特定困難が揃って要求される構造が立法予告案のまま残るのか、起算点が各号で指定した認知の時点のままか、客観的に可能性がなければ知らせなくてよいという例外がどこまで認められるのかだ。この三つが最終案でどう変わったかによって、同じ一本のアラートが通知対象になったりならなかったりする。