個人情報コンプライアンス | 韓国の個人情報保護委員会がクーパンに6246億ウォンの課徴金を賦課…企業の個人情報管理範囲が拡大

今回の制裁については、単一の違反行為ではなく、複数の違反行為が併せて認定された点をまず確認する必要があります。

韓国の個人情報保護委員会は、認証署名鍵の管理やアクセス制御など、安全措置義務への違反により大規模な個人情報漏えいが発生したと判断しました。

これとは別に、利用者のオンライン活動履歴を収集・保管した行為も個人情報保護法違反に該当すると判断しました。

課徴金の規模そのものよりも注目されるのは、個人情報漏えいとデータ利用の問題が、それぞれ独立した違反行為として評価された点です。

これは、個人情報漏えい事故が発生していなくても、オンライン活動履歴の取扱方法だけで別途制裁を科すことが可能であることも意味します。

韓国の個人情報保護委員会は、クーパンが会員のオンライン活動履歴を収集し、個人を識別できる状態でデータベースに保存していたと判断しました。

調査対象には、URL情報、アクセス日時、アクセス元IP、アプリ利用情報などが含まれました。

韓国の個人情報保護法第15条は、個人情報の収集・利用に関する法的根拠を定めており、個人情報処理者は取扱目的と収集範囲を明確に定めなければなりません。

韓国の個人情報保護委員会は、今回の事件におけるオンライン活動履歴の収集・保管過程が関連法令の基準に適合しているかを検討し、当該違反行為に対して約2,011億ウォンの課徴金を賦課しました。

個人情報コンプライアンス体制において、個人情報保護責任者（CPO）は、個人情報保護業務を統括する役割を担います。

韓国の個人情報保護法第31条は、個人情報処理者に個人情報保護責任者を指定するよう定めており、個人情報の取扱状況の点検、内部管理計画の策定・運用などの業務を担当させるものとしています。

韓国の個人情報保護委員会は、今回の調査において、クーパンの個人情報保護責任者の独立性が十分に保障されていなかったと判断しました。また、個人情報保護責任者が個人情報の取扱過程に対する管理・監督機能を実質的に果たせる体制が適切に運用されていたかについても併せて検討しました。

このため、今回の事件では、個人情報漏えいとオンライン活動履歴の取扱いに関する問題に加え、個人情報保護組織の運営体制も調査対象に含まれました。

韓国の個人情報保護委員会は、クーパンの広告パートナーの運用過程において、利用者の意思にかかわらずサービス利用履歴が収集されていた事実を確認したと発表しました。

調査結果には、広告パートナーが利用者のウェブサイト訪問履歴やアプリ利用履歴などを収集する過程も含まれました。

韓国の個人情報保護委員会は、クーパンが広告パートナーを通じて収集された情報の取扱過程を適切に管理・監督していたかを調査し、その結果、個人情報の取扱いにおける透明性の確保と利用者の選択権の保障という点で改善が必要であると判断し、関連する是正命令を出しました。

また、クーパンフルフィルメントサービス（CFS）による労働者の体重情報の利用過程も調査対象に含まれました。

韓国の個人情報保護委員会は、CFSが役職員の健康管理を目的として収集・保管していた体重情報を、労働災害関連の訴訟過程で利用した事実を確認しました。

これを受け、当該情報が健康状態に関する要配慮情報に該当すると判断し、収集目的の範囲を超えて利用されたかを検討しました。

韓国の個人情報保護法第23条は、健康情報のような要配慮情報を取り扱う場合、別途の法的根拠があるか、情報主体から別途の同意を得るよう定めています。

韓国の個人情報保護委員会は、体重情報の利用過程がこうした要配慮情報の取扱要件に適合しないと判断し、これに対して別途課徴金を賦課しました。

今回の事件で、韓国の個人情報保護委員会は、約3,750万人分の個人情報漏えいだけでなく、オンライン活動履歴の取扱過程についても、別途の違反行為が成立すると判断しました。

課徴金総額6,246億ウォンのうち、約2,011億ウォンがオンライン活動履歴の収集・利用に関する違反行為に対して賦課された点も注目すべき部分です。

また、韓国の個人情報保護委員会は、個人情報漏えいの事実を確認しただけでなく、個人情報保護責任者の運営体制、広告パートナーの管理・監督体制、要配慮情報の利用過程まで併せて調査しました。

これは、個人情報の取扱結果だけでなく、個人情報を収集・利用する過程や、内部管理体制の運用状況も調査対象となり得ることを示しています。

今回の事件を受け、企業には、個人情報漏えいを防止するためのセキュリティ体制だけでなく、個人情報処理方針の運用状況、オンライン活動履歴の利用方法、要配慮情報の保有状況、個人情報保護責任者の運営体制、委託先および提携先の管理状況まで併せて点検する必要性が高まっています。

特に、オンラインサービスを運営する企業の場合、広告・マーケティングの過程で利用されるデータがどのように収集・利用されているか、利用者に関連内容が適切に告知されているかを確認する必要があります。

個人情報に関する問題は、情報セキュリティ部門だけの問題ではありません。

個人情報の取扱過程で違反事項が確認された場合、法務、マーケティング、IT、人事など複数の部門が同時に影響を受ける可能性があり、場合によっては課徴金の賦課、是正命令の履行、損害賠償への対応まで検討する必要が生じることがあります。

したがって、企業は個人情報の取扱過程全般に関する定期的な点検体制を整え、個人情報処理方針と実際の運用状況が一致しているかを確認する必要があります。

また、オンライン活動履歴の利用方法、要配慮情報の取扱手続、委託先の管理状況などについて法的検討を行い、潜在的なリスク要因を事前に確認することが望まれます。