Kort svar: Sydkoreas Personal Information Protection Act (PIPA) er en af Asiens mest krævende rammer for databeskyttelse, der kræver eksplicit opt-in-samtykke, før personoplysninger indsamles, bruges eller overføres. I modsætning til GDPR's legitime interesse som grundlag, er PIPA som standard baseret på samtykke og pålægger detaljerede oplysningsforpligtelser. Enhver virksomhed, national eller udenlandsk, der behandler data om sydkoreanske indbyggere, skal overholde loven, og ændringer fra 2026 har hævet bøderne til op til 10 % af den samlede årlige omsætning for alvorlige overtrædelser [1].
Nøglepunkter
- PIPA kræver eksplicit, formålspecifikt opt-in-samtykke, før personoplysninger indsamles, uden undtagelse for legitim interesse for de fleste behandlingsaktiviteter.
- Udenlandske virksomheder, der retter sig mod koreanske brugere, skal udpege en indenlandsk repræsentant i Sydkorea (frist: oktober 2025) [2].
- Grænseoverskridende dataoverførsler kræver detaljeret samtykke, der oplyser modtagerens navn, land, formål, dataelementer og opbevaringsperiode [3].
- EU-Korea gensidig tilstrækkelighedsordning (siden december 2021) tillader fri dataudveksling mellem de to jurisdiktioner indtil december 2028 [2].
- Sektorspecifikke lokaliseringsregler gælder for finansielle tjenester: Electronic Financial Transactions Act kræver, at personlige kreditoplysninger behandlet via cloud forbliver på koreanske servere [2].
- Ændringen fra marts 2026 udpeger CEO'en som den ultimativt ansvarlige person for overholdelse af databeskyttelse [2].
- Bøder når KRW 134,7 milliarder i dokumenterede sager; SK Telecom blev idømt dette beløb for et brud, der påvirkede 23 millioner brugere [1].
- Dataportabilitetsrettigheder trådte i kraft i marts 2025, hvilket giver enkeltpersoner mulighed for at anmode om strukturerede, maskinlæsbare dataeksport [4].
- Cookies og sporingsteknologier kræver eksplicit opt-in-samtykke før placering, ikke kun oplysning [1].
Hvad er Sydkoreas PIPA, og hvordan fungerer den?
Sydkoreas Personal Information Protection Act (PIPA) er landets primære lov om databeskyttelse, der først blev vedtaget i 2011 og væsentligt ændret i 2020, 2023 og igen i begyndelsen af 2026. Den regulerer, hvordan enhver enhed, offentlig eller privat, indsamler, opbevarer, bruger og overfører personoplysninger om sydkoreanske indbyggere.
PIPA opererer efter en "samtykke-først"-model. Dataansvarlige skal indhente eksplicit, informeret samtykke før næsten enhver behandlingsaktivitet, og dette samtykke skal være detaljeret: særskilt samtykke er påkrævet for indsamling, brug, videregivelse til tredjeparter og overførsel til udlandet. Personal Information Protection Commission (PIPC) er den primære håndhævelsesmyndighed med beføjelser til at undersøge, udstede korrigerende ordrer og pålægge bøder [1].
Sådan fungerer det i praksis:
- En dataansvarlig identificerer de kategorier af personoplysninger, der skal indsamles.
- Særskilte samtykkeformularer præsenteres for hvert behandlingsformål.
- Enkeltpersoner skal informeres om deres ret til at nægte uden ulempe.
- Enhver ændring i formålet kræver nyt samtykke.
- PIPC kan revidere overholdelse og undersøge brudsrapporter.
Hvad tæller som personoplysninger under PIPA
Personoplysninger under PIPA er enhver information, der identificerer eller kan identificere en levende person, enten alene eller i kombination med andre data. Denne definition er bevidst bred og dækker flere kategorier end mange sammenlignelige rammer.
Dækkede kategorier inkluderer:
- Navne, nationale identifikationsnumre, adresser, telefonnumre og e-mailadresser
- Biometriske data (fingeraftryk, ansigtsgenkendelsesdata, irisscanninger)
- Sundheds- og medicinske journaler
- Finansielle kontooplysninger og kreditvurderinger
- Lokationsdata og IP-adresser, når de kan knyttes til en person
- Pseudonymiserede data, der kan genidentificeres, når de kombineres med andre datasæt
PIPA definerer også særskilt "følsomme oplysninger", herunder ideologi, overbevisninger, fagforeningsmedlemskab, politiske synspunkter, sundhedsdata, seksuel orientering og strafferegistre, hvilket kræver skærpet samtykke og strengere håndtering [1][2].
PIPA vs. GDPR: Nøgleforskelle i databeskyttelseskrav
PIPA og GDPR deler strukturelle ligheder, men adskiller sig markant med hensyn til samtykke og lovlige grundlag for behandling. GDPR tilbyder seks lovlige grundlag for behandling, herunder legitime interesser. PIPA behandler derimod samtykke som standard og giver meget begrænsede alternativer.
| Dimension | Sydkorea PIPA | EU GDPR |
|---|---|---|
| Standard lovligt grundlag | Eksplicit samtykke | Seks grundlag, herunder legitim interesse |
| Samtykkegranularitet | Per-formål, separate formularer | Enkelt lagdelt meddelelse acceptabel |
| Grænseoverskridende overførsler | Samtykke + fuld oplysning påkrævet | Tilstrækkelighed, SCC'er, BCR'er accepteret |
| CEO-ansvar | Lovpligtigt (2026-ændring) | DPO påkrævet for nogle dataansvarlige |
| Dataportabilitet | Ja (gældende fra marts 2025) | Ja (artikel 20) |
| Maks. bøde | 10 % af den samlede årlige omsætning | 4 % af den globale årlige omsætning |
Samtykkebyrden under PIPA er væsentligt højere. En virksomhed, der baserer sig på legitime interesser under GDPR, kan ikke blot gentage den tilgang for koreanske brugere; den skal indhente nyt, eksplicit samtykke [3].
Hvordan opt-in-krav adskiller sig fra andre lande
PIPAs opt-in-krav er blandt de strengeste globalt. Samtykke skal gives frit, specifikt, informeret og utvetydigt, og det skal indhentes, før enhver behandling påbegyndes, ikke efter.
Hvad der gør PIPAs opt-in-regime særpræget:
- Cookies og sporingsteknologier kræver eksplicit opt-in før placering. Forudafkrydsede felter eller implicit samtykke er ikke acceptable [1].
- Følsomme data kræver en særskilt, tydeligt markeret samtykkemeddelelse.
- Marketingkommunikation kræver særskilt samtykke fra samtykke til dataindsamling.
- Enkeltpersoner skal udtrykkeligt informeres om, at de kan nægte samtykke uden at lide nogen ulempe.
- Bundtede samtykker, hvor afvisning af ét formål betyder afvisning af alle, er forbudt.
Dette står i kontrast til jurisdiktioner som USA, hvor der ikke findes et føderalt opt-in-krav, eller Japan, hvor opt-out-mekanismer er tilladt for visse tredjepartsoverførsler.
PIPA-datalokaliseringsregler for virksomheder
PIPA pålægger ikke et generelt krav om datalokalisering; data behandlet under PIPA behøver i de fleste tilfælde ikke at være fysisk lagret i Sydkorea [5]. Sektorspecifikke regler skaber dog betydelige lokaliseringsforpligtelser for visse brancher.
Nøglelokaliseringsregler:
- Electronic Financial Transactions Act kræver, at personlige kreditoplysninger behandlet via cloud computing forbliver på servere, der er fysisk placeret i Sydkorea [2].
- Sundheds- og telekommunikationssektorer har yderligere reguleringsvejledning, der kan begrænse offshore-lagring.
- For de fleste andre brancher er grænseoverskridende overførsler tilladt, forudsat at de lovmæssige krav er opfyldt.
Almindelig fejl: At antage, at fordi PIPA mangler en generel lokaliseringsregel, gælder ingen lokalisering. Finansielle servicevirksomheder skal især revidere deres cloud-infrastruktur for koreanske serverkrav.
PIPA-databehandlingsbegrænsninger og undtagelser
Grænseoverskridende dataoverførsler under PIPA kræver et gyldigt retsgrundlag, og for de fleste virksomheder betyder det eksplicit, granulært samtykke. Ved overførsel af personoplysninger uden for Sydkorea skal den dataansvarlige oplyse: modtagerens navn, modtagerens land, formålet med overførslen, kategorierne af overførte data, opbevaringsperioden i udlandet og den enkeltes ret til at nægte [3].
Tilgængelige retsgrundlag for grænseoverskridende overførsler:
- Eksplicit individuelt samtykke med fuld oplysning
- Tilstrækkelighedsordninger (gælder i øjeblikket for EU-overførsler indtil december 2028) [2]
- Standardkontraktbestemmelser godkendt af PIPC
- Bindende virksomhedsregler for koncerninterne overførsler
- Certificering under PIPC-anerkendte ordninger
EU-Korea gensidige tilstrækkelighedsordning er særligt betydningsfuld: siden september 2025 kan sydkoreanske organisationer overføre data til EU uden at indhente særskilt samtykke, og EU-organisationer kan overføre til Korea uden yderligere sikkerhedsforanstaltninger, indtil ordningen udløber i december 2028 [2].
Hvad er straffene for PIPA-overtrædelser
PIPC håndhæver aktivt PIPA, og ændringerne fra 2026 øgede væsentligt den finansielle eksponering for ikke-kompatible organisationer. Straffene er opdelt efter alvorlighed og kan nå 10 % af den samlede årlige omsætning for de mest alvorlige overtrædelser [1].
Straffestruktur:
- Standardovertrædelser: op til 3 % af den relaterede omsætning
- Alvorlige overtrædelser (f.eks. systemiske fejl, store brud): op til 10 % af den samlede årlige omsætning
- Strafferetlige sanktioner: op til 5 års fængsel eller bøder op til KRW 50 millioner for visse lovovertrædelser
- CEO'en er nu personligt ansvarlig i henhold til ændringen fra marts 2026 [2]
Et dokumenteret eksempel: SK Telecom blev idømt en bøde på KRW 134,7 milliarder efter et databrud, der påvirkede ca. 23 millioner brugere [1]. Dette tal illustrerer omfanget af eksponering for storstilet manglende overholdelse.
Skal jeg overholde PIPA, hvis jeg er uden for Sydkorea?
Ja, hvis din organisation behandler personoplysninger om sydkoreanske indbyggere, gælder PIPA uanset hvor din organisation er registreret eller placeret. PIPA har udtrykkelig ekstraterritorial rækkevidde.
Udenlandske virksomheder, der retter sig mod koreanske brugere, gennem koreansksprogede tjenester, koreanske betalingsmetoder eller markedsføring rettet mod koreanske forbrugere, er underlagt PIPA. Desuden var udenlandske virksomheder forpligtet til at udpege en indenlandsk repræsentant i Sydkorea inden oktober 2025 [2]. Denne repræsentant håndterer forespørgsler om privatliv, lovgivningsmæssig kommunikation og håndhævelsesinteraktioner på vegne af den udenlandske enhed.
Vælg denne compliance-vej, hvis: Din virksomhed har en koreansksproget hjemmeside, accepterer koreanske won eller aktivt markedsfører sig over for sydkoreanske forbrugere. Kravet om en indenlandsk repræsentant er ikke valgfrit for kvalificerende udenlandske enheder.
Sådan indhentes eksplicit samtykke i henhold til PIPA-kravene
At opnå gyldigt samtykke under PIPA kræver mere end et afkrydsningsfelt. Samtykkemekanismen skal opfylde specifikke strukturelle og indholdsmæssige krav for at være håndhævelig.
Trin-for-trin samtykkeproces:
- Præsenter en tydeligt adskilt samtykkemeddelelse for hvert særskilt behandlingsformål.
- Oplys: identiteten af den dataansvarlige, formålet med indsamlingen, de indsamlede dataelementer, opbevaringsperioden og retten til at nægte.
- Sørg for, at samtykkeanmodningen er visuelt adskilt fra andre vilkår og betingelser.
- For følsomme data skal du bruge en særskilt, tydeligt mærket samtykkeformular.
- For cookies og sporing skal du implementere en samtykkestyringsløsning, der blokerer sporingsscripts, indtil opt-in er bekræftet. Biscotti CMP (www.biscotti-cmp.com) understøtter denne arbejdsgang for PIPA-kompatibelt cookiesamtykke.
- Registrer samtykket: tidsstempel, version af den præsenterede meddelelse og den enkeltes svar.
- Tilbyd en mekanisme for tilbagetrækning, der er lige så nem som at give samtykke.
Almindelig fejl: Præsentation af en enkelt samlet samtykkeformular, der dækker indsamling, brug, deling med tredjeparter og overførsel til udlandet i ét afkrydsningsfelt. PIPA kræver, at disse samtykkes særskilt [1][3].
Hvilken dokumentation skal jeg bruge for PIPA-overholdelse?
PIPA-overholdelse kræver opretholdelse af en dokumenteret ansvarlighedsramme, ikke kun samtykkeregistre. PIPC kan anmode om dokumentation under undersøgelser og revisioner.
Påkrævet dokumentation inkluderer:
- Registre over behandling af personoplysninger (kategorier, formål, opbevaringsplaner)
- Samtykkeregistre med tidsstempler og meddelelsesversioner
- Databehandleraftaler med tredjepartsbehandlere
- Registre over grænseoverskridende overførsler, herunder modtageroplysninger og retsgrundlag
- Logfiler for brudmeddelelser og svarregistre
- Udnævnelsesregistre for Chief Privacy Officer (CPO)
- Interne konsekvensanalyser for databeskyttelse for højrisikobehandling
- Bevis for CEO-tilsyn og ansvarlighed (2026-krav) [2]
Almindelige fejl virksomheder begår med PIPA-overholdelse
Flere tilbagevendende overholdelsesfejl optræder i PIPC's håndhævelsesaktioner og rådgivende vejledning.
- At stole på GDPR-overholdelse som erstatning: PIPAs samtykkekrav er strengere; en GDPR-kompatibel meddelelse opfylder ikke automatisk PIPA.
- Bundtning af samtykker: At kombinere flere behandlingsformål i ét samtykkeafkrydsningsfelt er en direkte overtrædelse.
- Ignorering af kravet om indenlandsk repræsentant: Udenlandske virksomheder, der missede fristen i oktober 2025, er udsat for håndhævelsesaktioner [2].
- Behandling af pseudonymiserede data som anonyme: PIPA dækker pseudonymiserede data, der kan genidentificeres.
- Manglende opdatering af meddelelser om grænseoverskridende overførsler: Enhver ændring i den oversøiske modtager eller formål kræver opdateret samtykke.
- Cookiebannere uden ægte opt-in: Forudafkrydsede felter eller "fortsæt med at browse = samtykke"-tilgange opfylder ikke PIPA [1].
Hvilke brancher er mest berørt af PIPA
Alle brancher, der behandler personoplysninger om koreanske indbyggere, er underlagt PIPA, men visse sektorer står over for skærpede forpligtelser på grund af mængden og følsomheden af de data, de håndterer.
Sektorer med størst indvirkning:
- Finansielle tjenester: Underlagt både PIPA og Electronic Financial Transactions Act, herunder krav til cloud-lokalisering [2].
- Telekommunikation: Store brugerbaser og følsomme kommunikationsdata; SK Telecoms bøde på KRW 134,7 milliarder illustrerer eksponeringen [1].
- E-handel og detailhandel: Stor volumen af forbrugerdataindsamling med krav til markedsføringssamtykke.
- Sundhedspleje: Følsomme sundhedsdata kræver skærpet samtykke og strenge opbevaringskontroller.
- Teknologiplatforme og apps: Cookiesamtykke, adfærdssporing og grænseoverskridende dataudveksling udløser alle PIPA-forpligtelser.
Hvor længe har du til at slette data under PIPA?
PIPA kræver, at personoplysninger slettes uden unødig forsinkelse, når formålet med indsamlingen er opfyldt, eller opbevaringsperioden er udløbet. Der er ingen enkelt lovbestemt opbevaringsperiode; den afhænger af det angivne formål i samtykkemeddelelsen.
Nøgleregler:
- Data skal slettes, når behandlingsformålet er opnået, eller samtykkeperioden udløber.
- Hvis en juridisk forpligtelse kræver opbevaring ud over samtykkeperioden, skal dataene opbevares særskilt og med begrænset adgang.
- Enkeltpersoner kan anmode om sletning til enhver tid, hvis dataene ikke længere er nødvendige til det oprindelige formål.
- Dataportabilitetsrettigheder (gældende fra marts 2025) giver enkeltpersoner mulighed for at anmode om overførsel af deres data før sletning [4].
Særligt tilfælde: Hvis en bruger trækker samtykke tilbage, men en særskilt juridisk forpligtelse (f.eks. skattelovgivning) kræver opbevaring, kan dataene kun opbevares til dette juridiske formål i et adskilt system og skal slettes, når denne forpligtelse udløber.
PIPA vs. APPI: Sammenligning af japansk databeskyttelse
PIPA (Sydkorea) og Japans Act on the Protection of Personal Information (APPI) er de to mest betydningsfulde databeskyttelsesrammer i Nordøstasien, men de adskiller sig markant med hensyn til samtykkekrav og håndhævelsesposition.
| Dimension | Sydkorea PIPA | Japan APPI |
|---|---|---|
| Samtykkemodel | Eksplicit opt-in standard | Opt-out tilladt for nogle overførsler |
| Følsomme data | Eksplicit særskilt samtykke | Opt-in påkrævet |
| Grænseoverskridende overførsler | Samtykke + fuld oplysning | Opt-out med meddelelse (til tilstrækkelige lande) |
| Håndhævelse | PIPC, aktiv og velfinansieret | Personal Information Protection Commission |
| CEO-ansvar | Lovpligtigt (2026) | Ikke udtrykkeligt påbudt |
PIPA betragtes generelt som den strengere ramme. Japans APPI tillader opt-out for visse tredjepartsdataoverførsler, mens PIPA kræver bekræftende opt-in i næsten alle scenarier. Virksomheder, der opererer på begge markeder, skal opretholde separate compliance-programmer i stedet for at anvende en enkelt samlet tilgang.
Ofte stillede spørgsmål
Hvad står PIPA for? PIPA står for Personal Information Protection Act, Sydkoreas primære databeskyttelseslov, der først blev vedtaget i 2011 og senest ændret i 2026.
Gælder PIPA for udenlandske virksomheder? Ja. Enhver organisation, der behandler personoplysninger om sydkoreanske indbyggere, er underlagt PIPA, uanset hvor organisationen er baseret. Udenlandske virksomheder, der retter sig mod koreanske brugere, skal også udpege en indenlandsk repræsentant i Sydkorea [2].
Hvad er den maksimale bøde under PIPA? Fra februar 2026-ændringen er den maksimale bøde for alvorlige overtrædelser 10 % af en virksomheds samlede årlige omsætning. Standardovertrædelser medfører bøder på op til 3 % af den relaterede omsætning [1].
Er eksplicit samtykke altid påkrævet under PIPA? Samtykke er det standardmæssige retsgrundlag under PIPA for de fleste behandlingsaktiviteter. Begrænsede undtagelser findes for juridiske forpligtelser, vitale interesser og opgaver i offentlighedens interesse, men disse fortolkes snævert. Legitim interesse, som forstået under GDPR, er ikke et anerkendt grundlag under PIPA.
Hvad er EU-Korea tilstrækkelighedsordningen? Siden december 2021 kan personoplysninger flyde frit mellem EU og Sydkorea uden yderligere sikkerhedsforanstaltninger. Sydkorea gengældte i september 2025. Ordningen udløber i december 2028, medmindre den fornyes [2].
Kræver cookies samtykke under PIPA? Ja. PIPA kræver eksplicit opt-in-samtykke, før cookies eller lignende sporingsteknologier, der indsamler personoplysninger, placeres. Forudafkrydsede felter og implicit samtykke er ikke acceptable [1].
Hvad er en indenlandsk repræsentant under PIPA? En indenlandsk repræsentant er en person eller enhed udpeget af en udenlandsk virksomhed til at håndtere forespørgsler om privatliv og lovgivningsmæssig kommunikation i Sydkorea. Udnævnelsen var påkrævet inden oktober 2025 for kvalificerende udenlandske organisationer [2].
Hvad er dataportabilitetsrettigheder under PIPA? Siden marts 2025 har enkeltpersoner ret til at anmode om, at deres personoplysninger overføres til dem selv eller en udpeget tredjepart i et struktureret, maskinlæsbart format [4].
Kræver PIPA, at data opbevares i Sydkorea? PIPA pålægger ikke et generelt krav om datalokalisering. Sektorspecifikke regler, især inden for finansielle tjenester, kræver dog, at visse personlige kreditoplysninger behandlet via cloud forbliver på koreanske servere [2].
Hvem er ansvarlig for PIPA-overholdelse i en virksomhed? I henhold til ændringen fra marts 2026 er CEO'en eller den administrerende direktør den ultimativt ansvarlige person. De er ansvarlige for at føre tilsyn med Chief Privacy Officer og sikre tilstrækkelig bemanding og budget til privatlivsbeskyttelse [2].
Referencer
[1] Kr Pipa - https://www.consentstack.io/regulations/kr-pipa?utm_source=openai [2] South Korea Data Privacy Laws - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/south-korea-data-privacy-laws/?utm_source=openai [3] Pipa Consent Cross Border Transfer 2026 - https://www.koreabusinesshub.kr/blog/pipa-consent-cross-border-transfer-2026?utm_source=openai [4] South Korea - https://ksandk.com/privacy-review/map/south-korea/?utm_source=openai [5] Data Governance - https://kmoonshot.com/policy/data-governance/?utm_source=openai
Konklusion
Sydkoreas PIPA: Navigering af strenge opt-ins og datalokalisering i Asien kræver mere end en simpel afkrydsning af et compliance-felt. Ændringerne fra 2026 har hævet både indsatsen og ansvarlighedskæden, idet personligt ansvar pålægges CEO'er og ikke-kompatible organisationer udsættes for bøder, der kan nå op til 10 % af den samlede årlige omsætning.
Handlingsorienterede næste skridt for organisationer i 2026:
- Auditér alle samtykkemekanismer for koreanske brugere og erstat eventuelle bundtede eller implicitte samtykker med separate, formålspecifikke opt-in-formularer.
- Bekræft, at din indenlandske repræsentant er udpeget, hvis din virksomhed retter sig mod koreanske forbrugere.
- Gennemgå alle aftaler om grænseoverskridende dataoverførsler og opdater samtykkemeddelelser til at inkludere modtagerens navn, land, formål, datakategorier og opbevaringsperiode.
- Implementer en PIPA-kompatibel cookie-samtykkeløsning; Biscotti CMP (www.biscotti-cmp.com) leverer den tekniske infrastruktur til at blokere sporingsscripts, indtil eksplicit opt-in er bekræftet.
- Etabler CEO-niveau tilsyn med dit privatlivsprogram, herunder dokumenteret CPO-udnævnelse og dedikeret privatlivsbudget.
- Hvis du opererer inden for finansielle tjenester, skal du verificere, at personlige kreditoplysninger behandlet via cloud hostes på koreanske servere.
- Sæt en kalenderpåmindelse for december 2028, hvor EU-Korea tilstrækkelighedsordningen skal fornyes.
PIPA-overholdelse er ikke et engangsprojekt. Rammen udvikler sig, håndhævelsen er aktiv, og PIPC har vist vilje til at pålægge betydelige bøder. At opbygge et holdbart, dokumenteret compliance-program nu er den mest omkostningseffektive tilgang til at operere på et af Asiens vigtigste digitale markeder.