个人信息合规 | 韩国个人信息保护委员会对Coupang处以6246亿韩元课征金（行政罚款）……企业个人信息管理范围扩大

首先需要关注的是，此次制裁并非仅针对一项违法行为，而是同时认定了多项违法行为。

韩国个人信息保护委员会认定，因违反证书签名密钥管理和访问控制等安全措施义务，导致发生大规模个人信息泄露。

此外，其认为收集、保存用户网络活动记录的行为也违反了韩国《个人信息保护法》。

相比课征金数额本身，更值得关注的是个人信息泄露与数据利用问题分别被认定为独立的违法行为。

这也意味着，即使未发生个人信息泄露事故，也可能仅因网络活动记录的处理方式而受到单独制裁。

韩国个人信息保护委员会认定，Coupang收集了会员的网络活动记录，并在可识别个人身份的状态下将其存储于数据库中。

调查对象包括URL信息、访问时间、访问IP、应用程序使用信息等。

韩国《个人信息保护法》第15条规定了收集、利用个人信息的法律依据，个人信息处理者应当明确处理目的和收集范围。

韩国个人信息保护委员会在本案中审查了网络活动记录的收集及保存过程是否符合相关法律法规的标准，并针对相关违法行为处以约2,011亿韩元的课征金（行政罚款）。

在个人信息合规体系中，个人信息保护负责人（CPO）负责统筹个人信息保护工作。

韩国《个人信息保护法》第31条规定个人信息处理者应指定个人信息保护负责人，并由其负责检查个人信息处理情况、制定及运行内部管理计划等工作。

韩国个人信息保护委员会在此次调查中认定，Coupang个人信息保护负责人的独立性未得到充分保障。同时，还审查了确保个人信息保护负责人能够切实履行个人信息处理过程管理、监督职能的体系是否得到妥善运行。

因此，此次事件除个人信息泄露和网络活动记录处理问题外，个人信息保护组织的运行体系也被纳入调查范围。

韩国个人信息保护委员会表示，其确认Coupang在广告合作伙伴的运营过程中，存在违背用户意愿收集服务使用记录的情况。

调查结果还包括广告合作伙伴收集用户网站访问记录和应用程序使用记录等信息的过程。

韩国个人信息保护委员会调查了Coupang是否妥善管理、监督通过广告合作伙伴收集的信息的处理过程，并据此认定其在确保个人信息处理透明度和保障用户选择权方面需要改善，因而下达了相关责令改正。

此外，Coupang Fulfillment Services（CFS）使用劳动者体重信息的过程也被纳入调查范围。

韩国个人信息保护委员会确认，CFS将出于员工健康管理目的收集、保存的体重信息用于工伤相关诉讼。

其认为该信息属于与健康状况有关的敏感信息，并审查了是否存在超出收集目的范围使用该信息的情况。

韩国《个人信息保护法》第23条规定，处理健康信息等敏感信息时，应具备单独的法律依据或另行取得信息主体的同意。

韩国个人信息保护委员会认定，体重信息的使用过程不符合上述敏感信息处理条件，并对此另行处以课征金（行政罚款）。

在此次事件中，韩国个人信息保护委员会不仅确认约3,750万人的个人信息遭到泄露，还认定网络活动记录处理过程中另行构成违法行为。

在总计6,246亿韩元的课征金中，约2,011亿韩元针对与收集、利用网络活动记录有关的违法行为处以，这一点也值得关注。

此外，韩国个人信息保护委员会并非只确认个人信息泄露事实，还一并调查了个人信息保护负责人运行体系、广告合作伙伴管理监督体系以及敏感信息利用过程。

这表明，不仅个人信息处理结果，个人信息的收集和利用过程以及内部管理体系的运行情况也可能成为调查对象。

此次事件发生后，企业更有必要一并检查防止个人信息泄露的安全体系、个人信息处理方针运行情况、网络活动记录利用方式、是否持有敏感信息、个人信息保护负责人运行体系以及受托方和合作方管理情况。

尤其是运营在线服务的企业，需要确认广告、营销过程中使用的数据以何种方式被收集和利用，以及相关内容是否已适当告知用户。

个人信息相关问题并非只涉及信息保护部门。

如果在个人信息处理过程中发现违法事项，法务、营销、IT和人事等多个部门可能同时受到影响，并可能需要根据具体情况考虑课征金（行政罚款）、履行责令改正以及应对损害赔偿等问题。

因此，企业需要建立定期检查个人信息处理全过程的体系，并确认个人信息处理方针与实际运行情况是否一致。

同时，宜通过对网络活动记录利用方式、敏感信息处理程序和受托企业管理情况等进行法律审查，提前确认潜在风险因素。