CONTENTS
- 1. 個人情報保護法違反、国外移転規定違反が問題となった事件
- - 全利用者の個人情報を同意なく提供したK社
- - 個人情報処理の委託および国外移転の事実を告知しなかったA社
- 2. 個人情報保護法違反による課徴金処分
- - K社、適法な処理委託だと反論
- 3. 個人情報保護法違反、大倫の戦略は？
1. 個人情報保護法違反、国外移転規定違反が問題となった事件
個人情報保護法違反により約83億ウォンの課徴金および是正命令処分を受けたK社とA社です。
韓国個人情報保護委員会（以下「個人情報委」）は、去る1月22日、個人情報保護法上の国外移転規定に違反した韓国国内のフィンテックサービス事業者K社に課徴金59億6,800万ウォンを、グローバルビッグテック企業A社には課徴金24億500万ウォンと過料220万ウォンをそれぞれ科しました。
個人情報委は、K社とA社が顧客の同意なく個人情報を中国企業A社に渡したとの報道を受けて調査に着手し、以下のような法令違反の事実および処分内容を発表しました。
全利用者の個人情報を同意なく提供したK社
K社は、A社内の決済システム統合サービスを提供する中国Aペイの中継網を通じて、決済情報などをA社に送信していました。
A社は決済処理の過程で、利用者のNSFスコア（利用者アカウント内の資金不足の可能性を予測するために用いられるスコア）の算出を含む個人情報処理業務を中国Aペイに委託していました。
この過程でK社は、A社の受託会社である中国AペイがNSFスコア算出モデルを構築できるよう、2018年から計3回にわたり、K社の全利用者の個人情報を利用者の同意なく中国Aペイに送信しました。
また、2019年6月27日から2024年5月21日まで毎日、中国Aペイが利用者ごとのNSFスコアを算出できるよう、K社の全利用者約4,000万人の個人情報を別途の同意なく継続的に中国Aペイへ送信していました。
送信された情報には、暗号化された携帯電話番号、メールアドレス、チャージ残高、直近1週間の決済、チャージおよび送金の件数などが含まれていたことが明らかになりました。
個人情報処理の委託および国外移転の事実を告知しなかったA社
グローバル・ビッグテック企業A社は、決済手段との連携に向けた通信APIの開発などのシステム統合業務（NSF）を中国Aペイに委託し、K社利用者の決済情報の送信およびNSFスコア算出に必要な個人情報を処理させていました。
しかし、個人情報処理方針などにおいて、このような個人情報処理の委託および国外移転の事実を利用者に告知していませんでした。
2. 個人情報保護法違反による課徴金処分
個人情報保護法違反について、個人情報委はK社とA社に課徴金および是正命令を科しました。
個人情報委は、NSFモデルの構築およびスコア算出などのために全利用者の個人情報を同意なく提供した行為について、適法な処理根拠のない国外移転に該当すると判断しました。
これを受けてK社に課徴金59億6,800万ウォンを科し、国外移転に関する適法要件を満たすよう是正命令を出しました。
また、個人情報の処理を国外に委託しながら、国外の受託者などを個人情報処理方針などを通じて情報主体に公開または告知しなかったA社の行為については課徴金24億500万ウォンを、委託の事実を明らかにしなかった行為については過料220万ウォンを科しました。
K社、適法な処理委託だと反論
しかし、K社側は4月18日に開かれた課徴金執行停止事件の審尋期日において、「当該個人情報の移転は適法な処理委託である」と主張しました。
適法な処理委託であり、業務遂行に必要な手続であったほか、決済サービスの利便性および安全性を高めるために不正決済防止システムが必要だったためだという主張です。
韓国大法院の判例に従い、第三者提供と処理委託のいずれに該当するかは、「誰の業務処理と利益のためのものか」、個人情報の支配権および管理権が誰にあるかを基準として判断すべきであるとし、個人情報の所有権はK社にあり、中国Aペイは受託者として明記されているため、個人情報の国外移転は処理委託に該当すると主張しました。
これに対し、個人情報委側は、情報の自動送信自体が第三者提供に当たるため、利用者情報を国外へ移転するには情報主体の同意が不可欠であるとの立場です。
3. 個人情報保護法違反、大倫の戦略は？
総額83億ウォンの課徴金賦課命令が出された本件の個人情報保護法違反事件は、グローバルプラットフォームサービスの拡大に伴って個人情報の国外移転が増加する中、国外移転の範囲を明確にし、事業者が国外移転の際に必ず適法要件を遵守しなければならないことを再確認するという点で意義のある事例です。
事業者が個人情報の国外移転を伴うサービスを提供する場合、情報主体から別途の同意を得る必要があります。また、国外の受託者に個人情報処理を委託する場合には、個人情報処理方針などを通じて、個人情報が国境を越えて移転される事実を明確に告知しなければなりません。
さらに、個人情報処理業務を外部に委託する場合、委託者は情報主体に対する責任を負わなければなりません。個人情報が委託者の責任範囲を離れて第三者の責任領域へ移転される場合は「第三者提供」に該当するため、情報主体の同意などの法的根拠を必ず備える必要があります。
個人情報保護法は条項が多く、国外移転、第三者提供、委託処理などの各概念と要件が複雑に絡み合っているため、専門弁護士のサポートを受けてリスク予防に取り組むことが望ましいです。
法務法人（有限）大倫では、専門弁護士がチームを組み、▲個人情報保護法違反に関するコンサルティング ▲国外移転および第三者提供に関する助言 ▲法的リスクの事前点検 ▲調査および行政対応 ▲個人情報漏えい事故への対応などに取り組んでいます。
