Hiter odgovor: Zakon o varstvu osebnih podatkov Južne Koreje (PIPA) je eden izmed najbolj zahtevnih okvirov za varstvo podatkov v Aziji, ki zahteva izrecno soglasje pred zbiranjem, uporabo ali prenosom osebnih podatkov. V nasprotju z osnovo legitimnega interesa GDPR, PIPA privzema soglasje in nalaga podrobne obveznosti razkrivanja. Vsako podjetje, domače ali tuje, ki obdeluje podatke o prebivalcih Južne Koreje, se mora skladati, spremembe v letu 2026 pa so zvišale kazni na do 10% skupnih letnih prihodkov za hude kršitve [1].
Ključne točke
- PIPA zahteva izrecno, namensko specifično soglasje pred zbiranjem osebnih podatkov, brez izjeme za legitimni interes za večino obdelovalnih dejavnosti.
- Tuja podjetja, ki ciljajo na korejske uporabnike, morajo imenovati domačega predstavnika v Južni Koreji (rok: oktober 2025) [2].
- Čezmejni prenosi podatkov zahtevajo podrobno soglasje, ki razkriva ime prejemnika, državo, namen, vrste podatkov in obdobje hrambe [3].
- Dogovor o medsebojni ustreznosti med EU in Korejo (od decembra 2021) omogoča prost pretok podatkov med obema jurisdikcijama do decembra 2028 [2].
- V finančnih storitvah veljajo pravila o lokalizaciji po sektorjih: Zakon o elektronskih finančnih transakcijah zahteva, da osebne kreditne informacije, obdelane preko oblaka, ostanejo na korejskih strežnikih [2].
- Sprememba marca 2026 določa izvršnega direktorja kot končno odgovorno osebo za skladnost z varstvom podatkov [2].
- Kazni dosežejo 134,7 milijarde KRW v dokumentiranih primerih; SK Telecom je bil kaznovan s to vsoto zaradi kršitve, ki je vplivala na 23 milijonov uporabnikov [1].
- Pravice do prenosljivosti podatkov so začele veljati marca 2025, kar posameznikom omogoča, da zahtevajo strukturirane, strojno berljive izvoze podatkov [4].
- Piškotki in tehnologije sledenja zahtevajo izrecno soglasje pred namestitvijo, ne le razkritje [1].
Kaj je PIPA Južne Koreje in kako deluje
Zakon o varstvu osebnih podatkov Južne Koreje (PIPA) je glavni zakon o varstvu podatkov v državi, prvič sprejet leta 2011 in znatno spremenjen leta 2020, 2023 in ponovno na začetku leta 2026. Ureja, kako katerikoli subjekt, javni ali zasebni, zbira, shranjuje, uporablja in prenaša osebne informacije o prebivalcih Južne Koreje.
PIPA deluje po modelu soglasja. Upravljavci podatkov morajo pridobiti izrecno, obveščeno soglasje pred skoraj vsako obdelovalno dejavnostjo, to soglasje pa mora biti podrobno: ločena soglasja so potrebna za zbiranje, uporabo, posredovanje tretjim osebam in čezmejni prenos. Komisija za varstvo osebnih podatkov (PIPC) je glavni organ za izvrševanje, z močmi za preiskovanje, izdajo korektivnih ukazov in nalaganje kazni [1].
Kako deluje v praksi:
- Upravljavec podatkov identificira kategorije osebnih podatkov, ki jih je treba zbrati.
- Predloženi so ločeni obrazci soglasja za vsak namen obdelave.
- Posamezniki morajo biti obveščeni o svoji pravici do zavrnitve brez negativnih posledic.
- Vsaka sprememba namena zahteva novo soglasje.
- PIPC lahko izvaja revizije skladnosti in preiskuje poročila o kršitvah.
Kaj šteje kot osebni podatki po PIPA
Osebni podatki po PIPA so vse informacije, ki identificirajo ali lahko identificirajo živega posameznika, bodisi same bodisi v kombinaciji z drugimi podatki. Ta definicija je namerno široka in pokriva več kategorij kot mnogi primerljivi okviri.
Pokrite kategorije vključujejo:
- Imena, nacionalne identifikacijske številke, naslove, telefonske številke in e-poštne naslove
- Biometrični podatki (prstni odtisi, podatki o prepoznavanju obraza, skeni šarenice)
- Zdravstveni in medicinski zapisi
- Podatki o finančnih računih in kreditne ocene
- Podatki o lokaciji in IP naslovi, ko so povezani s posameznikom
- Pseudonimizirani podatki, ki jih je mogoče ponovno identificirati, ko so kombinirani z drugimi nabori podatkov
PIPA prav tako ločeno opredeljuje "občutljive informacije", vključno z ideologijo, prepričanji, članstvom v sindikatu, političnimi stališči, zdravstvenimi podatki, spolno usmerjenostjo in kazenskimi evidencami, kar zahteva povečano soglasje in strožje ravnanje [1][2].
PIPA proti GDPR: Ključne razlike v zahtevah glede varstva podatkov
PIPA in GDPR imata strukturne podobnosti, vendar se močno razlikujeta glede soglasja in pravnih osnov za obdelavo. GDPR ponuja šest zakonitih osnov za obdelavo, vključno z legitimnimi interesi. PIPA pa soglasje obravnava kot privzeto in nudi zelo omejene alternative.
| Dimenzija | Južna Koreja PIPA | EU GDPR |
|---|---|---|
| Privzeta pravna osnova | Izrecno soglasje | Šest osnov, vključno z legitimnim interesom |
| Podrobnost soglasja | Po namenu, ločeni obrazci | Sprejemljivo je enotno plastno obvestilo |
| Čezmejni prenosi | Zahtevano soglasje + popolno razkritje | Sprejete ustreznosti, SCC, BCR |
| Odgovornost izvršnega direktorja | Zakonska (sprememba 2026) | DPO zahtevan za nekatere upravljavce |
| Prenosljivost podatkov | Da (velja od marca 2025) | Da (člen 20) |
| Maksimalna kazen | 10% skupnih letnih prihodkov | 4% globalnega letnega prometa |
Breme soglasja po PIPA je bistveno višje. Podjetje, ki se zanaša na legitimne interese po GDPR, ne more preprosto ponoviti tega pristopa za korejske uporabnike, temveč mora pridobiti novo, izrecno soglasje [3].
Kako se opt-in zahteve razlikujejo od drugih držav
Zahteve PIPA po opt-in so med najstrožjimi na svetu. Soglasje mora biti prostovoljno, specifično, obveščeno in nedvoumno, pridobiti pa ga je treba pred začetkom obdelave, ne pa po njej.
Kar dela PIP-ov opt-in režim edinstven:
- Piškotki in tehnologije sledenja zahtevajo izrecno soglasje pred namestitvijo. Predizpolnjene možnosti ali implicitno soglasje niso sprejemljive [1].
- Občutljivi podatki zahtevajo ločeno, jasno označeno obvestilo o soglasju.
- Trženjske komunikacije zahtevajo ločeno soglasje od soglasja za zbiranje podatkov.
- Posamezniki morajo biti izrecno obveščeni, da lahko zavrnejo soglasje brez kakršnih koli negativnih posledic.
- Zbirna soglasja, kjer zavrnitev enega namena pomeni zavrnitev vseh, so prepovedana.
To se razlikuje od jurisdikcij, kot je ZDA, kjer ne obstaja zvezna zahteva po opt-in, ali Japonske, kjer so mehanizmi opt-out dovoljeni za nekatere prenose tretjim osebam.
PIPA pravila o lokalizaciji podatkov za podjetja
PIPA ne nalaga splošne lokalizacije podatkov, podatki, obdelani po PIPA, v večini primerov ne morajo biti fizično shranjeni v Južni Koreji [5]. Vendar pa pravila po sektorjih ustvarjajo pomembne obveznosti lokalizacije za določene industrije.
Ključna pravila lokalizacije:
- Zakon o elektronskih finančnih transakcijah nalaga, da osebne kreditne informacije, obdelane preko računalništva v oblaku, ostanejo na strežnikih, ki so fizično locirani v Južni Koreji [2].
- Sektorji zdravstvenih storitev in telekomunikacij imajo dodatne regulativne smernice, ki lahko omejijo shranjevanje podatkov v tujini.
- Za večino drugih industrij so čezmejni prenosi dovoljeni, če so izpolnjene zahteve pravne osnove.
Pogosta napaka: Predpostavka, da ker PIPA ne vsebuje splošnega pravila o lokalizaciji, lokalizacija ne velja. Podjetja v finančnih storitvah morajo še posebej preveriti svojo infrastrukturo v oblaku glede zahtev po korejskih strežnikih.
PIPA omejitve prenosa podatkov in izjeme
Čezmejni prenosi podatkov po PIPA zahtevajo veljavno pravno osnovo, in za večino podjetij to pomeni izrecno, podrobno soglasje. Pri prenosu osebnih podatkov izven Južne Koreje mora upravljavec podatkov razkriti: ime prejemnika, državo prejemnika, namen prenosa, kategorije prenesenih podatkov, obdobje hrambe v tujini in pravico posameznika do zavrnitve [3].
Na voljo pravne osnove za čezmejne prenose:
- Izrecno soglasje posameznika s popolnim razkritjem
- Dogovori o ustreznosti (trenutno veljavni za prenose v EU do decembra 2028) [2]
- Standardne pogodbene klavzule, odobrene s strani PIPC
- Zavezujoča korporativna pravila za prenose znotraj skupine
- Certifikacija po shemah, ki jih priznava PIPC
Dogovor o medsebojni ustreznosti med EU in Korejo je še posebej pomemben: od septembra 2025 lahko korejske organizacije prenašajo podatke v EU brez pridobivanja ločenega soglasja, in EU organizacije lahko prenašajo v Korejo brez dodatnih zaščit, dokler dogovor ne poteče decembra 2028 [2].
Kakšne so kazni za kršitve PIPA
PIPC aktivno izvršuje PIPO, spremembe v letu 2026 pa so znatno povečale finančno izpostavljenost za neskladna podjetja. Kazni so razdeljene po resnosti in lahko dosežejo 10% skupnih letnih prihodkov za najresnejše kršitve [1].
Struktura kazni:
- Standardne kršitve: do 3% povezanih prihodkov
- Hude kršitve (npr. sistemske napake, obsežne kršitve): do 10% skupnih letnih prihodkov
- Kazenske kazni: do 5 let zapora ali globe do 50 milijonov KRW za določene prekrške
- Izvršni direktor je zdaj osebno odgovoren po spremembi marca 2026 [2]
Dokumentiran primer: SK Telecom je bil kaznovan s 134,7 milijarde KRW po kršitvi podatkov, ki je vplivala na približno 23 milijonov uporabnikov [1]. Ta številka ponazarja obseg izpostavljenosti za obsežno neskladnost.
Ali se moram skladovati s PIPA, če sem zunaj Južne Koreje
Da, če vaša organizacija obdeluje osebne podatke prebivalcev Južne Koreje, se PIPA uporablja ne glede na to, kje je vaša organizacija ustanovljena ali locirana. PIPA ima izrecno čezmejno veljavnost.
Tuj podjetja, ki ciljajo na korejske uporabnike, preko storitev v korejskem jeziku, korejskih plačilnih metod ali trženja, usmerjenega na korejske potrošnike, so podvržena PIPA. Poleg tega so bila tuja podjetja dolžna imenovati domačega predstavnika v Južni Koreji do oktobra 2025 [2]. Ta predstavnik obravnava vprašanja o zasebnosti, regulativno komunikacijo in interakcije z izvrševanjem v imenu tuje entitete.
Izberite to pot skladnosti, če: Vaše podjetje ima spletno stran v korejskem jeziku, sprejema korejske won ali aktivno trži korejskim potrošnikom. Zahteva po domačem predstavniku ni opcijska za kvalificirane tuje entitete.
Kako pridobiti izrecno soglasje po zahtevah PIPA
Pridobitev veljavnega soglasja po PIPA zahteva več kot le potrditveno polje. Mehanizem soglasja mora izpolnjevati specifične strukturne in vsebinske zahteve, da je izvršljiv.
Postopek soglasja po korakih:
- Predložite jasno ločeno obvestilo o soglasju za vsak poseben namen obdelave.
- Razkrijte: identiteto upravljavca podatkov, namen zbiranja, predmete zbranih podatkov, obdobje hrambe in pravico do zavrnitve.
- Poskrbite, da bo zahteva za soglasje vizualno ločena od drugih pogojev in določil.
- Za občutljive podatke uporabite ločen, jasno označen obrazec za soglasje.
- Za piškotke in sledenje uvedite rešitev za upravljanje soglasja, ki blokira sledenjske skripte, dokler ni potrjeno soglasje, Biscotti CMP (www.biscotti-cmp.com) podpira ta delovni postopek za skladnost s PIPA.
- Zabeležite soglasje: časovni žig, različico obvestila, ki je bila predstavljena, in odgovor posameznika.
- Omogočite mehanizem za umik, ki je enostaven kot dajanje soglasja.
Pogosta napaka: Predstavitev enotnega zbirnega obrazca soglasja, ki pokriva zbiranje, uporabo, deljenje s tretjimi osebami in čezmejni prenos v enem potrditvenem polju. PIPA zahteva, da se ti elementi soglasja obravnavajo ločeno [1][3].
Kakšna dokumentacija potrebujem za skladnost s PIPA
Skladnost s PIPA zahteva vzdrževanje dokumentiranega okvira odgovornosti, ne le zapisov soglasja. PIPC lahko zahteva dokumentacijo med preiskavami in revizijami.
Zahtevana dokumentacija vključuje:
- Zapisniki o obdelavi osebnih podatkov (kategorije, nameni, urniki hrambe)
- Zapisniki soglasja z časovnimi žigi in različicami obvestil
- Pogodbe o obdelavi podatkov s tretjimi obdelovalci
- Zapisniki o čezmejnih prenosih, vključno z informacijami o prejemnikih in pravno osnovo
- Zapisniki o obvestilih o kršitvah in zapisniki odzivov
- Zapisniki o imenovanju glavnega uradnika za zasebnost (CPO)
- Notranje ocene vpliva na zasebnost za obdelave z visokim tveganjem
- Dokazi o nadzoru in odgovornosti izvršnega direktorja (zahteva 2026) [2]
Pogoste napake, ki jih podjetja delajo pri skladnosti s PIPA
Več ponavljajočih se neuspehov pri skladnosti se pojavlja v izvrševanju PIPC in svetovalnih smernicah.
- Zanašanje na skladnost z GDPR kot nadomestilo: Zahteve PIPA po soglasju so strožje; obvestilo, skladno z GDPR, ne zadostuje samodejno PIPI.
- Zbiranje soglasij: Združevanje več obdelovalnih namenov v eno potrditveno polje je neposredna kršitev.
- Ignoriranje zahteve po domačem predstavniku: Tuj podjetja, ki so zamudila rok oktober 2025, so izpostavljena izvrševanju [2].
- Obravnavanje pseudonimiziranih podatkov kot anonimnih: PIPA pokriva pseudonimizirane podatke, ki jih je mogoče ponovno identificirati.
- Neuspeh pri posodabljanju obvestil o čezmejnih prenosih: Vsaka sprememba v tujini prejemniku ali namenu zahteva posodobljeno soglasje.
- Pasice za piškotke brez pravega opt-in: Predizpolnjene možnosti ali "nadaljujte z brskanjem = soglasje" pristopi ne zadostujejo PIPI [1].
Katera industrija je najbolj prizadeta s PIPA
Vse industrije, ki obdelujejo osebne podatke prebivalcev Južne Koreje, so podvržene PIPA, vendar se nekatere panoge soočajo z večjimi obveznostmi zaradi obsega in občutljivosti podatkov, ki jih obravnavajo.
Najbolj prizadete panoge:
- Finančne storitve: Podvržene tako PIPA kot Zakonu o elektronskih finančnih transakcijah, vključno z zahtevami po lokalizaciji v oblaku [2].
- Telekomunikacije: Velike baze uporabnikov in občutljivi podatki o komunikacijah; kazen SK Telecom v višini 134,7 milijarde KRW ponazarja izpostavljenost [1].
- E-trgovina in maloprodaja: Zbiranje podatkov o potrošnikih v velikem obsegu z zahtevami po soglasju za trženje.
- Zdravstvo: Občutljivi zdravstveni podatki zahtevajo povečano soglasje in stroge kontrole hrambe.
- Tehnološke platforme in aplikacije: Soglasje za piškotke, vedenjsko sledenje in čezmejni pretok podatkov sprožajo obveznosti PIPA.
Kako dolgo imate za izbris podatkov po PIPA
PIPA zahteva, da se osebni podatki izbrišejo brez odlašanja, ko je namen zbiranja izpolnjen ali ko je obdobje hrambe poteklo. Ne obstaja enotno zakonsko obdobje hrambe, odvisno je od navedenega namena v obvestilu o soglasju.
Ključna pravila:
- Podatki morajo biti izbrisani, ko je dosežen namen obdelave ali ko poteče obdobje soglasja.
- Če pravna obveznost zahteva hrambo, ki presega obdobje soglasja, morajo biti podatki shranjeni ločeno in omejeni dostop.
- Posamezniki lahko kadar koli zahtevajo izbris, če podatki niso več potrebni za prvotni namen.
- Pravice do prenosljivosti podatkov (velja od marca 2025) omogočajo posameznikom, da zahtevajo prenos svojih podatkov pred izbrisom [4].
Robni primer: Če uporabnik umakne soglasje, vendar pravna obveznost (kot je davčna zakonodaja) zahteva hrambo, se podatki lahko hranijo le za ta pravni namen, v ločenem sistemu, in jih je treba izbrisati, ko ta obveznost poteče.
PIPA proti APPI: Primerjava varstva podatkov na Japonskem
PIPA (Južna Koreja) in Zakon o varstvu osebnih podatkov (APPI) na Japonskem sta dva najpomembnejša okvira za varstvo podatkov v severovzhodni Aziji, vendar se pomembno razlikujeta v zahtevah po soglasju in izvršilnem pristopu.
| Dimenzija | Južna Koreja PIPA | Japonska APPI |
|---|---|---|
| Model soglasja | Izrecno opt-in privzeto | Opt-out dovoljen za nekatere prenose |
| Občutljivi podatki | Izrecno ločeno soglasje | Zahtevano soglasje |
| Čezmejni prenosi | Soglasje + popolno razkritje | Opt-out z obvestilom (za ustrezne države) |
| Izvrševanje | PIPC, aktivno in dobro financirano | Komisija za varstvo osebnih podatkov |
| Odgovornost izvršnega direktorja | Zakonska (2026) | Ni izrecno zahtevana |
PIPA se na splošno šteje za strožji okvir. Japonski APPI dovoljuje opt-out za nekatere prenose podatkov tretjim osebam, medtem ko PIPA zahteva afirmativno opt-in v skoraj vseh scenarijih. Podjetja, ki delujejo na obeh trgih, morajo vzdrževati ločene programe skladnosti, namesto da bi uporabila enoten pristop.
Pogosta vprašanja
Kaj pomeni PIPA? PIPA pomeni Zakon o varstvu osebnih podatkov, glavni zakon o varstvu podatkov Južne Koreje, prvič sprejet leta 2011 in nazadnje spremenjen leta 2026.
Ali PIPA velja za tuja podjetja? Da. Vsaka organizacija, ki obdeluje osebne podatke prebivalcev Južne Koreje, je podvržena PIPA, ne glede na to, kje je organizacija ustanovljena. Tuj podjetja, ki ciljajo na korejske uporabnike, morajo prav tako imenovati domačega predstavnika v Južni Koreji [2].
Kakšna je največja kazen po PIPA? Od spremembe februarja 2026 je največja kazen za hude kršitve 10% skupnih letnih prihodkov podjetja. Standardne kršitve prinašajo kazni do 3% povezanih prihodkov [1].
Ali je izrecno soglasje vedno zahtevano po PIPA? Soglasje je privzeta pravna osnova po PIPA za večino obdelovalnih dejavnosti. Obstajajo omejene izjeme za pravne obveznosti, vitalne interese in naloge v javnem interesu, vendar so te ožje razložene. Legitimni interes, kot ga razume GDPR, ni priznana osnova po PIPA.
Kaj je dogovor o ustreznosti med EU in Korejo? Od decembra 2021 lahko osebni podatki prosto tečejo med EU in Južno Korejo brez dodatnih zaščit. Južna Koreja je to reciprocirala septembra 2025. Dogovor poteče decembra 2028, razen če se ne podaljša [2].
Ali piškotki zahtevajo soglasje po PIPA? Da. PIPA zahteva izrecno soglasje pred namestitvijo piškotkov ali podobnih tehnologij sledenja, ki zbirajo osebne informacije. Predizpolnjene možnosti in implicitno soglasje niso sprejemljive [1].
Kaj je domači predstavnik po PIPA? Domači predstavnik je oseba ali entiteta, ki jo določi tuje podjetje za obravnavo vprašanj o zasebnosti in regulativne komunikacije v Južni Koreji. Imenovanje je bilo zahtevano do oktobra 2025 za kvalificirane tuje organizacije [2].
Kakšne so pravice do prenosljivosti podatkov po PIPA? Od marca 2025 imajo posamezniki pravico zahtevati, da se njihovi osebni podatki prenesejo njim ali določenemu tretjemu delu v strukturirani, strojno berljivi obliki [4].
Ali PIPA zahteva, da so podatki shranjeni v Južni Koreji? PIPA ne nalaga splošne lokalizacije podatkov. Vendar pa pravila po sektorjih, zlasti v finančnih storitvah, zahtevajo, da določene osebne kreditne informacije, obdelane preko oblaka, ostanejo na korejskih strežnikih [2].
Kdo je odgovoren za skladnost s PIPA znotraj podjetja? Po spremembi marca 2026 je izvršni direktor ali predstavnik direktorja končno odgovorna oseba. Odgovoren je za nadzor glavnega uradnika za zasebnost in zagotavljanje ustreznega kadra in proračuna za zasebnost [2].
Reference
[1] Kr Pipa - https://www.consentstack.io/regulations/kr-pipa?utm_source=openai
[2] Južnokorejski zakoni o varstvu podatkov - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/south-korea-data-privacy-laws/?utm_source=openai
[3] Pipa soglasje čezmejni prenos 2026 - https://www.koreabusinesshub.kr/blog/pipa-consent-cross-border-transfer-2026?utm_source=openai
[4] Južna Koreja - https://ksandk.com/privacy-review/map/south-korea/?utm_source=openai
[5] Upravljanje podatkov - https://kmoonshot.com/policy/data-governance/?utm_source=openai
Zaključek
Zakon PIPA Južne Koreje: Navigacija po strogih opt-in zahtevah in lokalizaciji podatkov v Aziji zahteva več kot le preprosto preverjanje skladnosti. Spremembe v letu 2026 so zvišale tako tveganja kot tudi verigo odgovornosti, kar izvršnim direktorjem nalaga osebno odgovornost in izpostavlja neskladna podjetja kaznim, ki lahko dosežejo 10% skupnih letnih prihodkov.
Izvedljivi naslednji koraki za organizacije v letu 2026:
- Preverite vse mehanizme soglasja za korejske uporabnike in zamenjajte morebitna združena ali implicitna soglasja z ločenimi, namensko specifičnimi obrazci opt-in.
- Potrdite, da je vaš domači predstavnik imenovan, če vaše podjetje cilja na korejske potrošnike.
- Preglejte vse pogodbe o čezmejnih prenosih podatkov in posodobite obvestila o soglasju, da vključite ime prejemnika, državo, namen, kategorije podatkov in obdobje hrambe.
- Uvedite rešitev za soglasje piškotkov, skladno s PIPA; Biscotti CMP (www.biscotti-cmp.com) zagotavlja tehnično infrastrukturo za blokiranje sledenjskih skript, dokler ni potrjeno izrecno soglasje.
- Ustanovite nadzor na ravni izvršnega direktorja nad vašim programom zasebnosti, vključno z dokumentiranim imenovanjem CPO in dodeljenim proračunom za zasebnost.
- Če delujete v finančnih storitvah, preverite, da so osebne kreditne informacije, obdelane preko oblaka, gostovane na korejskih strežnikih.
- Nastavite opomnik za december 2028, ko poteče dogovor o ustreznosti med EU in Korejo.
Skladnost s PIPA ni enkratni projekt. Okvir se razvija, izvrševanje je aktivno, PIPC pa je pokazal pripravljenost, da naloži znatne kazni. Zdaj je najbolj stroškovno učinkovit pristop zgraditi trajen, dokumentiran program skladnosti za delovanje na enem izmed najpomembnejših digitalnih trgov v Aziji.