2026年9月16日、韓国個人情報保護委員会は、情報保護および個人情報保護管理体系（ISMS-P）の認証審査の改善を柱とする個人情報保護法施行令の一部改正案を立法予告しました。意見の提出期間は2026年9月16日から10月26日までです。改正案は、書面審査と現場審査を併せて実施できることを規定上明確にすること、個人情報の処理規模と社会的な影響力を考慮して認証の基準に差を設けて適用できる根拠を具体化すること、認証が取り消された場合に一定期間は過料の賦課を猶予する規定を新設することを主な内容としています。審査の実効性を高める一方で、認証基準の適用と制裁の運用には柔軟性を持たせる方向の見直しです。韓国でISMS-P認証を取得し、または取得を予定している事業者にとって、審査の進め方と負担に影響する改正案です。

認証審査の現場性の強化

• 書面審査と現場審査を併行して実施できるよう、規定を明確に改善する
• 侵害事故または個人情報の流出が発生した場合には、中級以上の資格基準を備えた技術人材が脆弱性点検（診断および模擬侵入）を実施する
• 事後審査の際にも、書面審査と現場審査の併行および脆弱性点検を行うことができる

認証基準の合理化

個人情報の処理規模と社会的な影響力を考慮して、認証の基準に差を設けて適用できるよう、その根拠を具体化します。規模や影響の大小にかかわらず一律の基準を適用してきた運用を見直すものです。

制裁規定の改善

• 認証が取り消された場合に、1年間は過料の賦課を猶予する条項を新設する
• ただし、偽りその他不正の方法により取得した認証が取り消された場合には、猶予は適用しない

事業者への影響

認証審査において現場審査と脆弱性点検が行われる場面が明確になるため、被審査側では、技術的な検証に対応できる体制と資料の準備が求められます。特に、侵害事故や個人情報の流出を経験した事業者は、診断および模擬侵入を伴う点検の対象となります。他方、認証基準に差を設けた適用が導入されれば、処理規模の小さい事業者の負担は軽減される可能性があります。改正案は立法予告の段階であり、2026年10月26日までは意見を提出することができます。

参考情報

韓国個人情報保護委員会 報道資料（2026年9月16日）

https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12500