Resposta Rápida: A Lei de Proteção de Informações Pessoais da Coreia do Sul (PIPA) é uma das estruturas de privacidade de dados mais exigentes da Ásia, exigindo consentimento explícito antes de coletar, usar ou transferir dados pessoais. Ao contrário da base de interesse legítimo do GDPR, a PIPA assume o consentimento como padrão e impõe obrigações de divulgação granulares. Qualquer empresa, nacional ou estrangeira, que processe dados sobre residentes sul-coreanos deve cumprir, e as emendas de 2026 aumentaram as penalidades para até 10% da receita total anual por violações graves [1].
Principais Conclusões
- A PIPA exige consentimento explícito e específico para cada finalidade antes de coletar dados pessoais, sem exceção de interesse legítimo para a maioria das atividades de processamento.
- Empresas estrangeiras que visam utilizadores coreanos devem nomear um representante nacional na Coreia do Sul (prazo: outubro de 2025) [2].
- As transferências de dados transfronteiriças exigem consentimento granular que divulgue o nome do destinatário, país, finalidade, itens de dados e período de retenção [3].
- O acordo de adequação mútua entre a UE e a Coreia (desde dezembro de 2021) permite o fluxo livre de dados entre as duas jurisdições até dezembro de 2028 [2].
- Regras de localização específicas do setor aplicam-se aos serviços financeiros: a Lei de Transações Financeiras Eletrónicas exige que as informações de crédito pessoal processadas via nuvem permaneçam em servidores coreanos [2].
- A emenda de março de 2026 designa o CEO como a pessoa responsável final pela conformidade com a proteção de dados [2].
- As penalidades atingem KRW 134,7 bilhões em casos documentados; a SK Telecom foi multada nesse valor por uma violação que afetou 23 milhões de utilizadores [1].
- Os direitos de portabilidade de dados entraram em vigor em março de 2025, permitindo que indivíduos solicitem exportações de dados estruturados e legíveis por máquina [4].
- Cookies e tecnologias de rastreamento exigem consentimento explícito antes da colocação, não apenas divulgação [1].
O Que É a PIPA da Coreia do Sul e Como Funciona
A Lei de Proteção de Informações Pessoais da Coreia do Sul (PIPA) é a principal legislação de privacidade de dados do país, promulgada pela primeira vez em 2011 e significativamente alterada em 2020, 2023 e novamente no início de 2026. Ela regula como qualquer entidade, pública ou privada, coleta, armazena, usa e transfere informações pessoais sobre residentes sul-coreanos.
A PIPA opera com um modelo de consentimento em primeiro lugar. Os controladores de dados devem obter consentimento explícito e informado antes de quase todas as atividades de processamento, e esse consentimento deve ser granular: são necessários consentimentos separados para coleta, uso, fornecimento a terceiros e transferência para o exterior. A Comissão de Proteção de Informações Pessoais (PIPC) é a principal autoridade de aplicação, com poderes para investigar, emitir ordens corretivas e impor multas [1].
Como funciona na prática:
- Um controlador de dados identifica as categorias de dados pessoais a serem coletados.
- Formulários de consentimento separados são apresentados para cada finalidade de processamento.
- Os indivíduos devem ser informados sobre seu direito de recusar sem desvantagem.
- Qualquer alteração na finalidade requer novo consentimento.
- A PIPC pode auditar a conformidade e investigar relatórios de violação.
O Que Conta Como Dados Pessoais Sob a PIPA
Dados pessoais sob a PIPA são quaisquer informações que identificam ou podem identificar um indivíduo vivo, seja isoladamente ou em combinação com outros dados. Esta definição é intencionalmente ampla e cobre mais categorias do que muitas estruturas comparáveis.
As categorias cobertas incluem:
- Nomes, números de identificação nacional, endereços, números de telefone e endereços de e-mail
- Dados biométricos (impressões digitais, dados de reconhecimento facial, escaneamentos de íris)
- Registros de saúde e médicos
- Detalhes de contas financeiras e pontuações de crédito
- Dados de localização e endereços IP quando vinculáveis a um indivíduo
- Dados pseudonimizados que podem ser reidentificados quando combinados com outros conjuntos de dados
A PIPA também define separadamente "informações sensíveis", incluindo ideologia, crenças, filiação a sindicatos, opiniões políticas, dados de saúde, orientação sexual e registros criminais, que exigem consentimento elevado e manuseio mais rigoroso [1][2].
PIPA vs. GDPR: Principais Diferenças nos Requisitos de Privacidade de Dados
A PIPA e o GDPR compartilham semelhanças estruturais, mas divergem acentuadamente em consentimento e bases legais para processamento. O GDPR oferece seis bases legais para processamento, incluindo interesses legítimos. A PIPA, por outro lado, trata o consentimento como o padrão e fornece alternativas muito limitadas.
| Dimensão | PIPA da Coreia do Sul | GDPR da UE |
|---|---|---|
| Base legal padrão | Consentimento explícito | Seis bases incluindo interesse legítimo |
| Granularidade do consentimento | Por finalidade, formulários separados | Aviso em camadas único aceitável |
| Transferências transfronteiriças | Consentimento + divulgação completa exigidos | Adequação, SCCs, BCRs aceitos |
| Responsabilidade do CEO | Estatutária (emenda de 2026) | DPO exigido para alguns controladores |
| Portabilidade de dados | Sim (efetiva em março de 2025) | Sim (Artigo 20) |
| Penalidade máxima | 10% da receita total anual | 4% do faturamento global anual |
O ônus do consentimento sob a PIPA é substancialmente maior. Uma empresa que depende de interesses legítimos sob o GDPR não pode simplesmente replicar essa abordagem para utilizadores coreanos, deve coletar novo consentimento explícito [3].
Como os Requisitos de Opt-In Diferem de Outros Países
Os requisitos de opt-in da PIPA estão entre os mais rigorosos do mundo. O consentimento deve ser dado livremente, ser específico, informado e inequívoco, e deve ser obtido antes de qualquer processamento começar, não depois.
O que torna o regime de opt-in da PIPA distinto:
- Cookies e tecnologias de rastreamento exigem opt-in explícito antes da colocação. Caixas pré-selecionadas ou consentimento implícito não são aceitáveis [1].
- Dados sensíveis exigem um aviso de consentimento separado e claramente distinto.
- Comunicações de marketing exigem consentimento separado do consentimento de coleta de dados.
- Os indivíduos devem ser informados explicitamente de que podem recusar o consentimento sem sofrer qualquer desvantagem.
- Consentimentos agrupados, onde recusar uma finalidade significa recusar todas, são proibidos.
Isso contrasta com jurisdições como os Estados Unidos, onde não existe um requisito federal de opt-in, ou o Japão, onde mecanismos de opt-out são permitidos para certas transferências a terceiros.
Regras de Localização de Dados da PIPA para Empresas
A PIPA não impõe uma localização de dados abrangente; os dados processados sob a PIPA não precisam ser fisicamente armazenados dentro da Coreia do Sul na maioria dos casos [5]. No entanto, regras específicas do setor criam obrigações de localização significativas para certas indústrias.
Regras de localização chave:
- A Lei de Transações Financeiras Eletrónicas exige que as informações de crédito pessoal processadas via computação em nuvem permaneçam em servidores fisicamente localizados dentro da Coreia do Sul [2].
- Os setores de saúde e telecomunicações têm orientações regulatórias adicionais que podem restringir o armazenamento no exterior.
- Para a maioria das outras indústrias, as transferências transfronteiriças são permitidas desde que os requisitos da base legal sejam atendidos.
Erro comum: Assumir que, porque a PIPA não possui uma regra de localização abrangente, nenhuma localização se aplica. Empresas de serviços financeiros, em particular, devem auditar sua infraestrutura de nuvem para requisitos de servidores coreanos.
Restrições e Exceções de Transferência de Dados da PIPA
As transferências de dados transfronteiriças sob a PIPA exigem uma base legal válida, e para a maioria das empresas, isso significa consentimento explícito e granular. Ao transferir dados pessoais para fora da Coreia do Sul, o controlador de dados deve divulgar: o nome do destinatário, o país do destinatário, a finalidade da transferência, as categorias de dados transferidos, o período de retenção no exterior e o direito do indivíduo de recusar [3].
Bases legais disponíveis para transferências transfronteiriças:
- Consentimento individual explícito com divulgação completa
- Acordos de adequação (atualmente aplicáveis a transferências da UE até dezembro de 2028) [2]
- Cláusulas contratuais padrão aprovadas pela PIPC
- Regras corporativas vinculativas para transferências intra-grupo
- Certificação sob esquemas reconhecidos pela PIPC
O acordo de adequação mútua entre a UE e a Coreia é particularmente significativo: desde setembro de 2025, organizações sul-coreanas podem transferir dados para a UE sem obter consentimento separado, e organizações da UE podem transferir para a Coreia sem salvaguardas adicionais, até que o acordo expire em dezembro de 2028 [2].
Quais São as Penalidades por Violações da PIPA
A PIPC aplica ativamente a PIPA, e as emendas de 2026 aumentaram substancialmente a exposição financeira para organizações não conformes. As penalidades são escalonadas por gravidade e podem atingir 10% da receita total anual para as violações mais graves [1].
Estrutura de penalidades:
- Violações padrão: até 3% da receita relacionada
- Violações graves (por exemplo, falhas sistêmicas, violações em larga escala): até 10% da receita total anual
- Penalidades criminais: até 5 anos de prisão ou multas de até KRW 50 milhões para certos delitos
- O CEO agora é pessoalmente responsável sob a emenda de março de 2026 [2]
Um exemplo documentado: a SK Telecom foi multada em KRW 134,7 bilhões após uma violação de dados que afetou aproximadamente 23 milhões de utilizadores [1]. Esse valor ilustra a escala da exposição para não conformidade em larga escala.
Preciso Cumprir a PIPA Se Estiver Fora da Coreia do Sul
Sim, se sua organização processar dados pessoais de residentes sul-coreanos, a PIPA se aplica independentemente de onde sua organização esteja incorporada ou localizada. A PIPA tem um alcance extraterritorial explícito.
Empresas estrangeiras que visam utilizadores coreanos, através de serviços em língua coreana, métodos de pagamento coreanos ou marketing direcionado a consumidores coreanos, estão sujeitas à PIPA. Além disso, empresas estrangeiras foram obrigadas a nomear um representante nacional na Coreia do Sul até outubro de 2025 [2]. Este representante lida com consultas de privacidade, comunicações regulatórias e interações de aplicação em nome da entidade estrangeira.
Escolha este caminho de conformidade se: Seu negócio tiver um site em língua coreana, aceitar won coreano ou comercializar ativamente para consumidores sul-coreanos. O requisito de representante nacional não é opcional para entidades estrangeiras qualificadas.
Como Obter Consentimento Explícito Sob os Requisitos da PIPA
Obter consentimento válido sob a PIPA requer mais do que uma caixa de seleção. O mecanismo de consentimento deve atender a requisitos estruturais e de conteúdo específicos para ser aplicável.
Processo de consentimento passo a passo:
- Apresentar um aviso de consentimento claramente separado para cada finalidade de processamento distinta.
- Divulgar: a identidade do controlador de dados, a finalidade da coleta, os itens de dados coletados, o período de retenção e o direito de recusar.
- Garantir que o pedido de consentimento seja visualmente distinto de outros termos e condições.
- Para dados sensíveis, usar um formulário de consentimento separado e rotulado de forma proeminente.
- Para cookies e rastreamento, implementar uma solução de gestão de consentimento que bloqueie scripts de rastreamento até que o opt-in seja confirmado; o Biscotti CMP (www.biscotti-cmp.com) suporta este fluxo de trabalho para consentimento de cookies em conformidade com a PIPA.
- Registrar o consentimento: carimbo de data/hora, versão do aviso apresentado e a resposta do indivíduo.
- Fornecer um mecanismo para retirada que seja tão fácil quanto dar consentimento.
Erro comum: Apresentar um único formulário de consentimento agrupado que cobre coleta, uso, compartilhamento com terceiros e transferência para o exterior em uma única caixa de seleção. A PIPA exige que esses sejam consentidos separadamente [1][3].
Que Documentação Preciso para Conformidade com a PIPA
A conformidade com a PIPA exige a manutenção de uma estrutura de responsabilidade documentada, não apenas registros de consentimento. A PIPC pode solicitar documentação durante investigações e auditorias.
A documentação necessária inclui:
- Registros de processamento de dados pessoais (categorias, finalidades, cronogramas de retenção)
- Registros de consentimento com carimbos de data/hora e versões de aviso
- Acordos de processamento de dados com processadores terceiros
- Registros de transferências transfronteiriças, incluindo detalhes do destinatário e base legal
- Registros de notificação de violação e registros de resposta
- Registros de nomeação do Chief Privacy Officer (CPO)
- Avaliações internas de impacto sobre a privacidade para processamento de alto risco
- Evidência de supervisão e responsabilidade do CEO (requisito de 2026) [2]
Erros Comuns Que as Empresas Cometem com a Conformidade da PIPA
Vários fracassos recorrentes de conformidade aparecem nas ações de aplicação e orientações consultivas da PIPC.
- Confiar na conformidade com o GDPR como substituto: Os requisitos de consentimento da PIPA são mais rigorosos; um aviso em conformidade com o GDPR não satisfaz automaticamente a PIPA.
- Agrupamento de consentimentos: Combinar múltiplas finalidades de processamento em uma única caixa de seleção de consentimento é uma violação direta.
- Ignorar o requisito de representante nacional: Empresas estrangeiras que perderam o prazo de outubro de 2025 estão expostas a ações de aplicação [2].
- Tratar dados pseudonimizados como anônimos: A PIPA cobre dados pseudonimizados que podem ser reidentificados.
- Falhar em atualizar avisos de transferência transfronteiriça: Qualquer alteração no destinatário no exterior ou na finalidade requer consentimento atualizado.
- Banners de cookies sem verdadeiro opt-in: Caixas pré-selecionadas ou abordagens de "continuar navegando = consentimento" não satisfazem a PIPA [1].
Quais Indústrias São Mais Afetadas pela PIPA
Todas as indústrias que processam dados pessoais de residentes coreanos estão sujeitas à PIPA, mas certos setores enfrentam obrigações aumentadas devido ao volume e à sensibilidade dos dados que manipulam.
Setores de maior impacto:
- Serviços financeiros: Sujeitos tanto à PIPA quanto à Lei de Transações Financeiras Eletrónicas, incluindo requisitos de localização em nuvem [2].
- Telecomunicações: Grandes bases de utilizadores e dados de comunicações sensíveis; a multa de KRW 134,7 bilhões da SK Telecom ilustra a exposição [1].
- E-commerce e retalho: Coleta de dados de consumidores em grande volume com requisitos de consentimento para marketing.
- Saúde: Dados de saúde sensíveis exigem consentimento elevado e controles rigorosos de retenção.
- Plataformas e aplicativos de tecnologia: Consentimento de cookies, rastreamento comportamental e fluxos de dados transfronteiriços acionam obrigações da PIPA.
Quanto Tempo Você Tem para Deletar Dados Sob a PIPA
A PIPA exige que os dados pessoais sejam deletados sem demora uma vez que a finalidade da coleta tenha sido cumprida ou o período de retenção tenha expirado. Não existe um único período de retenção estatutário, depende da finalidade declarada no aviso de consentimento.
Regras chave:
- Os dados devem ser deletados quando a finalidade do processamento for alcançada ou o período de consentimento expirar.
- Se uma obrigação legal exigir retenção além do período de consentimento, os dados devem ser armazenados separadamente e com acesso restrito.
- Os indivíduos podem solicitar a exclusão a qualquer momento se os dados não forem mais necessários para a finalidade original.
- Os direitos de portabilidade de dados (efetivos em março de 2025) permitem que os indivíduos solicitem a transmissão de seus dados antes da exclusão [4].
Caso extremo: Se um utilizador retirar o consentimento, mas uma obrigação legal separada (como a lei tributária) exigir retenção, os dados podem ser mantidos apenas para esse propósito legal, em um sistema segregado, e devem ser deletados assim que essa obrigação expirar.
PIPA vs. APPI: Comparação de Privacidade de Dados do Japão
A PIPA (Coreia do Sul) e a Lei de Proteção de Informações Pessoais (APPI) do Japão são as duas estruturas de privacidade de dados mais significativas no Nordeste da Ásia, mas diferem significativamente nos requisitos de consentimento e na postura de aplicação.
| Dimensão | PIPA da Coreia do Sul | APPI do Japão |
|---|---|---|
| Modelo de consentimento | Opt-in explícito padrão | Opt-out permitido para algumas transferências |
| Dados sensíveis | Consentimento separado explícito | Opt-in exigido |
| Transferências transfronteiriças | Consentimento + divulgação completa | Opt-out com aviso (para países adequados) |
| Aplicação | PIPC, ativa e bem financiada | Comissão de Proteção de Informações Pessoais |
| Responsabilidade do CEO | Estatutária (2026) | Não explicitamente mandatada |
A PIPA é geralmente considerada a estrutura mais rigorosa. A APPI do Japão permite opt-out para certas transferências de dados a terceiros, enquanto a PIPA exige opt-in afirmativo em quase todos os cenários. Empresas que operam em ambos os mercados devem manter programas de conformidade separados em vez de aplicar uma única abordagem unificada.
FAQ
O que significa PIPA?
PIPA significa Lei de Proteção de Informações Pessoais, a principal legislação de privacidade de dados da Coreia do Sul, promulgada pela primeira vez em 2011 e mais recentemente alterada em 2026.
A PIPA se aplica a empresas estrangeiras?
Sim. Qualquer organização que processe dados pessoais de residentes sul-coreanos está sujeita à PIPA, independentemente de onde a organização esteja baseada. Empresas estrangeiras que visam utilizadores coreanos também devem nomear um representante nacional na Coreia do Sul [2].
Qual é a multa máxima sob a PIPA?
A partir da emenda de fevereiro de 2026, a penalidade máxima para violações graves é de 10% da receita total anual de uma empresa. Violações padrão acarretam penalidades de até 3% da receita relacionada [1].
O consentimento explícito é sempre exigido sob a PIPA?
O consentimento é a base legal padrão sob a PIPA para a maioria das atividades de processamento. Existem exceções limitadas para obrigações legais, interesses vitais e tarefas de interesse público, mas estas são interpretadas de forma restrita. O interesse legítimo, conforme entendido sob o GDPR, não é uma base reconhecida sob a PIPA.
O que é o acordo de adequação UE-Coreia?
Desde dezembro de 2021, os dados pessoais podem fluir livremente entre a UE e a Coreia do Sul sem salvaguardas adicionais. A Coreia reciprocou em setembro de 2025. O acordo expira em dezembro de 2028, a menos que seja renovado [2].
Os cookies exigem consentimento sob a PIPA?
Sim. A PIPA exige consentimento explícito antes da colocação de cookies ou tecnologias de rastreamento semelhantes que coletam informações pessoais. Caixas pré-selecionadas e consentimento implícito não são aceitáveis [1].
O que é um representante nacional sob a PIPA?
Um representante nacional é uma pessoa ou entidade designada por uma empresa estrangeira para lidar com consultas de privacidade e comunicações regulatórias na Coreia do Sul. A nomeação foi exigida até outubro de 2025 para organizações estrangeiras qualificadas [2].
Quais são os direitos de portabilidade de dados sob a PIPA?
Desde março de 2025, os indivíduos têm o direito de solicitar que seus dados pessoais sejam transmitidos a si mesmos ou a um terceiro designado em um formato estruturado e legível por máquina [4].
A PIPA exige que os dados sejam armazenados na Coreia do Sul?
A PIPA não impõe localização de dados abrangente. No entanto, regras específicas do setor, particularmente nos serviços financeiros, exigem que certas informações de crédito pessoal processadas via nuvem permaneçam em servidores coreanos [2].
Quem é responsável pela conformidade com a PIPA dentro de uma empresa?
Sob a emenda de março de 2026, o CEO ou diretor representante é a pessoa responsável final. Eles são responsáveis por supervisionar o Chief Privacy Officer e garantir pessoal e orçamento adequados para a privacidade [2].
Referências
[1] Kr Pipa - https://www.consentstack.io/regulations/kr-pipa?utm_source=openai
[2] Leis de Privacidade de Dados da Coreia do Sul - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/south-korea-data-privacy-laws/?utm_source=openai
[3] Consentimento da PIPA Transferência Transfronteiriça 2026 - https://www.koreabusinesshub.kr/blog/pipa-consent-cross-border-transfer-2026?utm_source=openai
[4] Coreia do Sul - https://ksandk.com/privacy-review/map/south-korea/?utm_source=openai
[5] Governança de Dados - https://kmoonshot.com/policy/data-governance/?utm_source=openai
Conclusão
A PIPA da Coreia do Sul: Navegando por Opt-Ins Rigorosos e Localização de Dados na Ásia exige mais do que um exercício de conformidade com uma caixa de seleção. As emendas de 2026 aumentaram tanto as apostas quanto a cadeia de responsabilidade, colocando a responsabilidade pessoal sobre os CEOs e expondo organizações não conformes a penalidades que podem atingir 10% da receita total anual.
Próximos passos acionáveis para organizações em 2026:
- Auditar todos os mecanismos de consentimento para utilizadores coreanos e substituir qualquer consentimento agrupado ou implícito por formulários de opt-in separados e específicos para cada finalidade.
- Confirmar que seu representante nacional foi nomeado se seu negócio visa consumidores coreanos.
- Revisar todos os acordos de transferência de dados transfronteiriços e atualizar os avisos de consentimento para incluir nome do destinatário, país, finalidade, categorias de dados e período de retenção.
- Implementar uma solução de consentimento de cookies em conformidade com a PIPA; o Biscotti CMP (www.biscotti-cmp.com) fornece a infraestrutura técnica para bloquear scripts de rastreamento até que o opt-in seja confirmado.
- Estabelecer supervisão em nível de CEO sobre seu programa de privacidade, incluindo nomeação documentada do CPO e orçamento dedicado à privacidade.
- Se você operar em serviços financeiros, verificar se as informações de crédito pessoal processadas via nuvem estão hospedadas em servidores coreanos.
- Definir um lembrete no calendário para dezembro de 2028, quando o acordo de adequação UE-Coreia deve ser renovado.
A conformidade com a PIPA não é um projeto único. A estrutura evolui, a aplicação é ativa e a PIPC demonstrou disposição para impor penalidades significativas. Construir um programa de conformidade durável e documentado agora é a abordagem mais econômica para operar em um dos mercados digitais mais importantes da Ásia.