クイックアンサー： 韓国の個人情報保護法（PIPA）は、個人データを収集、使用、または転送する前に明示的なオプトイン同意を要求する、アジアで最も厳しいデータプライバシーフレームワークの一つです。GDPRの正当な利益の基準とは異なり、PIPAは同意をデフォルトとし、詳細な開示義務を課します。韓国の居住者に関するデータを処理する国内外のすべての企業は、これに従う必要があり、2026年の改正により重大な違反に対する罰則が年間総収益の最大10％に引き上げられました [1]。
主なポイント
- PIPAは、個人データを収集する前に明示的で目的特定のオプトイン同意を要求し、ほとんどの処理活動に対して正当な利益の例外はありません。
- 韓国のユーザーをターゲットにする外国企業は、韓国に国内代表者を任命する必要があります（締切：2025年10月） [2]。
- 越境データ転送には、受取人の名前、国、目的、データ項目、保持期間を開示する詳細な同意が必要です [3]。
- EU-韓国の相互適合性の取り決め（2021年12月以来）は、2028年12月まで両管轄区域間での自由なデータの流れを可能にします [2]。
- 金融サービスにおけるセクター特有のローカリゼーションルールが適用されます：電子金融取引法は、クラウドを介して処理される個人信用情報が韓国のサーバーに留まることを要求します [2]。
- 2026年3月の改正により、CEOがデータ保護コンプライアンスの最終的な責任者として指定されます [2]。
- 罰則は文書化されたケースでKRW 1347億に達します；SKテレコムは2300万人のユーザーに影響を与える違反でその金額の罰金を科されました [1]。
- データポータビリティ権は2025年3月に発効し、個人が構造化された機械可読データのエクスポートを要求できるようになります [4]。
- クッキーとトラッキング技術は、設置前に明示的なオプトイン同意を必要とし、単なる開示では不十分です [1]。
韓国のPIPAとは何か、どのように機能するのか
韓国の個人情報保護法（PIPA）は、2011年に初めて施行され、2020年、2023年、そして2026年初頭に大幅に改正された、国の主要なデータプライバシー法です。これは、公共または民間のいかなる団体が韓国の居住者に関する個人情報を収集、保存、使用、転送する方法を規定しています。
PIPAは同意優先モデルで運用されます。データ管理者は、ほぼすべての処理活動の前に明示的で情報に基づく同意を取得する必要があり、その同意は詳細でなければなりません：収集、使用、第三者提供、海外転送には別々の同意が必要です。個人情報保護委員会（PIPC）は、主な執行機関であり、調査、是正命令の発行、罰金の科しを行う権限を持っています [1]。
実際の運用方法：
- データ管理者は収集する個人データのカテゴリを特定します。
- 各処理目的ごとに別々の同意書が提示されます。
- 個人は不利益なしに拒否する権利があることを知らされなければなりません。
- 目的の変更には新たな同意が必要です。
- PIPCはコンプライアンスを監査し、違反報告を調査できます。
PIPAにおける個人データの定義
PIPAにおける個人データは、生存する個人を特定または特定可能にする情報であり、単独または他のデータと組み合わせて定義されます。この定義は意図的に広範であり、多くの比較可能なフレームワークよりも多くのカテゴリをカバーしています。
対象となるカテゴリには：
- 名前、国民識別番号、住所、電話番号、電子メールアドレス
- 生体データ（指紋、顔認識データ、虹彩スキャン）
- 健康および医療記録
- 金融口座の詳細および信用スコア
- 個人にリンク可能な位置データおよびIPアドレス
- 他のデータセットと組み合わせることで再識別可能な擬似匿名データ
PIPAはまた、「センシティブ情報」を別途定義しており、イデオロギー、信念、労働組合のメンバーシップ、政治的見解、健康データ、性的指向、犯罪記録を含み、これには強化された同意と厳格な取り扱いが必要です [1][2]。
PIPAとGDPR：データプライバシー要件の主要な違い
PIPAとGDPRは構造的な類似点を共有していますが、同意と処理の法的根拠において大きく異なります。GDPRは、正当な利益を含む6つの合法的な処理の根拠を提供します。それに対してPIPAは、同意をデフォルトとして扱い、非常に限られた代替手段を提供します。
| 次元 | 韓国PIPA | EU GDPR |
|---|---|---|
| デフォルトの法的根拠 | 明示的な同意 | 正当な利益を含む6つの根拠 |
| 同意の詳細さ | 目的ごと、別々のフォーム | 単一の層状通知が許可される |
| 越境転送 | 同意 + 完全な開示が必要 | 適合性、SCC、BCRが受け入れられる |
| CEOの責任 | 法定（2026年改正） | 一部の管理者にDPOが必要 |
| データポータビリティ | はい（2025年3月発効） | はい（第20条） |
| 最大罰金 | 年間総収益の10％ | 世界的な年間売上高の4％ |
PIPAの下での同意の負担は大幅に高くなっています。GDPRの下で正当な利益に依存する企業は、そのアプローチを韓国のユーザーに単純に再現することはできず、新たに明示的な同意を収集する必要があります [3]。
オプトイン要件が他国と異なる理由
PIPAのオプトイン要件は、世界で最も厳しいものの一つです。同意は自由に与えられ、特定され、情報に基づき、明確でなければならず、処理が始まる前に取得されなければなりません。
PIPAのオプトイン制度を特異なものにしている点：
- クッキーとトラッキング技術は、設置前に明示的なオプトインを必要とします。事前にチェックされたボックスや暗黙の同意は受け入れられません [1]。
- センシティブデータには、別途明確に区別された同意通知が必要です。
- マーケティングコミュニケーションには、データ収集の同意とは別の同意が必要です。
- 個人は、不利益なしに同意を拒否できることを明示的に知らされなければなりません。
- 一つの目的を拒否することがすべてを拒否することになるバンドル同意は禁止されています。
これは、連邦のオプトイン要件が存在しないアメリカや、特定の第三者転送に対してオプトアウトメカニズムが許可されている日本などの管轄区域と対照的です。
PIPAのビジネス向けデータローカリゼーションルール
PIPAは、データローカリゼーションを一律に課すものではなく、PIPAの下で処理されるデータは、ほとんどの場合、韓国国内に物理的に保存される必要はありません [5]。ただし、セクター特有のルールが特定の業界に対して意味のあるローカリゼーション義務を生じさせます。
主なローカリゼーションルール：
- 電子金融取引法は、クラウドコンピューティングを介して処理される個人信用情報が韓国国内に物理的に存在するサーバーに留まることを義務付けています [2]。
- 医療および通信セクターには、オフショアストレージを制限する可能性のある追加の規制ガイダンスがあります。
- 他のほとんどの業界では、法的根拠の要件が満たされる限り、越境転送が許可されます。
一般的な誤解： PIPAに一律のローカリゼーションルールがないため、ローカリゼーションが適用されないと考えること。特に金融サービス企業は、韓国のサーバー要件に対してクラウドインフラを監査する必要があります。
PIPAのデータ転送制限と例外
PIPAの下での越境データ転送には、有効な法的根拠が必要であり、ほとんどの企業にとってそれは明示的で詳細な同意を意味します。韓国の外に個人データを転送する際、データ管理者は以下を開示しなければなりません：受取人の名前、受取人の国、転送の目的、転送されるデータのカテゴリ、海外での保持期間、個人の拒否権 [3]。
越境転送のための利用可能な法的根拠：
- 完全な開示を伴う明示的な個人同意
- 適合性の取り決め（2028年12月までEU転送に適用） [2]
- PIPCに承認された標準契約条項
- グループ内転送のための拘束力のある企業ルール
- PIPCが認めるスキームの下での認証
EU-韓国の相互適合性の取り決めは特に重要です：2025年9月以降、韓国の組織は別の同意を取得することなくEUにデータを転送でき、EUの組織は追加の保護措置なしに韓国に転送できます。この取り決めは2028年12月に期限が切れます [2]。
PIPA違反に対する罰則は何か
PIPCはPIPAを積極的に執行しており、2026年の改正により、非コンプライアントの組織に対する財務的リスクが大幅に増加しました。罰則は重大度に応じて階層化され、最も深刻な違反に対しては年間総収益の10％に達する可能性があります [1]。
罰則の構造：
- 標準的な違反：関連収益の最大3％
- 深刻な違反（例：システム的な失敗、大規模な違反）：年間総収益の最大10％
- 刑事罰：特定の犯罪に対して最大5年の懲役または最大5000万ウォンの罰金
- CEOは2026年3月の改正により個人的に責任を負うことになりました [2]。
文書化された例：SKテレコムは、約2300万人のユーザーに影響を与えるデータ違反の後、1347億ウォンの罰金を科されました [1]。この数字は、大規模な非コンプライアンスに対するリスクの規模を示しています。
韓国の外にいる場合、PIPAに従う必要がありますか？
はい、あなたの組織が韓国の居住者の個人データを処理する場合、PIPAは組織がどこに設立されているかに関係なく適用されます。PIPAには明示的な域外適用があります。
韓国のユーザーをターゲットにする外国企業は、韓国語のサービス、韓国の支払い方法、または韓国の消費者を対象としたマーケティングを通じて、PIPAの対象となります。さらに、外国企業は2025年10月までに韓国に国内代表者を任命する必要がありました [2]。この代表者は、外国の法人を代表してプライバシーに関する問い合わせ、規制コミュニケーション、および執行のやり取りを処理します。
このコンプライアンスパスを選択する場合： あなたのビジネスが韓国語のウェブサイトを持っている、韓国ウォンを受け入れている、または韓国の消費者に積極的にマーケティングを行っている場合。国内代表者の要件は、適格な外国法人にとってオプションではありません。
PIPA要件に基づく明示的な同意を取得する方法
PIPAの下で有効な同意を取得するには、チェックボックス以上のものが必要です。同意メカニズムは、法的に執行可能であるために特定の構造的および内容的要件を満たさなければなりません。
ステップバイステップの同意プロセス：
- 各異なる処理目的ごとに明確に分離された同意通知を提示します。
- データ管理者の身元、収集の目的、収集されるデータ項目、保持期間、拒否権を開示します。
- 同意の要求が他の利用規約と視覚的に区別されていることを確認します。
- センシティブデータの場合、別途目立つラベルの付いた同意書を使用します。
- クッキーとトラッキングの場合、オプトインが確認されるまでトラッキングスクリプトをブロックする同意管理ソリューションを実装します。Biscotti CMP (www.biscotti-cmp.com) は、PIPAに準拠したクッキー同意のためのこのワークフローをサポートします。
- 同意を記録します：タイムスタンプ、提示された通知のバージョン、および個人の応答。
- 同意を与えるのと同じくらい簡単に撤回できるメカニズムを提供します。
一般的な誤解： 収集、使用、第三者共有、海外転送を一つのチェックボックスでカバーする単一のバンドル同意書を提示すること。PIPAでは、これらは別々に同意を得る必要があります [1][3]。
PIPAコンプライアンスに必要な文書
PIPAコンプライアンスには、同意記録だけでなく、文書化された責任フレームワークの維持が必要です。PIPCは、調査や監査の際に文書を要求することがあります。
必要な文書には：
- 個人データ処理記録（カテゴリ、目的、保持スケジュール）
- タイムスタンプと通知バージョンを含む同意記録
- 第三者処理者とのデータ処理契約
- 受取人の詳細と法的根拠を含む越境転送記録
- 違反通知ログと対応記録
- プライバシー責任者（CPO）の任命記録
- 高リスク処理のための内部プライバシー影響評価
- CEOの監視と責任の証拠（2026年の要件） [2]
PIPAコンプライアンスにおける企業の一般的な誤り
PIPCの執行行動や助言ガイダンスには、いくつかの繰り返されるコンプライアンスの失敗が見られます。
- GDPRコンプライアンスを代替として依存すること： PIPAの同意要件は厳格であり、GDPRに準拠した通知は自動的にPIPAを満たすものではありません。
- 同意のバンドル： 複数の処理目的を一つの同意チェックボックスにまとめることは直接的な違反です。
- 国内代表者要件を無視すること： 2025年10月の締切を逃した外国企業は、執行措置にさらされるリスクがあります [2]。
- 擬似匿名データを匿名データとして扱うこと： PIPAは再識別可能な擬似匿名データをカバーしています。
- 越境転送通知を更新しないこと： 海外の受取人や目的の変更には、更新された同意が必要です。
- 真のオプトインがないクッキーバナー： 事前にチェックされたボックスや「続けて閲覧する＝同意」のアプローチはPIPAを満たしません [1]。
PIPAに最も影響を受ける業界
韓国の居住者の個人データを処理するすべての業界はPIPAの対象ですが、特定のセクターは扱うデータの量とセンシティビティにより、より厳しい義務に直面しています。
最も影響を受けるセクター：
- 金融サービス： PIPAと電子金融取引法の両方の対象であり、クラウドローカリゼーション要件が含まれます [2]。
- 通信： 大規模なユーザーベースとセンシティブな通信データ；SKテレコムの1347億ウォンの罰金はそのリスクを示しています [1]。
- Eコマースと小売： マーケティング同意要件を伴う高ボリュームの消費者データ収集。
- 医療： センシティブな健康データは、強化された同意と厳格な保持管理が必要です。
- テクノロジープラットフォームとアプリ： クッキー同意、行動追跡、越境データフローはすべてPIPAの義務を引き起こします。
PIPAに基づくデータ削除の期限
PIPAは、収集の目的が達成されたり保持期間が満了したりした場合、個人データを遅滞なく削除することを要求します。単一の法定保持期間はなく、同意通知に記載された目的に依存します。
主なルール：
- 処理目的が達成されたとき、または同意期間が満了したときにデータは削除されなければなりません。
- 法的義務が同意期間を超えて保持を要求する場合、データは別に保存され、アクセスが制限されなければなりません。
- 個人は、データが元の目的に必要でなくなった場合、いつでも削除を要求できます。
- データポータビリティ権（2025年3月発効）は、個人が削除前に自分のデータの送信を要求できることを許可します [4]。
エッジケース： ユーザーが同意を撤回したが、税法などの別の法的義務が保持を要求する場合、データはその法的目的のためだけに保持でき、分離されたシステムで管理され、その義務が満了したら削除されなければなりません。
PIPAとAPPI：日本のデータプライバシー比較
PIPA（韓国）と日本の個人情報保護法（APPI）は、北東アジアにおける最も重要なデータプライバシーフレームワークですが、同意要件と執行姿勢において意味のある違いがあります。
| 次元 | 韓国PIPA | 日本APPI |
|---|---|---|
| 同意モデル | 明示的オプトインデフォルト | 一部の転送に対してオプトアウトが許可される |
| センシティブデータ | 明示的な別同意 | オプトインが必要 |
| 越境転送 | 同意 + 完全な開示 | 適合国への通知付きオプトアウト |
| 執行 | PIPC、積極的かつ十分な資金 | 個人情報保護委員会 |
| CEOの責任 | 法定（2026年） | 明示的に義務付けられていない |
PIPAは一般的により厳しいフレームワークと見なされています。日本のAPPIは特定の第三者データ転送に対してオプトアウトを許可していますが、PIPAはほぼすべてのシナリオで積極的なオプトインを要求します。両市場で事業を行う企業は、単一の統一アプローチを適用するのではなく、別々のコンプライアンスプログラムを維持する必要があります。
FAQ
PIPAは何の略ですか？ PIPAは個人情報保護法の略で、韓国の主要なデータプライバシー法であり、2011年に初めて施行され、2026年に最も最近改正されました。
PIPAは外国企業に適用されますか？ はい。韓国の居住者の個人データを処理するすべての組織は、組織がどこに基づいているかに関係なくPIPAの対象となります。韓国のユーザーをターゲットにする外国企業も、韓国に国内代表者を任命する必要があります [2]。
PIPAの下での最大罰金は何ですか？ 2026年2月の改正により、重大な違反に対する最大罰金は企業の年間総収益の10％です。標準的な違反には、関連収益の最大3％の罰金が科されます [1]。
PIPAの下で常に明示的な同意が必要ですか？ 同意はPIPAの下でほとんどの処理活動のデフォルトの法的根拠です。法的義務、重要な利益、公共の利益のためのタスクに対する限られた例外はありますが、これらは狭く解釈されます。GDPRの下で理解される正当な利益は、PIPAの下では認識された根拠ではありません。
EU-韓国の適合性の取り決めとは何ですか？ 2021年12月以来、個人データは追加の保護措置なしにEUと韓国の間で自由に流れることができます。韓国は2025年9月に相互に応じました。この取り決めは2028年12月に期限が切れます [2]。
クッキーはPIPAの下で同意が必要ですか？ はい。PIPAは、個人情報を収集するクッキーや同様のトラッキング技術を設置する前に明示的なオプトイン同意を必要とします。事前にチェックされたボックスや暗黙の同意は受け入れられません [1]。
PIPAの下での国内代表者とは何ですか？ 国内代表者は、外国企業が韓国でプライバシーに関する問い合わせや規制コミュニケーションを処理するために指定した人物または法人です。この任命は、適格な外国法人に対して2025年10月までに要求されました [2]。
PIPAの下でのデータポータビリティ権とは何ですか？ 2025年3月以来、個人は自分の個人データを構造化された機械可読形式で自分自身または指定された第三者に送信するよう要求する権利があります [4]。
PIPAはデータを韓国に保存することを要求しますか？ PIPAは一律のデータローカリゼーションを課しません。ただし、特に金融サービスにおいて、クラウドを介して処理される特定の個人信用情報が韓国のサーバーに留まることを要求するセクター特有のルールがあります [2]。
企業内でPIPAコンプライアンスの責任者は誰ですか？ 2026年3月の改正により、CEOまたは代表取締役が最終的な責任者となります。彼らはプライバシー責任者を監督し、適切なプライバシーの人員と予算を確保する責任があります [2]。
参考文献
[1] Kr Pipa - https://www.consentstack.io/regulations/kr-pipa?utm_source=openai
[2] South Korea Data Privacy Laws - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/south-korea-data-privacy-laws/?utm_source=openai
[3] Pipa Consent Cross Border Transfer 2026 - https://www.koreabusinesshub.kr/blog/pipa-consent-cross-border-transfer-2026?utm_source=openai
[4] South Korea - https://ksandk.com/privacy-review/map/south-korea/?utm_source=openai
[5] Data Governance - https://kmoonshot.com/policy/data-governance/?utm_source=openai
結論
韓国のPIPA：アジアにおける厳格なオプトインとデータローカリゼーションのナビゲートは、単なるコンプライアンスのチェックボックスエクササイズ以上のものを要求します。2026年の改正により、リスクと責任の連鎖が高まり、CEOに個人的な責任が課せられ、非コンプライアントの組織は年間総収益の最大10％に達する罰則にさらされることになります。
2026年の組織に対する実行可能な次のステップ：
- 韓国のユーザー向けのすべての同意メカニズムを監査し、バンドルされたり暗黙の同意を含むものを目的特定のオプトインフォームに置き換えます。
- ビジネスが韓国の消費者をターゲットにしている場合、国内代表者が任命されていることを確認します。
- すべての越境データ転送契約を見直し、受取人の名前、国、目的、データカテゴリ、保持期間を含むように同意通知を更新します。
- PIPAに準拠したクッキー同意ソリューションを実装します。Biscotti CMP (www.biscotti-cmp.com) は、明示的なオプトインが確認されるまでトラッキングスクリプトをブロックするための技術基盤を提供します。
- プライバシープログラムのCEOレベルの監視を確立し、文書化されたCPOの任命と専用のプライバシー予算を含めます。
- 金融サービスに従事している場合、クラウドを介して処理される個人信用情報が韓国のサーバーにホストされていることを確認します。
- EU-韓国の適合性の取り決めが更新される2028年12月のカレンダーリマインダーを設定します。
PIPAコンプライアンスは一度限りのプロジェクトではありません。このフレームワークは進化し、執行は活発であり、PIPCは重大な罰則を科す意欲を示しています。今、持続可能で文書化されたコンプライアンスプログラムを構築することが、アジアで最も重要なデジタル市場の一つで事業を行うための最もコスト効果の高いアプローチです。