韓国なら課徴金数百億円規模、日本はゼロ — 同じ規模の情報漏洩、国でこんなに違う処分

同じ規模でも、処分はこれだけ違う

被害規模は企業または当局が発表した数字です。韓国ウォンの円換算は目安として100ウォン＝約10円で計算しています。「見当たらない」は2026年11月10日に当局の処分一覧を直接検索した結果です。

同じ手口の漏洩、課徴金は韓国だけ

2025年、攻撃者は従業員やサポート窓口をだまして、ルイ・ヴィトン、ディオール、ティファニーのクラウド顧客管理システムに侵入しました。韓国の個人情報保護委員会は2026年2月、3ブランドの韓国法人に計360億ウォンの課徴金を科し、顧客情報をSaaSに預けても安全管理の責任は企業にあると述べました。

• ルイ・ヴィトン（トルコ）：14万2,995人。トルコの個人データ保護庁（KVKK）は漏洩の告知を公表しただけで、制裁の決定は見当たりません。
• 英国のICOの処分一覧に、ルイ・ヴィトン、ディオール、ティファニーはありません。米国では連邦取引委員会（FTC）の案件はなく、集団訴訟だけです。フランスのCNILにも該当する制裁はありません。
• ティファニーの米国・カナダ（約2,500人）は、カナダのプライバシー・コミッショナーが「確認中」としただけです。韓国法人（4,600人）は24億ウォンの課徴金でした。
• 同じ時期、カンタス航空も海外の委託先を狙ったソーシャルエンジニアリングで被害を受けました。OAICは、合理的な措置を怠った可能性は見られないとして措置を取りませんでした。同じハッカー集団によるものとする報道はありますが、当局はそう述べていません。

なぜこれほど違うのか

• 韓国：安全管理措置を怠って漏洩した場合、総売上高の3％まで、2026年9月11日からは反復・故意・重過失なら10％まで課徴金を科せます。情報を売ったり悪用したりしていなくても、セキュリティの不備そのものが処分の対象です。
• 日本：個人情報保護委員会ができるのは指導・勧告・命令で、課徴金はありません。2026年改正法で遅くとも2028年7月から課徴金が導入されますが、対象は対価を得て行う不適正利用・不正取得・同意のない第三者提供だけです。安全管理措置（23条）の不備による漏洩は含まれません。KDDIやニトリのような事案は、改正後も課徴金の対象になりません。
• 米国：連邦レベルの漏洩制裁金はありません。FTCは2024年のマリオット（3.44億人）への命令で、この件で民事制裁金を求める法的権限はないと述べ、マリオットは代わりに州司法長官に5,200万ドルを支払いました。
• 豪州：上限は5,000万豪ドルまたは売上高の30％で、初の民事制裁金は2025年10月（Australian Clinical Labs、580万豪ドル）。2022年のOptus・Medibankの件はまだ裁判中です。
• 英国・EU：ICOとCNILは漏洩に制裁金を科します。Capita、Free、英国利用者15万5,592人分で231万ポンドを科された23andMeが例です。

被害者にとっての違い

• 課徴金は国に納められ、被害者には渡りません。被害者への補償は、企業の自主的なお詫び、集団訴訟、損害賠償請求から生まれます。国別の補償は情報漏洩の法律と補償の国別比較にまとめています。
• 日本には法定損害賠償がなく、補償の多くは企業のお詫び（金券・ポイント）です。企業の「お知らせ」で対象と期限を確認してください。
• どの国でも、同じパスワードを使っている他のサービスから変更し、請求の代行をうたって手数料を求める連絡には応じないでください。

2026年11月10日までに当局資料と報道で確認した一般的な情報です。ニトリ、Change Healthcare、Latitudeなどは調査中で、後に処分が出る可能性があります。法的助言ではありません。