個人情報流出の通知と申告は別の義務で、どちらも72時間以内です

このガイドは、顧客・利用者・従業員の個人情報を扱う韓国の会社、特に外資系企業とその人事・IT担当者を対象としています。個人情報が流出した場合、法律は二つの義務を別々に定めています。影響を受けた本人への通知と、一定の場合の監督機関への申告です。どちらも72時間以内ですが、発動する条件が異なります。

義務は一つではなく二つです

流出事故で最も多い誤解は、一つの手続きで済むという考えです。個人情報保護法（개인정보 보호법）第34条は、情報主体（정보주체、その情報が指す本人）への通知（第1項）と、個人情報保護委員会（개인정보 보호위원회、以下「保護委員会」）または専門機関への申告（第3項）を分けて規定しています。施行令（시행령）第39条と第40条が、それぞれの期限を別々に定めています。

起算点は事故が起きた時ではなく、知った時です。条文は、紛失・盗難・流出（以下「流出等」〔유출등〕）したことを知った時と書いています。そのため、認知時点をいつとしたかが期限計算の出発点になります。

申告も必要になる場合

施行令第40条第1項は、申告の対象を三つに限っています。

1. 1,000人以上の情報主体に関する個人情報が流出等した場合
2. 敏感情報（민감정보）または固有識別情報（고유식별정보）が流出等した場合
3. 個人情報処理システム（개인정보처리시스템）、または個人情報取扱者（개인정보취급자）が個人情報の処理に使う情報機器に対する外部からの不法なアクセスによって、個人情報が流出等した場合

三つ目は範囲が広いです。ハッキング・マルウェア・アカウント乗っ取りによる流出は、人数に関係なく申告の対象です。逆に、担当者がメールの宛先を間違えて50人分が流出した事故は、敏感情報・固有識別情報でなければ申告の対象ではありません。通知だけを行います。

知らせるべき五つの事項

法第34条第1項各号は、通知と申告に共通する事項です。

• 流出等した個人情報の項目
• 流出等した時点とその経緯
• 流出等によって生じうる被害を最小限にするために情報主体ができる方法などに関する情報
• 個人情報処理者（개인정보처리자）の対応措置と被害救済の手続き
• 情報主体に被害が生じた場合に申告などを受け付ける担当部署と連絡先

実際には、72時間以内に項目と経緯をすべて把握できないケースがほとんどです。施行令第39条第2項と第40条第2項が同じ構造の例外を置いています。第1号または第2号の具体的な内容を確認できていなければ、流出した事実、その時点までに確認できた内容、第3号から第5号までの事項を先に通知・申告します。追加で確認できた内容は、確認でき次第すぐに通知・申告します。調査が終わるまで待つという選択肢はありません。

72時間を過ぎてもよい場合

通知の例外は、施行令第39条第1項ただし書きに二つあります。

• 拡散と追加の流出等を防ぐため、アクセス経路の遮断、脆弱性の点検・補完、流出した個人情報の回収・削除などの緊急措置が必要な場合
• 天災地変その他やむを得ない事由により、72時間以内の通知が困難な場合

この場合は、その事由が解消した後に遅滞なく知らせれば足ります。申告については、施行令第40条第1項ただし書きが天災地変その他やむを得ない事由だけを例外としています。その代わり、別の道を一つ開いています。流出経路が確認され、その個人情報を回収・削除するなどの措置によって情報主体の権利侵害の可能性が著しく低くなった場合は、申告しないことができます。

連絡先が分からない場合の代替手段もあります。施行令第39条第3項により、ウェブサイトに30日以上掲示することで通知に代えることができます。ウェブサイトを運営していなければ、事業所などの見やすい場所に30日以上掲示します。

認知時点を決めておく

72時間の起算点が知った時なので、実務ではこの時点を特定することがそのまま期限管理になります。ログに異常なアクセスが記録された時刻、担当者がそのログを確認した時刻、セキュリティチームが流出と判断した時刻は、それぞれ異なることがあります。

基準を事前に決めておかないと、後でどの時点を認知とみなすかで争うことになります。事故対応手順書に、認知を判断する権限を持つ人と判断記録の様式を定めておきます。その人が判断した日時を認知時刻として使います。判断が遅れた事情があれば、その事情もあわせて記録します。

平時の管理体制については、個人情報の破棄確認書と個人情報の受託者点検への回答もご覧ください。

チェックリスト：認知後72時間

• 認知時点を日時単位で記録します。
• 流出した項目と推定人数を一次集計します。
• 敏感情報・固有識別情報が含まれるか確認します。
• 外部からの不法なアクセスが原因か判断します。
• 上の三つのうち一つでも当てはまれば、申告の手続きを同時に始めます。
• アクセス経路の遮断・脆弱性の補完などの緊急措置を先に行います（法第34条第2項）。
• 緊急措置のために通知が遅れる場合は、その理由を記録します。
• 情報主体の連絡先を確保できるか確認します。
• 連絡先が分からなければ、ウェブサイトへの30日掲示を準備します。
• 第1号・第2号を確定できていなければ、残りの事項で先に通知・申告します。
• 申告は保護委員会または韓国インターネット振興院に行います。
• 追加の確認事項が出たら、すぐに補完の通知・申告をします。
• 回収・削除で侵害の可能性が著しく低くなったなら、その根拠を文書で残します。
• 対応措置と被害救済の手続きを通知文に具体的に書きます。
• 全過程を時系列の対応記録として残します。