• JILIS第三回情報法セミナー

韓国における
個人情報保護法と十分性認定の現状• 2021年11月11日

オンライン• 国際基督教大学/理化学国際基督教大学
教養学部上級准教授• 国立研究開発法人理化学研究所革新知能統合研究センター客員研究員• 寺田麻佑• tmayu@icu.ac.jp

• 一橋大学法学部公共関係法学科卒（法学士）• 慶應義塾大学法務研究科（法科大学院）修了（法務博士J.D)• 2007年司法試験合格（Passed Japanese Bar Examination）• 2009－2010年ドイツ・カッセル大学博士課程留学（如水会からの派遣）• 2012年一橋大学大学院法学研究科博士後期課程修了(博士（法学）（LL.D）• 2012年～•

自己紹介

国際基督教大学教養学部（行政法、環境法、Public Law,

• 2017年6月

～

ほか担当）

理化学研究所AIPセンター客員研究員• 2018年・2019年ドイツ・ザールラント大学法情報学センターVisiting
Fellow• EU情報通信法（BERECという組織の在り方を中心に）の研究。
• AI、ドローン、自動走行、航空法、空港、航空管制等の諸問題の研究。最近の関連著作「新法解説 航空法の改正 : 無人航空機(ドローン)に関する規制の整備」法学教室 426号（2016年3月）, p. 47-53• 近著『EUとドイツの情報通信法制（２０１７年１月、勁草書房）

技術発展に即応した規制と制度の展開』• 『都市行政の最先端』（2019年、日本評論社、共著）• 『法学入門』（2019年、北樹出版、共著）• 寺田麻佑『先端技術と規制の公法学』（勁草書房、2020年1月）
2医療ビッグデータ
法、
先端技術と法、
AIと法にも切り込んでいる新しい法学入門書！

先端技術と規制の公法学
寺田麻佑（勁草書房、2020年1月）• 韓国憲法におけるデータ保護に関連した規定• 個人の尊重と幸福追求権（10条）

韓国における
データ保護の枠組み• 私生活の保護（17条）• 通信の秘密（18条）→データ保護は憲法上保護されることが最高裁及び憲法裁で確認されている
さらに、外国人の人権も保護される
韓国のデータ保護制度は、個人情報保護法（PIPA）、
信用情報の保護及び利用に関する法律、情報通信網利用促進および情報保護などに関する法律が中心

最高法規としての憲法、憲法上の概念の実現のための法律、大統領令、首相令、省令等の行政規則

韓国の法体系

法令ー階層構造

法令によって委任された権限の下で制定された下位法令や、法令の執行目的で制定された
規則は法令と矛盾することは禁止される。

個人情報保護関連法律
憲法
公共部門 民間部門
個人情報保護法
情報通信網法
信用情報保護法

韓国個人情報保護法の前提• 1989年12月に個人情報保護法案の試案•• 1991年5月 電子処理される個人情報保護のための管理指針（国務総理訓令第250号）•

その後、個人情報保護の対策を予防的に整備し、行政への信頼を確保するため、

公共部門

公共機関の情報公開に関する法律

民間部門

信用情報の利用および保護に関する法律
通信秘密保護法、電気通信事業法、情報化促進法、
電子署名法、情報通信網利用促進および情報保護に関する法律（その他、コンピュータ犯罪のための改正刑法）を制定

韓国の個人情報保護法制（2011PIPA制定前）
公共機関の情報公開に関する法律（1994制定）→ 公共機関に限定
しかし、OECDガイドラインの一般原則をそのまま需要
プライバシーの保護は個人情報の保護を意味する（個人情報の自己決定権を実質的に体系化）
民間部門は一般法としての個人情報保護法はなかった
情報通信網利用促進および情報保護に関する法律→ 情報通信サービス提供者に限定
1999全面改正、2001改正で情報通信網だけではなくホテル業などオフラインにおける個人情報の収集、利用、提供も規制の対象とした
その他、情報通信網における位置情報の活用・保護のための位置情報の保護および利用等に関する法
律が2005年1月に制定・公布された。
信用情報に関しては、信用情報の利用及び保護に関する法律、遺伝子情報に関して、生命倫理および安全に関する法律

公共部門における個人情報保護（PIPA以前）• 1980年代以降、韓国政府は情報通信分野での発展のため、強力な国家機関電算網
事業を推進• 国民の行政機関に対する申請や苦情処理が容易に、公共行政も能率化• →個人のプライバシー侵害の可能性が問題となり、• 公共機関の情報公開に関する法律（1994年1月）が制定•

公共機関の情報公開に関する法律（1994年1月）• コンピュータにより処理される公共機関の個人情報を保護するため、各行政機関
が個人情報処理システムもしくは個人情報ファイルを保有しようとする場合には、その保有範囲および内部手続を決め、個人情報を利用・第三者へ提供する際の実態的および手続的制限を加えるもの••

情報主体には閲覧および訂正請求権を認める

公共機関のコンピュータにより処理される個人情報の保護を目的とするため、民間部門の個人情報は保護対象ではない• （法適用の実効性と民間部門の自律を確保し、過度な行政負担と情報産業の萎縮を防ぐために民間部門は対象から外された）

公共機関の情報公開に関する法律（1994年1月）

•
•
•
•
•
•

適用対象がコンピュータにより処理される個人情報に限定
公共機関が手作業で処理する情報には適用さない（手記ファイルに収録された個人情報は、記録の大量性および検索の迅速性・容易性を持つ電子情報に比べて、個人のプライバシー侵害の可能性が相対的に低く、その他既存の法律上の職務関連守秘義務でも規律可能なため）→ 電子情報の形で保有する情報に対してのみ、事前通報義務、個人情報処理状況の公告義務、個人情報台帳の設置義務を規定
この範囲内においてのみ個人の閲覧・訂正請求権を認めた→その他の情報に関しては、安全性確保と守秘義務など外部流出や改変を防止するための消極的側面のみを規定、積極的な個人の自己情報統制権は認めず

個人情報保護法 PIPA

• 2011年3月29日制定••••

同9月30日施行

個人情報を違法な収集、濫用または詐欺から守ることによって、市民の権利と関心を高め、個人の尊厳と価値を実現するために個人情報処理に備えることを目標とする（1条）
個人情報の定義（2条1項）→

氏名、住民登録番号、画像等により個人を特定することを可能とする情報

個人情報の収集および利用（15条）

個人情報保護法 PIPA（2020改正前）•

個人情報の収集および利用（15条）•

収集が認められる場合（15条1項）•

１）同意が得られた場合•

２）法的義務として定められる場合•

３）公的機関がその法的管轄のもとで収集する場合•

４）データ主体と契約を結ぶために不可欠な場合•••

５）データ主体の同意や意思確認ができない場合に、データ主体の生活や身体、経済的利益の保護のために必要な場合
６）個人情報処理者がデータ主体との関係において正当な利害を持つ場合

個人情報保護法 PIPA（2020改正前）• 15条2項
•
•
•
•
•
•

同意取得時にデータ処理主体がデータ主体に伝達すべき情報
１）個人情報の取得及び利用目的
２）具体的に収集される個人情報

３）個人情報が保持され利用される機関

４）データ主体の拒否権と拒否により生じる不都合な点→いずれかの内容が修正される場合には、同様に同意が必要

個人情報保護法 PIPA（2020改正前）

•
•

17条1項
データ主体から同意を取得した場合や、同法15条1項の２、３、５に該当する場合には、個人情報を第三者に提供することを認めている。

•

17条2項は、同意を取得する場合には、１）情報の受託者、•

２）当該受託者の利用目的、•

３）提供される個人情報、•

４）個人情報の保持・利用期間、•

５）データ主体の拒否権と拒否により生じる不都合な点•を示さなければならないと定めている。

•

17条3項で、海外の第三者に個人情報が提供される場合には、17条2項についての同意取得が必要
転契約締結は禁止されている。

•

31条1項
がる

また、個人情報の越境移すべての個人情報処理者は、個人情報処理について、包括的に責任を有するプライバシー責任者を任命する必要

韓国の個人情報保護委員会• 背景• 韓国の高度知識情報社会において勧告国民の貴重な個人情報を保護するために個人情報保護委員会を設置• 膨大な情報が共有・利用される高度な知識情報社会に生きている私たちであるが、その利便性の下には、国民の個人情報が漏えいする危険性が併存している• 利益を生み出すために、企業は大量の個人情報を収集して処理するだけでなく、人々の好みや関心などの行動情報も取得する。この過程で、個人情報の流出や個人情報の盗難事件が発生する可能性が高まっている。
• こうした脅威から個人のプライバシー権を保護するため、2004年に個人情報保護総合法の制定が国会で提案され、7年間の熟慮の末、2011年3月に個人情報保護法が制定され、同年9月30日に個人情報保護委員会が設置された。
• 個人情報保護委員会は、委員長の下、独立して業務を行っている• https://www.pipc.go.kr/cmt/english/introduction/background.do韓国PPCの組織• https://www.pipc.go.kr/cmt/englis
h/organization/org.do

委員会構成員（2017Annual
Reportより）

2010年代、大手カード会社等の事故が社会に衝撃を与える• KT（総合通信最大手）2014年3月 1200万人分流出• KB国民カード、NH農協カード、ロッテカード 2014年1月• 延べ1億4000万人分流出• KT 2012年7月 870万人分の個人情報ハッキング• ネクスン 2011年11月 1320万人分流出• SKコミュニケーションズ 2011年7月 3500万人分流出2015個人情報保護法改正による規定• 32条の２ 個人情報保護の認証制度に関する規定の明文化• 39条 懲罰的損害賠償制度• 39条の２ 法定損害賠償制度• 8条、8条の２、9条、11条、40条、63条• 個人情報保護委員会の機能と権限の強化•• 70条及び74条の２ 罰則の強化•

悪質な情報漏洩者への罰則強化

10年以下の懲役または1億ウォン以下の罰金

韓国の個人情報保護の主な法規律
個人情報

非個人情報も包含した保護

プライバシー保護・消費者保 個人情報保護法（PIPA）
護（2011年）
情報ネットワーク利用促進法（2001年）
クラウドコンピューティングの開発及び利用者保護法（2015年）
APEC越境プライバシールールシステム（2011年）
クレジット情報の利用及び保護法（1995年）

情報ネットワーク利用促進法（2001年）
通信秘密保護法（2007年）
クレジット情報の利用及び保護法（1995年）

安全保障・サイバーセキュリ 通信秘密保護法（2007年）
ティ

電子文書保安措置施行指針、国家サイ
バー安全管理規定等

電気通信 電子商取引

情報通信ネットワーク利用促進法（2001 情報通信ネットワーク利用促進法（2001年）年）
通信秘密保護法（2007年）
通信秘密保護法（2007年）

韓国におけるデータ関連3法の改正• ビッグデータの利活用の拡大のため、個人情報保護法、情報通信網法、信用情報法のデータ3法が改正された••

個人情報保護法改正案
個人情報の概念の明確化、安全なデータ活用のための方法及び基準等の整備、科学的研究、統計作成、公益的記録保存等の目的での仮名情報の利用、個人情報処理に係る各種の義務の賦課及び違反時の処罰の強化、個人情報保護委員会の格上げ、関連法の類似規定の個人情報保護法への一元化• 情報通信網法改正案•

データ3法の改正（2020年1月9日可決、2020年2月4日改正法公布）

個人情報保護に関する規定を削除
し個人情報保護法に移管すること、
および放送通信委員会の権限の一部を、その所属機関の長に委任することができる根拠を明示化する内容• 信用情報法改正案• ビッグデータ分析、利用の法的根拠の明確化、安全対策の強化、個人情報保護法との類似規定の整理、本人
信用情報管理業、専門個人信用評価
業、個人事業者信用評価業の導入及び信用照会行の業務体制整備、新たな個人情報自己決定権の導入、法律上の信用情報の概念の整備等

改正個人情報保護法（2020年改正）の内容• 個人情報の一部の削除又は一部若しくは全部の代替等の方法により、追加情報なしには特定の個人を識別できないよう処理することを「仮名処理」と定義（2条1号の２）• 個人情報保護委員会を大統領所属から国務総理所属の中央行政機関とする（7条）• 個人情報保護委員会の所管事務を定める（7条の８）• 個人情報処理者「業務目的で個人情報ファイルを運用するため、自ら又は他者を通じて個人情報を処理する公共機関、法人、団体、及び個人等をいう」（2条5号）が当初の収集目的と合理的に関連する範囲で情報主体に不利益が発生するかどうか、暗号化等の安全性確保に必要な措置を行ったかどうか等を考慮し、情報主体の同意なく個人情報を利用・提供することができるとした（15条3項、17条4項）• 仮名情報に対する安全措置義務等（28条の4）• 仮名情報処理時の禁止義務等（28条の5）• 仮名情報処理に対する課徴金の賦課（28条の6）を新設• 第6章に、情報通信サービス提供者等の個人情報処理等特例を整備（39条の3～39条の15）

2020年改正 保護の客観的及び主観的範囲• 2020年改正で個人情報、仮名情報、匿名情報の整理がなされた• 個人情報の定義は、生存する個人に関する、直接的に、又は容易に結合すること
で本人を特定する情報

EIP93

27

•

以下の論考
を参照

欧州委員会による韓国に対する欧州一般データ保護規則（GDPR）上の十分性認定手続の現状• 板倉 陽一郎 , 寺田 麻佑
Yoichiro Itakura , Mayu Terada
研究報告電子化知的財産・社会基盤（EIP）,2021-EIP93(10),1-5 (2021-09-02) , 2188-8647• 欧州委員会による韓国に対する欧州一般データ保護規則（GDPR）上の十分性認定手続の現状（2）• 板倉 陽一郎 , 寺田 麻佑
Yoichiro Itakura , Mayu Terada
研究報告電子化知的財産・社会基盤（EIP）,2021-EIP94(25),1-4 (2021-11-01) , 2188-8647

GDPR上の十分性認定手続きー韓国の場合• 2017年1月10日，欧州委員会から公表された報告書“COMMUNICATION FROMTHE COMMISSION TO THE EUROPEAN PARLIAMENT AND THE
COUNCIL Exchanging and Protecting Personal Data in a Globalised
World”（国際化する世界における個人データの交換と保護についての欧州委員会から欧州議会および欧州委員会への報告書）• 「欧州委員会のワークプログラムで発表されたように，本コミュニケーショ
ンは，「十分性認定」及びデータ移転や国際的なデータ保護手段のためのその他の手段に関する欧州委員会の戦略的枠組みを示すもの」（2-3頁）• ”Based on these considerations, the Commission will actively engage withkey trading partners in East and South-East Asia, starting from Japan and
Korea in 2017”

十分性認定とは• 越境移転を適法化する原則的な方法がGDPR45条が定める十分性認定に基づく移転であり、欧州委員会が十分性認定を与えた第三国又は国際機関への移転はEU/EEA域内と同様に扱われる• GDPR全面適用後に認定されたのは日本（個人情報保護法の適用範囲）と英国• 2. 保護レベルの十分性を評価するとき、欧州委員会は、次に掲げる要素を特に考慮しなくてはならない。
• 2. When assessing the adequacy of the level of protection, the Commission shall, in particular, takeaccount of the following elements:• (a) 法の支配、人権及び基本的自由の尊重、公安、国防、国家の安全及び刑事法並びに個人データへの公的機関のアクセスに関するものを含む一般的な又は分野別の関連法令及びその履行。第三国又は国際機関への個人データの再移転に関連し、当該第三国又は国際組織によって遵守される規定及び判例法並びに効果的か
つ執行力のあるデータ主体の権利を含むデータ保護規定、専門的規定及び安全対策。個人データが移転されるデータ主体のための効果的な行政上及び司法上の是正措置。
• (a) the rule of law, respect for human rights and fundamental freedoms, relevant legislation, bothgeneral and sectoral, including concerning public security, defence, national security and criminal law
and the access of public authorities to personal data, as well as the implementation of such legislation,
data protection rules, professional rules and security measures, including rules for the onward transferof personal data to another third country or international organisation which are complied with in thatcountry or international organisation, case-law, as well as effective and enforceable data subject rights
and effective administrative and judicial redress for the data subjects whose personal data are beingtransferred;31

第45 条 十分性決定に基づく移転
Article 45 Transfers on the basisof an adequacy decision• 1. 第三国又は国際機関への個人データの移転は、当該第三国、第三国域内の領域
若しくは一つ若しくは複数の特定された部門、又は国際機関が保護に関して十分なレベルを保証していると欧州委員会が決定した場合に行うことができる。この移転は、いかなる個別的許可も要しない。

• 1. A transfer of personal data to a third country or an international organisation
may take place where the Commission has decided that the third country, aterritory or one or more specified sectors within that third country, or theinternational organisation in question ensures an adequate level of protection.
Such a transfer shall not require any specific authorisation.

32

十分性認定手続• 欧州一般データ保護規則（GDPR）44条• ”Any transfer of personal data which are undergoing processing or are intended forprocessing after transfer to a third country or to an international organisation shall take place
only if, subject to the other provisions of this Regulation, the conditions laid down in this
Chapter are complied with by the controller and processor, including for onward transfers of
personal data from the third country or an international organisation to another third country
or to another international organisation. All provisions in this Chapter shall be applied inorder to ensure that the level of protection of natural persons guaranteed by this Regulation
is not undermined.”• （現に取扱われている又は第三国又は国際機関への移転の後に取扱いを意図した個人データ移転
は，その第三国又は国際機関から別の第三国又は国際機関への個人データの転送に関するものを含め，本規則の他の条項に従い，本章に定める要件が管理者及び処理者によって遵守される場合
においてのみ，行われる．本章の全ての条項は，本規則によって保証される自然人保護のレベルが低下しないことを確保するために適用される．）

韓国に対する十分性認定手続開始• 2021年6月16日に欧州委員会が韓国に対する十分性認定手続を正式に開始• 2021年6月14日付の”Draft Decision on the adequate protection of personal databy the Republic of Korea”（「十分性認定文書案」）が公表• 東南アジアの主要な貿易パートナー

35

36

韓国に対する十分性認定文書案の概要• 十分性認定文書案は本文が3条で前文が230項という構成• 十分性認定は韓国については3年後、その後4年ごとの見直し条項となっている（3条4項）• Annex（付属文書）1と2が附随しているAnnex1 “SUPPLEMENTARY RULES FOR
THE INTERPRETATION AND APPLICATION
OF THE PERSONAL INFORMATIONPROTECTION ACT RELATED TO THE
PROCESSING OF PERSONAL DATATRANSFERRED TO KOREA「韓国に移転される個人データの処理に関する個人情報保護法の解釈及び適用に関する補足規則」 補完的ルール？

Annex2” Legal framework for the collection and use of personal data by Korean publicauthorities for law enforcement and national security purposes”（法執行及び国家安全保障目的の韓国の公的機関による個人データの収集および使用に関する法的枠組み）• 公的機関が民間事業者から個人データを収集，使用する際の法的枠組みについて解説しているもの• 法執行機関（警察等）や安全保障機関に関する制度及びその運用については，必ずしもその実態が広く公表されているわけではない• 所管機関による表明保証を得，十分性認定（特に前文3章）の事実認定に資するもの• 日本では内閣審議官、警察庁長官、個人情報保護委員会事務局長、総務省事務次官、公安調査庁次官、防衛事務次官の連名• 韓国においては、個人情報保護委員会委員長、国家情報院院長、法務省局長、韓国国家人権委員会委員長、国家カウンターテロリズムセン
ター長、韓国金融諜報部委員長の連名

韓国のデータ保護制度• 個人情報保護法（PIPA）• 施行政令とあわせて，一般的なデータ保護の枠組みを提供• 信用情報の保護及び利用に関する法律• 情報通信網利用促進および情報保護などに関する法律• 2020年改正のデータ保護関連三法• Annex1の「告示」• PIPA5条（国家の義務）や14条（国際協力）を根拠に執行可能としている• 日本の補完的ルールと類似• 韓国のAnnex1も告示である以上それだけで執行可能なのかは疑問

保護の客観的及び主観的範囲「個人情報」「処理」「個人情報管理者」の説明• 2020年改正で，個人情報，仮名情報，匿名情報の整理
個人情報• 生存する個人に関する，直接的に，又は容易に結合することで本人を特定する情報• 完全に匿名化された情報は対象にならない• GDPRの個人データ，仮名化，匿名化された情報に対応すると評価されている「処理」• 十分に広く，GDPR上の処理に対応
義務の対象は「個人情報管理者」（民間事業者及び公的機関）• GDPR上の「処理者」に対応するものとして「委託先」が存在• 委託先の教育義務等も存在する• 適用除外規定• 統計法に基づく統計利用• 国家安全保障目的の情報分析• 公衆衛生を含む公共の安全• 報道・宗教・政治的利用

41

保護措置の内容
処理の適法性及び公正性• 取得の法的根拠• 利用目的と「合理的に関連する」範囲での利用• Annex1により，欧州から韓国に移転されたデータについては，欧州での利用目的の範囲内でのみ用いられるとの解釈• 仮名情報• 統計，科学研究，公衆の利益のためには，本人の同意なく用いることができる• 再識別禁止等の義務• 特別カテゴリデータ• より厳しい義務• 利用目的は「明示的に特定された」ものでなければならず，個人情報の処理は利用目的の範囲である必要がある• 利用目的が終了した場合遅滞なく破棄される必要がある（保存制限）．
• Annex1では，仮名情報について，処理目的を達するまで，破棄されないのであれば匿名化されるべきであるとしている
安全管理措置
透明性確保義務• 情報の取得元，利用目的，本人の権利等• プライバシーポリシーの策定義務．
• Annex1は，「追加的な透明性要件」を定める• 欧州から移転された場合，1か月以内には情報の授受をした者の名前と連絡先，移転された個人データまたはその項目，韓国の管理者の収集目的，保存期間等である．
• 解釈と適用の範囲に収まっているといえるかは相当程度の疑義

42

保護措置の内容２• 本人の権利• 開示請求権• 訂正削除請求権• 利用停止請求権• GDPRに存在する機械による自動的決定への権利等は存在しない• 再移転（外国への移転）• 委託先への移転の際の義務（法的拘束力のある契約）• 管理者への移転の際の法的根拠（情報を提供しての同意等）等• アカウンタビリティ• プライバシーオフィサー• プライバシー影響評価• マーク制度等の自主規制等• 信用情報には特別な規制

監視監督• 韓国個人情報保護委員会が中心• 委員長，副委員長及び7人の委員• 委員長と副委員長は首相の推薦により大統領により任命• 残りの7人の委員のうち，2名は委員長から，2名は大統領の属する政党から，3名はその他の政党から推薦• 事務局．
• 委員の任期は3年で，再選が一度可能• 独立性• 監督権限• 行政調査，報告徴収権限• 助言，改是正措置• 1000万ないし5000万ウォンの課徴金• 罰則がある場合の告発等

救済措置• 管理者への苦情• 韓国個人情報保護委員会への申立て，韓国インターネット振興院の「プライバシーコールセンター」への苦情• 紛争調停委員会への申立て• 集団紛争調停• 損害賠償請求• 差止請求• 告訴等

欧州連合から移転された個人データは韓国の公的機関によってどのようにアクセスされ、利用されるのか• 公的機関によるアクセスは法に基づき比例的な形で、かつ法的拘束力がなければならない一般的な枠組み• 憲法上の制限• 刑事訴訟法，情報通信網利用促進および情報保護などに関する法律• 国家情報院法• 個人情報保護法の適用• 個人情報保護法の適用除外• 法執行機関には適用される• 国家安全保障機関については例外あり• データ保護の原則は適用される

46

法執行機関によるアクセス•

刑事訴訟法上の捜索押収，情報通信網利用促進および情報保護などに関する法律上の通信傍受，電気通信事業法上の任意の情報収集•

捜索押収は原則令状が必要•

差し押さえ対象はデータそのもの（コピーまたは印刷物）が原則•

通信傍受にも令状が必要であるほか，収集後の本人への通知の規定あり•

電気通信事業法上の任意の情報収集は，契約者情報に限られる
•
•

•

•

媒体すべては例外的任意であり提供するかどうかは電気通信事業者が判断する必要

法執行機関は，収集後は個人情報保護法に従う

監視監督•

警察が検事総長に監督される•

個人情報保護委員会による監督•

国家人権委員会による独立監視•会計検査院，議会による監督

救済方法•

個人情報保護法上の本人の権利（開示等）•

個人情報保護委員会への申立て•

国家人権委員会への申立て•

令状への異議，行政訴訟，憲法訴願，国家賠償訴訟等

47

国家安全保障機関によるアクセス•

国家情報院が国家安全保障機関•

国家情報院は政治的中立性及び個人の自由と権利の保護を義務付けられている•

国家情報院の情報収集は，韓国民が含まれる場合の通信と，韓国民が含まれない場合の通信の収集で規律が別••

共通：国家安全の保護のために行われなければならず，原則4か月の保存期間が定められている
韓国民が含まれる場合：高等検察庁の請求により高等裁判所の上級裁判長が令状を発布する•

韓国民が含まれない場合（三類型ある）：国家情報院委員長により請求され，大統領の許可によりなされる（情報通信網利用促進および情報保護などに関する法律により，記録及び報告義務•

本人への通知義務•

個人情報保護法には国家安全保障関係の除外規定があるが，国家安全保障機関による個人情報の処理に関しても，原則規定は適用される••

電気通信事業法上の任意の情報収集
法執行機関が行うものと同様

国家安全保障機関によるアクセス２• 監視監督• アンチテロリズム法上のカウンターテロリズム委員会，人権保護オフィサー• 個人情報保護委員会• 国家人権委員会• 会計検査院• 議会• 救済• Annex1も参照しつつ，個人情報保護法上の開示請求権等• 個人情報保護委員会への申立て• 人権保護オフィサーへの申立て• 国家人権委員会への申立て• 行政訴訟及び憲法訴願

結論• 結論として、韓国のデータ保護制度はGDPRと本質的に同等であり、十分である韓国の十分性認定手続に対するEDPBの意見• 2021年9月24日に公表された” Opinion 32/2021 regarding the European
Commission Draft Implementing Decision pursuant to Regulation (EU)2016/679 on the adequate protection of personal data in the Republic ofKorea”（「EDPB意見」）• なお，EDPBの意見は基本的にAdequacy Referential（十分性参照文書）に沿っている．

EDPBによる意見• ・欧州のデータ保護法の複製でなくてもよい• ・補完的ルールによる調整（告示2021年1号）の法的拘束力とは？
•

裁判上拘束力はあるのか• 個人情報管理者の概念は処理者を含んでいるのか• 仮名化情報に関する除外規定は統計、学術研究、公益目的のアーカイブに限定されるとする点について、そのような制限は補完的ルールによる→やはり拘束力が問題となる

EDPBによる意見２• 同意の撤回についての規定の不存在• 再移転についての規定の不存在• 韓国の監督機関について•

奨→公式の選任手続はGDPRに沿っているが実態のモニタリングと独立性の推• 人員確保及び財源についての予算に関して参照内容が不十分

EDPBによる意見３• 公的機関によるアクセス等について、法執行分野では制限なく韓国個人情報保護法が適用されるものの、安全保障分野ではより制限がある点に関する、データ主体が救済を受けられるか等の不明確性の指摘
安全保障分野の再移転についての懸念

法執行分野や安全保障分野は複数の監督機関による監督がある点について、これらの十分な執行権限と、救済の関係での立証責任はどうなっているのかという点の指摘• EDPBは、意見書で強調されている例外を除き、公共部門と民間部門の両方の移転を対象とすることを考慮すると、この十分性認定は最も重要であると考えているとして指摘•欧州委員会に対して対応するようにとの指摘

2020年改正のデータ保護関連三法

施行政令とあわせて、一般的なデータ保護の枠組みを提供 Annex1 「告示」は、
PIPA5条（国家の義務）や14条（国際協力）を根拠として、執行可能→ 解釈及び適用に関する告示に過ぎないが、執行についての裁量の範囲内で補完的ルールと同様か

• GDPRの個人データ、仮名化、匿名化された情報に対応すると評価されている（17項）• 「処理」の概念は十分に広く、GDPR上の処理に対応するとされる•義務の対象は「個人情報管理者」（民間事業者及び公的機関）であり、GDPR
上の「処理者」に対応するものとして「委託先」が存在する• 委託先の教育義務等も存在する• PIPAには適用除外規定が存在し、統計法に基づく統計利用、国家安全保障目的の情報分析、公衆衛生を含む公共の安全、報道・宗教・政治的利用が挙げられる

以下の論考を参照•

欧州委員会による韓国に対する欧州一般データ保護規則（GDPR）上の十分性認定手続の現状• 板倉 陽一郎 , 寺田 麻佑
Yoichiro Itakura , Mayu Terada
研究報告電子化知的財産・社会基盤（EIP）,2021-EIP-93(10),1-5 (2021-09-02) , 2188-8647• 欧州委員会による韓国に対する欧州一般データ保護規則（GDPR）上の十分性認定手続の現状（2）• 板倉 陽一郎 , 寺田 麻佑
Yoichiro Itakura , Mayu Terada
研究報告電子化知的財産・社会基盤（EIP）,2021-EIP-94(25),1-4 (2021-11-01) , 2188-8647

まとめ• 十分性認定はなされるであろう• 補完的ルールと同様の問題が発生している• その他