Răspuns rapid: Legea privind protecția informațiilor personale din Coreea de Sud (PIPA) este unul dintre cele mai exigente cadre de confidențialitate a datelor din Asia, cerând consimțământ explicit de opt-in înainte de a colecta, utiliza sau transfera date personale. Spre deosebire de baza de interes legitim a GDPR, PIPA se bazează pe consimțământ și impune obligații de divulgare detaliate. Orice afacere, internă sau străină, care procesează date despre rezidenții coreeni trebuie să se conformeze, iar amendamentele din 2026 au crescut penalitățile la până la 10% din venitul anual total pentru încălcări severe [1].
Puncte cheie
- PIPA necesită consimțământ explicit, specific pentru scopuri, înainte de a colecta date personale, fără excepții de interes legitim pentru majoritatea activităților de procesare.
- Afacerile străine care vizează utilizatorii coreeni trebuie să numească un reprezentant intern în Coreea de Sud (termen limită: octombrie 2025) [2].
- Transferurile transfrontaliere de date necesită consimțământ detaliat care să dezvăluie numele destinatarului, țara, scopul, elementele de date și perioada de păstrare [3].
- Aranjamentul de adecvare reciprocă UE-Coreea (din decembrie 2021) permite fluxul liber de date între cele două jurisdicții până în decembrie 2028 [2].
- Regulile de localizare specifice sectorului se aplică în serviciile financiare: Legea privind tranzacțiile financiare electronice impune ca informațiile personale de credit procesate prin cloud să rămână pe servere coreene [2].
- Amendamentul din martie 2026 desemnează CEO-ul ca persoana responsabilă în ultimă instanță pentru conformitatea cu protecția datelor [2].
- Penalitățile ajung la 134,7 miliarde KRW în cazurile documentate; SK Telecom a fost amendată cu această sumă pentru o încălcare care a afectat 23 de milioane de utilizatori [1].
- Drepturile de portabilitate a datelor au intrat în vigoare în martie 2025, permițând indivizilor să solicite exporturi de date structurate, lizibile de mașină [4].
- Cookie-urile și tehnologiile de urmărire necesită consimțământ explicit de opt-in înainte de plasare, nu doar divulgare [1].
Ce este PIPA din Coreea de Sud și cum funcționează
Legea privind protecția informațiilor personale din Coreea de Sud (PIPA) este principalul statute de confidențialitate a datelor al țării, adoptat pentru prima dată în 2011 și modificat semnificativ în 2020, 2023 și din nou la începutul anului 2026. Aceasta reglementează modul în care orice entitate, publică sau privată, colectează, stochează, utilizează și transferă informații personale despre rezidenții coreeni.
PIPA funcționează pe un model bazat pe consimțământ. Controlorii de date trebuie să obțină consimțământ explicit și informat înainte de aproape fiecare activitate de procesare, iar acel consimțământ trebuie să fie detaliat: consimțăminte separate sunt necesare pentru colectare, utilizare, furnizare către terți și transferuri externe. Comisia pentru protecția informațiilor personale (PIPC) este autoritatea principală de aplicare, având puterea de a investiga, de a emite ordine corective și de a impune amenzi [1].
Cum funcționează în practică:
- Un controlor de date identifică categoriile de date personale care urmează a fi colectate.
- Formulare de consimțământ separate sunt prezentate pentru fiecare scop de procesare.
- Indivizii trebuie să fie informați despre dreptul lor de a refuza fără dezavantaj.
- Orice schimbare a scopului necesită un nou consimțământ.
- PIPC poate audita conformitatea și investiga rapoartele de încălcare.
Ce contează ca date personale conform PIPA
Datele personale conform PIPA sunt orice informații care identifică sau pot identifica o persoană fizică vie, fie singure, fie în combinație cu alte date. Această definiție este intenționat largă și acoperă mai multe categorii decât multe cadre comparabile.
Categoriile acoperite includ:
- Nume, numere de identificare națională, adrese, numere de telefon și adrese de email
- Date biometrice (amprente, date de recunoaștere facială, scanări ale irisului)
- Dosare de sănătate și medicale
- Detalii despre conturile financiare și scoruri de credit
- Date de localizare și adrese IP atunci când sunt legate de un individ
- Date pseudonimizate care pot fi re-identificate atunci când sunt combinate cu alte seturi de date
PIPA definește de asemenea separat "informațiile sensibile", inclusiv ideologia, credințele, apartenența la sindicate, opiniile politice, datele de sănătate, orientarea sexuală și cazierul penal, care necesită consimțământ crescut și o gestionare mai strictă [1][2].
PIPA vs. GDPR: Diferențe cheie în cerințele de confidențialitate a datelor
PIPA și GDPR împărtășesc similarități structurale, dar se deosebesc brusc în ceea ce privește consimțământul și bazele legale pentru procesare. GDPR oferă șase baze legale pentru procesare, inclusiv interese legitime. PIPA, în contrast, tratează consimțământul ca pe o normă și oferă alternative foarte limitate.
| Dimensiune | PIPA din Coreea de Sud | GDPR UE |
|---|---|---|
| Baza legală implicită | Consimțământ explicit | Șase baze inclusiv interes legitim |
| Granularitatea consimțământului | Pe scop, formulare separate | Notificare unică stratificată acceptabilă |
| Transferuri transfrontaliere | Consimțământ + divulgare completă necesară | Adecvarea, SCC-uri, BCR-uri acceptate |
| Responsabilitatea CEO-ului | Statutară (amendamentul din 2026) | DPO necesar pentru unii controlori |
| Portabilitatea datelor | Da (efectiv din martie 2025) | Da (Articolul 20) |
| Penalitate maximă | 10% din venitul anual total | 4% din cifra de afaceri anuală globală |
Sarcina consimțământului conform PIPA este semnificativ mai mare. O afacere care se bazează pe interese legitime conform GDPR nu poate pur și simplu să reproducă această abordare pentru utilizatorii coreeni, trebuie să colecteze un consimțământ nou, explicit [3].
Cum diferă cerințele de opt-in de cele din alte țări
Cerințele de opt-in ale PIPA sunt printre cele mai stricte la nivel global. Consimțământul trebuie să fie dat liber, specific, informat și neechivoc, și trebuie obținut înainte de a începe orice procesare, nu după.
Ce face ca regimul de opt-in al PIPA să fie distinct:
- Cookie-urile și tehnologiile de urmărire necesită consimțământ explicit de opt-in înainte de plasare. Casetele pre-bifate sau consimțământul implicit nu sunt acceptabile [1].
- Datele sensibile necesită o notificare de consimțământ separată, clar distinsă.
- Comunicațiile de marketing necesită consimțământ separat de consimțământul pentru colectarea datelor.
- Indivizii trebuie să fie informați explicit că pot refuza consimțământul fără a suferi vreun dezavantaj.
- Consimțămintele grupate, unde refuzul unui scop înseamnă refuzul tuturor, sunt interzise.
Aceasta contrastează cu jurisdicții precum Statele Unite, unde nu există o cerință federală de opt-in, sau Japonia, unde mecanismele de opt-out sunt permise pentru anumite transferuri către terți.
Regulile de localizare a datelor PIPA pentru afaceri
PIPA nu impune o localizare generală a datelor, datele procesate conform PIPA nu trebuie să fie stocate fizic în Coreea de Sud în majoritatea cazurilor [5]. Cu toate acestea, regulile specifice sectorului creează obligații semnificative de localizare pentru anumite industrii.
Reguli cheie de localizare:
- Legea privind tranzacțiile financiare electronice impune ca informațiile personale de credit procesate prin cloud computing să rămână pe servere situate fizic în Coreea de Sud [2].
- Sectoarele de sănătate și telecomunicații au îndrumări suplimentare de reglementare care pot restricționa stocarea offshore.
- Pentru majoritatea celorlalte industrii, transferurile transfrontaliere sunt permise, cu condiția ca cerințele de bază legală să fie îndeplinite.
Greșeală comună: A presupune că, deoarece PIPA nu are o regulă generală de localizare, nu se aplică nicio localizare. Companiile din serviciile financiare, în special, trebuie să-și auditeze infrastructura cloud pentru cerințele serverelor coreene.
Restricțiile și excepțiile transferurilor de date PIPA
Transferurile transfrontaliere de date conform PIPA necesită o bază legală validă, iar pentru majoritatea afacerilor aceasta înseamnă consimțământ explicit și detaliat. Atunci când se transferă date personale în afara Coreei de Sud, controlorul de date trebuie să dezvăluie: numele destinatarului, țara destinatarului, scopul transferului, categoriile de date transferate, perioada de păstrare în străinătate și dreptul individului de a refuza [3].
Baze legale disponibile pentru transferurile transfrontaliere:
- Consimțământ explicit al individului cu divulgare completă
- Aranjamente de adecvare (în prezent aplicabile transferurilor din UE până în decembrie 2028) [2]
- Clauze contractuale standard aprobate de PIPC
- Regulile corporative obligatorii pentru transferurile intra-grup
- Certificare conform schemelor recunoscute de PIPC
Aranjamentul de adecvare reciprocă UE-Coreea este deosebit de semnificativ: din septembrie 2025, organizațiile coreene pot transfera date către UE fără a obține consimțământ separat, iar organizațiile din UE pot transfera către Coreea fără măsuri suplimentare, până când aranjamentul expiră în decembrie 2028 [2].
Care sunt penalitățile pentru încălcările PIPA
PIPC aplică activ PIPA, iar amendamentele din 2026 au crescut substanțial expunerea financiară pentru organizațiile neconforme. Penalitățile sunt stratificate în funcție de severitate și pot ajunge la 10% din venitul anual total pentru cele mai grave încălcări [1].
Structura penalităților:
- Încălcări standard: până la 3% din venitul aferent
- Încălcări severe (de exemplu, eșecuri sistemice, încălcări la scară largă): până la 10% din venitul anual total
- Penalități penale: până la 5 ani de închisoare sau amenzi de până la 50 milioane KRW pentru anumite infracțiuni
- CEO-ul este acum responsabil personal conform amendamentului din martie 2026 [2]
Un exemplu documentat: SK Telecom a fost amendată cu 134,7 miliarde KRW în urma unei încălcări a datelor care a afectat aproximativ 23 de milioane de utilizatori [1]. Acea sumă ilustrează amploarea expunerii pentru neconformitatea la scară largă.
Trebuie să mă conformez cu PIPA dacă sunt în afara Coreei de Sud
Da, dacă organizația dumneavoastră procesează date personale ale rezidenților coreeni, PIPA se aplică indiferent de locul în care este înregistrată sau situată organizația dumneavoastră. PIPA are o acoperire extraterritorială explicită.
Afaceri străine care vizează utilizatorii coreeni, prin servicii în limba coreeană, metode de plată coreene sau marketing destinat consumatorilor coreeni, sunt supuse PIPA. În plus, afacerile străine au fost obligate să numească un reprezentant intern în Coreea de Sud până în octombrie 2025 [2]. Acest reprezentant se ocupă de întrebările de confidențialitate, comunicările de reglementare și interacțiunile de aplicare în numele entității străine.
Alegeți această cale de conformitate dacă: Afacerea dumneavoastră are un site web în limba coreeană, acceptă won coreean sau face marketing activ către consumatorii din Coreea de Sud. Cerința de reprezentant intern nu este opțională pentru entitățile străine care se califică.
Cum să obțineți consimțământ explicit conform cerințelor PIPA
Obținerea unui consimțământ valid conform PIPA necesită mai mult decât o casetă de selectare. Mecanismul de consimțământ trebuie să îndeplinească cerințe structurale și de conținut specifice pentru a fi aplicabil.
Procesul de consimțământ pas cu pas:
- Prezentați o notificare de consimțământ clar separată pentru fiecare scop distinct de procesare.
- Divulgați: identitatea controlorului de date, scopul colectării, elementele de date colectate, perioada de păstrare și dreptul de a refuza.
- Asigurați-vă că solicitarea de consimțământ este vizual distinctă de alte termeni și condiții.
- Pentru datele sensibile, utilizați un formular de consimțământ separat, etichetat proeminent.
- Pentru cookie-uri și urmărire, implementați o soluție de gestionare a consimțământului care blochează scripturile de urmărire până când opt-in este confirmat, Biscotti CMP (www.biscotti-cmp.com) susține acest flux de lucru pentru consimțământul cookie conform PIPA.
- Înregistrați consimțământul: marcaj de timp, versiunea notificării prezentate și răspunsul individului.
- Oferiți un mecanism de retragere care este la fel de ușor ca oferirea consimțământului.
Greșeală comună: Prezentarea unui singur formular de consimțământ grupat care acoperă colectarea, utilizarea, partajarea cu terți și transferul în străinătate într-o singură casetă de selectare. PIPA necesită ca acestea să fie consimțite separat [1][3].
Ce documentație am nevoie pentru conformitatea cu PIPA
Conformitatea cu PIPA necesită menținerea unui cadru documentat de responsabilitate, nu doar a înregistrărilor de consimțământ. PIPC poate solicita documentația în timpul investigațiilor și auditurilor.
Documentația necesară include:
- Înregistrări de procesare a datelor personale (categorii, scopuri, programe de păstrare)
- Înregistrări de consimțământ cu marcaje de timp și versiuni de notificare
- Acorduri de procesare a datelor cu procesatori terți
- Înregistrări de transferuri transfrontaliere, inclusiv detalii despre destinatari și baza legală
- Jurnale de notificare a încălcărilor și înregistrări de răspuns
- Înregistrări de numire a Ofițerului Principal de Confidențialitate (CPO)
- Evaluări interne ale impactului asupra confidențialității pentru procesarea cu risc ridicat
- Dovezi de supraveghere și responsabilitate a CEO-ului (cerință din 2026) [2]
Greșeli comune pe care le fac companiile în conformitatea cu PIPA
Mai multe eșecuri recurente de conformitate apar în acțiunile de aplicare și îndrumările consultative ale PIPC.
- A se baza pe conformitatea cu GDPR ca substitut: Cerințele de consimțământ ale PIPA sunt mai stricte; o notificare conformă cu GDPR nu satisface automat PIPA.
- Gruparea consimțămintelor: Combinarea mai multor scopuri de procesare într-o singură casetă de consimțământ este o încălcare directă.
- Ignorarea cerinței de reprezentant intern: Afacerile străine care au ratat termenul limită din octombrie 2025 sunt expuse la acțiuni de aplicare [2].
- A trata datele pseudonimizate ca anonime: PIPA acoperă datele pseudonimizate care pot fi re-identificate.
- Nerespectarea actualizării notificărilor de transfer transfrontalier: Orice schimbare a destinatarului din străinătate sau a scopului necesită consimțământ actualizat.
- Bannere de cookie-uri fără adevărat opt-in: Casetele pre-bifate sau abordările "continuarea navigării = consimțământ" nu satisfac PIPA [1].
Care industrii sunt cele mai afectate de PIPA
Toate industriile care procesează date personale ale rezidenților coreeni sunt supuse PIPA, dar anumite sectoare se confruntă cu obligații mai mari din cauza volumului și sensibilității datelor pe care le gestionează.
Sectoare cu cel mai mare impact:
- Servicii financiare: Supuse atât PIPA, cât și Legii privind tranzacțiile financiare electronice, inclusiv cerințe de localizare în cloud [2].
- Telecomunicații: Baze mari de utilizatori și date sensibile de comunicație; amenda de 134,7 miliarde KRW aplicată SK Telecom ilustrează expunerea [1].
- E-commerce și retail: Colectarea de date consumator cu volum mare, cu cerințe de consimțământ pentru marketing.
- Sănătate: Datele sensibile de sănătate necesită consimțământ crescut și controale stricte de păstrare.
- Platforme și aplicații tehnologice: Consimțământul pentru cookie-uri, urmărirea comportamentală și fluxurile de date transfrontaliere declanșează toate obligațiile PIPA.
Cât timp aveți pentru a șterge datele conform PIPA
PIPA necesită ca datele personale să fie șterse fără întârziere odată ce scopul colectării a fost îndeplinit sau perioada de păstrare a expirat. Nu există o perioadă de păstrare statutară unică, aceasta depinde de scopul declarat în notificarea de consimțământ.
Reguli cheie:
- Datele trebuie șterse atunci când scopul procesării este realizat sau perioada de consimțământ expiră.
- Dacă o obligație legală necesită păstrarea dincolo de perioada de consimțământ, datele trebuie stocate separat și restricționate la acces.
- Indivizii pot solicita ștergerea în orice moment dacă datele nu mai sunt necesare pentru scopul original.
- Drepturile de portabilitate a datelor (efectiv din martie 2025) permit indivizilor să solicite transmiterea datelor lor înainte de ștergere [4].
Caz de excepție: Dacă un utilizator retrage consimțământul, dar o obligație legală separată (cum ar fi legea fiscală) necesită păstrarea, datele pot fi păstrate doar pentru acel scop legal, într-un sistem segregat, și trebuie șterse odată ce acea obligație expiră.
PIPA vs. APPI: Compararea confidenței datelor în Japonia
PIPA (Coreea de Sud) și Legea privind protecția informațiilor personale (APPI) din Japonia sunt cele două cele mai semnificative cadre de confidențialitate a datelor din Asia de Nord-Est, dar diferă semnificativ în cerințele de consimțământ și postura de aplicare.
| Dimensiune | PIPA din Coreea de Sud | APPI Japonia |
|---|---|---|
| Model de consimțământ | Opt-in explicit implicit | Opt-out permis pentru unele transferuri |
| Date sensibile | Consimțământ separat explicit | Opt-in necesar |
| Transferuri transfrontaliere | Consimțământ + divulgare completă | Opt-out cu notificare (pentru țări adecvate) |
| Aplicare | PIPC, activă și bine finanțată | Comisia pentru protecția informațiilor personale |
| Responsabilitatea CEO-ului | Statutară (2026) | Nu este explicit impusă |
PIPA este în general considerată cadrul mai strict. APPI din Japonia permite opt-out pentru anumite transferuri de date către terți, în timp ce PIPA necesită opt-in afirmativ în aproape toate scenariile. Afacerile care operează în ambele piețe trebuie să mențină programe de conformitate separate, mai degrabă decât să aplice o abordare unificată.
Întrebări frecvente
Ce înseamnă PIPA? PIPA înseamnă Legea privind protecția informațiilor personale, principala lege de confidențialitate a datelor din Coreea de Sud, adoptată pentru prima dată în 2011 și modificată cel mai recent în 2026.
Se aplică PIPA companiilor străine? Da. Orice organizație care procesează date personale ale rezidenților coreeni este supusă PIPA, indiferent de locul în care este bazată organizația. Afacerile străine care vizează utilizatorii coreeni trebuie de asemenea să numească un reprezentant intern în Coreea de Sud [2].
Care este amenda maximă conform PIPA? Începând cu amendamentul din februarie 2026, penalitatea maximă pentru încălcări severe este de 10% din venitul anual total al unei companii. Încălcările standard au penalități de până la 3% din venitul aferent [1].
Este consimțământul explicit întotdeauna necesar conform PIPA? Consimțământul este baza legală implicită conform PIPA pentru majoritatea activităților de procesare. Există excepții limitate pentru obligații legale, interese vitale și sarcini de interes public, dar acestea sunt interpretate îngust. Interesul legitim, așa cum este înțeles conform GDPR, nu este o bază recunoscută conform PIPA.
Ce este aranjamentul de adecvare UE-Coreea? Din decembrie 2021, datele personale pot circula liber între UE și Coreea de Sud fără măsuri suplimentare de protecție. Coreea de Sud a reciprocat în septembrie 2025. Aranjamentul expiră în decembrie 2028, cu excepția cazului în care este reînnoit [2].
Necesită cookie-urile consimțământ conform PIPA? Da. PIPA necesită consimțământ explicit de opt-in înainte de a plasa cookie-uri sau tehnologii de urmărire similare care colectează informații personale. Casetele pre-bifate și consimțământul implicit nu sunt acceptabile [1].
Ce este un reprezentant intern conform PIPA? Un reprezentant intern este o persoană sau entitate desemnată de o afacere străină pentru a gestiona întrebările de confidențialitate și comunicările de reglementare în Coreea de Sud. Numirea a fost necesară până în octombrie 2025 pentru organizațiile străine care se califică [2].
Care sunt drepturile de portabilitate a datelor conform PIPA? Începând cu martie 2025, indivizii au dreptul de a solicita ca datele lor personale să fie transmise lor sau unei terțe părți desemnate într-un format structurat, lizibil de mașină [4].
PIPA impune ca datele să fie stocate în Coreea de Sud? PIPA nu impune o localizare generală a datelor. Cu toate acestea, regulile specifice sectorului, în special în serviciile financiare, impun ca anumite informații personale de credit procesate prin cloud să rămână pe servere coreene [2].
Cine este responsabil pentru conformitatea cu PIPA în cadrul unei companii? Conform amendamentului din martie 2026, CEO-ul sau directorul reprezentativ este persoana responsabilă în ultimă instanță. Aceștia sunt responsabili pentru supravegherea Ofițerului Principal de Confidențialitate și asigurarea unei echipe și buget adecvat pentru confidențialitate [2].
Referințe
[1] Kr Pipa - https://www.consentstack.io/regulations/kr-pipa?utm_source=openai
[2] Legile de confidențialitate a datelor din Coreea de Sud - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/south-korea-data-privacy-laws/?utm_source=openai
[3] Pipa Consimțământ Transfer Transfrontalier 2026 - https://www.koreabusinesshub.kr/blog/pipa-consent-cross-border-transfer-2026?utm_source=openai
[4] Coreea de Sud - https://ksandk.com/privacy-review/map/south-korea/?utm_source=openai
[5] Guvernarea datelor - https://kmoonshot.com/policy/data-governance/?utm_source=openai
Concluzie
PIPA din Coreea de Sud: Navigarea Regulilor Stricte de Opt-In și Localizarea Datelor în Asia necesită mai mult decât un exercițiu de conformitate. Amendamentele din 2026 au crescut atât miza, cât și lanțul de responsabilitate, punând răspunderea personală pe umerii CEO-ilor și expunând organizațiile neconforme la penalități care pot ajunge la 10% din venitul anual total.
Pași acționabili pentru organizații în 2026:
- Auditați toate mecanismele de consimțământ pentru utilizatorii coreeni și înlocuiți orice consimțământ grupat sau implicit cu formulare de opt-in separate, specifice pentru scopuri.
- Confirmați că reprezentantul dumneavoastră intern a fost numit dacă afacerea dumneavoastră vizează consumatorii coreeni.
- Revizuiți toate acordurile de transfer transfrontalier de date și actualizați notificările de consimțământ pentru a include numele destinatarului, țara, scopul, categoriile de date și perioada de păstrare.
- Implementați o soluție de consimțământ pentru cookie-uri conform PIPA, Biscotti CMP (www.biscotti-cmp.com) oferă infrastructura tehnică pentru a bloca scripturile de urmărire până când opt-in este confirmat.
- Stabiliți o supraveghere la nivel de CEO a programului dumneavoastră de confidențialitate, inclusiv numirea documentată a CPO-ului și un buget dedicat pentru confidențialitate.
- Dacă operați în servicii financiare, verificați că informațiile personale de credit procesate prin cloud sunt găzduite pe servere coreene.
- Stabiliți un memento în calendar pentru decembrie 2028, când aranjamentul de adecvare UE-Coreea este programat pentru reînnoire.
Conformitatea cu PIPA nu este un proiect unic. Cadrele evoluează, aplicarea este activă, iar PIPC a demonstrat disponibilitatea de a impune penalități semnificative. Construirea unui program de conformitate durabil și documentat acum este cea mai rentabilă abordare pentru a opera într-una dintre cele mai importante piețe digitale din Asia.