PIPA

PIPA における処理の法的根拠

PIPA は、個人情報のすべての収集や利用に同意を求めているわけではありません。

状況に応じて、次のような法定の根拠に基づいて処理が認められる場合があります。

• 情報主体の同意
• 契約の締結または履行のための必要性
• 法令上の義務の遵守
• PIPA で認められた一定の正当な利益のために必要な処理
• 生命、身体または財産に関わる緊急の状況
• その他法律で特に認められている場合

PIPC は、契約上の必要性などの法定の根拠が適用される場合に、組織が処理を同意が必要なものとして不適切に表示すべきではないことを特に強調しています。

この区別は、ウェブサイトの同意画面を設計する際に重要です。

PIPA における同意

同意を法的根拠として用いる場合、組織は処理に関する明確な情報を個人に提供し、PIPA の要件に従って同意を取得する必要があります。

同意のインターフェースは、関連のない目的を 1 つの不明確な選択肢にまとめるのではなく、関連する処理活動を区別するべきです。

組織は、次の事項を示す証跡を保持する必要があります。

• どのような情報が提示されたか
• 処理の目的
• 提示された同意の選択肢
• 本人の判断
• 同意の日時
• 関連するプライバシーポリシーまたは通知のバージョン
• その後の撤回または変更

ConsentX は、ウェブサイトレベルの同意活動について、こうした証跡の保持を支援できます。

個別同意の要件

PIPA には、個別の同意または追加の同意が必要となる場合が定められています。

これには、次の事項を伴う処理が含まれる場合があります。

• 敏感情報
• 固有識別情報
• 一部の第三者提供
• 一部の国外移転

PIPC は、事業者が国外での処理に対する同意を取得しなかった場合や、適切に伝えなかった場合に執行措置を講じています。

敏感情報

PIPA は、敏感情報に対して強化された保護を定めています。

これには、次のような領域を明らかにする情報、またはそれに関連する情報が含まれます。

• 思想
• 政治的見解
• 信仰
• 健康および医療に関する情報
• 性生活
• 法令で定めるその他の区分

敏感情報の処理は制限されており、適切な法的根拠と追加の保護措置が必要です。同意が適用される根拠である場合は、個別の同意が必要です。

組織は、次の事項について個別の管理を行う必要があります。

• 収集
• 目的の特定
• アクセス
• 保管
• 提供
• 保存
• セキュリティ
• 同意

固有識別情報

PIPA は、固有識別情報に対して追加の保護を定めています。

一定の識別番号などの情報を処理する組織は、特定の法定要件を遵守しなければなりません。

同意が必要な場合、組織は、一般的なプライバシーに関する同意が固有識別情報の処理まで自動的に対象とすると想定すべきではありません。

該当する場合、同意とプライバシーのワークフローでは、この処理を明確に区別する必要があります。

児童の個人情報

PIPA は、14 歳未満の児童に対して追加の保護を定めています。

必要な場合、組織は児童の法定代理人から同意を取得し、その同意を確認して記録するための適切な手続を導入しなければなりません。外国事業者向けの PIPC ガイダンスは、14 歳未満の児童に関する法定代理人の同意を PIPA の重要な義務として特に挙げています。

そのため、児童を対象とする組織は、次の事項を検討する必要があります。

• 年齢確認
• 法定代理人の確認
• 法定代理人の同意
• 同意の記録
• 児童向けのプライバシー通知
• 適切なデータの最小化
• 削除と保存の管理

PIPA における情報主体の権利

PIPA は、個人に対して自己の個人情報に関する重要な権利を与えています。

状況に応じて、個人は次のような権利を行使できます。

• 個人情報の閲覧
• 不正確な情報の訂正
• 削除
• 処理の停止
• 送信の停止
• その他法律で定める権利

PIPC は、個人が閲覧、訂正、削除、処理の停止を請求するための仕組みを提供しています。

組織は、次の事項について文書化されたワークフローを維持する必要があります。

1. 1請求の受付
2. 2請求者の確認
3. 3関連する個人情報の特定
4. 4請求の評価
5. 5法定の制限または例外の適用
6. 6請求された対応の完了
7. 7結果の通知
8. 8対応の証跡の保持

プライバシー通知

PIPA は、組織に対して適切なプライバシーポリシーを策定し、公開することを求めています。

このポリシーは、関連する個人情報の処理について分かりやすい情報を提供するものであり、次のような事項を含みます。

• 収集する個人情報
• 処理の目的
• 保存期間と利用期間
• 第三者提供
• 処理委託
• 国外での処理
• 情報主体の権利
• 安全管理措置
• 連絡先と担当者
• その他 PIPA が求める情報

PIPC は、プライバシーポリシーの公開を、PIPA の適用を受ける外国事業者の義務として特に強調しています。

データの最小化と目的の制限

組織は、正当かつ明確に定められた処理目的に必要な範囲でのみ、個人情報を収集し利用するべきです。

事業者は、次の事項を定期的に見直す必要があります。

• どのような情報を収集しているか
• なぜ収集しているか
• 各項目が引き続き必要か
• 情報をどのくらいの期間保存しているか
• どの第三者が情報を受け取っているか
• 情報が追加の目的に利用されていないか

不要になったデータは、該当する PIPA の要件に従って破棄する必要があります。

データセキュリティの要件

PIPA は、組織に対して、個人情報を次のものから保護するための適切な保護措置を講じることを求めています。

• 紛失
• 盗難
• 漏えい
• 不正アクセス
• 改ざん
• 毀損
• その他のセキュリティインシデント

組織は、技術的管理と組織的管理の両方を整備する必要があります。

これには、次のようなものが含まれます。

技術的保護措置

• アクセス制御
• 認証
• 暗号化
• セキュリティ監視
• 脆弱性管理
• ネットワーク保護
• アクセスログの記録

組織的保護措置

• プライバシーポリシー
• 従業員研修
• アクセス管理手続
• インシデント対応計画
• ベンダーの監督
• 定期的なセキュリティ評価
• プライバシーに関する責任の割り当て

PIPC は、インシデント発生後の執行だけに頼るのではなく、予防的なプライバシーとセキュリティの管理をますます重視しています。

個人情報漏えいの通知

組織は、該当する個人情報の漏えいに迅速に対応しなければなりません。

現行の枠組みでは、該当する通知要件が発生した場合、事業者は一般に、関係当局と影響を受けた情報主体に不当な遅滞なく、72 時間以内に通知しなければなりません。PIPC は、韓国の情報主体の情報を取り扱う外国事業者に対しても 72 時間の要件を強調しています。

漏えい対応プログラムには、次の事項を含める必要があります。

• インシデントの検知
• リスク評価
• 封じ込め
• 規制当局への通知
• 本人への通知
• 是正措置
• 証拠の保全
• インシデント後のレビュー

PIPC は、組織が適切な保護措置を維持しなかった場合や漏えいの通知を遅らせた場合に、多額の制裁を科しています。

国外へのデータ移転

PIPA には、個人情報を韓国外に移転する場合の具体的な要件が定められています。

状況と適用される仕組みに応じて、組織は次の対応を行う必要がある場合があります。

• 個別の同意を取得する
• 必要な移転情報を提供する
• 適切な契約を締結する
• 法的に認められた別の移転の仕組みを利用する
• 必要な評価を実施する
• 適切な保護措置を維持する

PIPC は、該当する要件を満たさずに韓国の利用者の情報を海外に移転した企業に対し、これらの規則を積極的に執行しています。

海外ベンダーによる国外での処理

組織は、次の 2 つを区別する必要があります。

処理委託

海外のサービス提供者が、該当する委託契約に基づいて、組織に代わって個人情報を処理する場合です。

第三者提供

受領者が、通常の処理委託の範囲外の方法で、独自に情報を受け取りまたは処理する場合です。

適用される法的根拠、透明性、契約上の義務、移転の要件が異なる場合があるため、この区別は重要です。

PIPC は、すべての外部への移転を単に「共有」や「委託」と説明するだけでは不十分であり、組織は関係を正しく位置づけるべきであることを特に強調しています。

外国事業者の国内代理人

PIPA の適用を受ける一部の外国事業者は、韓国に国内代理人を指定しなければならない場合があります。

国内代理人は、プライバシーに関する連絡、規制上の事項、情報主体の権利に関する重要な窓口となり得ます。

外国の組織は、自社の事業活動と処理の規模が該当する国内代理人の要件に当たるかどうかを検討する必要があります。

個人情報保護責任者とプライバシーガバナンス

PIPA は、組織の説明責任を大きく重視しています。

組織は、該当する場合には個人情報保護責任者（CPO）の役割を含め、個人情報保護に関する明確な責任体制を整備する必要があります。

2026 年の改正は、大量の個人情報や敏感情報を取り扱う組織に関する措置を含め、経営陣の説明責任とプライバシー責任者の役割をさらに強化しています。

プライバシーガバナンスは、次の事項を対象とする必要があります。

• 社内のプライバシーポリシー
• データ処理の監督
• リスク管理
• セキュリティとの連携
• 従業員研修
• 漏えいへの対応
• ベンダー管理
• コンプライアンスのレビュー
• 経営陣への報告

プライバシー影響評価

PIPA の評価要件の対象となる状況で個人情報を処理する組織は、個人情報影響評価（PIA）を実施する必要がある場合があります。

PIA は、組織が次の事項を特定するのに役立ちます。

• 処理のリスク
• セキュリティ上の脆弱性
• 過剰な収集
• 個人に対するプライバシーリスク
• 適切なリスク軽減策

組織は、自社の処理活動が義務的な PIA の要件に該当するかどうかを検討する必要があります。

PIPA における Cookie とオンライントラッキング

PIPA は、Cookie の同意に特化した法律ではありません。

ただし、Cookie、ピクセル、広告識別子、分析ツール、デバイス識別子その他のトラッキング技術は、その使用方法によっては、個人情報または個人情報に関連する処理を伴う場合があります。

そのため、組織は次の事項を検討する必要があります。

• トラッカーがどのような情報を収集するか
• その情報が個人情報に該当するか
• 識別可能な個人と結び付けられるか
• 処理の目的
• 法的根拠
• 情報が第三者に提供されるか
• 情報が韓国外に移転されるか
• 個別の同意が必要か

ウェブサイトについては、組織はすべての Cookie が PIPA のもとで自動的に同意を必要とすると想定すべきではありません。代わりに、具体的な処理活動と適用される法的根拠を検討する必要があります。

オンライン広告と個人情報

広告と分析のエコシステムは、PIPA のコンプライアンス上の追加の検討事項を生じさせる場合があります。

組織は、次の事項を見直す必要があります。

• 広告識別子
• 行動分析
• リターゲティング
• オーディエンスのセグメンテーション
• 第三者のピクセル
• SDKs
• 国外の分析サービス提供者
• 広告プラットフォームとのデータ共有

第三者が独自に個人情報を処理または利用する場合、組織は、その取り決めが処理委託と第三者提供のいずれに当たるかを検討し、適用される法的要件を特定する必要があります。

自動化された意思決定

PIPA には、自動化された意思決定に関する保護規定が含まれています。

自動化されたシステムを用いて個人に影響を与える決定を行う組織は、透明性、説明、異議申立てその他の該当する要件を評価する必要があります。

この分野は、特に次のものに関係します。

• AI システム
• 信用スコアリングまたはリスクスコアリング
• レコメンデーションシステム
• 採用システム
• パーソナライズド広告
• 自動化された適格性の判断

組織は、自動化された処理がどのように機能するかを文書化し、適用される権利と保護措置を特定する必要があります。

AI と PIPA

韓国のプライバシー規制当局は、AI の開発とサービスにおける個人情報の利用を扱うガイダンスをますます整備しています。

PIPC は、目的の正当性、必要性、利益と情報主体の権利との比較衡量を含む法定要件が満たされる場合に、公開データの一定の AI 関連処理について、正当な利益を法的根拠となり得るものとして認めています。

そのため、AI のために個人情報を利用する組織は、次の事項を評価する必要があります。

• 学習データの出所
• 法的根拠
• 必要性
• データの最小化
• プライバシーリスク
• セキュリティ管理
• 情報主体の権利
• 非識別化
• モデルと出力に関する保護措置
• 該当する場合のプライバシー影響評価

2026 年の PIPA 改正

2026年9月11日に施行された PIPA の改正は、韓国のプライバシーに関する執行とガバナンスの枠組みに大きな変化をもたらします。

主な動きは次のとおりです。

重大かつ反復的な漏えいに対する制裁の強化

改正後の枠組みでは、特定の反復的かつ重大なデータ漏えいの状況に対して、年間売上高の最大 10% の懲罰的な制裁が導入されています。

経営陣の説明責任の強化

改正により、個人情報保護に関する CEO と個人情報保護責任者の責任が強化されています。

ISMS-P に関する動き

改正後の枠組みでは、監督と予防のための追加の仕組みを含め、プライバシー保護と ISMS-P 認証との関係が強化されています。

AI に関する改正

2026年8月には、国会が、公益のための AI 開発における個人情報の適法な利用を扱う PIPA のさらなる改正案も可決しました。この改正には、追加のプライバシー保護措置と PIPC による監督の仕組みも含まれています。組織は、この改正の施行日と実施要件を注視する必要があります。

データの保存と破棄

組織は、該当する処理目的に必要な期間、または法令で別途求められる期間に限って、個人情報を保存するべきです。

保存プログラムでは、次の事項を定める必要があります。

• 保存期間
• 保存を継続する目的
• データの区分
• 法定の保存要件
• 削除のきっかけ
• 安全な破棄方法
• 破棄の記録

PIPC は、潜在的な漏えいの影響を最小限に抑えるため、不要になった個人情報を破棄することの重要性を強調しています。

第三者の受託者

ベンダーを利用して個人情報を処理する組織は、適切な監督を維持する必要があります。

これには次の事項が含まれます。

• ベンダーのデューデリジェンス
• 処理に関する契約
• セキュリティ要件
• 守秘義務
• 再委託先の管理
• 漏えい通知の要件
• データの削除
• アクセス制御
• 国外移転の評価
• コンプライアンスの監視

海外のベンダーが韓国の個人情報を処理する場合、組織は PIPA の国外移転の要件を別途評価する必要があります。