“重大个人信息泄露企业将被罚销售额10%”……Coupang、KT 等不适用（综合）

从事后惩罚转向事前预防为中心
主要公共系统由个人信息保护委员会直接管理
个人信息保护人力和预算同步扩充
“Coupang、KT 事故调查已结束…将于近期发出通知”

今后，发生重大或反复个人信息泄露事故的企业，将被处以最高相当于销售额10%的惩罚性罚款。与此同时，进行前瞻性个人信息保护投资的企业和机构，则可获得罚款减免等激励措施。但由于新制度要从法律修订后的今年9月起适用，因此此前已发生大规模信息泄露事故的 Coupang、KT 等将被排除在适用对象之外。

个人信息保护委员会表示，已在12日由总统主持的国务会议上报告了包含上述内容的“向预防为中心的个人信息管理体系转型方案”。此次方案是在人工智能（AI）数字转型和平台经济扩散导致个人信息利用不断增加的背景下，为提高个人信息保护水平并切实应对日益大型化的泄露事故而制定的。

首先，对于重复发生或严重的个人信息保护法违法行为，将处以最高相当于销售额10%的惩罚性罚款。此前最多只能按最近3年平均销售额的3%征收罚款。惩罚性罚款特别条款将于今年9月11日施行。

个人信息保护委员会委员长 Song Gyeonghui 表示：“惩罚性罚款适用于3年内因重大过失反复发生事故的情形，或用户规模在1000万人以上的情形，或者在发出整改命令后仍未改善而导致事故发生的情形。”对于不属于重大违法行为的情况，则仍按现行制度，最高处以销售额3%的罚款。

罚款的计算基准也将改为在“上一年度销售额”和“3年平均销售额”中择高适用。现行法律规定以3年平均销售额为基准计算罚款。新的罚款计算基准自本月19日起开始适用。

不过，惩罚性罚款及变更后的计算基准，将不适用于目前正在调查中的信息泄露事故。因此，去年发生大规模信息泄露事故的 Coupang 和 KT 等，可避开惩罚性罚款。Song 委员长表示：“相关施行令今天将在国务会议上通过并公布，此后发生的事故将适用新规”，“（对 Coupang 等的处分）将依照法律原则进行，并作出与责任相称的处分”。

为实现快速调查和处分，还将引入征收履行强制金的制度。对于隐匿证据的行为将加大制裁力度，同时计划引入举报奖励金制度。但对于小微企业轻微的保护法违规，将给予为防止再发和改进而进行整改的机会，如若违规行为反复发生，将予以严格应对。

还将通过激励等方式，引导企业加大提升个人信息保护水平的投资。今后，将对超出法定标准的前瞻性保护措施、积极的安全投资、以及安全管理体系的实效性运营情况进行综合评估，并给予罚款减免等激励措施。同时，将引导企业公开其个人信息保护活动，促使企业自主提升保护能力。

政府也将致力于因个人信息泄露造成的损害救济与恢复支持。首先，在发生个人信息泄露事故时，将原则上由企业和机构承担损害赔偿责任，并由企业承担整体举证责任，以激活损害赔偿制度。

政府将重点排查类似“暗黑模式”这类诱导或误导用户，使其难以修改个人信息、撤回同意或注销账号的行为，并强化个人信息侵害举报中心的功能，包括提供专业咨询和顾问服务以及损害救济支持等。

在敏感信息泄露时，将通过社交媒体等渠道监测是否存在非法传播，一经发现即进行探测和删除，并与侦查机关合作，追踪和处罚非法散布及利用个人信息者，从严应对。

另一方面，个人信息保护委员会将构建根据风险程度进行差异化检查的风险基础管理体系，对387个主要公共系统以及教育、福利等高风险领域实施重点管理。为提升企业和产业整体的个人信息保护竞争力，还将把检查范围扩大至包括云服务商、专业受托方、系统供应商在内的整个供应链。目前，个人信息保护委员会正在对殡葬服务公司、客户呼叫中心等进行检查。

政府将把从服务策划与设计阶段开始贯彻个人信息中心化设计（Privacy by Design·PbD）原则制度化。PbD 是指在系统设计阶段就考虑个人信息保护要素。由于个人信息处理环境日益复杂，服务一旦上线后再防止侵害将更加困难。此外，还计划在个人信息影响评估标准和信息安全管理体系-个人信息保护认证（ISMS-P）标准中反映个人信息中心化设计原则。

对于近期因 Anthropic 的通用 AI 模型 Mythos 引发的安全担忧，Song 委员长表示：“个人信息保护委员会也在制定对策”，“今后应在假定 AI 代理可能发起攻击的前提下，从以人为中心的防御体系转向相应的应对体系”。

政府还将增加专职从事个人信息保护的人力和预算，并通过官民合作提升保护水平。同时，为培养个人信息保护专业人才，计划按区域和地区扩大研究生课程。

另外，关于对 Coupang 和 KT 个人信息泄露事故调查的进展情况，Song 委员长表示：“我们已结束调查，并按照程序向相关企业发送了事先处分通知书”，“将在听取企业对事先通知书的意见并进行审查后，作出最终处分决定”。据此，对 Coupang 等的制裁最快有望于6月内作出结论。