個人情報ハッキング | デュオの43万人分の「人生プロフィール」流出で企業責任のリスク構造は変わるのか

また、契約終了後に廃棄されるべき約30万件の情報が保管されたまま残っており、これらも併せて流出しました。

結婚情報業では、サービスの特性上、会員間のマッチングのためにさまざまな情報を収集します。

一般的なオンラインサービスとは異なり、本人確認にとどまらず、個人の生活環境や価値観まで含む情報が活用されています。

韓国の個人情報保護法第29条は、個人情報取扱者が個人情報の流出を防止するため、技術的・管理的保護措置を講じることを定めています。

これには、アクセス権限の管理、認証手続の設定、暗号化措置などが含まれます。

本件では、ログイン認証失敗回数の上限が設定されておらず、データベースへのアクセス制御も不十分であったことが確認されました。

また、パスワード及び住民登録番号に適用された暗号化の水準も十分ではなかったことが判明しました。

韓国の個人情報保護法第34条は、個人情報が流出した場合、企業が情報主体にその事実を通知し、一定の基準を超える場合には72時間以内に監督機関へ届け出ることを定めています。

しかし、本件では流出の事実を認識した後も所定期間内に届出が行われず、情報主体への通知も遅延したことが確認されました。

韓国の個人情報保護法第24条の2は、住民登録番号の収集及び取扱いを原則として禁止しており、法令上の明示的な根拠がある場合に限り例外的に認めています。

結婚仲介業については、住民登録番号を収集する明確な法的根拠がないにもかかわらず、当該情報を収集・保管していた点が問題として指摘されました。

これは、保有期間が設定されているかどうかにかかわらず、実際の廃棄手続が履行されなかった場合には、当該データ全体が法的リスクに転化し得ることを示しています。

当初は課徴金や過料などの行政上の制裁が科されますが、その後、損害賠償請求へ発展するのが一般的であり、これに企業イメージの毀損と顧客離れが重なることで、実質的な損失規模はさらに拡大します。

特に、本件のようにセンシティブ情報及びプロファイルデータが含まれている場合には、第2段階以降のリスクが急速に拡大する可能性があります。

また、流出の事実に関する通知の遅延や内部管理体制の不備が確認された場合、課徴金の水準だけでなく、民事上の責任範囲にも影響を及ぼす可能性があります。

結果として、個人情報ハッキング事件は、行政・民事・事業上のリスクが連鎖的に発生する構造として理解する必要があります。

個人情報ハッキング事件は、発生後の対応よりも、事前の管理体制が構築されているかによって企業の責任範囲が異なるという特徴があります。

また、流出が発生した場合には、行政上の制裁、損害賠償、評判リスクが同時に発生する可能性があるため、総合的な法的検討が求められます。

法務法人大倫は、個人情報保護、データコンプライアンス、企業紛争対応の経験に基づき、企業の個人情報取扱構造全般について実務的なリーガルアドバイスを提供します。