3月に改正された個人情報保護法と、関連する委任事項を定めた改正個人情報保護法施行令が、11日に施行される。
今回の改正では、個人情報漏えいへの対応強化と予防的な投資の促進を柱に、反復的な漏えい、または故意・重過失による漏えいに対し、総売上高の10％以内の懲罰的課徴金を導入する。あわせて、事前の個人情報保護投資に連動した課徴金の減免制度も設ける。
個人情報保護の責任と管理体制の強化に向けては、事業者の代表者（CEO）の最終責任を明記する。個人情報保護責任者（CPO）の職務権限も強化する。
また、個人情報処理者がCPOを指定、変更、解除する場合には、取締役会の議決と届け出を義務付ける。
新たに、個人情報の漏えいのおそれがある場合の通知制度も導入する。漏えい通知の項目も拡大し、紛争調整の申請方法や損害賠償請求の方法も通知対象に含める。
さらに、ランサムウェアなどによる個人情報の偽造、改ざん、毀損についても、漏えいの申告・通知対象に加える。
法改正には、公的部門と民間部門の重要個人情報処理者に対し、個人情報保護（ISMS-P）認証の取得を義務付ける内容も盛り込まれた。ただ、この規定は、認証取得に必要な企業・機関の予算確保に時間を要する点を考慮し、2027年7月1日に施行する予定だ。
個人情報委員会のソン・ギョンヒ委員長は「今回の改正法令の施行を機に、事前予防を重視した個人情報保護と、より強固な安全管理体制が定着することを期待している。個人情報保護への投資を単なる費用ではなく、顧客の信頼確保と企業利益の拡大につながる予防的な投資として捉える認識が広がってほしい」と述べた。
著者について
Chi-gyu Hwang
delight@d-today.co.kr