近幾年來，中國做好韓國數(shù)據(jù)執(zhí)法動作頻頻。企業(yè)KakaoPay、出海傳輸Apple跨境傳輸案以逾83億韓元罰單刷新韓國數(shù)據(jù)跨境處罰紀錄，韓國合規(guī)AliExpress、第關(guān)Temu等中國跨境電商平臺接連被罰。提前密集的數(shù)據(jù)罰單，正在為在韓企業(yè)劃出清晰的跨境合規(guī)紅線。

　　與此同時，建設(shè)韓國個人信息保護委員會(PIPC)的中國做好監(jiān)管邏輯也在發(fā)生深刻轉(zhuǎn)變，從“以罰代管”走向“預(yù)防引領(lǐng)”，企業(yè)個人信息保護監(jiān)管重心前移至事前識別與風(fēng)險防範。出海傳輸

　　在此背景下，韓國合規(guī)讀懂韓國的第關(guān)個人信息保護法律法規(guī)與監(jiān)管體係，是提前在韓企業(yè)邁穩(wěn)出海步伐的第一關(guān)。

　　韓國個保法規(guī)體係“數(shù)據(jù)三法”

　　以PIPA為統(tǒng)領(lǐng)、行業(yè)立法為補充

　　韓國的個人信息保護法律體係以《個人信息保護法》(Personal　Information　Protection　Act，下稱PIPA)為統(tǒng)領(lǐng)，同時輔以金融、通信、位置信息及人工智能等多領(lǐng)域立法，形成“數(shù)據(jù)三法”的基本格局。PIPA於2011年頒布，經(jīng)2020年全麵修訂後，已升格為適用於所有領(lǐng)域個人信息處理者的普遍性一般法。韓國憲法雖未直接列明個人信息權(quán)利，但憲法法院通過判例確立了“個人信息自決權(quán)”，該權(quán)利從憲法所保障的一般人格權(quán)、隱私權(quán)和自由中推導(dǎo)而來，從而為PIPA提供了憲法層麵的法理基礎(chǔ)，使個人信息保護獲得了基本權(quán)利的位階。

　　針對不同行業(yè)和特殊數(shù)據(jù)類型，韓國另有多部專門法律聯(lián)動補位。金融信用領(lǐng)域有《信用信息使用和保護法》；互聯(lián)網(wǎng)與在線服務(wù)場景中，《信息通信網(wǎng)絡(luò)利用促進和信息保護法》對廣告發(fā)送規(guī)則、首席信息安全官(CISO)的任命要求以及信息安全管理係統(tǒng)認證等作出具體安排；高度敏感的個人位置信息則交由《位置信息保護和使用法》規(guī)製。隨著人工智能的發(fā)展，韓國首部AI基礎(chǔ)法律《關(guān)於人工智能(AI)發(fā)展和構(gòu)建信賴基礎(chǔ)的基本法》(下稱《人工智能基本法》)於2026年1月22日生效，以高影響AI為監(jiān)管重點，並對生成式AI的輸出提出標注要求。其中規(guī)定AI係統(tǒng)若涉及處理個人信息，仍須同時遵守PIPA的規(guī)定，已忠實履行PIPA義務(wù)的，在個人數(shù)據(jù)處理範圍內(nèi)可視為滿足《人工智能基本法》的相關(guān)要求。這種“一般法+行業(yè)法+新興領(lǐng)域法”的嵌套結(jié)構(gòu)，讓個人信息保護幾乎覆蓋所有數(shù)據(jù)處理形態(tài)。

　　個保監(jiān)管機構(gòu)“一主多元”

　　下位規(guī)範從施行令到操作指南層層細化

　　在監(jiān)管機構(gòu)設(shè)置方麵，2020年韓國對原先分散在行政安全部、廣播通信委員會和金融委員會的個人信息保護職能進行了集中整合，成立了個人信息保護委員會(PIPC)，並將其升格為獨立的中央行政機關(guān)，委員會主席由總統(tǒng)直接任命。PIPC不僅負責(zé)製定相關(guān)政策、調(diào)查違法案件和處以罰款，還承擔審批跨境數(shù)據(jù)傳輸、發(fā)布標準合同條款等核心職能。

　　但這並不意味著PIPC“一家獨唱”。韓國的個人信息保護監(jiān)管呈現(xiàn)出“一主多元”的分工格局：金融委員會負責(zé)信用信息領(lǐng)域的監(jiān)管；廣播通信委員會主理信息通信服務(wù)領(lǐng)域的在線隱私保護；科學(xué)技術(shù)信息通信部主管信息通信網(wǎng)絡(luò)的穩(wěn)定與信息安全，並在《人工智能基本法》框架下執(zhí)行相關(guān)監(jiān)管任務(wù)；韓國互聯(lián)網(wǎng)振興院則承擔受理數(shù)據(jù)泄露報告、運營ISMS/ISMS-P信息安全認證體係等具體執(zhí)行工作。各機構(gòu)按照職能分工各司其職，形成了環(huán)環(huán)相扣、覆蓋較全麵的監(jiān)管網(wǎng)絡(luò)，既保證了政策的統(tǒng)一性，又兼顧了行業(yè)的專業(yè)性。

　　PIPA之下，韓國構(gòu)建了層次分明、內(nèi)容細致的下位規(guī)則體係，為企業(yè)提供了較為清晰的合規(guī)路徑。首先是總統(tǒng)令級別的《PIPA施行令》，對法律各條款作出具體實施細則；其次是《PIPA施行規(guī)則》，進一步規(guī)定施行令所委任的事項。在此基礎(chǔ)上，PIPC還發(fā)布了大量指南和標準，作為企業(yè)理解和執(zhí)行PIPA的操作手冊，如2025年7月PIPC發(fā)布的《個人信息處理綜合指南》，還有《隱私政策起草指南》《確保個人信息安全措施的標準》《個人信息影響評估通知》《違反PIPA的處罰標準》等配套文件。

　　從事後處罰轉(zhuǎn)向事前預(yù)防

　　推動“隱私設(shè)計”原則製度化

　　2026年，PIPC的執(zhí)法思路發(fā)生質(zhì)變。年初，PIPC正式確立了從被動應(yīng)對向“基於風(fēng)險的主動檢查”轉(zhuǎn)型的年度調(diào)查政策方向，將檢查重點鎖定為六大領(lǐng)域：大規(guī)模個人信息處理者、生物識別等高風(fēng)險信息、暗模式等過度收集行為、新興前沿技術(shù)場景、公共部門係統(tǒng)漏洞、企業(yè)重組中的數(shù)據(jù)流轉(zhuǎn)。5月，PIPC宣布了《向預(yù)防為主的個人信息管理體係轉(zhuǎn)型計劃》，標誌著監(jiān)管模式從過去的“事後處罰”，轉(zhuǎn)向“事前預(yù)防和管理”。新計劃旨在通過激勵企業(yè)加大風(fēng)險管理和預(yù)防投入，構(gòu)建一個能夠在事前識別並化解風(fēng)險的體係。

　　依據(jù)這一體係，韓國根據(jù)數(shù)據(jù)處理規(guī)模、敏感性和行業(yè)特點，將個人信息處理行業(yè)劃分為高、中、低風(fēng)險三個等級。處理大量個人信息或敏感信息的平臺、金融機構(gòu)、公共機構(gòu)、教育科技(Edutech)和護理醫(yī)院等被列為高風(fēng)險行業(yè)，將接受定期與不定期的深度檢查。

　　與此同時，這套體係還包含了一係列激勵與引導(dǎo)機製。對主動采取超出法定標準的前瞻性保護措施、積極進行安全投資的企業(yè)，PIPC將給予罰款減免等激勵。監(jiān)管範圍還將擴大至軟件即服務(wù)(SaaS)、雲(yún)服務(wù)等整個供應(yīng)鏈，確保上下遊環(huán)節(jié)的合規(guī)一致性。此外，PIPC還在推動“隱私設(shè)計”原則的製度化，要求企業(yè)在服務(wù)規(guī)劃、設(shè)計階段就將個人信息保護作為默認配置嵌入其中，從而從源頭上提升數(shù)據(jù)保護水平。

　　律師提醒

　　跨境數(shù)據(jù)傳輸接連遭重罰

　　在韓企業(yè)應(yīng)關(guān)注八項合規(guī)要務(wù)

　　PIPC於2024年4月發(fā)布的《關(guān)於〈個人信息保護法〉適用於外國經(jīng)營者的指引》明確，《個人信息保護法》在三種情形下適用於外國經(jīng)營者：向韓國數(shù)據(jù)主體提供商品或服務(wù)、處理個人信息直接影響韓國數(shù)據(jù)主體或?qū)ζ洚a(chǎn)生重大影響、在韓設(shè)有營業(yè)場所。《信息通信網(wǎng)絡(luò)利用促進和信息保護法》及《人工智能基本法》亦設(shè)有域外適用條款。換言之，一個外國網(wǎng)站隻要有韓文界麵、接受韓元支付、向韓國發(fā)貨，或針對韓國用戶進行營銷推廣，便可能被納入韓國法律的管轄範圍。

　　在此嚴監(jiān)管下，多家中資背景企業(yè)因跨境數(shù)據(jù)傳輸違規(guī)被重罰。2025年1月，PIPC對KakaoPay、Apple開出合計83.752億韓元罰單，Alipay被責(zé)令銷毀NSF評分模型，原因包括未經(jīng)用戶單獨同意將約4000萬KakaoPay用戶個人信息傳輸至境外，且未作隱私政策披露等。此外，AliExpress、Temu也分別因向海外賣家提供用戶信息、未指定國內(nèi)代理人等違規(guī)，被罰19.78億和13.69億韓元。

　　針對上述執(zhí)法態(tài)勢，廣信君達律師事務(wù)所閃濤律師團隊建議在韓企業(yè)重點關(guān)注八項合規(guī)要務(wù)：首先對照PIPC　2024年指引的三種適用情形，主動自查是否觸發(fā)域外管轄；其次是製定韓文版隱私政策，明確告知收集項目、目的、保留期限、第三方提供情況、跨境傳輸詳情、首席隱私官聯(lián)係方式及國內(nèi)代理人信息等；收集使用、向第三方提供、跨境傳輸?shù)葌€人信息處理行為須分別取得用戶獨立同意，不得捆綁；營收超1萬億韓元或日均處理超100萬用戶數(shù)據(jù)的外國實體，須依法指定韓國國內(nèi)代理人並公開披露；參照《確保個人信息安全措施的標準》，優(yōu)先落實加密存儲與訪問控製等核心措施；建立72小時數(shù)據(jù)泄露應(yīng)急響應(yīng)機製，及時通知數(shù)據(jù)主體並報告PIPC或韓國互聯(lián)網(wǎng)振興院；全麵梳理跨境數(shù)據(jù)傳輸鏈路，跨境傳輸須取得單獨同意，同時與境外接收方簽訂合規(guī)合同，並評估韓國用戶關(guān)鍵數(shù)據(jù)在本地化存儲的可行性；持續(xù)跟蹤2026年9月罰款上限升至總營收10%的立法動態(tài)、《人工智能基本法》雙重要求及MyData製度進展，提前完成合規(guī)差距分析。