課徴金の上限が3%から10%に上がる三つの状況

課徴金の上限が3%から10%に上がるという見出しだけを見ると、大企業だけの話のように読めます。しかし今回の改正で初期の企業が先に見るべきなのは、上限の数字ではなく、反復かどうかを判定する基準線です。一度処分を受けた後に同じ類型の違反が再び起きると、上限の特例と加重率が同時に適用され、その期間は処分日から3年です。漏えいが起きた箇所一つを塞いで終わったのか、同じ類型の問題が起こりうる別のシステムまで整理したのかが、その3年の間に費用として返ってきます。

韓国の改正個人情報保護法が2026年9月11日に施行されました。変わったのは課徴金の上限だけではありません。核心はどの状況で上限が変わるのかです。一般の上限である売上高全体の3%はそのまま残り、そこに売上高全体の10%まで課しうる特例が加わりました。法第64条の2第2項がこれを定めています。

10%になる状況は三つだけです

特例が適用されるのは三つの場合です。

第一に、課徴金の処分を受けた日から3年以内に同じ類型の違反を再び行った場合です。第二に、故意または重大な過失により1千万人以上に被害を与えた場合です。第三に、是正措置命令を履行せず漏えいが起きた場合です。

三つを並べると共通点が見えます。一度の事故の規模だけで10%になるのは二番目だけです。残りの二つはそれ以前に何があったかを見ます。一番目は先行する処分を、三番目は先行する命令を前提にします。上限が上がる基準に、事故の大きさだけでなく対応の履歴も入るということです。

反復は倍率で乗ります

個人情報保護委員会告示第2026-12号は、賦課基準率とともに反復違反の加重率を定めました。処分日から3年以内に同じ号の違反で課徴金の処分を受けた回数が増えるほど、加重率も上がります。1回なら20%、2回なら40%、3回以上なら80%です。

同じ告示は違反の重大性に応じて賦課基準率も分けています。重大な違反は1.5%以上2.1%未満、非常に重大な違反は2.1%以上2.7%以下です。

この二つを掛け合わせる構造なので、同じ事故でも先行する処分が何回あったかによって最終的な金額が大きく変わります。一度処分を受けた後、3年以内に同じ類型の違反を繰り返せば、二度目の処分は一度目よりはるかに高くつきます。

3年という期間が設計の基準線です

反復を数える期間が3年に固定されているため、実務では日付の管理が重要です。基準になる日は事故が起きた日ではなく処分を受けた日です。処分を受けてから3年の間に同じ類型の違反が再び出れば、加重の区間に入ります。

ここで対応の範囲によって結果が分かれます。漏えいが起きた箇所だけを塞いで終えると、同じ類型の問題が別のシステムで繰り返される余地が残ります。処分を受けてからの3年は、その余地を整理すべき期間であり、整理しなかったときに費用が倍率で返ってくる期間です。

是正措置命令を受けた後が最も危険です

三つの特例事由のうち三番目は性格が異なります。前の二つは違反そのものを問いますが、三番目はすでに受けた命令を履行していない状態で漏えいが起きたときに適用されます。命令を受けた時点から履行を終えるまでが、この条項の射程です。

この区間では事故の大きさが上限を左右しません。1千万人の基準を超えなくても、反復でなくても、命令を履行しなかったという事実だけで上限が10%になります。

確認できなかったこと

告示の本文と別表を開かなければ確定できない項目が残っています。重大性の等級を分ける細かな点数、10%の特例に適用される加重比率の上限と下限、故意と重過失をそれぞれどう点数化するのか、売上高全体を算定できない事業者の代替算式、減軽と加重が最終金額に結び付く順序です。公共機関と海外の事業者にも同じ方式で適用されるのかは、原文を確認する必要があります。

処分日と履行完了日、二つの日付から書き留めます

告示の別表を開く前でも、いまできることがあります。処分を受けた日と是正措置命令の履行を終えた日、二つの日付を記録することです。反復を判定する3年は事故が起きた日ではなく処分を受けた日から始まり、10%の特例の三番目の事由は命令を履行するまで該当しうる状態が続きます。二つの日付がなければ、いまどの区間にいるのか分かりません。

次は範囲です。漏えいが起きたシステム一つではなく、同じ類型の違反が起こりうるシステム全部を一覧にし、処分日から3年以内にその一覧を空にする日程を組みます。一覧をいつまでに空にするかで、次の違反が加重の区間に入るかどうかが変わります。