Stručná odpověď: Jihokorejský zákon o ochraně osobních údajů (PIPA) je jedním z nejnáročnějších rámců ochrany osobních údajů v Asii, který vyžaduje explicitní souhlas (opt-in) před shromažďováním, používáním nebo přenosem osobních údajů. Na rozdíl od oprávněného zájmu podle GDPR, PIPA standardně vyžaduje souhlas a ukládá podrobné povinnosti zveřejňování. Jakýkoli podnik, domácí nebo zahraniční, který zpracovává údaje o obyvatelích Jižní Koreje, musí dodržovat PIPA, a novely z roku 2026 zvýšily pokuty až na 10 % celkových ročních příjmů za závažná porušení [1].
Klíčové poznatky
- PIPA vyžaduje explicitní, účelově specifický souhlas (opt-in) před shromažďováním osobních údajů, bez výjimky oprávněného zájmu pro většinu zpracovatelských činností.
- Zahraniční podniky zaměřující se na korejské uživatele musí jmenovat domácího zástupce v Jižní Koreji (termín: říjen 2025) [2].
- Přeshraniční přenosy dat vyžadují podrobný souhlas s uvedením jména příjemce, země, účelu, položek dat a doby uchovávání [3].
- Vzájemné ujednání o přiměřenosti mezi EU a Koreou (od prosince 2021) umožňuje volný tok dat mezi oběma jurisdikcemi do prosince 2028 [2].
- V odvětví finančních služeb platí sektorově specifická pravidla lokalizace: zákon o elektronických finančních transakcích vyžaduje, aby osobní úvěrové informace zpracovávané prostřednictvím cloudu zůstaly na korejských serverech [2].
- Novela z března 2026 určuje generálního ředitele jako konečnou odpovědnou osobu za dodržování ochrany údajů [2].
- Pokuty dosahují v dokumentovaných případech 134,7 miliardy KRW; společnost SK Telecom byla pokutována touto částkou za narušení, které postihlo 23 milionů uživatelů [1].
- Práva na přenositelnost dat vstoupila v platnost v březnu 2025, což umožňuje jednotlivcům žádat o strukturované, strojově čitelné exporty dat [4].
- Soubory cookie a sledovací technologie vyžadují explicitní souhlas (opt-in) před umístěním, nikoli pouze zveřejnění [1].
Co je jihokorejský PIPA a jak funguje
Jihokorejský zákon o ochraně osobních údajů (PIPA) je primárním zákonem o ochraně osobních údajů v zemi, poprvé přijatým v roce 2011 a významně novelizovaným v letech 2020, 2023 a znovu na začátku roku 2026. Upravuje, jakýkoli subjekt, veřejný nebo soukromý, shromažďuje, ukládá, používá a přenáší osobní údaje o obyvatelích Jižní Koreje.
PIPA funguje na modelu „souhlas na prvním místě“. Správci údajů musí získat explicitní, informovaný souhlas před téměř každou zpracovatelskou činností, a tento souhlas musí být podrobný: samostatné souhlasy jsou vyžadovány pro shromažďování, používání, poskytování třetím stranám a zámořský přenos. Komise pro ochranu osobních údajů (PIPC) je primárním orgánem pro vymáhání, s pravomocemi vyšetřovat, vydávat nápravná opatření a ukládat pokuty [1].
Jak to funguje v praxi:
- Správce údajů identifikuje kategorie osobních údajů, které mají být shromážděny.
- Pro každý účel zpracování jsou předloženy samostatné formuláře souhlasu.
- Jednotlivci musí být informováni o svém právu odmítnout bez nevýhod.
- Jakákoli změna účelu vyžaduje nový souhlas.
- PIPC může provádět audity dodržování a vyšetřovat zprávy o porušení.
Co se podle PIPA považuje za osobní údaje
Osobní údaje podle PIPA jsou veškeré informace, které identifikují nebo mohou identifikovat žijícího jednotlivce, buď samostatně, nebo v kombinaci s jinými údaji. Tato definice je záměrně široká a pokrývá více kategorií než mnoho srovnatelných rámců.
Pokryté kategorie zahrnují:
- Jména, národní identifikační čísla, adresy, telefonní čísla a e-mailové adresy
- Biometrické údaje (otisky prstů, údaje pro rozpoznávání obličeje, skeny duhovky)
- Zdravotní a lékařské záznamy
- Podrobnosti o finančním účtu a kreditní skóre
- Údaje o poloze a IP adresy, pokud je lze propojit s jednotlivcem
- Pseudonymizovaná data, která lze znovu identifikovat v kombinaci s jinými datovými sadami
PIPA také samostatně definuje „citlivé informace“, včetně ideologie, přesvědčení, členství v odborech, politických názorů, zdravotních údajů, sexuální orientace a trestních záznamů, které vyžadují zvýšený souhlas a přísnější zacházení [1][2].
PIPA vs. GDPR: Klíčové rozdíly v požadavcích na ochranu osobních údajů
PIPA a GDPR sdílejí strukturální podobnosti, ale výrazně se liší v otázce souhlasu a právních základů pro zpracování. GDPR nabízí šest právních základů pro zpracování, včetně oprávněných zájmů. PIPA naproti tomu považuje souhlas za výchozí a poskytuje velmi omezené alternativy.
| Rozměr | Jižní Korea PIPA | EU GDPR |
|---|---|---|
| Výchozí právní základ | Explicitní souhlas | Šest základů včetně oprávněného zájmu |
| Granularita souhlasu | Pro každý účel, samostatné formuláře | Přijatelné jednovrstvé oznámení |
| Přeshraniční přenosy | Vyžadován souhlas + úplné zveřejnění | Přiměřenost, SCC, BCR přijaty |
| Odpovědnost generálního ředitele | Zákonná (novela 2026) | DPO vyžadován pro některé správce |
| Přenositelnost dat | Ano (účinné od března 2025) | Ano (článek 20) |
| Maximální pokuta | 10 % celkových ročních příjmů | 4 % celkového ročního obratu |
Zátěž souhlasu podle PIPA je podstatně vyšší. Podnik, který se spoléhá na oprávněné zájmy podle GDPR, nemůže jednoduše replikovat tento přístup pro korejské uživatele, musí získat nový, explicitní souhlas [3].
Jak se požadavky na opt-in liší od jiných zemí
Požadavky PIPA na opt-in patří mezi nejpřísnější na světě. Souhlas musí být svobodně udělený, konkrétní, informovaný a jednoznačný a musí být získán před zahájením jakéhokoli zpracování, nikoli poté.
Co činí režim opt-in PIPA odlišným:
- Soubory cookie a sledovací technologie vyžadují explicitní souhlas (opt-in) před umístěním. Předem zaškrtnutá políčka nebo implicitní souhlas nejsou přijatelné [1].
- Citlivé údaje vyžadují samostatné, jasně odlišené oznámení o souhlasu.
- Marketingová komunikace vyžaduje samostatný souhlas od souhlasu se shromažďováním dat.
- Jednotlivcům musí být explicitně sděleno, že mohou odmítnout souhlas bez jakékoli újmy.
- Sdružené souhlasy, kde odmítnutí jednoho účelu znamená odmítnutí všech, jsou zakázány.
To kontrastuje s jurisdikcemi, jako jsou Spojené státy, kde neexistuje federální požadavek na opt-in, nebo Japonsko, kde jsou pro určité přenosy třetím stranám povoleny mechanismy opt-out.
Pravidla lokalizace dat PIPA pro podniky
PIPA neukládá plošnou lokalizaci dat, data zpracovávaná podle PIPA nemusí být ve většině případů fyzicky uložena v Jižní Koreji [5]. Nicméně, sektorově specifická pravidla vytvářejí významné lokalizační povinnosti pro určitá odvětví.
Klíčová pravidla lokalizace:
- Zákon o elektronických finančních transakcích nařizuje, aby osobní úvěrové informace zpracovávané prostřednictvím cloud computingu zůstaly na serverech fyzicky umístěných v Jižní Koreji [2].
- Zdravotnictví a telekomunikační sektory mají další regulační pokyny, které mohou omezit offshore ukládání.
- Pro většinu ostatních odvětví jsou přeshraniční přenosy povoleny za předpokladu, že jsou splněny požadavky právního základu.
Častá chyba: Předpoklad, že protože PIPA postrádá plošné pravidlo lokalizace, žádná lokalizace se nevztahuje. Společnosti finančních služeb zejména musí auditovat svou cloudovou infrastrukturu pro požadavky na korejské servery.
Omezení a výjimky pro přenos dat podle PIPA
Přeshraniční přenosy dat podle PIPA vyžadují platný právní základ, a pro většinu podniků to znamená explicitní, podrobný souhlas. Při přenosu osobních údajů mimo Jižní Koreu musí správce údajů zveřejnit: jméno příjemce, zemi příjemce, účel přenosu, kategorie přenášených dat, dobu uchovávání v zahraničí a právo jednotlivce odmítnout [3].
Dostupné právní základy pro přeshraniční přenosy:
- Explicitní individuální souhlas s úplným zveřejněním
- Ujednání o přiměřenosti (v současné době platné pro přenosy do EU do prosince 2028) [2]
- Standardní smluvní doložky schválené PIPC
- Závazná podniková pravidla pro vnitroskupinové přenosy
- Certifikace podle schémat uznaných PIPC
Vzájemné ujednání o přiměřenosti mezi EU a Koreou je obzvláště významné: od září 2025 mohou jihokorejské organizace přenášet data do EU bez získání samostatného souhlasu a organizace EU mohou přenášet data do Koreje bez dalších záruk, dokud ujednání nevyprší v prosinci 2028 [2].
Jaké jsou sankce za porušení PIPA
PIPC aktivně vymáhá PIPA a novely z roku 2026 podstatně zvýšily finanční rizika pro organizace, které nedodržují předpisy. Sankce jsou odstupňovány podle závažnosti a za nejzávažnější porušení mohou dosáhnout až 10 % celkových ročních příjmů [1].
Struktura sankcí:
- Standardní porušení: až 3 % souvisejících příjmů
- Závažná porušení (např. systémové selhání, rozsáhlé úniky dat): až 10 % celkových ročních příjmů
- Trestní sankce: až 5 let odnětí svobody nebo pokuty až do výše 50 milionů KRW za určité trestné činy
- Generální ředitel je nyní osobně odpovědný podle novely z března 2026 [2]
Dokumentovaný příklad: Společnost SK Telecom byla pokutována částkou 134,7 miliardy KRW po úniku dat, který postihl přibližně 23 milionů uživatelů [1]. Tato částka ilustruje rozsah rizika pro rozsáhlé nedodržování předpisů.
Musím dodržovat PIPA, pokud jsem mimo Jižní Koreu
Ano, pokud vaše organizace zpracovává osobní údaje obyvatel Jižní Koreje, PIPA platí bez ohledu na to, kde je vaše organizace založena nebo umístěna. PIPA má explicitní extrateritoriální dosah.
Zahraniční podniky, které se zaměřují na korejské uživatele prostřednictvím služeb v korejském jazyce, korejských platebních metod nebo marketingu zaměřeného na korejské spotřebitele, podléhají PIPA. Kromě toho byly zahraniční podniky povinny jmenovat domácího zástupce v Jižní Koreji do října 2025 [2]. Tento zástupce vyřizuje dotazy týkající se soukromí, regulační komunikaci a interakce s orgány činnými v trestním řízení jménem zahraničního subjektu.
Zvolte tuto cestu dodržování, pokud: Váš podnik má webové stránky v korejském jazyce, přijímá korejské wony nebo aktivně prodává jihokorejským spotřebitelům. Požadavek na domácího zástupce není pro kvalifikované zahraniční subjekty volitelný.
Jak získat explicitní souhlas podle požadavků PIPA
Získání platného souhlasu podle PIPA vyžaduje více než jen zaškrtávací políčko. Mechanismus souhlasu musí splňovat specifické strukturální a obsahové požadavky, aby byl vymahatelný.
Proces souhlasu krok za krokem:
- Předložte jasně oddělené oznámení o souhlasu pro každý odlišný účel zpracování.
- Zveřejněte: identitu správce údajů, účel shromažďování, položky shromážděných údajů, dobu uchovávání a právo odmítnout.
- Zajistěte, aby požadavek na souhlas byl vizuálně odlišný od ostatních podmínek.
- Pro citlivé údaje použijte samostatný, výrazně označený formulář souhlasu.
- Pro soubory cookie a sledování implementujte řešení pro správu souhlasu, které blokuje sledovací skripty, dokud není potvrzen opt-in, Biscotti CMP (www.biscotti-cmp.com) podporuje tento pracovní postup pro souhlas se soubory cookie v souladu s PIPA.
- Zaznamenejte souhlas: časové razítko, verzi předloženého oznámení a odpověď jednotlivce.
- Poskytněte mechanismus pro odvolání, který je stejně snadný jako udělení souhlasu.
Častá chyba: Předložení jediného sdruženého formuláře souhlasu, který pokrývá shromažďování, používání, sdílení s třetími stranami a zámořský přenos v jednom zaškrtávacím políčku. PIPA vyžaduje, aby tyto byly souhlaseny samostatně [1][3].
Jakou dokumentaci potřebuji pro dodržování PIPA
Dodržování PIPA vyžaduje udržování dokumentovaného rámce odpovědnosti, nikoli pouze záznamů o souhlasu. PIPC může požadovat dokumentaci během vyšetřování a auditů.
Požadovaná dokumentace zahrnuje:
- Záznamy o zpracování osobních údajů (kategorie, účely, plány uchovávání)
- Záznamy o souhlasu s časovými razítky a verzemi oznámení
- Smlouvy o zpracování dat s třetími stranami
- Záznamy o přeshraničních přenosech včetně podrobností o příjemci a právního základu
- Protokoly o oznámení narušení a záznamy o reakci
- Záznamy o jmenování hlavního úředníka pro ochranu osobních údajů (CPO)
- Interní posouzení dopadu na soukromí pro vysoce rizikové zpracování
- Důkazy o dohledu a odpovědnosti generálního ředitele (požadavek z roku 2026) [2]
Časté chyby, kterých se společnosti dopouštějí při dodržování PIPA
Několik opakujících se selhání v dodržování předpisů se objevuje v donucovacích opatřeních a poradenských pokynech PIPC.
- Spoléhání se na dodržování GDPR jako náhradu: Požadavky PIPA na souhlas jsou přísnější; oznámení v souladu s GDPR automaticky nesplňuje PIPA.
- Sdružování souhlasů: Kombinování více účelů zpracování do jednoho zaškrtávacího políčka souhlasu je přímým porušením.
- Ignorování požadavku na domácího zástupce: Zahraniční podniky, které zmeškaly termín v říjnu 2025, jsou vystaveny donucovacím opatřením [2].
- Považování pseudonymizovaných dat za anonymní: PIPA pokrývá pseudonymizovaná data, která lze znovu identifikovat.
- Neschopnost aktualizovat oznámení o přeshraničním přenosu: Jakákoli změna zámořského příjemce nebo účelu vyžaduje aktualizovaný souhlas.
- Bannery s cookies bez skutečného opt-in: Předem zaškrtnutá políčka nebo přístupy „pokračovat v prohlížení = souhlas“ nesplňují PIPA [1].
Která odvětví jsou nejvíce ovlivněna PIPA
Všechna odvětví zpracovávající osobní údaje korejských obyvatel podléhají PIPA, ale některá odvětví čelí zvýšeným povinnostem kvůli objemu a citlivosti dat, která zpracovávají.
Nejvíce zasažené sektory:
- Finanční služby: Podléhají jak PIPA, tak zákonu o elektronických finančních transakcích, včetně požadavků na lokalizaci cloudu [2].
- Telekomunikace: Velké uživatelské základny a citlivá komunikační data; pokuta společnosti SK Telecom ve výši 134,7 miliardy KRW ilustruje riziko [1].
- E-commerce a maloobchod: Velkoobjemové shromažďování spotřebitelských dat s požadavky na marketingový souhlas.
- Zdravotnictví: Citlivá zdravotní data vyžadují zvýšený souhlas a přísné kontroly uchovávání.
- Technologické platformy a aplikace: Souhlas s cookies, sledování chování a přeshraniční toky dat – to vše spouští povinnosti PIPA.
Jak dlouho musíte uchovávat data podle PIPA
PIPA vyžaduje, aby osobní údaje byly bez zbytečného odkladu smazány, jakmile byl splněn účel shromažďování nebo vypršela doba uchovávání. Neexistuje žádná jednotná zákonná doba uchovávání, závisí na uvedeném účelu v oznámení o souhlasu.
Klíčová pravidla:
- Data musí být smazána, když je dosaženo účelu zpracování nebo vyprší doba souhlasu.
- Pokud právní povinnost vyžaduje uchovávání nad rámec doby souhlasu, data musí být uložena odděleně a přístup k nim omezen.
- Jednotlivci mohou kdykoli požádat o smazání, pokud data již nejsou nezbytná pro původní účel.
- Práva na přenositelnost dat (účinná od března 2025) umožňují jednotlivcům žádat o přenos svých dat před smazáním [4].
Okrajový případ: Pokud uživatel odvolá souhlas, ale samostatná právní povinnost (například daňový zákon) vyžaduje uchovávání, data mohou být uchovávána pouze pro tento právní účel, v odděleném systému, a musí být smazána, jakmile tato povinnost vyprší.
PIPA vs. APPI: Srovnání ochrany osobních údajů v Japonsku
PIPA (Jižní Korea) a japonský zákon o ochraně osobních údajů (APPI) jsou dva nejvýznamnější rámce ochrany osobních údajů v severovýchodní Asii, ale významně se liší v požadavcích na souhlas a v přístupu k vymáhání.
| Rozměr | Jižní Korea PIPA | Japonsko APPI |
|---|---|---|
| Model souhlasu | Explicitní opt-in výchozí | Opt-out povolen pro některé přenosy |
| Citlivé údaje | Explicitní samostatný souhlas | Vyžadován opt-in |
| Přeshraniční přenosy | Souhlas + úplné zveřejnění | Opt-out s oznámením (do adekvátních zemí) |
| Vymáhání | PIPC, aktivní a dobře financované | Komise pro ochranu osobních údajů |
| Odpovědnost generálního ředitele | Zákonná (2026) | Není výslovně nařízeno |
PIPA je obecně považována za přísnější rámec. Japonský APPI umožňuje opt-out pro určité přenosy dat třetím stranám, zatímco PIPA vyžaduje aktivní opt-in téměř ve všech scénářích. Podniky působící na obou trzích musí udržovat samostatné programy dodržování předpisů, spíše než uplatňovat jednotný přístup.
Často kladené otázky
Co znamená PIPA? PIPA znamená Personal Information Protection Act (zákon o ochraně osobních údajů), primární zákon Jižní Koreje o ochraně osobních údajů, poprvé přijatý v roce 2011 a naposledy novelizovaný v roce 2026.
Platí PIPA pro zahraniční společnosti? Ano. Jakákoli organizace, která zpracovává osobní údaje obyvatel Jižní Koreje, podléhá PIPA, bez ohledu na to, kde je organizace založena. Zahraniční podniky zaměřující se na korejské uživatele musí také jmenovat domácího zástupce v Jižní Koreji [2].
Jaká je maximální pokuta podle PIPA? Od novely z února 2026 je maximální pokuta za závažná porušení 10 % celkových ročních příjmů společnosti. Standardní porušení nesou pokuty až do výše 3 % souvisejících příjmů [1].
Je podle PIPA vždy vyžadován explicitní souhlas? Souhlas je výchozím právním základem podle PIPA pro většinu zpracovatelských činností. Existují omezené výjimky pro právní povinnosti, životně důležité zájmy a úkoly ve veřejném zájmu, ale tyto jsou úzce vykládány. Oprávněný zájem, jak je chápán podle GDPR, není podle PIPA uznávaným základem.
Co je ujednání o přiměřenosti mezi EU a Koreou? Od prosince 2021 mohou osobní údaje volně proudit mezi EU a Jižní Koreou bez dalších záruk. Jižní Korea reciprokovala v září 2025. Ujednání vyprší v prosinci 2028, pokud nebude obnoveno [2].
Vyžadují soubory cookie souhlas podle PIPA? Ano. PIPA vyžaduje explicitní souhlas (opt-in) před umístěním souborů cookie nebo podobných sledovacích technologií, které shromažďují osobní údaje. Předem zaškrtnutá políčka a implicitní souhlas nejsou přijatelné [1].
Co je domácí zástupce podle PIPA? Domácí zástupce je osoba nebo subjekt určený zahraničním podnikem k vyřizování dotazů týkajících se soukromí a regulační komunikace v Jižní Koreji. Jmenování bylo vyžadováno do října 2025 pro kvalifikované zahraniční organizace [2].
Jaká jsou práva na přenositelnost dat podle PIPA? Od března 2025 mají jednotlivci právo požadovat, aby jejich osobní údaje byly přeneseny jim samotným nebo určené třetí straně ve strukturovaném, strojově čitelném formátu [4].
Vyžaduje PIPA, aby data byla uložena v Jižní Koreji? PIPA neukládá plošnou lokalizaci dat. Nicméně, sektorově specifická pravidla, zejména ve finančních službách, vyžadují, aby určité osobní úvěrové informace zpracovávané prostřednictvím cloudu zůstaly na korejských serverech [2].
Kdo je odpovědný za dodržování PIPA v rámci společnosti? Podle novely z března 2026 je generální ředitel nebo statutární ředitel konečnou odpovědnou osobou. Jsou odpovědní za dohled nad hlavním úředníkem pro ochranu osobních údajů a za zajištění adekvátního personálního obsazení a rozpočtu na ochranu osobních údajů [2].
Reference
[1] Kr Pipa - https://www.consentstack.io/regulations/kr-pipa?utm_source=openai [2] South Korea Data Privacy Laws - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/south-korea-data-privacy-laws/?utm_source=openai [3] Pipa Consent Cross Border Transfer 2026 - https://www.koreabusinesshub.kr/blog/pipa-consent-cross-border-transfer-2026?utm_source=openai [4] South Korea - https://ksandk.com/privacy-review/map/south-korea/?utm_source=openai [5] Data Governance - https://kmoonshot.com/policy/data-governance/?utm_source=openai
Závěr
Jihokorejský PIPA: Orientace v přísných pravidlech opt-in a lokalizace dat v Asii vyžaduje více než jen zaškrtávání políček pro dodržování předpisů. Novely z roku 2026 zvýšily jak sázky, tak řetězec odpovědnosti, ukládají osobní odpovědnost generálním ředitelům a vystavují organizace, které nedodržují předpisy, pokutám, které mohou dosáhnout až 10 % celkových ročních příjmů.
Akční kroky pro organizace v roce 2026:
- Auditujte všechny mechanismy souhlasu pro korejské uživatele a nahraďte jakýkoli sdružený nebo implicitní souhlas samostatnými, účelově specifickými formuláři opt-in.
- Potvrďte, že byl jmenován váš domácí zástupce, pokud se váš podnik zaměřuje na korejské spotřebitele.
- Zkontrolujte všechny dohody o přeshraničním přenosu dat a aktualizujte oznámení o souhlasu tak, aby zahrnovala jméno příjemce, zemi, účel, kategorie dat a dobu uchovávání.
- Implementujte řešení pro souhlas s cookies v souladu s PIPA, Biscotti CMP (www.biscotti-cmp.com) poskytuje technickou infrastrukturu pro blokování sledovacích skriptů, dokud není potvrzen explicitní opt-in.
- Zaveďte dohled na úrovni generálního ředitele nad vaším programem ochrany osobních údajů, včetně dokumentovaného jmenování CPO a vyhrazeného rozpočtu na ochranu osobních údajů.
- Pokud působíte ve finančních službách, ověřte, že osobní úvěrové informace zpracovávané prostřednictvím cloudu jsou hostovány na korejských serverech.
- Nastavte si připomenutí v kalendáři na prosinec 2028, kdy má být obnoveno ujednání o přiměřenosti mezi EU a Koreou.
Dodržování PIPA není jednorázový projekt. Rámec se vyvíjí, vymáhání je aktivní a PIPC prokázala ochotu ukládat významné pokuty. Vybudování trvalého, dokumentovaného programu dodržování předpisů je nyní nejefektivnějším přístupem k působení na jednom z nejdůležitějších digitálních trhů v Asii.