個人情報保護研修：誰が研修を受けるべきか、またどのくらいの頻度で研修を受けるべきか

主なポイント

• 義務は個人情報取扱者管理者の指示の下で個人データを処理する者であって、全従業員ではない。
• そのカテゴリーには、役員、従業員、派遣労働者、およびパートタイム労働者雇用申込書は誰をも排除するものではありません。
• この法律は研修を義務付けている。 「定期的に」法令で間隔を定めることなく、年1回の納品は妥当な業務基準であり、法的に定められた最低基準ではありません。
• 退職年金加入者への教育は、別の責務である。少なくとも年に一度確定給付型（DB）または確定拠出型（DC）の年金制度を導入している雇用主の場合、年金管理機関に委託されることがあります。
• 勧誘にご注意ください。PIPCは、民間の研修業者が政府機関を装って企業に有料コースを受講させようと圧力をかけている事例について、公に警告しています。

 

誰が訓練を受ける必要があるのか

個人情報保護法に基づき、データ管理者は、個人情報取扱者の範囲を必要最小限に限定し、適切な監督を行い、個人情報の適切な取り扱いを確保するために必要な研修を提供しなければならない。

個人情報取扱者の法定定義は機能的なものであり、管理者の指示と監督の下で個人情報を処理する者を指す。法律では、役員や従業員、派遣労働者、パートタイム労働者を例として挙げているが、これは契約形態ではなく業務内容によって義務が決まるということである。

外資系企業にとって、これを正しくマッピングすることの方が、提供する研修の量よりも重要である。

 

 

どのくらいの頻度で、また「定期的に」とは実際には何を意味するのか

この法律は定期的な研修の実施を義務付けているが、実施間隔、期間、形式については規定していない。この規定の欠如こそが、コンプライアンスに関する不安やベンダーからのプレッシャーの根源となっている。

実行可能なアプローチとしては、少なくとも年に一度は研修を実施し、全員に共通の汎用モジュールを提供するのではなく、アクセス頻度の高い職務向けに役割に応じたコンテンツを提供し、入社時や職務変更時を研修実施のきっかけとして扱うことが挙げられます。PIPCは、法的根拠、実施方法、注意点などを定めた保護研修に関するガイダンスを公開しており、無料のオンライン研修に加え、社内研修用のダウンロード可能な資料も提供しています。

研修の実施形式は、雇用主の裁量により、社内研修、オンラインコース、委託研修、外部講師による研修などから選択できます。PIPCは、雇用主が利用できる専門講師のリストも管理しています。

 

本部へ伝えるべき警告だ

PIPCは、民間の教育機関が中央政府機関を装い、企業に個人情報保護研修の購入を強要しているとして、明確な警告を発した。こうした勧誘は通常、人事担当者宛てにファックスまたは電子メールで送られ、全従業員が研修を受ける必要があると主張し、受講しなければ罰則が科されると示唆する内容となっている。

この問題を軽減する2つの事実がある。一つは、義務は担当者に課せられるものであり、全従業員に課せられるものではないということ。もう一つは、規制当局自身が無料の研修と資料を提供しているということだ。人事部門が地域共有サービスセンターにある外資系企業は特にリスクにさらされている。なぜなら、現地の担当者は申し立てを評価する根拠を持たず、コンプライアンス上の緊急事態としてエスカレートさせてしまうことが多いからだ。

 

退職年金加入者向け教育

同じ理事会に属しながらも、異なる法令の下で運営される：確定給付型（DB）または確定拠出型（DC）の退職年金制度を設立した雇用主は、少なくとも年に一度、加入者に対し、制度の運営状況および大統領令で定められた事項に関する教育を提供しなければならない。雇用主は、この教育の提供を年金提供機関または資格を有する専門機関に委託することができる。

加入者の被ばく量が異なるため、プランが確定給付型（DB）か確定給付型（DC）かによって内容が異なります。配布方法は、プロバイダーの教育用小冊子を郵送または電子メールで配布し、職場に掲示するなど簡単なものでも構いませんが、実際に配布し、その証拠を提示する必要があります。これは監督下で行われる義務であり、怠慢は労働監査で明らかになります。

グローバル企業向けの実務上の注意点：通常、サービス提供者が配送を担当するため、人事部は義務が自動的に履行されたとみなすことがよくあります。義務履行が実際に行われたことを毎年確認し、記録を入手して、他の必須研修の証拠書類と一緒に保管してください。

 

よくある間違い

• 担当者を割り当てたり、アクセス権限の高い役割の従業員に役割固有のコンテンツを提供したりするのではなく、すべての従業員に同じ内容のトレーニングを実施する。
• 法令で指定されている場合は、派遣労働者およびパートタイム労働者は除く。
• 韓国の個人情報システムへのアクセス権を持つ海外の同僚は除く。
• 無料の公式資料が存在するにもかかわらず、暗黙の政府圧力の下で勧誘業者に料金を支払うこと。
• 年金提供者の教育が記録を入手せずに行われたと仮定する。
• 研修を実施するが、出席記録、カリキュラム、日付などの記録を一切残さない。
• GDPRの概念に基づいて構築された英語のみのグローバルプライバシーモジュールを実行していますが、これはPIPAの義務とは一致しません。

 

EAPが従業員と人事部門をどのようにサポートするか

個人情報取扱者は、あまり認識されていないものの、特有の重荷を背負っている。それは、様々な出来事を目の当たりにするということだ。人事担当者は、深刻な個人的事情を明らかにする診断書、苦情ファイル、懲戒記録、休暇申請書などを処理する。顧客対応担当者は、苦悩を抱えた人々と接する。同僚の苦境に気づく立場にある人々は、守秘義務によってそのことを口にできないことが多い。

データ取扱者もまた、情報漏洩のリスクを負う。データ漏洩事故が発生すると、事故に最も近い関係者は調査、内部監査、そして時には規制当局の監視下に置かれることになる。これは、深刻な職業上のストレスの原因となることがよく知られているが、プライバシーに関する研修モジュールではこうしたストレスへの対処は行われていない。

世界保健機関（WHO）の職場におけるメンタルヘルスに関する指針は、組織的な介入と管理職研修、そして個人への支援を組み合わせたものです。従業員支援プログラムは、特に人事担当者が不足している秘密厳守の相談窓口を提供します。具体的には、所属する人事部門を経由しない韓国語と英語でのカウンセリング、インシデント対応チームを統括する管理職への相談、そして調査が部署全体に影響を与える場合の連携した支援などが含まれます。

 

関連ガイド

• 韓国における必須職場研修：グローバル人事チームのための完全ガイド
• 事例研究：地域共有サービスセンターにおけるPIPAトレーニングの管理
• 韓国における労働安全衛生研修：職種別の雇用主要件

 

よくある質問

1. 当社の全従業員は個人情報保護に関する研修を受ける必要がありますか？ 

いいえ。この義務は、データ管理者の指示の下で個人データを処理する個人情報取扱者に適用されます。全員をデフォルトでトレーニングするのではなく、役割を明確に定義してください。

2. 「定期的に」とはどのくらいの頻度を指しますか？ 

法律では具体的な間隔は定められていません。年1回の納品に加え、入社手続きや役割変更のタイミングを基準とするのが、妥当な業務基準と言えるでしょう。

3. ある業者が、彼らのコースを購入しないと罰金が科せられると言っています。それは本当ですか？ 

- 疑ってかかるべきです。PIPCは、プロバイダーが政府機関になりすまして企業に圧力をかけることがあると警告しており、PIPC自身も無料のオンライン研修や教材を提供しています。

4. 当社のグローバルGDPR研修は、韓国の義務を満たしていますか？ 

それだけでは不十分です。EUの概念に基づいて作成されたコンテンツはPIPAの義務に対応しておらず、英語のみの配信は韓国語を話す担当者にとって正当化しにくいものです。

5. 当行は年金に関する教育プログラムを実施しています。これは当行の規定に該当しますか？ 

・年金の支給は年金提供機関に委託される場合がありますが、支給義務は雇用主にあります。毎年支給が行われたことを確認し、記録を保管してください。

 

次のステップ

次回の研修サイクル開始前に、2つのリストを作成してください。1つは、派遣社員、パートタイム社員、海外勤務社員を含む、個人情報システムにアクセスできる全員のリスト、もう1つは、昨年研修を受けた全員のリストです。この2つのリストの差が、実際のリスクにさらされている人数であり、通常は想定していた人数とは異なります。従業員のメンタルヘルス、管理者のサポート、職場での対応について、組織全体で連携したアプローチが必要な場合は、Nudge EAPにご連絡いただき、貴社の従業員構成に適した導入モデルについてご相談ください。

 

注：この記事は一般的な情報提供のみを目的としています。法律、医療、臨床、または雇用に関する具体的な問題については、適切な資格を有する専門家による検討が必要となる場合があります。

 

👉 Nudge EAP導入コンサルティングへ →

 

情報源

1. 個人情報保護法（第28条 個人情報取扱者の監督）、韓国法律情報センター — https://www.law.go.kr/%EB%B2%95%EB%A0%B9/%EA%B0%9C%EC%9D%B8%EC%A0%95%EB%B3%B4%EB%B3%B4%ED%98%B8%EB%B2%95
2. 個人情報保護法（英語）、個人情報保護委員会 — https://www.pipc.go.kr/eng/user/lgp/law/lawsRegulations.do
3. 個人情報保護研修、PIPCプライバシーポータル（法的根拠、提供方法、無料オンライン研修、講師一覧、民間業者によるなりすましに関する注意点） https://www.privacy.go.kr/front/contents/cntntsView.do?contsNo=106
4. 従業員の退職給付の保障に関する法律（第32条、使用者の責任）、韓国法律情報センター — https://www.law.go.kr/LSW//lsLawLinkInfo.do?lsJoLnkSeq=1000623834&lsId=009883&chrClsCd=010202
5. 従業員の退職給付保障に関する法律（英語）、韓国立法研究院 — https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=60203&type=lawname&key=retirement+benefit
6. 世界保健機関、職場におけるメンタルヘルスに関するガイドライン（2022年）— https://www.who.int/publications/i/item/9789240053052
7. 世界保健機関、職場におけるメンタルヘルスファクトシート — https://www.who.int/news-room/fact-sheets/detail/mental-health-at-work
8. 従業員支援専門家協会従業員支援プログラムの定義とコアテクノロジー— https://eapassn.org/page/definitionandcoretechnology