韓国：外国事業者に対する個人情報保護法の適用に関するガイドライン（2024年4月4日公表）のポイント

外国事業者が韓国のデータ主体に対して商品又はサービスを提供する場合

　外国事業者が韓国のデータ主体に対して商品又はサービスを提供している場合、当該外国事業者にPIPAが域外適用される可能性があります。もっとも、オンラインサービスにおいては、外国事業者は韓国国外からサービスを提供することが可能であるため、韓国のデータ主体を対象にサービスが提供されているか否かが不明確な場合があり、そのような場合、PIPCは、サービス提供時の言語、通貨、商品又はサービスの提供形態及び方式等を総合的に考慮して域外適用の可否を判断するとしています。本ガイドラインでは、以下の具体例が挙げられています。

1. 域外適用が肯定される事例

　以下の事例については、外国事業者が韓国のデータ主体を対象に商品又はサービスを提供する場合に該当すると判断されます。

• a.  グローバルに提供されるサービスにおいて韓国がサポート対象エリアに含まれることが明示されている場合
• b.  外国事業者の運営するウェブサイトが韓国ドメイン（.kr）であるか、又はその他の韓国をターゲットとするドメイン（「ko-kr.xxx.com」や「www.xxx.com/ko-kr」等）である場合
• c.  アプリサービスにつき、韓国のアプリストアでアプリを販売する場合、又はグローバルのアプリストアでの販売ではあるものの基本言語が韓国語に設定されている場合
• d.  韓国語のみでサービスを提供する場合

2. 総合考慮の結果域外適用ありと判断されうる事例

　以下の事例については、外国事業者が提供する商品やサービスの言語、通貨、提供形態等を総合的に考慮して、韓国のデータ主体に対して商品又はサービスを提供すると判断されることがあります。

• a.  外国事業者が商品又はサービスを提供する際に、データ主体が韓国の国籍又は住所を選択できるようにしており、韓国のデータ主体の個人情報が収集されることを当該外国事業者自身が認識しうる場合
• b.  サービスページに翻訳機能を実装し、データ主体が別途の翻訳サービスを利用しなくても、韓国語で商品又はサービスの提供を受けることが可能である場合
• c.  データ主体の韓国国内の住所を収集して配送を行うと共に、韓国語でカスタマーサポートサービスを提供したり、韓国のデータ主体専用のカスタマーサポート窓口を提供したり、韓国のデータ主体を対象に広告を配信したりする場合

3. 域外適用が否定される事例

　外国事業者が外国においてオフラインで提供する商品又はサービスを韓国人が利用しただけの場合、あるいは外国事業者がオンラインで提供する商品又はサービスの範囲から韓国を明示的に除外しているにもかかわらず、韓国のデータ主体が利用した場合には、域外適用が否定されます。具体的には、以下の場合、他の特別な事情がない限り、域外適用は否定されます。

• a.  宿泊事業を営む外国事業者が外国において韓国人に宿泊サービスを提供することに伴って韓国人の個人情報を取得利用するのみの場合
• b.  外国事業者のシステムがハックされ、韓国人従業員の個人情報が漏えいしたのみの場合
• c.  オンラインストアを運営する外国事業者が自身では韓国への配送を行っていない場合において、韓国人利用者が購入した商品を韓国への配送サービスを提供する配送エージェントに配達させることに伴い、当該外国事業者が当該韓国人の個人情報を取得利用するのみの場合
• d.  外国事業者のウェブサイトが韓国からのアクセスを遮断する（又は、アプリサービスの場合、韓国のアプリストアで販売しない）等により韓国のデータ主体の利用を明示的に制限したものの、韓国人の利用者がかかる制限を回避して同サービスを利用し、これに伴い、当該外国事業者が当該韓国人の個人情報を取得利用するのみの場合

外国事業者による個人情報処理が韓国のデータ主体に影響を及ぼす場合

　外国事業者が韓国のデータ主体を対象に商品又はサービスを提供していないと判断される場合であっても、外国事業者が行う韓国人又は韓国のデータ主体に関する個人情報処理が韓国のデータ主体に直接かつ重大な影響を及ぼす場合には、PIPAが域外適用されます。韓国のデータ主体に対する影響の有無や程度は個別具体的に判断されます。PIPCが挙げている具体例は以下のとおりです。

1. 外国事業者が、韓国のデータ主体に商品又はサービスを提供せずに、その個人情報の処理のみを行う場合

　例えば、外国事業者が韓国のデータ主体を対象にサービスを提供していなくても、韓国のデータ主体の個人情報（氏名、韓国国内の住所及び電話番号等）を収集してウェブサイト上で公表するという事業を行う場合には、PIPAの遵守が必要であると指摘されています。

2. 外国事業者が、韓国国内の事業者（以下、「韓国事業者」といいます。）と取引する場合

　以下のような場合に、PIPAが域外適用される可能性があるとされています。

• a.  外国事業者が、韓国事業者に対してチャットAPIソリューション等の商品又はサービスを提供する過程で、それを利用する韓国のデータ主体の個人情報を取得又は利用する場合
• b.  外国事業者が、韓国事業者との業務委託関係に基づいて、委託者又は受託者として韓国のデータ主体の個人情報を処理する場合
• c.  外国事業者が、韓国事業者から韓国のデータ主体の個人情報の提供を受け、自己の事業目的（例えば、AIモデルの開発）のために当該個人情報を処理する場合

外国事業者の事業所が韓国国内に存在する場合

　外国事業者が韓国国内に事業所を有する場合には、原則として域外適用が肯定されます※3。ここでいう「事業所」には、法人のみならず、外国事業者の営業所、駐在事務所及び受託者の事業所等も含まれます。

　ただし、外国事業者による個人情報の処理が、当該外国事業者の韓国国内の事業所の活動に関連しない場合には、域外適用が否定される場合もあります。例えば、韓国国内の事業所においてソフトウェアの販売及びメンテナンスを行う外国事業者が、これとは別にオンラインショッピングモールを韓国国外で、韓国のデータ主体を対象にサービスを提供しない形で運営している場合、当該外国事業者はオンラインショッピングモールの運営に関して域外適用を受けない可能性があります。

域外適用が肯定される場合の遵守事項

　本ガイドラインでは、外国事業者にPIPAの域外適用がある場合に遵守が必要となる義務の内容が説明されています（第4章）。主な内容は以下のとおりです。

最後に

　上記のとおり、PIPCは、海外事業者に対してPIPAの執行を行っていますので、特に韓国に向けてオンラインサービスを提供している日本企業におかれては、本ガイドラインを踏まえてPIPAの域外適用の有無を整理し、PIPCの執行の傾向をモニタリングしておくことが望ましい対応と思われます。