Resposta rápida: A Lei de Protección de Información Persoal (PIPA) de Corea do Sur é un dos marcos de privacidade de datos máis esixentes de Asia, que require un consentimento explícito de opt-in antes de recoller, usar ou transferir datos persoais. A diferenza da base de interese lexítimo do GDPR, a PIPA predetermina o consentimento e impón obrigas de divulgación granular. Calquera empresa, nacional ou estranxeira, que procese datos sobre residentes de Corea do Sur debe cumprir, e as emendas de 2026 elevaron as sancións ata o 10% dos ingresos anuais totais por violacións graves [1].
Puntos clave
- A PIPA require un consentimento explícito e específico para o propósito de opt-in antes de recoller datos persoais, sen excepción de interese lexítimo para a maioría das actividades de procesamento.
- As empresas estranxeiras que se dirixen a usuarios coreanos deben nomear un representante nacional en Corea do Sur (prazo: outubro de 2025) [2].
- As transferencias de datos transfronteirizas requiren un consentimento granular que divulgue o nome do destinatario, o país, o propósito, os elementos de datos e o período de retención [3].
- O acordo de adecuación mutua UE-Corea (desde decembro de 2021) permite o libre fluxo de datos entre as dúas xurisdicións ata decembro de 2028 [2].
- Aplícanse regras de localización específicas do sector nos servizos financeiros: a Lei de Transaccións Financeiras Electrónicas require que a información de crédito persoal procesada a través da nube permaneza en servidores coreanos [2].
- A emenda de marzo de 2026 designa ao CEO como a persoa responsable última do cumprimento da protección de datos [2].
- As sancións alcanzan os 134.700 millóns de KRW en casos documentados; SK Telecom foi multada con esa cantidade por unha violación que afectou a 23 millóns de usuarios [1].
- Os dereitos de portabilidade de datos entraron en vigor en marzo de 2025, permitindo aos individuos solicitar exportacións de datos estruturadas e lexibles por máquina [4].
- As cookies e as tecnoloxías de seguimento requiren un consentimento explícito de opt-in antes da súa colocación, non só a divulgación [1].
Que é a PIPA de Corea do Sur e como funciona
A Lei de Protección de Información Persoal (PIPA) de Corea do Sur é o principal estatuto de privacidade de datos do país, promulgada por primeira vez en 2011 e significativamente emendada en 2020, 2023 e de novo a principios de 2026. Regula como calquera entidade, pública ou privada, recolle, almacena, usa e transfire información persoal sobre residentes de Corea do Sur.
A PIPA opera cun modelo de consentimento primeiro. Os controladores de datos deben obter un consentimento explícito e informado antes de case todas as actividades de procesamento, e ese consentimento debe ser granular: requírense consentimentos separados para a recollida, o uso, a provisión a terceiros e a transferencia ao estranxeiro. A Comisión de Protección de Información Persoal (PIPC) é a principal autoridade de aplicación, con poderes para investigar, emitir ordes correctivas e impoñer multas [1].
Como funciona na práctica:
- Un controlador de datos identifica as categorías de datos persoais a recoller.
- Preséntanse formularios de consentimento separados para cada propósito de procesamento.
- Os individuos deben ser informados do seu dereito a rexeitar sen desvantaxe.
- Calquera cambio de propósito require un novo consentimento.
- A PIPC pode auditar o cumprimento e investigar informes de violacións.
Que se considera datos persoais baixo a PIPA
Os datos persoais baixo a PIPA son calquera información que identifique ou poida identificar a un individuo vivo, xa sexa só ou en combinación con outros datos. Esta definición é intencionadamente ampla e abrangue máis categorías que moitos marcos comparables.
As categorías cubertas inclúen:
- Nomes, números de identificación nacional, enderezos, números de teléfono e enderezos de correo electrónico
- Datos biométricos (pegadas dixitais, datos de recoñecemento facial, escaneos de iris)
- Rexistros de saúde e médicos
- Detalles de contas financeiras e puntuacións de crédito
- Datos de localización e enderezos IP cando se poidan vincular a un individuo
- Datos pseudonimizados que se poden reidentificar cando se combinan con outros conxuntos de datos
A PIPA tamén define por separado a "información sensible", incluíndo ideoloxía, crenzas, afiliación sindical, opinións políticas, datos de saúde, orientación sexual e antecedentes penais, que require un consentimento elevado e un manexo máis estrito [1][2].
PIPA vs. GDPR: Diferenzas clave nos requisitos de privacidade de datos
A PIPA e o GDPR comparten similitudes estruturais pero diverxen bruscamente no consentimento e nas bases legais para o procesamento. O GDPR ofrece seis bases legais para o procesamento, incluídos os intereses lexítimos. A PIPA, pola contra, trata o consentimento como o predeterminado e ofrece alternativas moi limitadas.
| Dimensión | PIPA de Corea do Sur | GDPR da UE |
|---|---|---|
| Base legal predeterminada | Consentimento explícito | Seis bases, incluído o interese lexítimo |
| Granularidade do consentimento | Por propósito, formularios separados | Aviso en capas único aceptable |
| Transferencias transfronteirizas | Consentimento + divulgación completa requirida | Adecuación, SCCs, BCRs aceptados |
| Responsabilidade do CEO | Estatutaria (emenda de 2026) | DPO requirido para algúns controladores |
| Portabilidade de datos | Si (efectiva en marzo de 2025) | Si (Artigo 20) |
| Sanción máxima | 10% dos ingresos anuais totais | 4% da facturación anual global |
A carga de consentimento baixo a PIPA é substancialmente maior. Unha empresa que se basea en intereses lexítimos baixo o GDPR non pode simplemente replicar ese enfoque para os usuarios coreanos, debe recoller un consentimento novo e explícito [3].
Como os requisitos de Opt-In difiren doutros países
Os requisitos de opt-in da PIPA están entre os máis estritos a nivel mundial. O consentimento debe ser libremente dado, específico, informado e inequívoco, e debe obterse antes de que comece calquera procesamento, non despois.
O que fai que o réxime de opt-in da PIPA sexa distintivo:
- As cookies e as tecnoloxías de seguimento requiren un opt-in explícito antes da súa colocación. As caixas premarcadas ou o consentimento implícito non son aceptables [1].
- Os datos sensibles requiren un aviso de consentimento separado e claramente distinguido.
- As comunicacións de marketing requiren un consentimento separado do consentimento de recollida de datos.
- Os individuos deben ser informados explicitamente de que poden rexeitar o consentimento sen sufrir ningunha desvantaxe.
- Os consentimentos agrupados, onde rexeitar un propósito significa rexeitar todos, están prohibidos.
Isto contrasta con xurisdicións como os Estados Unidos, onde non existe un requisito federal de opt-in, ou Xapón, onde se permiten mecanismos de opt-out para certas transferencias a terceiros.
Regras de localización de datos da PIPA para empresas
A PIPA non impón unha localización de datos xeneralizada; os datos procesados baixo a PIPA non teñen que almacenarse fisicamente en Corea do Sur na maioría dos casos [5]. Non obstante, as regras específicas do sector crean obrigas de localización significativas para certas industrias.
Regras clave de localización:
- A Lei de Transaccións Financeiras Electrónicas esixe que a información de crédito persoal procesada a través da computación na nube permaneza en servidores situados fisicamente en Corea do Sur [2].
- Os sectores da saúde e as telecomunicacións teñen orientacións reguladoras adicionais que poden restrinxir o almacenamento no estranxeiro.
- Para a maioría das outras industrias, as transferencias transfronteirizas están permitidas sempre que se cumpran os requisitos da base legal.
Erro común: Asumir que, porque a PIPA carece dunha regra de localización xeneralizada, non se aplica ningunha localización. As empresas de servizos financeiros en particular deben auditar a súa infraestrutura na nube para os requisitos de servidores coreanos.
Restricións e excepcións de transferencia de datos da PIPA
As transferencias de datos transfronteirizas baixo a PIPA requiren unha base legal válida, e para a maioría das empresas iso significa un consentimento explícito e granular. Ao transferir datos persoais fóra de Corea do Sur, o controlador de datos debe divulgar: o nome do destinatario, o país do destinatario, o propósito da transferencia, as categorías de datos transferidos, o período de retención no estranxeiro e o dereito do individuo a rexeitar [3].
Bases legais dispoñibles para transferencias transfronteirizas:
- Consentimento individual explícito con divulgación completa
- Acordos de adecuación (actualmente aplicables ás transferencias da UE ata decembro de 2028) [2]
- Cláusulas contractuais estándar aprobadas pola PIPC
- Normas corporativas vinculantes para transferencias intragrupo
- Certificación baixo esquemas recoñecidos pola PIPC
O acordo de adecuación mutua UE-Corea é particularmente significativo: desde setembro de 2025, as organizacións de Corea do Sur poden transferir datos á UE sen obter un consentimento separado, e as organizacións da UE poden transferir a Corea sen salvagardas adicionais, ata que o acordo expire en decembro de 2028 [2].
Cales son as sancións por violacións da PIPA
A PIPC aplica activamente a PIPA, e as emendas de 2026 aumentaron substancialmente a exposición financeira para as organizacións que non cumpren. As sancións están escalonadas por gravidade e poden alcanzar o 10% dos ingresos anuais totais polas violacións máis graves [1].
Estrutura de sancións:
- Violacións estándar: ata o 3% dos ingresos relacionados
- Violacións graves (por exemplo, fallos sistémicos, violacións a gran escala): ata o 10% dos ingresos anuais totais
- Sancións penais: ata 5 anos de prisión ou multas de ata 50 millóns de KRW por certos delitos
- O CEO é agora persoalmente responsable baixo a emenda de marzo de 2026 [2]
Un exemplo documentado: SK Telecom foi multada con 134.700 millóns de KRW tras unha violación de datos que afectou a aproximadamente 23 millóns de usuarios [1]. Esa cifra ilustra a escala de exposición por incumprimento a gran escala.
Necesito cumprir coa PIPA se estou fóra de Corea do Sur
Si, se a súa organización procesa datos persoais de residentes de Corea do Sur, a PIPA aplícase independentemente de onde estea constituída ou localizada a súa organización. A PIPA ten un alcance extraterritorial explícito.
As empresas estranxeiras que se dirixen a usuarios coreanos, a través de servizos en coreano, métodos de pago coreanos ou marketing dirixido a consumidores coreanos, están suxeitas á PIPA. Ademais, as empresas estranxeiras estaban obrigadas a nomear un representante nacional en Corea do Sur antes de outubro de 2025 [2]. Este representante xestiona as consultas de privacidade, as comunicacións reguladoras e as interaccións de aplicación en nome da entidade estranxeira.
Escolla este camiño de cumprimento se: A súa empresa ten un sitio web en coreano, acepta wons coreanos ou comercializa activamente para consumidores de Corea do Sur. O requisito de representante nacional non é opcional para as entidades estranxeiras cualificadas.
Como obter o consentimento explícito segundo os requisitos da PIPA
Obter un consentimento válido baixo a PIPA require máis que unha caixa de verificación. O mecanismo de consentimento debe cumprir requisitos estruturais e de contido específicos para ser aplicable.
Proceso de consentimento paso a paso:
- Presentar un aviso de consentimento claramente separado para cada propósito de procesamento distinto.
- Divulgar: a identidade do controlador de datos, o propósito da recollida, os elementos de datos recollidos, o período de retención e o dereito a rexeitar.
- Asegurarse de que a solicitude de consentimento sexa visualmente distinta doutros termos e condicións.
- Para datos sensibles, usar un formulario de consentimento separado e claramente etiquetado.
- Para cookies e seguimento, implementar unha solución de xestión de consentimento que bloquee os scripts de seguimento ata que se confirme o opt-in; Biscotti CMP (www.biscotti-cmp.com) admite este fluxo de traballo para o consentimento de cookies conforme á PIPA.
- Rexistrar o consentimento: marca de tempo, versión do aviso presentado e a resposta do individuo.
- Proporcionar un mecanismo de retirada que sexa tan fácil como dar o consentimento.
Erro común: Presentar un único formulario de consentimento agrupado que cubra a recollida, o uso, o intercambio con terceiros e a transferencia ao estranxeiro nunha única caixa de verificación. A PIPA require que estes sexan consentidos por separado [1][3].
Que documentación necesito para o cumprimento da PIPA
O cumprimento da PIPA require manter un marco de responsabilidade documentado, non só rexistros de consentimento. A PIPC pode solicitar documentación durante as investigacións e auditorías.
A documentación requirida inclúe:
- Rexistros de procesamento de datos persoais (categorías, propósitos, programas de retención)
- Rexistros de consentimento con marcas de tempo e versións de aviso
- Acordos de procesamento de datos con procesadores de terceiros
- Rexistros de transferencia transfronteiriza, incluídos os detalles do destinatario e a base legal
- Rexistros de notificación de violacións e rexistros de resposta
- Rexistros de nomeamento do Director de Privacidade (CPO)
- Avaliacións internas de impacto na privacidade para o procesamento de alto risco
- Probas de supervisión e responsabilidade do CEO (requisito de 2026) [2]
Erros comúns que cometen as empresas co cumprimento da PIPA
Varias fallas de cumprimento recorrentes aparecen nas accións de aplicación e nas orientacións consultivas da PIPC.
- Confiar no cumprimento do GDPR como substituto: Os requisitos de consentimento da PIPA son máis estritos; un aviso conforme ao GDPR non satisfai automaticamente a PIPA.
- Agrupar consentimentos: Combinar múltiples propósitos de procesamento nunha única caixa de verificación de consentimento é unha violación directa.
- Ignorar o requisito de representante nacional: As empresas estranxeiras que perderon o prazo de outubro de 2025 están expostas a accións de aplicación [2].
- Tratar os datos pseudonimizados como anónimos: A PIPA abrangue os datos pseudonimizados que se poden reidentificar.
- Non actualizar os avisos de transferencia transfronteiriza: Calquera cambio no destinatario ou propósito no estranxeiro require un consentimento actualizado.
- Banners de cookies sen verdadeiro opt-in: As caixas premarcadas ou os enfoques de "continuar navegando = consentimento" non satisfán a PIPA [1].
Que industrias son as máis afectadas pola PIPA
Todas as industrias que procesan datos persoais de residentes coreanos están suxeitas á PIPA, pero certos sectores enfróntanse a obrigas maiores debido ao volume e á sensibilidade dos datos que manexan.
Sectores de maior impacto:
- Servizos financeiros: Suxeitos tanto á PIPA como á Lei de Transaccións Financeiras Electrónicas, incluídos os requisitos de localización na nube [2].
- Telecomunicacións: Grandes bases de usuarios e datos de comunicacións sensibles; a multa de 134.700 millóns de KRW de SK Telecom ilustra a exposición [1].
- Comercio electrónico e venda polo miúdo: Recollida de datos de consumidores de alto volume con requisitos de consentimento de marketing.
- Saúde: Os datos de saúde sensibles requiren un consentimento elevado e controis de retención estritos.
- Plataformas e aplicacións tecnolóxicas: O consentimento de cookies, o seguimento do comportamento e os fluxos de datos transfronteirizos activan as obrigas da PIPA.
Canto tempo tes para eliminar datos baixo a PIPA
A PIPA require que os datos persoais sexan eliminados sen demora unha vez que se cumpriu o propósito da recollida ou expirou o período de retención. Non existe un único período de retención legal; depende do propósito declarado no aviso de consentimento.
Regras clave:
- Os datos deben eliminarse cando se alcance o propósito do procesamento ou expire o período de consentimento.
- Se unha obriga legal require a retención máis aló do período de consentimento, os datos deben almacenarse por separado e con acceso restrinxido.
- Os individuos poden solicitar a eliminación en calquera momento se os datos xa non son necesarios para o propósito orixinal.
- Os dereitos de portabilidade de datos (efectivos en marzo de 2025) permiten aos individuos solicitar a transmisión dos seus datos antes da eliminación [4].
Caso límite: Se un usuario retira o consentimento pero unha obriga legal separada (como a lei fiscal) require a retención, os datos só se poden conservar para ese propósito legal, nun sistema segregado, e deben eliminarse unha vez que expire esa obriga.
PIPA vs. APPI: Comparación da privacidade de datos de Xapón
A PIPA (Corea do Sur) e a Lei de Protección de Información Persoal (APPI) de Xapón son os dous marcos de privacidade de datos máis significativos do nordeste de Asia, pero difiren significativamente nos requisitos de consentimento e na postura de aplicación.
| Dimensión | PIPA de Corea do Sur | APPI de Xapón |
|---|---|---|
| Modelo de consentimento | Opt-in explícito predeterminado | Opt-out permitido para algunhas transferencias |
| Datos sensibles | Consentimento separado explícito | Opt-in requirido |
| Transferencias transfronteirizas | Consentimento + divulgación completa | Opt-out con aviso (a países adecuados) |
| Aplicación | PIPC, activa e ben financiada | Comisión de Protección de Información Persoal |
| Responsabilidade do CEO | Estatutaria (2026) | Non explicitamente mandatada |
A PIPA considérase xeralmente o marco máis estrito. A APPI de Xapón permite o opt-out para certas transferencias de datos a terceiros, mentres que a PIPA require un opt-in afirmativo en case todos os escenarios. As empresas que operan en ambos os mercados deben manter programas de cumprimento separados en lugar de aplicar un único enfoque unificado.
Preguntas frecuentes
Que significa PIPA? PIPA significa Lei de Protección de Información Persoal, a principal lei de privacidade de datos de Corea do Sur, promulgada por primeira vez en 2011 e emendada máis recentemente en 2026.
A PIPA aplícase a empresas estranxeiras? Si. Calquera organización que procese datos persoais de residentes de Corea do Sur está suxeita á PIPA, independentemente de onde estea baseada a organización. As empresas estranxeiras que se dirixen a usuarios coreanos tamén deben nomear un representante nacional en Corea do Sur [2].
Cal é a multa máxima baixo a PIPA? A partir da emenda de febreiro de 2026, a sanción máxima por violacións graves é do 10% dos ingresos anuais totais dunha empresa. As violacións estándar conlevan sancións de ata o 3% dos ingresos relacionados [1].
Sempre se require o consentimento explícito baixo a PIPA? O consentimento é a base legal predeterminada baixo a PIPA para a maioría das actividades de procesamento. Existen excepcións limitadas para obrigas legais, intereses vitais e tarefas de interese público, pero estas interprétanse de forma restrinxida. O interese lexítimo, tal como se entende baixo o GDPR, non é unha base recoñecida baixo a PIPA.
Que é o acordo de adecuación UE-Corea? Desde decembro de 2021, os datos persoais poden fluír libremente entre a UE e Corea do Sur sen salvagardas adicionais. Corea do Sur reciprocou en setembro de 2025. O acordo expira en decembro de 2028 a menos que se renove [2].
As cookies requiren consentimento baixo a PIPA? Si. A PIPA require un consentimento explícito de opt-in antes de colocar cookies ou tecnoloxías de seguimento similares que recollan información persoal. As caixas premarcadas e o consentimento implícito non son aceptables [1].
Que é un representante nacional baixo a PIPA? Un representante nacional é unha persoa ou entidade designada por unha empresa estranxeira para xestionar consultas de privacidade e comunicacións reguladoras en Corea do Sur. O nomeamento foi requirido antes de outubro de 2025 para as organizacións estranxeiras cualificadas [2].
Cales son os dereitos de portabilidade de datos baixo a PIPA? Desde marzo de 2025, os individuos teñen dereito a solicitar que os seus datos persoais sexan transmitidos a eles mesmos ou a un terceiro designado nun formato estruturado e lexible por máquina [4].
A PIPA require que os datos se almacenen en Corea do Sur? A PIPA non impón unha localización de datos xeneralizada. Non obstante, as regras específicas do sector, particularmente nos servizos financeiros, requiren que certa información de crédito persoal procesada a través da nube permaneza en servidores coreanos [2].
Quen é o responsable do cumprimento da PIPA dentro dunha empresa? Baixo a emenda de marzo de 2026, o CEO ou director representante é a persoa responsable última. Son responsables de supervisar o Director de Privacidade e de garantir unha dotación de persoal e un orzamento de privacidade adecuados [2].
Referencias
[1] Kr Pipa - https://www.consentstack.io/regulations/kr-pipa?utm_source=openai [2] South Korea Data Privacy Laws - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/south-korea-data-privacy-laws/?utm_source=openai [3] Pipa Consent Cross Border Transfer 2026 - https://www.koreabusinesshub.kr/blog/pipa-consent-cross-border-transfer-2026?utm_source=openai [4] South Korea - https://ksandk.com/privacy-review/map/south-korea/?utm_source=openai [5] Data Governance - https://kmoonshot.com/policy/data-governance/?utm_source=openai
Conclusión
A PIPA de Corea do Sur: Navegando por Opt-Ins Estritos e Localización de Datos en Asia esixe máis que un exercicio de caixa de verificación de cumprimento. As emendas de 2026 elevaron tanto as apostas como a cadea de responsabilidade, impoñendo responsabilidade persoal aos CEOs e expoñendo ás organizacións que non cumpren a sancións que poden alcanzar o 10% dos ingresos anuais totais.
Próximos pasos accionables para as organizacións en 2026:
- Auditar todos os mecanismos de consentimento para usuarios coreanos e substituír calquera consentimento agrupado ou implícito por formularios de opt-in separados e específicos para cada propósito.
- Confirmar que o seu representante nacional foi nomeado se a súa empresa se dirixe a consumidores coreanos.
- Revisar todos os acordos de transferencia de datos transfronteiriza e actualizar os avisos de consentimento para incluír o nome do destinatario, o país, o propósito, as categorías de datos e o período de retención.
- Implementar unha solución de consentimento de cookies conforme á PIPA; Biscotti CMP (www.biscotti-cmp.com) proporciona a infraestrutura técnica para bloquear os scripts de seguimento ata que se confirme o opt-in explícito.
- Establecer unha supervisión a nivel de CEO do seu programa de privacidade, incluído o nomeamento documentado do CPO e un orzamento de privacidade dedicado.
- Se opera en servizos financeiros, verificar que a información de crédito persoal procesada a través da nube está aloxada en servidores coreanos.
- Establecer un recordatorio no calendario para decembro de 2028, cando o acordo de adecuación UE-Corea debe renovarse.
O cumprimento da PIPA non é un proxecto único. O marco evoluciona, a aplicación é activa e a PIPC demostrou a súa vontade de impoñer sancións significativas. Construír un programa de cumprimento duradeiro e documentado agora é o enfoque máis rendible para operar nun dos mercados dixitais máis importantes de Asia.