业务领域

信息保护

就信息保护事宜寻求法律咨询，是预防法律风险的最好方法。个人信息保护的重要性正随着时间的推移而愈发受到重视。

CONTENTS

1. 信息保护 | 法律咨询的必要性
- - 信息保护企业咨询内容
2. 信息保护 | 个人信息保护守则
- - 刑事处罚及行政处分
3. 信息保护 | 管理不足时须承担的主要风险
- - 对外形象及信誉受损
- - 交易合同解除及业务中断风险
- - 产业机密及商业秘密泄露引发的损害赔偿责任
4. 信息保护 | 并非选择而是义务
- - 信息保护企业法律风险预防检查清单

1. 信息保护 | 法律咨询的必要性

信息保护已不再是单纯的法律义务，而是逐渐成为企业经营的战略性要素。

随着第四次工业革命和数字化转型的加速，数据已成为企业的核心资产，信息保护的重要性也因此比以往任何时候都更受重视。

特别是《个人信息保护法》《信息通信网法》《信用信息法》等信息保护相关法令，要求企业对信息保护采取前瞻性应对并构建系统化的合规体系。

企业应当综合分析信息保护相关的民事、刑事、行政风险因素，制定切实可行的法律战略。

信息保护不仅是单纯的法律义务，更是确保企业信誉与可持续发展的必备要素。

因此，当前各企业不仅需要对信息保护相关的集体诉讼风险进行系统性防范，还需要为保护企业声誉、增强竞争力采取战略性举措。

信息保护企业咨询内容

企业为保护信息应实施以下内容。

1. 内部个人信息保护政策的检查与改进

个人信息处理方针及内部规定的合规性审查

个人信息收集、利用、销毁流程的检查与完善

实施个人信息影响评估（PIA）并撰写结果报告书

2. 制定法律应对战略及应对行政处分

制定应对课征金（行政罚款）、罚款（行政）、整改命令等行政处分的方案

个人信息纠纷调解及行政诉讼应对咨询

3. 提供信息保护培训及提升员工意识的项目

个人信息保护法及相关法令培训

个人信息泄露案例及应对手册培训

4. 个人信息泄露事故应对及应对体系构建

个人信息泄露事故发生时的紧急应对流程制定

事故调查及原因分析支援

制定受害者通知、申报及后续处置方案

5. 为保护个人信息提供IT及安全系统咨询

安全政策及访问控制系统设计咨询

制定个人信息加密、访问权限管理方案

6. 个人信息保护相关合同、格式文本的审查与撰写

个人信息处理方针、个人信息收集利用同意书审查

保密协议的法律审查

内部政策及手册的法律咨询

2. 信息保护 | 个人信息保护守则

政府和公共机构制定了个人信息保护守则。

1. 仅在最小限度内收集必要的个人信息

2. 不得在无法令依据的情况下处理居民登录号、健康信息等敏感信息

3. 不得将个人信息用于与收集目的不符的用途或提供给第三方

4. 处理个人信息时应公开个人信息处理方针

5. 确保安全性，防止个人信息因黑客攻击等原因泄露

6. 网站接受会员注册时应引入居民登录号的替代手段

7. 个人信息收集目的达成后应立即销毁

8. 个人信息发生泄露时应在5日内通知信息主体

9. 运营闭路电视（CCTV）时应设置载有安装目的、拍摄范围、运营方针等内容的告示牌

违反信息保护义务导致个人信息泄露的，将处以下述程度的处罚。

刑事处罚及行政处分

行为	处罚程度
未经信息主体同意向第三方提供个人信息的	五年以下有期徒刑或5,000万韩元以下罚金
将超出信息主体同意提供范围的个人信息用于营利或不正当目的的	五年以下有期徒刑或5,000万韩元以下罚金

除此之外，未尽信息保护义务的企业将受到如下行政处分。

行为	行政处分
居民登录号泄露及违反安全措施时	在不超过总销售额3%的范围内处以课征金（行政罚款） *根据《个人信息保护法》施行令附表1之5的课征金课征基准率极其重大的违反行为：2.1%以上2.7%以下重大违反行为：1.5%以上、不足2.1% 一般违反行为：0.9%以上、不足1.5% 轻微违反行为：0.03%以上、不足0.9%
存在个人信息侵害等损害发生之虞时	整改措施
需要改善个人信息保护实况时	改善劝告

企业未能妥善遵守信息保护管理体系或法律义务时所产生的风险，不仅包括刑事处罚、行政处分，其严重程度甚至足以威胁企业的存续。

下面将按各项目进行详细说明。

对外形象及信誉受损

信息保护事故一旦发生，将对企业品牌和声誉造成严重打击。

客户及交易方会将个人信息泄露和黑客攻击事故直接与企业信誉下降相联系，可能施加中止交易、解除合同、撤回投资等严重不利后果。

信誉一旦受损便极难恢复，并会导致长期的销售额下滑及经营恶化。

尤其是金融、医疗、教育等大量处理个人信息的行业，受到的损害更大。

交易合同解除及业务中断风险

委托云服务、AI平台等外部IT服务时，必定包含信息保护相关条款，一旦违反，可能立即导致解除合同及中止服务。

这不仅会造成服务故障，还可能扩大为客户数据访问受限、损害赔偿请求以及进一步的法律纠纷。

因此，遵守合同中的信息保护义务对确保业务连续性至关重要。

产业机密及商业秘密泄露引发的损害赔偿责任

企业内部管理的产业技术、商业秘密、客户信息等一旦泄露，将对竞争对手造成严重损害，并可能引发民事损害赔偿请求诉讼。

尤其在泄露出于故意或因管理疏忽所致的情况下，法院会认定相当数额的损害赔偿金。

此类事件会导致企业竞争力削弱及市场信任丧失。

综上所述，信息保护并不仅限于IT部门的工作或技术性问题，而是与企业可持续经营直接相关的核心经营风险。

如今围绕企业的个人信息保护、信息通信网安全、AI数据伦理、产业机密保护等信息保护法制极为复杂且变化迅速，若不能准确掌握并遵守，可能面临巨额课征金（行政罚款）、刑事处罚、交易中断、声誉受损等重大不利后果。

为此，企业应当系统性地检查信息保护法令与规制，制定符合最新法令的内部指引和安全系统，同时彻底审查委托合同中的信息保护条款。

此外，还应当通过面向全体员工的信息保护培训、个人信息处理流程检查以及信息保护合规检查体系的运营，同步进行切实有效的风险管理。

企业的信息保护能力如今已成为竞争力的必备要素以及信任经营的基础。

应当明确认识到，构建信息保护体系与管理法律风险正是确保客户与社会信任、守护企业价值的战略，并通过系统化的管理体系前瞻性地管理法律风险。

信息保护企业法律风险预防检查清单

主要检查内容	检查结果（O/X）
确认个人信息收集利用同意书的合法性确认个人信息收集项目、目的、保有期间、同意方式的合法性及是否最新化
完善个人信息保有、销毁标准检查个人信息保有期间届满时是否采取适当销毁措施及内部销毁台账管理情况
检查个人信息处理方针公示、运营的适当性确认网站、APP等个人信息处理方针的最新化及是否向用户告知
检查信息保护管理体系（ISMS）认证的维持情况 ISMS、ISO27001、电子金融安全的遵守情况及认证有效性管理
制定个人信息泄露事故应对手册泄露发生时的申报、通知、调查、后续应对手册及是否构建专职组织
检查合作企业、受托方的信息保护管理现状个人信息处理委托合同的签订、受托方管理监督及是否实施信息保护培训
实施信息安全脆弱点诊断及模拟黑客攻击每年一次以上信息安全脆弱点检查、渗透测试及安全咨询的履行情况
确认AI、云系统的个人信息保护对策 AI服务、云服务器内个人信息加密、访问记录管理、访问控制情况
遵守《信息通信网法》规定的用户同意事项及告知义务检查通信服务使用条款、用户信息收集利用同意告知的履行情况
是否面向员工、开发者实施信息保护培训个人信息保护法、信息安全、AI个人信息保护风险培训及结业管理