【2026年9月11日施行】韓国・改正個人情報保護法　日本企業が今日から変わる4点

2026年9月11日、韓国で改正「個人情報保護法」が施行されました。同日、委任事項を定める改正施行令（大統領令第36671号）も同時に施行されています。

日本企業にとって重要な変更は4点です。①課徴金の上限が全世界売上高の10%まで引き上げ ②代表者（CEO）の最終責任を法律に明記 ③漏えいの「可能性」段階での通知義務を新設 ④予防投資による課徴金の義務的減軽を導入。

韓国に法人・支店を置く日本企業はもちろん、韓国に拠点がなくても韓国の利用者の個人情報を扱う企業に適用され得ます。以下、実務で何が変わるのかを整理します。

1. 課徴金の上限が全世界売上高の10%に

従来、課徴金の上限は全体売上高の3%でした。改正法（第64条の2第2項）は、次の3つの場合に上限を10%へ引き上げます。

• 故意・重過失により3年以内に同じ違反を繰り返した場合
• 故意・重過失により被害を受けた情報主体が1,000万人以上の場合
• 是正措置命令に従わず漏えいが発生した場合

ここは日本企業が最も誤解しやすい点です。韓国の課徴金は「韓国での売上」ではなく全体売上高を基準にします。日本本社を含むグループ全体の売上が母数になり得るため、多国籍企業のリスク額は日本の制度感覚より一桁大きくなります。

一方で、予防投資による減軽も新設されました（第64条の2第6項）。予算・人員・設備に投資・運用してきた実績がある場合、課徴金を「減軽する」——裁量ではなく義務的減軽です（故意・重過失を除く）。施行令は基準金額の40%の範囲で減軽すると定めています。

減軽を受けるには、違反した事業年度の直前3事業年度の投資実績が必要です。個人情報保護の予算を独立した勘定科目で管理しておくことをおすすめします。

2. 代表者（CEO）の責任が法律に明記された

第30条の3が新設され、事業主または代表者が個人情報の安全な処理と情報主体の権利保護の最終責任者であることが明記されました。専門人材と十分な予算を支援する総括管理措置の義務も伴います。

あわせて CPO（個人情報保護責任者）の制度も強化されました。一定規模以上の事業者は、CPO の指定・変更・解除について取締役会の議決を経て、個人情報保護委員会（PIPC）へ届け出る義務を負います（第31条第3項・新設）。

対象は施行令で次のように定められています。

届出期限は事由発生日から6か月以内。施行前にすでに CPO を指定している企業も、施行日から6か月以内（2027年3月11日まで）に届け出れば足り、改めて取締役会の議決は不要です。

CPO 制度には2027年12月31日まで啓発期間（계도기간）が設けられています。この期間中は未指定・資格要件不備・議決漏れ・届出遅延に過料は科されません。

日本の個人情報保護法には DPO の法定選任義務がありません。「日本と同じだろう」と考えて放置すると、韓国では法令違反になります。

3. 「漏えいの可能性」段階で通知義務が発生する

改正前は、漏えいが確認された時点で通知義務が生じました。改正後は、確認前でも客観的に可能性が高いと合理的に判断される場合に通知義務が発生します（第34条第2項・新設）。

さらに「漏えい等」の定義が拡張され、従来の紛失・盗難・漏えいに加えて偽造・変造・毀損が含まれるようになりました（第23条第2項）。ランサムウェアでファイルが暗号化・毀損されただけでも通知・届出の対象になります。

施行令は通知期限を、当該事実を知った時から72時間以内と定めています。

通知すべき事項も拡大し、損害賠償・法定損害賠償の請求、紛争調停の申請など、情報主体の法的権利とその行使方法を記載する必要があります（第34条第1項第6号・第7号）。

4. 条文番号のズレに注意

改正で条文が繰り下がっています。社内文書の引用を修正してください。

個人情報処理方針、事故対応手順書、委託契約書の条文引用が該当します。施行令や告示の確定を待たずに今日から着手できる作業です。

韓国から日本へのデータ移転はどうなるか

結論から言えば、今回の改正で韓国→日本の移転ルールは変わっていません。

ただし前提として押さえておくべきことがあります。韓国と日本の間には、相互の同等性認定（適正性決定）が存在しません。

韓国は2023年に導入した同等性認定制度の最初の対象として、2025年9月16日に EU／EEA 30か国を指定しましたが、日本は対象外です。日本側も APPI 第28条の「同等水準国」指定で EU・英国のみを指定しており、韓国は含まれていません。

したがって韓国から日本へ個人情報を移転する場合、情報主体の別途同意（第28条の8第1項第1号）に依拠するのが実務上の基本です。この際、移転項目・移転先の国と時期・方法・移転を受ける者の氏名と連絡先・利用目的と保有期間・拒否の方法と効果を事前に告知する必要があります（同条第2項）。

PIPC は第3次個人情報保護基本計画（2027〜2029）で米国・英国・日本を同等性認定の拡大検討対象として挙げていますが、これは政策上の意向であり、公式に着手・確定した手続ではありません。

日本の改正法との関係

日本でも2026年7月10日に改正個人情報保護法が成立し、7月17日に公布されました（令和8年法律第56号）。日本の個人情報保護法史上はじめて課徴金制度が導入されます。施行は一部が2027年1月17日、主要部分は公布後2年以内です。

つまり、韓国がすでに運用している課徴金制度を、日本がこれから導入するという順序です。日韓の規制は収れんしつつありますが、現時点では韓国の方が先行しており、かつ厳格です。

実務チェックリスト

今日〜2週間

• 個人情報処理方針・事故対応手順書・委託契約書の条文引用を修正（第34条第3項 → 第4項 ／ 第31条第3項 → 第4項）
• 漏えい通知書の書式に損害賠償・紛争調停等の項目を追加

1か月以内

• 取締役会議決・届出の対象に該当するか判定
• 該当する場合、CPO 届出のスケジュールを策定（期限 2027年3月11日）

四半期内

• 事故対応手順書に「可能性通知」（72時間）の分岐を新設
• 進行中の違反状態があれば直ちに終了させる（附則第3条第2項により、施行日に終了していない違反にも新しい加重規定が適用されます）
• 個人情報保護予算を独立した勘定科目で管理開始（減軽の疎明用）

出典

• 改正個人情報保護法（法律第21445号、2026年3月10日公布／2026年9月11日施行）— 国家法令情報センター
• 改正個人情報保護法施行令（大統領令第36671号、2026年9月10日公布／9月11日施行）
• 個人情報保護委員会 2026年9月10日 報道資料・ブリーフィング
• 個人情報保護委員会・KISA「2025年 個人情報漏えい届出動向および調査・処分事例」（2026年5月15日）
• 日本：個人情報の保護に関する法律等の一部を改正する法律（令和8年法律第56号、2026年7月17日公布）

課徴金の投資減軽に関する細部基準の告示は、施行日時点で確定公布前です。対象範囲と算定構造は確定していますが、減軽の具体的な基準線は告示の確定後に再確認が必要です。