個人情報の受託者点検依頼には告示の条文ごとに証憑を添えて回答します

韓国で取引先に代わって個人情報を処理している会社には、取引先から個人情報の点検依頼書（점검 요청서）が届くことがよくあります。多くは年末です。この依頼は、韓国の法律が取引先に課している監督義務から来ています。項目ごとに、関係する韓国の安全基準の条文を示し、遵守していることを示す証憑を添えて回答します。

点検依頼は法律上の監督義務から来ています

個人情報保護法（개인정보 보호법、以下「法」）第26条第4項により、個人情報の処理業務を委託する会社（委託者、위탁자）は、処理を受託する会社（受託者、수탁자）を教育しなければなりません。また、処理状況の点検など大統領令で定めるところにより、受託者が個人情報を安全に処理しているかを監督しなければなりません。法の施行令（시행령）第28条第6項は、監督の対象を2つ挙げています。法と施行令により個人情報処理者が守るべき事項と、委託文書に盛り込んだ事項です。

したがって、点検表は好意で尋ねるアンケートではありません。委託者は監督した記録を残す必要があり、受託者はその記録に入れる証憑を出す立場です。法にも施行令にも、点検の周期は数字で書かれていません。周期は委託契約書と委託者の内部基準が決めるため、回答期限も依頼書に書かれた日付に従えば足ります。

受託者も同じ義務を負います。第26条第8項は、第29条（安全措置義務）をはじめとする主要条文を受託者に準用し、「個人情報処理者」を「受託者」と読み替えます。点検表の項目が委託者自身の基準とほぼ同じなのは、このためです。

まず委託契約書を確認します

回答する前に委託契約書を読みます。施行令第28条第1項は、委託文書に盛り込む事項を5つ定めています。点検表はたいてい、この5つを改めて尋ねます。

• 委託業務の目的および範囲
• 再委託の制限に関する事項
• 個人情報へのアクセス制限など、安全性確保措置に関する事項
• 委託業務に関連して保有する個人情報の管理状況の点検など、監督に関する事項
• 受託者が義務に違反した場合の損害賠償など、責任に関する事項

これに、法第26条第1項が直接求める2つが加わります。委託業務の目的外での処理の禁止と、技術的・管理的な保護措置です。契約書にない項目を点検表が尋ねている場合は、回答する前に契約の範囲を確認するほうが安全です。

再委託（재위탁）も点検されます。第26条第6項により、受託者が受託した処理業務を第三者に再び委ねるには、委託者の同意を得なければなりません。クラウド、発送代行、顧客相談の外注を使っている場合は、同意文書も添付します。

告示の条文ごとに添付する証憑

現行の「個人情報の安全性確保措置基準」（개인정보의 안전성 확보조치 기준）は、個人情報保護委員会（개인정보보호위원회）告示第2026-9号（2026年7月1日施行）です。点検表の管理的・技術的・物理的な項目は、ほとんどがこの告示の条文に対応します。

破棄記録そのものの作り方は個人情報破棄確認書をご覧ください。

数字が付いた3つの要件

点検表で最も間違いが多いのは、数字が関わる項目です。

権限記録は3年。 第5条第3項は、権限を付与・変更・抹消した内容を記録し、最低3年保管するよう求めています。退職者のアカウントを抹消していても、抹消の記録がなければ証憑になりません。

アクセス記録は1年または2年。 第8条第1項は1年以上の保管を基本とし、次の3つの場合は2年以上に延ばしています。

• 50,000人以上の情報主体に関する個人情報を処理するシステム
• 固有識別情報（고유식별정보）またはセンシティブ情報（민감정보）を処理するシステム
• 電気通信事業法（전기통신사업법）上の基幹通信事業者（기간통신사업자）

点検周期は内部管理計画で。 現行の第8条第2項は、アクセス記録とダウンロード状況を確認する周期・方法・事後措置の手続きを内部管理計画で定めて履行するよう求めています。点検表が「月1回点検しているか」を尋ねている場合、それは現行条文の文言と異なります。内部管理計画で定めた周期と、その履行記録で回答します。内部管理計画全体の履行状況は、第4条第4項により年1回以上点検します。

回答の手順

1. 依頼書の回答期限と提出方法（書面・オンライン・現地）を確認します。
2. 点検表の項目を、上の表の告示条文に1つずつ対応させます。
3. 証憑に条文番号の順でファイル名を付けてまとめます。
4. 未整備の項目は、補完計画と完了予定日を書き添えて回答します。

告示には、適用を軽くしている項目もあります。別途の電算室がない場合や、業務用パソコンだけを使っている場合などです。こうした項目は、その条文のただし書きを併せて書かないと「未履行」と読まれてしまいます。

点検を後回しにすると

過料（과태료）は法第75条に定められています。

• 第29条の安全措置義務違反：3,000万ウォン以下。第26条第8項により準用される受託者も含みます。
• 委託者の同意のない再委託：2,000万ウォン以下。
• 委託者側が、法定事項を盛り込んだ文書で委託しなかった場合、または委託の内容と受託者を公開しなかった場合：それぞれ1,000万ウォン以下。

民事責任も受託者だけにとどまりません。第26条第7項は、受託者が受託業務で法に違反して生じた損害賠償責任について、受託者を個人情報処理者の所属職員とみなします。委託者が点検を丁寧に行う理由であり、受託者が証憑を整理しておくべき理由でもあります。実際に個人情報が漏えいした場合は個人情報漏えい時の72時間以内の通知と申告をご覧ください。

チェックリスト

回答する前に、次の点を確認します。

• 点検表の項目ごとに根拠条文を書いた
• 委託契約書の目的・範囲と点検の範囲が一致している
• 再委託先の一覧と委託者の同意文書を添付した
• 内部管理計画の最新版に修正履歴が残っている
• 教育の実施記録が年度ごとにある
• 権限変更の記録が3年分ある
• アクセス記録の保管期間が1年または2年の基準を満たしている
• 破棄記録が期間ごとにある
• 「該当なし」の項目には、該当しない理由を1行書いた