违反个人信息保护法 | 擅自利用信用卡特约商户经营者个人信息的W信用卡公司，课征金134亿韩元

这是因违反韩国《个人信息保护法》而受到课征金处分的W信用卡公司。

2024年4月，韩国个人信息保护委员会以媒体报道W信用卡公司将特约商户代表人（以下简称商户经营者）的个人信息用于招募新信用卡客户为契机，着手展开调查。

调查结果显示，W公司未经商户经营者同意，将其个人信息用于发行新信用卡的营销活动，且W公司仁川营业中心所属员工曾将这些信息转交给信用卡业务招揽人员。

为提高营业业绩，W公司仁川营业中心自2022年7月至2024年4月，在特约商户管理程序中输入商户的经营者登记号码，查询了至少131,862名商户经营者的个人信息（姓名、居民登记号码、手机号码、地址等）。

此外，其通过信用卡发行审核程序输入商户经营者的居民登记号码，确认该商户经营者是否持有W公司信用卡，并将相关内容记录在打印材料上或拍照后，分享到信用卡业务招揽人员等参与的KakaoTalk群聊中。

尤其是自2023年9月起，其通过信息查询指令，从存有商户经营者及信用卡会员个人信息的数据库（DB）中查询商户经营者的个人信息及信用卡持有情况并生成文件，随后于2024年1月8日至4月2日期间，分100次通过电子邮件将75,676人的个人信息发送给信用卡业务招揽人员。

由此，至少207,538名商户经营者的个人信息被查询并转交给信用卡业务招揽人员，相关信息被用于W信用卡发行营销。

然而，其中74,692名商户经营者未就营销用途作出任何同意。

针对W公司的🔗违反个人信息保护法行为，韩国个人信息保护委员会处以总计134亿5,100万韩元的课征金，并下达了以下纠正命令：▲加强防止个人信息误用、滥用的内部控制 ▲最大限度缩减访问权限并开展检查，遵守安全措施义务 ▲加强对个人信息处理人员的管理、监督等。

对此，W公司表示，将梳理员工对内部终端系统的访问权限，并建立在通过外部邮件向外传输信息时须经信息保护部门批准的管理系统。

此外，预计W公司还将通过开展员工教育、持续检查信息保护系统等方式加强内部控制，以防止类似事件再次发生。

韩国个人信息保护委员会表示：“即使最初收集个人信息时已取得同意，超出同意范围处理个人信息仍属违法。”该委员会还强调，应定期检查个人信息处理人员的权限是否得到妥善授予、是否受到正当管理以及是否存在非法查询。

这是韩国个人信息保护委员会首次对信用卡公司作出课征金处分。

韩国个人信息保护委员会还表示，将审查信用卡公司自正式收到纠正命令通知之日起90日内提交的应对方案，并研究是否进一步处以行政罚款及提出刑事举报。

由此可见，违反《个人信息保护法》可能被处以数亿至数百亿韩元的课征金；如果违法行为出于故意或反复发生，还可能进一步受到刑事处罚。

此外，由于还可能面临行政处分以外的民事损害赔偿请求、刑事举报乃至公布命令，因此在专业律师的协助下从案件初期开始应对最为重要。

此次对W公司的处分表明，超出个人信息收集∙利用目的处理个人信息，显然属于违法行为。

该案也表明，企业应建立完善的内部控制系统，包括定期检查员工等个人信息处理人员的个人信息访问权限，以及查看访问记录，确认是否存在不必要的个人信息查询或使用。

大倫律師事務所由拥有大量相关案件经验的专业律师组成团队，着手制定个人信息泄露事故的应对策略。

此外，大倫律師事務所还为建立企业内部个人信息合规体系提供协助，包括设计个人信息保护组织与程序、设计内部审计流程与检查项目，以及建立个人信息保护负责人的支持体系。