个人信息受托方收到检查请求，按告示条文逐项附证明材料回复

如果贵公司在韩国代客户处理个人信息，客户经常会发来个人信息检查请求书（점검 요청서），多在年底。这份请求来自韩国法律赋予客户的监督义务。回复时应逐项注明对应的韩国安全标准条文，并附上证明已遵守的材料。

检查请求来自法定监督义务

根据《个人信息保护法》（개인정보 보호법，以下简称"该法"）第26条第4项，委托处理个人信息的公司（委托方，위탁자）必须对受托处理的公司（受托方，수탁자）进行培训，并按照总统令的规定，通过检查处理情况等方式，监督受托方是否安全处理个人信息。该法施行令（시행령）第28条第6项列出了两类监督对象：根据该法及施行令个人信息处理者应遵守的事项，以及委托文件中写明的事项。

因此，检查表并不是出于好意的问卷。委托方必须留下已履行监督的记录，受托方则负责提供这份记录所需的证明材料。该法和施行令都没有用数字规定检查周期。周期由委托合同和委托方的内部标准确定，回复期限按请求书上写明的日期执行即可。

受托方也承担同样的义务。第26条第8项将第29条（安全措施义务）等主要条文准用于受托方，并将"个人信息处理者"读作"受托方"。这就是检查表项目与委托方自身标准几乎相同的原因。

先拿出委托合同

回答检查表之前，先看委托合同。施行令第28条第1项规定委托文件应写明五项内容，检查表通常会再次询问这五项：

• 委托业务的目的和范围
• 关于限制再委托的事项
• 关于限制访问个人信息等安全性保障措施的事项
• 关于检查与委托业务相关所持个人信息管理情况等监督的事项
• 关于受托方违反义务时损害赔偿等责任的事项

此外，该法第26条第1项还直接要求两项：禁止超出委托业务目的处理，以及技术性、管理性保护措施。如果检查表询问合同中没有的项目，回复前先确认合同范围更为稳妥。

再委托（재위탁）也在检查之列。根据第26条第6项，受托方要把受托的处理业务再交给第三方，必须取得委托方的同意。如果使用云服务、代发送、客户咨询外包，应一并附上同意文件。

按告示条文附上的证明材料

现行《个人信息安全性确保措施标准》（개인정보의 안전성 확보조치 기준）为个人信息保护委员会（개인정보보호위원회）告示第2026-9号，自2026年7月1日起施行。检查表中的管理性、技术性、物理性项目，大多对应该告示的条文。

销毁记录本身的制作方法，见个人信息销毁确认书。

带数字的三项要求

检查表中最常出错的，是涉及数字的项目。

权限记录保存3年。 第5条第3项要求记录权限授予、变更、注销的情况，并至少保存3年。即使已注销离职人员的账号，没有注销记录也不能作为证明。

访问记录保存1年或2年。 第8条第1项以至少保存1年为原则，以下三种情况延长至至少2年：

• 处理50,000名以上信息主体个人信息的系统
• 处理固有识别信息（고유식별정보）或敏感信息（민감정보）的系统
• 《电信事业法》（전기통신사업법）规定的基础电信业务经营者（기간통신사업자）

检查周期按内部管理计划。 现行第8条第2项要求在内部管理计划中规定检查访问记录和下载情况的周期、方法及事后处理程序，并加以执行。如果检查表询问"是否每月检查一次"，这与现行条文的表述不同。应以内部管理计划规定的周期及其执行记录作答。内部管理计划整体的实施情况，根据第4条第4项每年至少检查一次。

回复步骤

1. 确认请求书上的回复期限和提交方式（书面、线上、现场）。
2. 将检查表各项逐一对应到上表的告示条文。
3. 按条文编号顺序给证明材料命名并打包。
4. 对尚未落实的项目，写明整改计划和预计完成日期后回复。

告示中也有放宽适用的项目，例如没有单独的机房，或只使用办公电脑的情况。对这类项目，应一并写明该条文的但书，否则可能被理解为"未执行"。

拖延检查的后果

罚款（과태료）规定在该法第75条：

• 违反第29条安全措施义务：3000万韩元以下。根据第26条第8项准用的受托方也包括在内。
• 未经委托方同意进行再委托：2000万韩元以下。
• 委托方未以载明法定事项的文件进行委托，或未公开委托内容和受托方：各1000万韩元以下。

民事责任也不只停留在受托方。第26条第7项规定，受托方在受托业务中违反该法造成损害的，就损害赔偿责任而言，视受托方为个人信息处理者的所属员工。这正是委托方认真检查的原因，也是受托方应整理好证明材料的原因。如果个人信息确实发生泄露，见个人信息泄露：72小时内通知与申报。

核对清单

回复前确认以下各项：

• 检查表每一项都写明了依据条文
• 委托合同的目的、范围与检查范围一致
• 已附上再委托企业名单和委托方同意文件
• 内部管理计划最新版保留了修改记录
• 每年都有培训实施记录
• 有3年的权限变更记录
• 访问记录保存期限符合1年或2年的标准
• 各期间都有销毁记录
• "不适用"的项目已用一行写明不适用的理由