個人情報保護法違反 | カード加盟店主の個人情報を無断利用したWカード会社、課徴金134億ウォン

個人情報保護法違反により課徴金処分を受けたWカード会社です。

韓国の個人情報保護委員会は2024年4月、Wカード会社が加盟店代表者（以下「加盟店主」）の個人情報をカードの新規会員募集に利用しているとの報道を受け、調査に着手しました。

調査の結果、W社は加盟店主の同意を得ずに、その個人情報を新規クレジットカード発行のためのマーケティングに利用しており、W社仁川営業センター所属の職員がこの情報をカード募集人に提供していた事実が確認されました。

W社仁川営業センターは営業実績を高めるため、2022年7月から2024年4月まで、加盟店管理プログラムに加盟店の事業者登録番号を入力し、少なくとも131,862人の加盟店主の個人情報（氏名、住民登録番号、携帯電話番号、住所など）を照会しました。

また、カード発行審査プログラムに加盟店主の住民登録番号を入力した後、その加盟店主がW社のクレジットカードを保有しているかどうかを確認し、その内容を印刷物に記載または撮影して、カード募集人などが参加するカカオトークのグループチャットで共有しました。

特に2023年9月からは、加盟店主およびカード会員の個人情報を保有するデータベース（DB）で情報照会コマンドを使用し、加盟店主の個人情報およびカード保有の有無を照会してファイルを作成した後、2024年1月8日から4月2日まで計100回にわたり、75,676人の個人情報を電子メールでカード募集人に提供していたことが確認されました。

このように、少なくとも207,538人の加盟店主の個人情報が照会されてカード募集人に提供され、その情報はWカードの発行に関するマーケティングに利用されました。

しかし、このうち74,692人の加盟店主はマーケティングへの利用について一切同意していない状態でした。

W社の🔗個人情報保護法違反行為に対し、韓国の個人情報保護委員会は総額134億5,100万ウォンの課徴金を科し、▲個人情報の誤用・濫用を防止するための内部統制の強化 ▲アクセス権限の最小化および点検など安全措置義務の遵守 ▲個人情報取扱者に対する管理・監督の強化などを是正命令として命じました。

これに対しW社側は、職員の内部端末システムへのアクセス権限を整理し、外部メールで情報を持ち出す際に情報保護部の承認を受けるよう管理システムを構築すると明らかにしました。

また、類似事例の再発を防止するため、役職員への教育や情報保護システムの常時点検など、内部統制を強化するものとみられます。

個人情報保護委員会は、「当初の個人情報収集時に同意を得ていても、その同意を得た範囲を超えて個人情報を処理することは違法である」とし、取扱者に権限が適切に付与されているか、正当に管理されているか、不法な照会が行われていないかを定期的に点検する姿勢が必要だと強調しました。

韓国の個人情報保護委員会がカード会社に課徴金処分を下したのは初めてです。

個人情報保護委員会は、カード会社への正式な是正命令通知日から90日以内に提出される対応策を検討し、過料の賦課および刑事告発に至るかどうかも検討すると付け加えました。

このように、個人情報保護法違反では数億～数百億ウォン規模の課徴金が科されることがあり、違反行為が故意または反復的な場合には、刑事処罰にまで至る可能性がある事案です。

また、行政処分だけでなく、民事上の損害賠償請求、刑事告発、公表命令まで受ける可能性があるため、専門の弁護士の支援を受け、事件の初期段階から対応することが最も重要です。

今回のW社に対する処分は、個人情報の収集・利用目的を逸脱した個人情報の処理は明白な違法行為であることを示した事例でした。

また、職員などの個人情報取扱者による個人情報へのアクセス権限を定期的に点検し、不要な個人情報の照会や利用がないかアクセス記録も確認するなど、内部統制システムを適切に整備すべきことを示す事例でもあります。

法務法人大倫では、関連する多数の事件を経験した専門の弁護士がチームを組み、個人情報漏えい事故への対応戦略の策定に取り組んでいます。

また、企業内の個人情報コンプライアンス体制を構築するため、個人情報保護組織・手続の設計、内部監査プロセスおよび点検項目の設計、個人情報保護責任者の支援体制構築に関するサポートを提供しています。