個人情報保護法 | 収集したメッセージデータをAIチャットボットの学習に活用したことは実質的な同意のない個人情報処理であるという裁判所の判断

裁判所は、形式的・包括的な同意手続きだけでは、個人情報保護法が求める実質的な同意義務を満たしたとは認められないと判断しました。

裁判所は、単に「約款および個人情報処理方針に同意します」というチェックボックスによって同意を得たうえで、個人情報処理方針の閲覧をリンクで提供した点のみでは、利用者が自らの個人情報がどのような方式で活用されるのかを明確に認識して同意したとは認めがたいとしました。

同意は、内容と範囲が明確に区分されて告知されなければならず、利用者が十分に認識できる方式で説明されなければならないという基準を提示したものです。

裁判所は、被告企業がAI学習の過程で使用したデータが、個人情報保護法上の匿名情報または仮名情報の基準に適合しないと判断しました。

会話文には、氏名、連絡先、住所、パスワード、口座番号などのような個別の識別情報だけでなく、社会関係や身上情報の推定が可能な内容が含まれていたため、追加情報を結合した場合、特定の個人を識別する危険が相当であるとしました。

また、一部の情報のみを暗号化し、相当な部分を非識別化しないまま保存した措置は、個人情報保護法第28条の2が求める仮名処理の基準を満たさないと判断しました。

裁判所は、既存のアプリサービスが提供していた機能とAIチャットボットサービスは、目的・性格・機能・利用環境において本質的に異なるため、同意なく学習データとして活用した行為は、個人情報保護法第15条および第18条が定める収集目的の範囲を超えた利用に該当するとしました。

個人情報処理方針に「新規サービスの開発」を明示したという理由だけで、情報主体がAIアルゴリズムの学習を予想し、または同意したと評価することはできないと判断したものです。

裁判所は、被告が、長期間の未利用者および退会者の個人情報を分離して保存し、または破棄すべき法的義務を遵守しなかった点についても、違反の事実を認定しました。

これは、個人情報保護法第21条および第39条の6違反に該当すると判断しました。

会話文には、健康情報、性生活に関する内容、思想および信念など、個人情報保護法第23条第1項の機微情報に該当する内容が含まれていたにもかかわらず、別途の明示的な同意を得ていなかったという点を根拠に、機微情報に関する法令違反の事実を認めました。

これにより、裁判所は、損害の危険性と侵害の程度を基準に、個人情報の流出、機微情報の流出、両項目ともに流出した場合にグループを区分し、慰謝料10万ウォン、30万ウォン、40万ウォンを差をつけて認定しました。

法務法人大倫は、プラットフォームサービス企業およびAIサービス事業者のために、次のような対応サービスを提供します。

第一に、サービスの企画および初期開発の段階で、個人情報保護法の遵守の有無を事前に点検するコンプライアンス・モデリングを提供します。

第二に、個人情報の収集および利用の目的、保有期間、活用範囲に関する告知および同意の手続きを、利用者の理解可能性を基準に提示します。

第三に、サービス運営中における個人情報保護委員会、放送通信委員会など監督機関の調査対応および改善方策の策定を支援します。

第四に、個人情報の流出または侵害事故が発生した場合、刑事対応（告訴・捜査対応・嫌疑なしおよび処罰の減軽戦略）と民事対応（損害賠償請求の防御戦略）をあわせて設計します。

第五に、企業・機関内部の役職員を対象とする教育、脆弱性の管理、個人情報保護法違反の事項が発生した場合のデジタルフォレンジックによる証拠の分析・収集など、リスク予防システムを提供します。

個人情報保護法に関する法的助言が必要であれば、今すぐ🔗企業弁護士 法律相談予約を進めてみてください。