CONTENTS
- 1. 违反个人信息保护法，因违反境外转移规定引发争议的事件
- - 未经同意提供全体用户个人信息的K公司
- - 未告知个人信息处理委托及境外转移事实的A公司
- 2. 因违反个人信息保护法被处以课征金
- - K公司反驳称属于合法的处理委托
- 3. 违反个人信息保护法，大倫有何策略？
1. 违反个人信息保护法，因违反境外转移规定引发争议的事件
K公司和A公司因违反个人信息保护法，被处以约83亿韩元课征金并被责令改正。
韩国个人信息保护委员会（以下简称“个保委”）于1月22日对违反韩国《个人信息保护法》境外转移规定的韩国金融科技服务企业K公司处以59亿6800万韩元课征金，并分别对全球大型科技企业A公司处以24亿500万韩元课征金及220万韩元行政罚款。
个保委根据有关K公司和A公司未经客户同意将个人信息交给中国企业A公司的媒体报道启动调查，并公布了以下违法事实及处分内容。
未经同意提供全体用户个人信息的K公司
K公司通过为A公司内部提供支付系统集成服务的中国A支付公司的中继网络，将支付信息等传输给A公司。
A公司在处理支付的过程中，将包括计算用户NSF评分（用于预测用户账户内资金不足可能性的评分）在内的个人信息处理业务委托给中国A支付公司。
在此过程中，为使作为A公司受托方的中国A支付公司能够建立NSF评分计算模型，K公司自2018年起分3次将其全体用户的个人信息未经用户同意传输给中国A支付公司。
此外，从2019年6月27日至2024年5月21日，K公司每天持续将其约4000万名用户的个人信息在未经另行同意的情况下传输给中国A支付公司，以便该公司计算每名用户的NSF评分。
据查，所传输的信息包括加密后的手机号码、电子邮箱地址、充值余额，以及最近一周的支付、充值和转账笔数等。
未告知个人信息处理委托及境外转移事实的A公司
全球大型科技企业A公司将用于关联支付方式的通信API开发等系统集成业务（NSF）委托给中国A支付公司，并让其处理传输K公司用户支付信息及计算NSF评分所需的个人信息。
但A公司未在个人信息处理方针等文件中向用户告知上述个人信息处理委托及境外转移事实。
2. 因违反个人信息保护法被处以课征金
针对违反个人信息保护法的行为，个保委对K公司和A公司处以课征金并责令改正。
个保委认定，为建立NSF模型及计算评分等而未经同意提供全体用户个人信息的行为，属于缺乏合法处理依据的境外转移。
因此，个保委对K公司处以59亿6800万韩元课征金，并责令其具备境外转移所需的合法条件。
此外，针对A公司在将个人信息处理委托至境外时，未通过个人信息处理方针等向信息主体公开或告知境外受托方等信息的行为，个保委处以24亿500万韩元课征金；针对其未披露委托事实的行为，处以220万韩元行政罚款。
K公司反驳称属于合法的处理委托
但K公司方面在4月18日举行的课征金执行停止案件审问期日中主张：“该个人信息转移属于合法的处理委托。”
K公司称，这是合法的处理委托，也是开展业务所必需的程序，因为为提高支付服务的便利性及安全性，需要建立防止欺诈支付的系统。
K公司主张，根据韩国大法院判例，判断属于向第三方提供还是处理委托，应以“为谁处理业务及谋取利益”以及个人信息的支配和管理权归谁为标准；个人信息的所有权属于K公司，而中国A支付公司被明确列为受托方，因此个人信息境外转移属于处理委托。
相反，个保委方面认为，信息自动传输本身即属于向第三方提供，因此将用户信息转移至境外必须取得信息主体同意。
3. 违反个人信息保护法，大倫有何策略？
本起违反个人信息保护法事件共被处以83亿韩元课征金。在全球平台服务不断普及、个人信息境外转移日益增加的背景下，本案的意义在于再次确认有必要明确境外转移的范围，并要求经营者在进行境外转移时必须遵守合法性条件。
经营者提供涉及个人信息境外转移的服务时，应另行取得信息主体同意；如将个人信息处理委托给境外受托方，则应通过个人信息处理方针等明确告知个人信息将跨境转移的事实。
此外，将个人信息处理业务委托给外部机构时，委托方应对信息主体承担责任。个人信息脱离委托方的责任范围并转移至第三方的责任领域时，属于“向第三方提供”，因此必须具备信息主体同意等法律依据。
韩国《个人信息保护法》条款众多，境外转移、向第三方提供及委托处理等概念和条件错综复杂，因此最好在专业律师的协助下防范风险。
大倫律師事務所的专业律师组成团队，办理▲违反个人信息保护法相关咨询服务 ▲境外转移及向第三方提供相关法律咨询 ▲法律风险事前审查 ▲调查及行政应对 ▲个人信息泄露事故应对等业务。
