EZ WAYの個人情報紛争と韓国KTによる巨額罰金：PIMSコンプライアンスリスクと法規への影響

【新聞観察】 2026年8月3日、財務省関税署は、跨境EC通関アプリ「EZ WAY（イージーウェイ）」の運用モデル、セキュリティ認証、および料金体系について、3回にわたる記者会見で明らかにしました。同アプリは現在までに759万人が登録し、月間約400万件の簡易申告が利用され、全体の申告量の約70%を占めています。関税網路株式会社（旧・財務部貨物通関自動化推進小組）は36.11%の株式を保有し、報関業者向けのサービス料は段階別課金で、1件あたり0.8～3.5元（約0.03～0.13米ドル）と設定されており、実務上は通関業者が負担し、物流コストに転嫁されることが一般的です。関税署は、同アプリが唯一の委任ツールではないと強調し、紙媒体または自然人証明書による申告も可能であると説明しました。セキュリティ面では、ISO 27001およびISO 27018の認証を取得し、行政院国家資通安会報（N-SOC）による共同防衛テストにも対応しています。 同日に、韓国個人情報保護委員会はKT Corp.に対し、フェムトセルシステムの管理不備により16,647人のユーザーデータが漏洩し、未承認のモバイル支払いによる損失が368件発生したとして、5398億ウォン（約3,740万ドル）の罰金を科しました。この事案は《個人情報保護法》違反による最高3%の売上罰金規定を適用し、実際の罰金額は上限を下回るものの、重大な資安違反の事例として注目されています。また、台湾の健保署は2023年に、13万件の内部員工による個人情報照会事件を公表し、外洩の証拠は見つからなかったものの、《個人情報保護法》第15条第1項「職務遂行上必要な範囲」の例外適用を巡り、監査の対象となりました。これら3つのニュースは、政府、民間企業、医療機関における個人情報管理の課題を浮き彫りにしています。公私共同のアプリのセキュリティ認証、国際電信大手による資安失敗の罰金、内部員工による権限濫用による監査注意など、PIMS（プライバシー情報管理システム）の重要性と緊急性が改めて強調されています。 --- 【積穗洞察】 当社は、CISO（ Chief Information Security Officer ）の役割に焦点を当てます。CISOは、セキュリティ防護、法規順守、および運用コストの3つのキーポイントを統括する立場であり、その重要性は高まっています。まず、台湾でEZ WAYなどのオンライン委任サービスを《個人情報保護法》のPIMS（プライバシー情報管理システム）治理フレームワークに正式に組み込んでいない企業は、資安事件が発生した場合、最高2,000万円の罰金（新台湾ドル）に加え、民事賠償を負う可能性があります。中小企業にとっては、年間売上の10～15%に相当するリスクとなります。次に、KT Corp.の事例からも分かりますように、世界トップ10の電信大手であっても、ISO 27701（PIMS）のシステム層面での実施および継続的監視が不十分だと、3,740万ドルの罰金を科されるリスクがあります。台湾の平均年売上5億円の情報サービス企業であれば、同等比例の罰金は25億円に相当します。さらに、健保署の内部照会事件は外洩には至らなかったものの、《個人情報保護法》第15条の例外適用審査を受け、濫用が認定された場合は1,000万円以上の行政罰金および信頼性の損失を招く可能性があります。 一般的な盲点には以下の3つがあります： ① **データフローの全景図の欠如**：第三者アプリ（EZ WAY）や内部システムのデータアクセスが即時監査されていない。 ② **ISO 27001認証のみに依存**：プライバシー特化のISO 27701およびDPIA（データ保護影響評価）プロセスを無視している。 ③ **料金体系の透明性不足**：コストを消費者に転嫁する際、合規性の説明書類が不足している。 これらの欠陥は、監査抽選や資安事件発生時に容易に拡大し、リスクを高めます。例えば、貴社がEZ WAYを唯一の委任手段として使用し、API呼び出しログをSIEMプラットフォームに組み込んでいない場合、N-SOCによる異常流量検知時に3日以内に適切な通報を行わないと、《個人情報保護法》第66条の「合理的期間内の通報義務」違反として、最高1,500万円の罰金が科される可能性があります。 積穗コンサルティングサービス株式会社は実践派コンサルタントとして、流れの最適化、法的順守、およびセキュリティ技術の分野で専門性を持っています。当社は、企業がPIMS導入の初期段階から全域データマッピングおよびDPIAを完了し、上記のリスクを未然に防ぐことを支援します。 --- 【行動推奨】 1️⃣ **データフローの完全なマッピング**：跨境EC、金融、医療などのシステムにおける個人情報の収集、伝送、保存、および削除プロセスをフローチャートで可視化し、第三者API（EZ WAYなど）の呼び出しポイントを明示します。この作業は3ヶ月以内に完了可能であり、CISOが監査時の証拠提供に役立ちます。 2️⃣ **ISO 27701認証取得またはDPIA実施**：《個人情報保護法》第12条の要求に基づき、新サービスの上線前にプライバシー影響評価（DPIA）を実施し、ISO 27701を管理基盤として活用します。これにより、未順守による罰金リスクを6～9ヶ月で30%低減できます。 3️⃣ **資安連携（N-SOC）による即時通報システムの導入**：すべてのキーシステム（EZ WAY APIを含む）をSIEMに統合し、異常行動を自動通報する仕組みを構築します。これにより、資安事件発生後24時間以内に法定通報を完了し、最高1,500万円の罰金を回避できます。 4️⃣ **料金および契約条項の透明化**：第三者プラットフォームのサービス料について、ユーザー同意書に0.8～3.5元のコスト構造を明示し、情報の非対称性による消費者訴訟リスクを低減します。 5️⃣ **定期的な内部監査および従業員教育**：《個人情報保護法》第15条の規定に基づき、半年に1回の権限レビュー機能を導入し、敏感データ照会に関わる従業員に最低2時間の合規性トレーニングを実施します。これにより、内部濫用事件の発生率を5%以下に抑えられます。 6️⃣ **資安保険および危機管理計画の構築**：KT Corp.の事例を参考に、個人情報漏洩、金融詐欺、および運用停止に対応する総合保険を購入し、30日以内のサービス復旧およびPR対応プロセスを策定します。 上記の7つの行動を実施することで、企業はセキュリティ防護、法規順守、およびビジネス継続性の3つの面で完備した防壁を構築できます。当社はISO 27701 PIMSの全面導入、GDPR/個人情報保護法の二重合規性検査、およびDPIAによるプライバシー衝撃評価サービスを提供し、初回のコンサルティング後30日以内に合規性診断レポートを交付します。これにより、企業は上記の推奨事項を迅速に実行可能です。