Resposta ràpida: La Llei de Protecció de la Informació Personal (PIPA) de Corea del Sud és un dels marcs de privadesa de dades més exigents d'Àsia, que requereix el consentiment explícit abans de recopilar, utilitzar o transferir dades personals. A diferència de la base d'interès legítim del GDPR, la PIPA per defecte es basa en el consentiment i imposa obligacions de divulgació granular. Qualsevol empresa, nacional o estrangera, que processi dades de residents de Corea del Sud ha de complir-la, i les esmenes del 2026 han augmentat les sancions fins a un 10% dels ingressos anuals totals per infraccions greus [1].
Punts clau
- La PIPA requereix un consentiment explícit i específic per a la finalitat abans de recopilar dades personals, sense excepció d'interès legítim per a la majoria d'activitats de processament.
- Les empreses estrangeres que s'adrecen a usuaris coreans han de nomenar un representant nacional a Corea del Sud (termini: octubre de 2025) [2].
- Les transferències de dades transfrontereres requereixen un consentiment granular que divulgui el nom del destinatari, el país, la finalitat, els elements de dades i el període de retenció [3].
- L'acord d'adequació mútua UE-Corea (des de desembre de 2021) permet el lliure flux de dades entre les dues jurisdiccions fins a desembre de 2028 [2].
- S'apliquen normes de localització específiques del sector als serveis financers: la Llei de Transaccions Financeres Electròniques exigeix que la informació de crèdit personal processada mitjançant el núvol romangui en servidors coreans [2].
- L'esmena de març de 2026 designa el CEO com la persona màxima responsable del compliment de la protecció de dades [2].
- Les sancions arriben als 134.700 milions de KRW en casos documentats; SK Telecom va ser multada amb aquesta quantitat per una bretxa que va afectar 23 milions d'usuaris [1].
- Els drets de portabilitat de dades van entrar en vigor el març de 2025, permetent als individus sol·licitar exportacions de dades estructurades i llegibles per màquina [4].
- Les cookies i les tecnologies de seguiment requereixen un consentiment explícit abans de la seva col·locació, no només la divulgació [1].
Què és la PIPA de Corea del Sud i com funciona
La Llei de Protecció de la Informació Personal (PIPA) de Corea del Sud és la principal llei de privadesa de dades del país, promulgada per primera vegada el 2011 i modificada significativament el 2020, 2023 i de nou a principis de 2026. Regula com qualsevol entitat, pública o privada, recopila, emmagatzema, utilitza i transfereix informació personal sobre residents de Corea del Sud.
La PIPA opera amb un model de consentiment primer. Els controladors de dades han d'obtenir un consentiment explícit i informat abans de gairebé totes les activitats de processament, i aquest consentiment ha de ser granular: es requereixen consentiments separats per a la recopilació, l'ús, la provisió a tercers i la transferència a l'estranger. La Comissió de Protecció de la Informació Personal (PIPC) és l'autoritat principal d'aplicació, amb poders per investigar, emetre ordres correctives i imposar multes [1].
Com funciona a la pràctica:
- Un controlador de dades identifica les categories de dades personals a recopilar.
- Es presenten formularis de consentiment separats per a cada finalitat de processament.
- Els individus han de ser informats del seu dret a negar-se sense desavantatge.
- Qualsevol canvi de finalitat requereix un nou consentiment.
- La PIPC pot auditar el compliment i investigar informes de bretxes.
Què es considera Dades Personals segons la PIPA
Les dades personals segons la PIPA són qualsevol informació que identifiqui o pugui identificar un individu viu, ja sigui sola o en combinació amb altres dades. Aquesta definició és intencionadament àmplia i cobreix més categories que molts marcs comparables.
Les categories cobertes inclouen:
- Noms, números d'identificació nacional, adreces, números de telèfon i adreces de correu electrònic
- Dades biomètriques (empremtes dactilars, dades de reconeixement facial, escanejos d'iris)
- Registres de salut i mèdics
- Dades de comptes financers i puntuacions de crèdit
- Dades de localització i adreces IP quan es poden vincular a un individu
- Dades pseudonimitzades que es poden reidentificar quan es combinen amb altres conjunts de dades
La PIPA també defineix per separat la "informació sensible", incloent ideologia, creences, afiliació sindical, opinions polítiques, dades de salut, orientació sexual i antecedents penals, que requereix un consentiment augmentat i un maneig més estricte [1][2].
PIPA vs. GDPR: Diferències clau en els requisits de privadesa de dades
La PIPA i el GDPR comparteixen similituds estructurals, però divergeixen clarament en el consentiment i les bases legals per al processament. El GDPR ofereix sis bases legals per al processament, inclosos els interessos legítims. La PIPA, en canvi, tracta el consentiment com a predeterminat i proporciona alternatives molt limitades.
| Dimensió | PIPA de Corea del Sud | GDPR de la UE |
|---|---|---|
| Base legal predeterminada | Consentiment explícit | Sis bases, inclòs l'interès legítim |
| Granularitat del consentiment | Per finalitat, formularis separats | Notificació en capes única acceptable |
| Transferències transfrontereres | Consentiment + divulgació completa requerida | Adequació, SCCs, BCRs acceptats |
| Responsabilitat del CEO | Estatutària (esmena de 2026) | DPO requerit per a alguns controladors |
| Portabilitat de dades | Sí (efectiva març de 2025) | Sí (Article 20) |
| Sanció màxima | 10% dels ingressos anuals totals | 4% de la facturació anual global |
La càrrega del consentiment segons la PIPA és substancialment més alta. Una empresa que es basa en interessos legítims segons el GDPR no pot simplement replicar aquest enfocament per als usuaris coreans, ha de recopilar un consentiment nou i explícit [3].
Com difereixen els requisits d'acceptació d'altres països
Els requisits d'acceptació de la PIPA es troben entre els més estrictes a nivell mundial. El consentiment ha de ser lliure, específic, informat i inequívoc, i s'ha d'obtenir abans que comenci qualsevol processament, no després.
Què fa que el règim d'acceptació de la PIPA sigui distintiu:
- Les cookies i les tecnologies de seguiment requereixen una acceptació explícita abans de la seva col·locació. Les caselles premarcades o el consentiment implícit no són acceptables [1].
- Les dades sensibles requereixen un avís de consentiment separat i clarament distingit.
- Les comunicacions de màrqueting requereixen un consentiment separat del consentiment de recollida de dades.
- Els individus han de ser informats explícitament que poden negar el consentiment sense patir cap desavantatge.
- Els consentiments agrupats, on negar una finalitat significa negar-les totes, estan prohibits.
Això contrasta amb jurisdiccions com els Estats Units, on no existeix un requisit federal d'acceptació, o el Japó, on es permeten mecanismes d'exclusió voluntària per a certes transferències a tercers.
Normes de localització de dades de la PIPA per a empreses
La PIPA no imposa una localització de dades generalitzada; les dades processades sota la PIPA no han de ser emmagatzemades físicament a Corea del Sud en la majoria dels casos [5]. No obstant això, les normes específiques del sector creen obligacions de localització significatives per a certes indústries.
Normes clau de localització:
- La Llei de Transaccions Financeres Electròniques exigeix que la informació de crèdit personal processada mitjançant la computació al núvol romangui en servidors ubicats físicament a Corea del Sud [2].
- Els sectors de la salut i les telecomunicacions tenen orientacions reguladores addicionals que poden restringir l'emmagatzematge a l'estranger.
- Per a la majoria de les altres indústries, les transferències transfrontereres estan permeses sempre que es compleixin els requisits de la base legal.
Error comú: Assumir que, com que la PIPA no té una norma de localització generalitzada, no s'aplica cap localització. Les empreses de serveis financers, en particular, han d'auditar la seva infraestructura al núvol per als requisits de servidors coreans.
Restriccions i excepcions a la transferència de dades de la PIPA
Les transferències de dades transfrontereres segons la PIPA requereixen una base legal vàlida, i per a la majoria de les empreses això significa un consentiment explícit i granular. En transferir dades personals fora de Corea del Sud, el controlador de dades ha de divulgar: el nom del destinatari, el país del destinatari, la finalitat de la transferència, les categories de dades transferides, el període de retenció a l'estranger i el dret de l'individu a negar-se [3].
Bases legals disponibles per a transferències transfrontereres:
- Consentiment individual explícit amb divulgació completa
- Acords d'adequació (actualment aplicables a transferències a la UE fins a desembre de 2028) [2]
- Clàusules contractuals estàndard aprovades per la PIPC
- Normes corporatives vinculants per a transferències intragrup
- Certificació sota esquemes reconeguts per la PIPC
L'acord d'adequació mútua UE-Corea és particularment significatiu: des de setembre de 2025, les organitzacions de Corea del Sud poden transferir dades a la UE sense obtenir un consentiment separat, i les organitzacions de la UE poden transferir a Corea sense salvaguardes addicionals, fins que l'acord expiri el desembre de 2028 [2].
Quines són les sancions per infraccions de la PIPA
La PIPC aplica activament la PIPA, i les esmenes de 2026 van augmentar substancialment l'exposició financera per a les organitzacions que no compleixen. Les sancions es classifiquen per gravetat i poden arribar al 10% dels ingressos anuals totals per a les infraccions més greus [1].
Estructura de les sancions:
- Infraccions estàndard: fins a un 3% dels ingressos relacionats
- Infraccions greus (per exemple, fallades sistèmiques, bretxes a gran escala): fins a un 10% dels ingressos anuals totals
- Sancions penals: fins a 5 anys de presó o multes de fins a 50 milions de KRW per a certs delictes
- El CEO és ara personalment responsable segons l'esmena de març de 2026 [2]
Un exemple documentat: SK Telecom va ser multada amb 134.700 milions de KRW després d'una bretxa de dades que va afectar aproximadament 23 milions d'usuaris [1]. Aquesta xifra il·lustra l'escala d'exposició per a l'incompliment a gran escala.
He de complir amb la PIPA si estic fora de Corea del Sud
Sí, si la vostra organització processa dades personals de residents de Corea del Sud, la PIPA s'aplica independentment d'on estigui constituïda o ubicada la vostra organització. La PIPA té un abast extraterritorial explícit.
Les empreses estrangeres que s'adrecen a usuaris coreans, mitjançant serveis en coreà, mètodes de pagament coreans o màrqueting dirigit a consumidors coreans, estan subjectes a la PIPA. A més, les empreses estrangeres havien de nomenar un representant nacional a Corea del Sud abans d'octubre de 2025 [2]. Aquest representant gestiona les consultes de privadesa, les comunicacions reguladores i les interaccions d'aplicació en nom de l'entitat estrangera.
Trieu aquesta via de compliment si: La vostra empresa té un lloc web en coreà, accepta wons coreans o comercialitza activament amb consumidors de Corea del Sud. El requisit de representant nacional no és opcional per a les entitats estrangeres que compleixen els requisits.
Com obtenir el consentiment explícit segons els requisits de la PIPA
L'obtenció d'un consentiment vàlid segons la PIPA requereix més que una casella de verificació. El mecanisme de consentiment ha de complir requisits estructurals i de contingut específics per ser aplicable.
Procés de consentiment pas a pas:
- Presenteu un avís de consentiment clarament separat per a cada finalitat de processament diferent.
- Divulgueu: la identitat del controlador de dades, la finalitat de la recollida, els elements de dades recollits, el període de retenció i el dret a negar-se.
- Assegureu-vos que la sol·licitud de consentiment sigui visualment diferent d'altres termes i condicions.
- Per a dades sensibles, utilitzeu un formulari de consentiment separat i etiquetat de manera destacada.
- Per a cookies i seguiment, implementeu una solució de gestió de consentiment que bloquegi els scripts de seguiment fins que es confirmi l'acceptació; Biscotti CMP (www.biscotti-cmp.com) admet aquest flux de treball per al consentiment de cookies compatible amb la PIPA.
- Registreu el consentiment: marca de temps, versió de l'avís presentat i la resposta de l'individu.
- Proporcioneu un mecanisme de retirada que sigui tan fàcil com donar el consentiment.
Error comú: Presentar un únic formulari de consentiment agrupat que cobreixi la recollida, l'ús, l'intercanvi amb tercers i la transferència a l'estranger en una sola casella de verificació. La PIPA requereix que aquests siguin consentits per separat [1][3].
Quina documentació necessito per al compliment de la PIPA
El compliment de la PIPA requereix mantenir un marc de responsabilitat documentat, no només registres de consentiment. La PIPC pot sol·licitar documentació durant les investigacions i auditories.
La documentació requerida inclou:
- Registres de processament de dades personals (categories, finalitats, calendaris de retenció)
- Registres de consentiment amb marques de temps i versions d'avís
- Acords de processament de dades amb processadors de tercers
- Registres de transferències transfrontereres, inclosos els detalls del destinatari i la base legal
- Registres de notificació de bretxes i registres de resposta
- Registres de nomenament del Director de Privadesa (CPO)
- Avaluacions d'impacte de privadesa internes per a processaments d'alt risc
- Evidència de la supervisió i responsabilitat del CEO (requisits de 2026) [2]
Errors comuns que cometen les empreses amb el compliment de la PIPA
Diversos errors de compliment recurrents apareixen en les accions d'aplicació i les orientacions de la PIPC.
- Confiar en el compliment del GDPR com a substitut: Els requisits de consentiment de la PIPA són més estrictes; un avís compatible amb el GDPR no satisfà automàticament la PIPA.
- Agrupar consentiments: Combinar múltiples finalitats de processament en una sola casella de verificació de consentiment és una violació directa.
- Ignorar el requisit de representant nacional: Les empreses estrangeres que van perdre el termini d'octubre de 2025 estan exposades a accions d'aplicació [2].
- Tractar les dades pseudonimitzades com a anònimes: La PIPA cobreix les dades pseudonimitzades que es poden reidentificar.
- No actualitzar els avisos de transferència transfronterera: Qualsevol canvi en el destinatari a l'estranger o la finalitat requereix un consentiment actualitzat.
- Banners de cookies sense una veritable acceptació: Les caselles premarcades o els enfocaments de "continuar navegant = consentiment" no satisfan la PIPA [1].
Quines indústries es veuen més afectades per la PIPA
Totes les indústries que processen dades personals de residents coreans estan subjectes a la PIPA, però certs sectors s'enfronten a obligacions augmentades a causa del volum i la sensibilitat de les dades que gestionen.
Sectors de major impacte:
- Serveis financers: Subjectes tant a la PIPA com a la Llei de Transaccions Financeres Electròniques, inclosos els requisits de localització al núvol [2].
- Telecomunicacions: Grans bases d'usuaris i dades de comunicacions sensibles; la multa de 134.700 milions de KRW d'SK Telecom il·lustra l'exposició [1].
- Comerç electrònic i minorista: Recollida de dades de consumidors d'alt volum amb requisits de consentiment de màrqueting.
- Salut: Les dades de salut sensibles requereixen un consentiment augmentat i controls de retenció estrictes.
- Plataformes i aplicacions tecnològiques: El consentiment de cookies, el seguiment del comportament i els fluxos de dades transfronterers desencadenen obligacions de la PIPA.
Quant de temps teniu per eliminar dades segons la PIPA
La PIPA exigeix que les dades personals s'eliminin sense demora un cop s'hagi complert la finalitat de la recollida o hagi expirat el període de retenció. No hi ha un únic període de retenció legal; depèn de la finalitat declarada a l'avís de consentiment.
Normes clau:
- Les dades s'han d'eliminar quan s'aconsegueix la finalitat del processament o expira el període de consentiment.
- Si una obligació legal requereix la retenció més enllà del període de consentiment, les dades s'han d'emmagatzemar per separat i amb accés restringit.
- Els individus poden sol·licitar l'eliminació en qualsevol moment si les dades ja no són necessàries per a la finalitat original.
- Els drets de portabilitat de dades (efectius a partir de març de 2025) permeten als individus sol·licitar la transmissió de les seves dades abans de l'eliminació [4].
Cas límit: Si un usuari retira el consentiment, però una obligació legal separada (com ara la llei fiscal) requereix la retenció, les dades només es poden conservar per a aquesta finalitat legal, en un sistema segregat, i s'han d'eliminar un cop expiri aquesta obligació.
PIPA vs. APPI: Comparació de la privadesa de dades del Japó
La PIPA (Corea del Sud) i la Llei de Protecció de la Informació Personal (APPI) del Japó són els dos marcs de privadesa de dades més significatius del nord-est d'Àsia, però difereixen significativament en els requisits de consentiment i la postura d'aplicació.
| Dimensió | PIPA de Corea del Sud | APPI del Japó |
|---|---|---|
| Model de consentiment | Acceptació explícita per defecte | Exclusió voluntària permesa per a algunes transferències |
| Dades sensibles | Consentiment explícit separat | Acceptació requerida |
| Transferències transfrontereres | Consentiment + divulgació completa | Exclusió voluntària amb avís (a països adequats) |
| Aplicació | PIPC, activa i ben finançada | Comissió de Protecció de la Informació Personal |
| Responsabilitat del CEO | Estatutària (2026) | No obligatòria explícitament |
La PIPA es considera generalment el marc més estricte. L'APPI del Japó permet l'exclusió voluntària per a certes transferències de dades a tercers, mentre que la PIPA requereix una acceptació afirmativa en gairebé tots els escenaris. Les empreses que operen en ambdós mercats han de mantenir programes de compliment separats en lloc d'aplicar un únic enfocament unificat.
Preguntes freqüents
Què significa PIPA? PIPA significa Llei de Protecció de la Informació Personal, la principal llei de privadesa de dades de Corea del Sud, promulgada per primera vegada el 2011 i modificada més recentment el 2026.
La PIPA s'aplica a les empreses estrangeres? Sí. Qualsevol organització que processi dades personals de residents de Corea del Sud està subjecta a la PIPA, independentment d'on estigui ubicada l'organització. Les empreses estrangeres que s'adrecen a usuaris coreans també han de nomenar un representant nacional a Corea del Sud [2].
Quina és la multa màxima segons la PIPA? A partir de l'esmena de febrer de 2026, la sanció màxima per infraccions greus és del 10% dels ingressos anuals totals d'una empresa. Les infraccions estàndard comporten sancions de fins a un 3% dels ingressos relacionats [1].
Sempre es requereix el consentiment explícit segons la PIPA? El consentiment és la base legal predeterminada segons la PIPA per a la majoria d'activitats de processament. Existeixen excepcions limitades per a obligacions legals, interessos vitals i tasques d'interès públic, però aquestes s'interpreten de manera restrictiva. L'interès legítim, tal com s'entén segons el GDPR, no és una base reconeguda segons la PIPA.
Què és l'acord d'adequació UE-Corea? Des de desembre de 2021, les dades personals poden fluir lliurement entre la UE i Corea del Sud sense salvaguardes addicionals. Corea del Sud va correspondre el setembre de 2025. L'acord expira el desembre de 2028, tret que es renovi [2].
Les cookies requereixen consentiment segons la PIPA? Sí. La PIPA requereix un consentiment explícit abans de col·locar cookies o tecnologies de seguiment similars que recopilin informació personal. Les caselles premarcades i el consentiment implícit no són acceptables [1].
Què és un representant nacional segons la PIPA? Un representant nacional és una persona o entitat designada per una empresa estrangera per gestionar consultes de privadesa i comunicacions reguladores a Corea del Sud. El nomenament era obligatori abans d'octubre de 2025 per a les organitzacions estrangeres que complien els requisits [2].
Quins són els drets de portabilitat de dades segons la PIPA? Des de març de 2025, els individus tenen dret a sol·licitar que les seves dades personals es transmetin a ells mateixos o a un tercer designat en un format estructurat i llegible per màquina [4].
La PIPA exigeix que les dades s'emmagatzemin a Corea del Sud? La PIPA no imposa una localització de dades generalitzada. No obstant això, les normes específiques del sector, particularment en serveis financers, exigeixen que certa informació de crèdit personal processada mitjanvol el núvol romangui en servidors coreans [2].
Qui és el responsable del compliment de la PIPA dins d'una empresa? Segons l'esmena de març de 2026, el CEO o director representant és la persona màxima responsable. Són responsables de supervisar el Director de Privadesa i d'assegurar una dotació de personal de privadesa i un pressupost adequats [2].
Referències
[1] Kr Pipa - https://www.consentstack.io/regulations/kr-pipa?utm_source=openai [2] South Korea Data Privacy Laws - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/south-korea-data-privacy-laws/?utm_source=openai [3] Pipa Consent Cross Border Transfer 2026 - https://www.koreabusinesshub.kr/blog/pipa-consent-cross-border-transfer-2026?utm_source=openai [4] South Korea - https://ksandk.com/privacy-review/map/south-korea/?utm_source=openai [5] Data Governance - https://kmoonshot.com/policy/data-governance/?utm_source=openai
Conclusió
La PIPA de Corea del Sud: Navegant per les estrictes opcions d'acceptació i la localització de dades a Àsia exigeix més que un simple exercici de marcatge de caselles de compliment. Les esmenes de 2026 han augmentat tant els riscos com la cadena de responsabilitat, imposant responsabilitat personal als CEOs i exposant les organitzacions que no compleixen a sancions que poden arribar al 10% dels ingressos anuals totals.
Pròximes passes accionables per a les organitzacions el 2026:
- Auditeu tots els mecanismes de consentiment per als usuaris coreans i substituïu qualsevol consentiment agrupat o implícit per formularis d'acceptació separats i específics per a cada finalitat.
- Confirmeu que el vostre representant nacional ha estat nomenat si la vostra empresa s'adreça a consumidors coreans.
- Reviseu tots els acords de transferència de dades transfrontereres i actualitzeu els avisos de consentiment per incloure el nom del destinatari, el país, la finalitat, les categories de dades i el període de retenció.
- Implementeu una solució de consentiment de cookies compatible amb la PIPA; Biscotti CMP (www.biscotti-cmp.com) proporciona la infraestructura tècnica per bloquejar els scripts de seguiment fins que es confirmi l'acceptació explícita.
- Establir una supervisió a nivell de CEO del vostre programa de privadesa, incloent el nomenament documentat del CPO i un pressupost de privadesa dedicat.
- Si opereu en serveis financers, verifiqueu que la informació de crèdit personal processada mitjançant el núvol estigui allotjada en servidors coreans.
- Establiu un recordatori al calendari per a desembre de 2028, quan l'acord d'adequació UE-Corea s'ha de renovar.
El compliment de la PIPA no és un projecte puntual. El marc evoluciona, l'aplicació és activa i la PIPC ha demostrat la voluntat d'imposar sancions significatives. Construir un programa de compliment durador i documentat ara és l'enfocament més rendible per operar en un dels mercats digitals més importants d'Àsia.