法務法人(有限)地平

ニュース|KOREA LEGAL INSIGHT

【個人情報・データ・AI】データセキュリティの改善：海外事業者に対する個人情報保護法適用ガイドライン

2024.10.18

<div>2024年4月4日、韓国の個人情報保護委員会（以下「個人情報保護委員会」といいます。）は、「外国事業者に対する個人情報保護法適用ガイドライン」（以下「ガイドライン」といいます。）を発表しました。このガイドラインは、外国事業者が韓国の個人情報保護法（以下「個人情報保護法」といいます。）を遵守するための明確な基準を示し、特に韓国人である情報主体（以下「情報主体」といいます。）のデータセキュリティを大幅に向上させることを目的としています。ガイドラインの主な内容は以下の通りです。<br />
<br />
<br />
<span style="color:#c0392b;"><strong>個人情報保護法が適用される外国事業者</strong></span><br />
<br />
ガイドラインによると、外国事業者は、次のいずれかの基準を満たす場合、個人情報保護法の適用を受けます：(i)情報主体に商品やサービスを提供する場合、(ii)情報主体に影響を与える個人情報処理活動を行う場合、(iii)韓国内に事業所を持つ場合。<br />
 </div>

<table cellpadding="0px">
	<tbody>
		<tr>
			<td>
			<div style="padding-left: 36px">
			<div style="text-indent: -36px;"><strong>(i)    情報主体への商品やサービスの提供</strong><br />
			<br />
			ガイドラインによると、外国事業者が情報主体に商品やサービスを提供する場合、個人情報保護法が適用されます。具体的には、外国事業者が実際に韓国の消費者に商品やサービスを提供しているかどうかを判断する際に、使用している言語、対応する通貨、サービスの提供方法やアクセス手段など、さまざまな要素が考慮されます。<br />
			<br />
			個人情報保護法が適用されるシナリオの例は以下の通りです。</div>

<div style="padding-left: 34px; text-indent: -30px;">(1)  外国事業者が情報主体に商品やサービスを提供することを明確に示す場合</div>

<div style="padding-left: 34px; text-indent: -30px;;">(2)  外国事業者が韓国語ドメイン（例：.kr、ko-kr）を使用してウェブサイトを運営する場合</div>

<div style="padding-left: 34px; text-indent: -30px;">(3)  外国事業者が韓国人を対象にモバイルアプリ市場でサービスを開始する場合</div>

<div style="padding-left: 34px; text-indent: -30px;">(4)  外国事業者が韓国語のみでサービスを提供する場合</div>

<div><br />
			一方で、外国事業者がオンラインで商品やサービスを提供する際に、情報主体へのアクセスを明確に制限している場合（例えば、韓国のIPアドレスからのアクセスをブロックするなど）、特定の条件では個人情報保護法が適用されないことがあります。そのため、外国事業者はこれらの要素を考慮し、自社が個人情報保護法の対象となるかどうかを慎重に判断することが求められます。<br />
			 </div>
			</div>
			</td>
		</tr>
		<tr>
			<td>
			<div style="padding-left: 36px">
			<div style="text-indent: -36px;"><strong>(ii)  情報主体に影響を与える個人データ処理活動の実施</strong><br />
			<br />
			外国事業者が情報主体に直接商品やサービスを提供しなくても、情報主体に直接的かつ重大な影響を与える方法で個人情報を処理する場合、個人情報保護法が適用される可能性があります。例えば、外国事業者が情報主体を対象にしていないサービスを通じて個人情報を収集し、その情報をウェブサイトに開示する場合、このような行為は、個人情報保護法に基づいて情報主体に実質的な影響を与えるものと見なされる可能性があります。<br />
			 </div>
			</div>
			</td>
		</tr>
		<tr>
			<td>
			<div style="padding-left: 36px">
			<div style="text-indent: -36px;"><strong>(iii) 韓国内の事業所の維持</strong><br />
			<br />
			ガイドラインでは、外国事業者が国内に事業所を持ち、情報主体の個人情報を処理する場合、個人情報保護法が適用されることが明記されています。この場合、処理される個人情報と外国事業者の韓国内の事業活動との関係を確認するため、詳細な評価を行う必要があります。</div>
			</div>
			</td>
		</tr>
	</tbody>
</table>

<div><br />
<br />
<span style="color:#c0392b;"><strong>ガイドラインに基づく法的要件 </strong></span><br />
<br />
個人情報保護法が適用される外国事業者は、ガイドラインに記載されている以下の法的要件を遵守する必要があります。</div>

<table cellpadding="0px">
	<tbody>
		<tr>
			<td>
			<div style="padding-left: 36px">
			<div style="text-indent: -36px;"><strong>1.    漏洩通知および報告義務</strong><br />
			外国事業者が個人情報処理者の管理範囲を超えた個人情報の紛失、盗難、漏洩により第三者が当該情報にアクセスできる状況（以下「漏洩」といいます。）を認識した場合、72時間以内にその情報主体に通知する必要があります。漏洩が1,000人以上の情報主体の個人情報、機微(センシティブ)情報、または固有識別情報を含む場合や、不法な外部アクセスによって発生した場合には、外国事業者は72時間以内に当該事件を個人情報保護委員会に報告する必要があります。<br />
			 </div>
			</div>

<div style="padding-left: 36px">
			<div style="text-indent: -36px;"><strong>2.    個人情報処理方針の開示</strong><br />
			外国事業者は、韓国語の個人情報処理方針（以下「方針」といいます。）を提供する必要があります。この方針は、他国で使用しているものを単に翻訳するのではなく、個人情報保護法の要件に基づいて新たに作成される必要があります。方針には、個人情報処理者を明確に特定することが求められます。また、情報主体の個人情報が海外で処理される場合には、方針にその旨を明記し、処理を行う国と事業者の名前も記載する必要があります。<br />
			 </div>
			</div>

<div style="padding-left: 36px">
			<div style="text-indent: -36px;"><strong>3.    情報主体の権利</strong><br />
			情報主体が、自身の個人情報へのアクセス、訂正、または削除を要求できる具体的な方法を設ける必要があります。情報主体が求める情報の開示を他国の法律が制限している場合、外国事業者は、その法律を遵守することが個人情報保護の必要性よりも優先されるかどうかを評価する必要があります。</div>
			</div>

<div style="padding-left: 36px">
			<div style="text-indent: -36px;"><strong>4.    満14歳未満の未成年者の個人情報に対する同意要件</strong><br />
			外国事業者が満14歳未満の未成年者の個人情報を処理する場合、法定代理人の同意を得る必要があります。また、その同意があったことを確認することも求められます。<br />
			 </div>
			</div>

<div style="padding-left: 36px">
			<div style="text-indent: -36px;"><strong>5.    個人情報の国外移転の制限</strong><br />
			個人情報保護法は、情報主体の具体的な同意を得た場合など、いくつかの例外を除いて、一般的に個人情報の国外移転を禁止しています。<br />
			 </div>
			</div>

<div style="padding-left: 36px">
			<div style="text-indent: -36px;"><strong>6.    損害賠償責任</strong><br />
			個人情報保護法は、漏洩などの被害が発生した場合に、情報主体が企業に対して損害賠償を請求できるように定めています。この責任を果たすために、外国事業者は保険に加入したり、共済金を準備するなど、必要な措置を講じる必要があります。<br />
			 </div>
			</div>

<div style="padding-left: 36px">
			<div style="text-indent: -36px;"><strong>7.   個人情報の処理委託</strong><br />
			外国事業者が第三者を雇用して情報主体の個人情報を処理する場合、情報の「提供」と「委託」を明確に区別し、個人情報保護法に基づく関連義務を遵守する必要があります。<br />
			 </div>
			</div>

<div style="padding-left: 36px">
			<div style="text-indent: -36px;"><strong>8.    国内代理人の指定</strong><br />
			外国事業者は、(i)国内に住所がなく、売上高または個人情報の保有規模が一定基準を超える場合、または(ii)個人情報保護委員会が国内代理人の指定が必要と判断した場合、国内代理人を指定する必要があります。<br />
			 </div>
			</div>

<div style="padding-left: 36px">
			<div style="text-indent: -36px;"><strong>9.    個人情報保護法違反の調査</strong><br />
			個人情報保護委員会は、個人情報保護法違反が発見されるか、またはその疑いがある場合、外国事業者に対する調査を開始することができます。また、関連書類を要求し、外国事業者の事業所に公務員を派遣して陳述を収集したり、業務の監視や記録の調査を行うことができます。なお、必要に応じて主要な関係者に出席および陳述を求めることもできます。<br />
			 </div>
			</div>

<div style="padding-left: 36px">
			<div style="text-indent: -36px;"><strong>10.  是正措置及び制裁</strong><br />
			個人情報保護委員会は、外国事業者が個人情報保護法に違反している事実を確認した場合、個人情報侵害行為の中止命令や個人情報処理の一時停止、課徴金や過料の賦課、さらに個人情報保護や追加違反防止に必要なその他の措置を講じることができます。</div>
			</div>
			</td>
		</tr>
	</tbody>
</table>

<div><br />
<br />
<strong><span style="color:#c0392b;">主要内容</span></strong><br />
<br />
本ガイドラインは、外国事業者が個人情報保護法に基づく義務を理解し、データ保護の複雑さを理解するための支援を目的としています。外国事業者が情報主体の個人情報を侵害した場合、影響を受けた情報主体は、紛争調整委員会を通じて救済を求め、損害賠償を請求する権利を有します。このような潜在的な結果を回避し、法律を適切に遵守するために、韓国市場に参入するすべての外国事業者は、本ガイドラインを十分に検討する必要があります。これらの措置を講じることで、外国事業者は違反から保護され、改正された法律を遵守できるようになります。</div>

KOREA LEGAL INSIGHT 【個人情報・データ・AI】新政権のAI政策の方向性と振興策、外国企業等への示唆点 2025.08.18

目録へ

JIPYONG 법무법인[유] 지평

関連業務分野

主な弁護士等

関連業務分野

主な弁護士等

SHARE

免責告知

有限責任