AIに問う · 取締役会の責任の移行は、データ保護の意思決定チェーンをどのように再構築するか？2026年3月10日、韓国は《個人情報保護法》の新たな改正を行った。今回の改正は孤立した制度調整ではなく、非常に具体的な背景の下で行われた——過去数年、韓国では大規模なデータ漏洩事件が相次ぎ、金融、通信、電子商取引など複数の業界に及び、監督執行の強化も同時に進んでいる。このような現実的な圧力の中、従来のコンプライアンス重視の制度は、監督の期待に応えることがますます難しくなってきている。そして、その背景の中で、本改正には非常に注目すべき変化が現れている：単に「義務を増やす」ことで監督を強化するのではなく、より根本的な問題——企業がデータリスクをどう扱うか——に調整を始めたのである。一方、ルールは前倒しされている。法定リスク基準に達した時点で通知義務を履行する仕組みを導入することで、コンプライアンスは「事件が発生した後」から、「リスクの認識段階」へと前倒しされた。もう一方、責任も上位に移されている。企業責任者の責任強化、売上高の10％に達する可能性のある罰金制度の導入、個人情報保護責任者を取締役会の意思決定・報告体系に組み込むことにより、データ保護は正式に企業ガバナンスの枠組みに組み込まれた。これらの制度変化と、最近の典型的な執行案件を併せて見ると、監督の厳格化以上に注目すべき方向性の変化が見えてくる：監督の焦点は、「企業が既にコンプライアンスしているか」から、「企業内部に誰がデータリスクの判断を行い、その結果に責任を持つか」へとシフトしている。修正前後、韓国では連続して代表的なデータ漏洩事件が発生している。ある金融機関は住民登録番号を平文でログシステムに記録し、最終的に数百万のユーザー情報が漏洩した。ブランドはアクセス制御と認証メカニズムの脆弱さから攻撃者に直接顧客データを取得されるケースもあった。また、プラットフォーム型企業は基盤のセキュリティ対策不足により、より広範なデータ漏洩を引き起こした。これらの事件は表面上、「攻撃された」という共通のタグを持つ。しかし、監督の振り返りの論理を追うと、問題は攻撃そのものにあるのではないことが見えてくる。本当の問題は——企業が重要な段階で最も基本的なリスク判断能力を欠いている点にある。どのデータにより高い保護レベルが必要か、システムのどの部分に構造的な脆弱性があるか、異常行動が現れた時に迅速に識別できるか——これらは日常の運用の中で継続的に処理されるべき課題だが、多くのケースではその対応が欠如している。したがって、これらの事件が露呈したのは、安全事故の単一性ではなく、リスクの識別、内部統制、対応メカニズムの体系的な失敗である。制度設計の観点から最も直感的な変化は、通知義務の前倒しである。多くの法域では、データのコンプライアンスの基本的な論理は依然として事後に集中している。漏洩が確認された場合、企業は規定の時間内に監督機関とユーザーに通知する必要がある。これは典型的な事後対応の仕組みだ。しかし、今回の韓国の調整は、この時間順序を意図的に破っている。改正後の第34条によると、特定の条件を満たす場合、漏洩が未確認でも、法定基準に達したリスクが存在すれば、企業は通知を開始しなければならない。これにより、「未発生」を理由に判断を遅らせることはできず、不確定な状態で判断を完了させる必要がある。また、通知自体も単なる情報伝達ではなくなる。企業は、ユーザーが取るべき法的措置（損害賠償、法定賠償、紛争解決手段など）も明示しなければならない。これにより、通知は情報開示の行為から、法的結果を伴うコンプライアンス行動へと変化した。しかし、これを義務の前倒しと理解するだけでは、表層にとどまる。本当に重要なのは、この変化が企業に「リスクが完全に顕在化する前に判断を下す」能力を促している点である。義務の前倒し以上に注目すべきは、責任構造の変化である。今回の改正は、企業所有者や代表者に対する個別の罰金や刑事責任を直接規定していないが、一連の制度設計を通じて、データ保護責任を企業ガバナンスの中に明確に組み込んでいる。経営者や代表者は、単なる最終責任者の抽象的表現ではなく、資源配分や制度構築を通じて、安全対策の有効性に実質的な責任を負う必要がある。また、個人情報保護責任者は取締役会の意思決定・報告体系に組み込まれ、その任命・変更・履行状況も継続的に注視される。この制度設計の下では、データのコンプライアンスはもはや、単一の部署だけで完結できる職能ではなく、そもそも特定の部署だけの問題ではないと理解されるべきだ。データ処理は、製品設計、技術アーキテクチャ、運用プロセス、ビジネス意思決定、外部協力など、多くの段階に自然にまたがるものであり、そのリスクも一つのポイントに集中するのではなく、チェーン化・システム化された形でビジネス全体に分散している。したがって、データコンプライアンスは、法務・コンプライアンス・技術の各チームだけの局所的な仕事ではなく、資源投入と専門人材のリードのもと、多部門の協働を促す全体的な仕事と理解されるべきだ。過去、多くの企業ではこれを単一の職能とみなしていたのは、管理層のこの仕事の性質と重要性の認識不足によるものであり、それ自体は本来分割すべきではない。したがって、通知義務の前倒し、リスク判断の不確実性下での判断、資源投入の評価要素化といった問題は、最終的に同じ階層——管理層——に帰着する。10％の罰金上限は、間違いなく今回の改正の最も衝撃的な部分だ。しかし、単に重くなることだけに目を向けると、その本当の作用を見失いがちだ。改正後のルールは、高額罰金を特定のケースに結びつけている。たとえば、重大な違反の繰り返し、大規模なデータ漏洩を意図的または重大な過失により引き起こした場合、または是正要求を無視して再発した場合などだ。同時に、企業が個人情報保護に十分なリソース（人員、予算、技術対策）を投入している場合には、裁量的に罰則を軽減できると明示している。これは、よりターゲットを絞った評価論理を導入している。すなわち、監督は結果だけでなく、「結果が起きる前に、企業が合理的な判断を行い、相応のリソースを投入したか」を問うようになっている。この点で、罰則は前述の責任構造とも連動し始める。罰金は結果の罰だけでなく、より具体的な問題——誰が意思決定を行ったのか、その判断に十分な根拠があったのか——を促すものとなる。要するに、罰則の指向は、結果そのものから、意思決定の過程へとシフトしている。これらの変化を総合的に見ると、より深い方向性の変化が見えてくる。今回の改正は、単にコンプライアンスのハードルを引き上げるだけでなく、企業のデータ問題への取り組み方を変えている。データ保護はもはや「満たすべき」コンプライアンス事項ではなく、継続的に判断し、資源を投入し続ける経営課題へと進化している。企業が直面すべきは、ルールそのものだけではなく、ルールが未だ曖昧な中で、リスクが完全に顕在化する前にどう意思決定を行い、その決定に誰が責任を持つか、という点だ。これにより、データリスクは企業の経営ロジックに入り込み、単なる事後の対応ではなく、事前にビジネス推進の中で継続的に評価・調整・管理される変数となる。したがって、「誰が責任を持つか」は、追加的に提起される問題ではなく、意思決定の前倒しによって自然に浮上する結果だ——リスク判断が日常経営の一部となると、その責任は実行層だけにとどまらず、資源配分と意思決定権を持つ管理層に必然的に帰属する。この変化は、海外展開企業にとっても非常に現実的な影響をもたらす。多くの企業、特に海外展開企業は、体系的な内部メカニズムや安定した資源投入、専門的な支援を欠いていることが多い。データコンプライアンスは、法務、技術、製品、セキュリティの各チームに分散し、日常的にバラバラに対応し、リスクが発生した際に臨時の対応策を取る状態だった。こうした状態は過去は維持できたかもしれないが、現在の監督ロジックの下では、ますます維持が難しくなっている。なぜなら、今や問われているのは、「制度が存在するか」「書類が整っているか」だけではなく、企業が不確実なリスクに直面したときに、問題を迅速に識別し、判断を形成し、その判断を跨部門で共有し、監督に受け入れられる処理結果に変換できるかどうかだからだ。多くの海外展開企業にとって、これは内部の自然な進化だけではすぐに備わる能力ではない。問題の本質も、そこに移る——単に「重視しているか」だけではなく、「その重視を持続可能な仕組みに変えるにはどうすればよいか」が重要になっている。どのリスクを優先的に識別すべきか、どの問題を経営層に上げるべきか、ビジネス・技術・コンプライアンスの連携をどう取るか、ルールの変化に伴う判断の一貫性と説明責任をどう確保するか——。実践的には、これらの能力を迅速に構築できる企業は、内部の漸進的な模索に頼るのではなく、より成熟した経験フレームワークを用いて、既存の構造を体系的に整理・再構築し、分散した責任や曖昧な境界、遅れた対応を、持続的に運用できるガバナンスメカニズムに変えている。したがって、この改正による現実的な影響は、単に企業がコンプライアンスを行ったかどうかではなく、その能力ギャップをいかに早く埋め、責任を組織内に実質的に担わせるかにかかっている。同様の潮流は中国にも見られる。個人情報保護責任者制度の発展は、責任を資源配分能力のある層に集中させる動きと本質的に同じだ。制度設計の詳細は異なるものの、その背後にある論理は共通化しつつある。企業にとって、この変化が本当に問いかけるのは、非常に具体的な問題だ。リスクが未発生で、ルールも未だ明確でない段階で、企業内部に判断を下し、その結果に責任を持つ人がいるかどうか。この問いに答えられなければ、コンプライアンス自体が本当のリスク境界を形成しているとは言えなくなる。企業のリスク露出度を決めるのは、未確定の中で判断を下す能力と、その判断を正しい階層に置くことができるかどうかにかかっている。
10%売上高罰金の背後：データ規制はすでに取締役会レベルに入っている
AIに問う · 取締役会の責任の移行は、データ保護の意思決定チェーンをどのように再構築するか？
2026年3月10日、韓国は《個人情報保護法》の新たな改正を行った。
今回の改正は孤立した制度調整ではなく、非常に具体的な背景の下で行われた——過去数年、韓国では大規模なデータ漏洩事件が相次ぎ、金融、通信、電子商取引など複数の業界に及び、監督執行の強化も同時に進んでいる。このような現実的な圧力の中、従来のコンプライアンス重視の制度は、監督の期待に応えることがますます難しくなってきている。
そして、その背景の中で、本改正には非常に注目すべき変化が現れている：単に「義務を増やす」ことで監督を強化するのではなく、より根本的な問題——企業がデータリスクをどう扱うか——に調整を始めたのである。
一方、ルールは前倒しされている。法定リスク基準に達した時点で通知義務を履行する仕組みを導入することで、コンプライアンスは「事件が発生した後」から、「リスクの認識段階」へと前倒しされた。もう一方、責任も上位に移されている。企業責任者の責任強化、売上高の10％に達する可能性のある罰金制度の導入、個人情報保護責任者を取締役会の意思決定・報告体系に組み込むことにより、データ保護は正式に企業ガバナンスの枠組みに組み込まれた。
これらの制度変化と、最近の典型的な執行案件を併せて見ると、監督の厳格化以上に注目すべき方向性の変化が見えてくる：監督の焦点は、「企業が既にコンプライアンスしているか」から、「企業内部に誰がデータリスクの判断を行い、その結果に責任を持つか」へとシフトしている。
修正前後、韓国では連続して代表的なデータ漏洩事件が発生している。ある金融機関は住民登録番号を平文でログシステムに記録し、最終的に数百万のユーザー情報が漏洩した。ブランドはアクセス制御と認証メカニズムの脆弱さから攻撃者に直接顧客データを取得されるケースもあった。また、プラットフォーム型企業は基盤のセキュリティ対策不足により、より広範なデータ漏洩を引き起こした。
これらの事件は表面上、「攻撃された」という共通のタグを持つ。しかし、監督の振り返りの論理を追うと、問題は攻撃そのものにあるのではないことが見えてくる。
本当の問題は——企業が重要な段階で最も基本的なリスク判断能力を欠いている点にある。どのデータにより高い保護レベルが必要か、システムのどの部分に構造的な脆弱性があるか、異常行動が現れた時に迅速に識別できるか——これらは日常の運用の中で継続的に処理されるべき課題だが、多くのケースではその対応が欠如している。
したがって、これらの事件が露呈したのは、安全事故の単一性ではなく、リスクの識別、内部統制、対応メカニズムの体系的な失敗である。
制度設計の観点から最も直感的な変化は、通知義務の前倒しである。
多くの法域では、データのコンプライアンスの基本的な論理は依然として事後に集中している。漏洩が確認された場合、企業は規定の時間内に監督機関とユーザーに通知する必要がある。これは典型的な事後対応の仕組みだ。
しかし、今回の韓国の調整は、この時間順序を意図的に破っている。
改正後の第34条によると、特定の条件を満たす場合、漏洩が未確認でも、法定基準に達したリスクが存在すれば、企業は通知を開始しなければならない。これにより、「未発生」を理由に判断を遅らせることはできず、不確定な状態で判断を完了させる必要がある。
また、通知自体も単なる情報伝達ではなくなる。企業は、ユーザーが取るべき法的措置（損害賠償、法定賠償、紛争解決手段など）も明示しなければならない。これにより、通知は情報開示の行為から、法的結果を伴うコンプライアンス行動へと変化した。
しかし、これを義務の前倒しと理解するだけでは、表層にとどまる。本当に重要なのは、この変化が企業に「リスクが完全に顕在化する前に判断を下す」能力を促している点である。
義務の前倒し以上に注目すべきは、責任構造の変化である。
今回の改正は、企業所有者や代表者に対する個別の罰金や刑事責任を直接規定していないが、一連の制度設計を通じて、データ保護責任を企業ガバナンスの中に明確に組み込んでいる。経営者や代表者は、単なる最終責任者の抽象的表現ではなく、資源配分や制度構築を通じて、安全対策の有効性に実質的な責任を負う必要がある。また、個人情報保護責任者は取締役会の意思決定・報告体系に組み込まれ、その任命・変更・履行状況も継続的に注視される。
この制度設計の下では、データのコンプライアンスはもはや、単一の部署だけで完結できる職能ではなく、そもそも特定の部署だけの問題ではないと理解されるべきだ。
データ処理は、製品設計、技術アーキテクチャ、運用プロセス、ビジネス意思決定、外部協力など、多くの段階に自然にまたがるものであり、そのリスクも一つのポイントに集中するのではなく、チェーン化・システム化された形でビジネス全体に分散している。したがって、データコンプライアンスは、法務・コンプライアンス・技術の各チームだけの局所的な仕事ではなく、資源投入と専門人材のリードのもと、多部門の協働を促す全体的な仕事と理解されるべきだ。
過去、多くの企業ではこれを単一の職能とみなしていたのは、管理層のこの仕事の性質と重要性の認識不足によるものであり、それ自体は本来分割すべきではない。したがって、通知義務の前倒し、リスク判断の不確実性下での判断、資源投入の評価要素化といった問題は、最終的に同じ階層——管理層——に帰着する。
10％の罰金上限は、間違いなく今回の改正の最も衝撃的な部分だ。しかし、単に重くなることだけに目を向けると、その本当の作用を見失いがちだ。
改正後のルールは、高額罰金を特定のケースに結びつけている。たとえば、重大な違反の繰り返し、大規模なデータ漏洩を意図的または重大な過失により引き起こした場合、または是正要求を無視して再発した場合などだ。同時に、企業が個人情報保護に十分なリソース（人員、予算、技術対策）を投入している場合には、裁量的に罰則を軽減できると明示している。
これは、よりターゲットを絞った評価論理を導入している。すなわち、監督は結果だけでなく、「結果が起きる前に、企業が合理的な判断を行い、相応のリソースを投入したか」を問うようになっている。
この点で、罰則は前述の責任構造とも連動し始める。罰金は結果の罰だけでなく、より具体的な問題——誰が意思決定を行ったのか、その判断に十分な根拠があったのか——を促すものとなる。
要するに、罰則の指向は、結果そのものから、意思決定の過程へとシフトしている。
これらの変化を総合的に見ると、より深い方向性の変化が見えてくる。
今回の改正は、単にコンプライアンスのハードルを引き上げるだけでなく、企業のデータ問題への取り組み方を変えている。データ保護はもはや「満たすべき」コンプライアンス事項ではなく、継続的に判断し、資源を投入し続ける経営課題へと進化している。
企業が直面すべきは、ルールそのものだけではなく、ルールが未だ曖昧な中で、リスクが完全に顕在化する前にどう意思決定を行い、その決定に誰が責任を持つか、という点だ。これにより、データリスクは企業の経営ロジックに入り込み、単なる事後の対応ではなく、事前にビジネス推進の中で継続的に評価・調整・管理される変数となる。
したがって、「誰が責任を持つか」は、追加的に提起される問題ではなく、意思決定の前倒しによって自然に浮上する結果だ——リスク判断が日常経営の一部となると、その責任は実行層だけにとどまらず、資源配分と意思決定権を持つ管理層に必然的に帰属する。
この変化は、海外展開企業にとっても非常に現実的な影響をもたらす。
多くの企業、特に海外展開企業は、体系的な内部メカニズムや安定した資源投入、専門的な支援を欠いていることが多い。データコンプライアンスは、法務、技術、製品、セキュリティの各チームに分散し、日常的にバラバラに対応し、リスクが発生した際に臨時の対応策を取る状態だった。こうした状態は過去は維持できたかもしれないが、現在の監督ロジックの下では、ますます維持が難しくなっている。
なぜなら、今や問われているのは、「制度が存在するか」「書類が整っているか」だけではなく、企業が不確実なリスクに直面したときに、問題を迅速に識別し、判断を形成し、その判断を跨部門で共有し、監督に受け入れられる処理結果に変換できるかどうかだからだ。多くの海外展開企業にとって、これは内部の自然な進化だけではすぐに備わる能力ではない。
問題の本質も、そこに移る——単に「重視しているか」だけではなく、「その重視を持続可能な仕組みに変えるにはどうすればよいか」が重要になっている。どのリスクを優先的に識別すべきか、どの問題を経営層に上げるべきか、ビジネス・技術・コンプライアンスの連携をどう取るか、ルールの変化に伴う判断の一貫性と説明責任をどう確保するか——。
実践的には、これらの能力を迅速に構築できる企業は、内部の漸進的な模索に頼るのではなく、より成熟した経験フレームワークを用いて、既存の構造を体系的に整理・再構築し、分散した責任や曖昧な境界、遅れた対応を、持続的に運用できるガバナンスメカニズムに変えている。
したがって、この改正による現実的な影響は、単に企業がコンプライアンスを行ったかどうかではなく、その能力ギャップをいかに早く埋め、責任を組織内に実質的に担わせるかにかかっている。
同様の潮流は中国にも見られる。個人情報保護責任者制度の発展は、責任を資源配分能力のある層に集中させる動きと本質的に同じだ。制度設計の詳細は異なるものの、その背後にある論理は共通化しつつある。
企業にとって、この変化が本当に問いかけるのは、非常に具体的な問題だ。
リスクが未発生で、ルールも未だ明確でない段階で、企業内部に判断を下し、その結果に責任を持つ人がいるかどうか。
この問いに答えられなければ、コンプライアンス自体が本当のリスク境界を形成しているとは言えなくなる。企業のリスク露出度を決めるのは、未確定の中で判断を下す能力と、その判断を正しい階層に置くことができるかどうかにかかっている。