Snabbt svar: Sydkoreas lag om skydd av personlig information (PIPA) är en av Asiens mest krävande dataskyddsramar, som kräver uttryckligt opt-in samtycke innan insamling, användning eller överföring av personlig data. Till skillnad från GDPR:s lagliga intressegrund, utgår PIPA från samtycke och ålägger detaljerade informationsskyldigheter. Alla företag, inhemska eller utländska, som behandlar data om sydkoreanska medborgare måste följa lagen, och ändringar 2026 har höjt böterna till upp till 10% av den totala årliga intäkten för allvarliga överträdelser [1].
Viktiga punkter
- PIPA kräver uttryckligt, ändamålsspecifikt opt-in samtycke innan insamling av personlig data, utan undantag för lagligt intresse för de flesta behandlingsaktiviteter.
- Utländska företag som riktar sig till koreanska användare måste utse en inhemsk representant i Sydkorea (sista datum: oktober 2025) [2].
- Gränsöverskridande datatransferer kräver detaljerat samtycke som avslöjar mottagarens namn, land, syfte, datakategorier och lagringsperiod [3].
- EU-Korea ömsesidiga adekvatsarrangemang (sedan december 2021) möjliggör fri dataflöde mellan de två jurisdiktionerna fram till december 2028 [2].
- Sektorsspecifika lokaliseringsregler gäller inom finansiella tjänster: lagen om elektroniska finansiella transaktioner kräver att personlig kreditinformation som behandlas via moln förblir på koreanska servrar [2].
- Ändringen i mars 2026 utser VD:n som den ytterst ansvariga personen för efterlevnad av dataskydd [2].
- Böter kan uppgå till KRW 134,7 miljarder i dokumenterade fall; SK Telecom bötfälldes med det beloppet för en överträdelse som påverkade 23 miljoner användare [1].
- Rättigheter till dataportabilitet trädde i kraft i mars 2025, vilket tillåter individer att begära strukturerade, maskinläsbara dataexporter [4].
- Cookies och spårningsteknologier kräver uttryckligt opt-in samtycke innan placering, inte bara information [1].
Vad är Sydkoreas PIPA och hur fungerar den
Sydkoreas lag om skydd av personlig information (PIPA) är landets primära dataskyddslag, som först antogs 2011 och har ändrats avsevärt 2020, 2023 och igen i början av 2026. Den reglerar hur varje enhet, offentlig eller privat, samlar in, lagrar, använder och överför personlig information om sydkoreanska medborgare.
PIPA fungerar enligt en samtyckes-först-modell. Datakontrollanter måste erhålla uttryckligt, informerat samtycke innan nästan varje behandlingsaktivitet, och det samtycket måste vara detaljerat: separata samtycken krävs för insamling, användning, tredje parts tillhandahållande och överföring utomlands. Kommissionen för skydd av personlig information (PIPC) är den primära tillsynsmyndigheten, med befogenhet att utreda, utfärda korrigerande order och ålägga böter [1].
Hur det fungerar i praktiken:
- En datakontrollant identifierar kategorierna av personlig data som ska samlas in.
- Separata samtyckesformulär presenteras för varje behandlingssyfte.
- Individer måste informeras om sin rätt att vägra utan nackdelar.
- Eventuella ändringar i syftet kräver nytt samtycke.
- PIPC kan granska efterlevnad och utreda rapporter om överträdelser.
Vad räknas som personlig data enligt PIPA
Personlig data enligt PIPA är all information som identifierar eller kan identifiera en levande individ, antingen ensam eller i kombination med annan data. Denna definition är avsiktligt bred och omfattar fler kategorier än många jämförbara ramverk.
Omfattade kategorier inkluderar:
- Namn, nationella identifikationsnummer, adresser, telefonnummer och e-postadresser
- Biometriska data (fingeravtryck, ansiktsigenkänning, irisavläsningar)
- Hälsodata och medicinska journaler
- Finansiella kontouppgifter och kreditbetyg
- Platsdata och IP-adresser när de kan kopplas till en individ
- Pseudonymiserade data som kan återidentifieras när de kombineras med andra dataset
PIPA definierar också separat "känslig information", inklusive ideologi, tro, fackligt medlemskap, politiska åsikter, hälsodata, sexuell läggning och brottsregister, vilket kräver högre samtycke och striktare hantering [1][2].
PIPA vs. GDPR: Viktiga skillnader i dataskyddskrav
PIPA och GDPR har strukturella likheter men avviker skarpt när det gäller samtycke och lagliga grunder för behandling. GDPR erbjuder sex lagliga grunder för behandling, inklusive legitima intressen. PIPA, å sin sida, behandlar samtycke som standard och ger mycket begränsade alternativ.
| Dimension | Sydkorea PIPA | EU GDPR |
|---|---|---|
| Standard laglig grund | Uttryckligt samtycke | Sex grunder inklusive legitimt intresse |
| Samtyckets detaljrikedom | Per syfte, separata formulär | Enskild lagrad information är acceptabel |
| Gränsöverskridande överföringar | Samtycke + fullständig information krävs | Adekvans, SCC:er, BCR:er accepteras |
| VD:s ansvar | Lagstadgad (ändring 2026) | DPO krävs för vissa kontrollanter |
| Dataportabilitet | Ja (gäller från mars 2025) | Ja (Artikel 20) |
| Maximal böter | 10% av total årlig intäkt | 4% av global årlig omsättning |
Samtyckesbördan under PIPA är avsevärt högre. Ett företag som förlitar sig på legitima intressen enligt GDPR kan inte enkelt återskapa det tillvägagångssättet för koreanska användare, det måste samla in nytt, uttryckligt samtycke [3].
Hur opt-in krav skiljer sig från andra länder
PIPAs opt-in krav är bland de strängaste globalt. Samtycke måste ges fritt, vara specifikt, informerat och entydigt, och det måste erhållas innan någon behandling påbörjas, inte efter.
Vad som gör PIPAs opt-in-regim distinkt:
- Cookies och spårningsteknologier kräver uttryckligt opt-in innan placering. Förifyllda rutor eller underförstått samtycke är inte acceptabla [1].
- Känsliga data kräver ett separat, tydligt avgränsat samtyckesmeddelande.
- Marknadsföringskommunikation kräver separat samtycke från samtycke för datainsamling.
- Individer måste uttryckligen informeras om att de kan vägra samtycke utan att drabbas av några nackdelar.
- Sammanbundna samtycken, där vägran av ett syfte innebär vägran av alla, är förbjudna.
Detta står i kontrast till jurisdiktioner som USA, där det inte finns något federalt opt-in krav, eller Japan, där opt-out mekanismer är tillåtna för vissa tredjepartsöverföringar.
PIPA:s datalokaliseringsregler för företag
PIPA ålägger inte en generell datalokaliseringsregel, data som behandlas enligt PIPA behöver inte fysiskt lagras inom Sydkorea i de flesta fall [5]. Men sektorsspecifika regler skapar meningsfulla lokaliseringsskyldigheter för vissa branscher.
Viktiga lokaliseringsregler:
- Lagen om elektroniska finansiella transaktioner ålägger att personlig kreditinformation som behandlas via moln måste förbli på servrar som fysiskt är belägna inom Sydkorea [2].
- Sektorerna för hälso- och sjukvård och telekommunikation har ytterligare regleringsvägledning som kan begränsa offshore-lagring.
- För de flesta andra branscher är gränsöverskridande överföringar tillåtna förutsatt att kraven på laglig grund uppfylls.
Vanligt misstag: Att anta att eftersom PIPA saknar en generell lokaliseringsregel, så gäller ingen lokaliseringsskyldighet. Företag inom finansiella tjänster måste särskilt granska sin molninfrastruktur för krav på koreanska servrar.
PIPA:s begränsningar och undantag för datatransferering
Gränsöverskridande datatransferering enligt PIPA kräver en giltig laglig grund, och för de flesta företag innebär det uttryckligt, detaljerat samtycke. När personlig data överförs utanför Sydkorea måste datakontrollanten avslöja: mottagarens namn, mottagarens land, syftet med överföringen, kategorier av överförda data, lagringsperioden utomlands och individens rätt att vägra [3].
Tillgängliga lagliga grunder för gränsöverskridande överföringar:
- Uttryckligt individuellt samtycke med fullständig information
- Adekvatsarrangemang (för närvarande tillämpliga på EU-överföringar fram till december 2028) [2]
- Standardavtal som godkänts av PIPC
- Bindande företagsregler för interna överföringar
- Certifiering under PIPC-erkända program
Det ömsesidiga adekvatsarrangemanget mellan EU och Korea är särskilt betydelsefullt: sedan september 2025 kan sydkoreanska organisationer överföra data till EU utan att erhålla separat samtycke, och EU-organisationer kan överföra till Korea utan ytterligare skydd, tills arrangemanget löper ut i december 2028 [2].
Vilka är straffen för PIPA-överträdelser
PIPC genomför aktivt PIPA, och ändringarna 2026 har avsevärt ökat den finansiella exponeringen för icke-efterlevande organisationer. Böter är tierade efter allvarlighetsgrad och kan uppgå till 10% av den totala årliga intäkten för de mest allvarliga överträdelserna [1].
Bötesstruktur:
- Standardöverträdelser: upp till 3% av relaterade intäkter
- Allvarliga överträdelser (t.ex. systematiska brister, storskaliga överträdelser): upp till 10% av den totala årliga intäkten
- Straffrättsliga påföljder: upp till 5 års fängelse eller böter upp till KRW 50 miljoner för vissa brott
- VD:n är nu personligt ansvarig enligt ändringen i mars 2026 [2]
Ett dokumenterat exempel: SK Telecom bötfälldes med KRW 134,7 miljarder efter en dataintrång som påverkade cirka 23 miljoner användare [1]. Det beloppet illustrerar omfattningen av exponeringen för storskalig icke-efterlevnad.
Måste jag följa PIPA om jag är utanför Sydkorea
Ja, om din organisation behandlar personlig data om sydkoreanska medborgare, gäller PIPA oavsett var din organisation är registrerad eller belägen. PIPA har en uttrycklig extraterritorial räckvidd.
Utländska företag som riktar sig till koreanska användare, genom koreanskspråkiga tjänster, koreanska betalningsmetoder eller marknadsföring riktad mot koreanska konsumenter, omfattas av PIPA. Dessutom måste utländska företag utse en inhemsk representant i Sydkorea senast oktober 2025 [2]. Denna representant hanterar integritetsfrågor, regulatoriska kommunikationer och tillsynsinteraktioner å den utländska enhetens vägnar.
Välj denna efterlevnadsväg om: Ditt företag har en koreanskspråkig webbplats, accepterar koreanska won eller aktivt marknadsför sig till sydkoreanska konsumenter. Kravet på inhemsk representant är inte valfritt för kvalificerade utländska enheter.
Hur man får uttryckligt samtycke enligt PIPA:s krav
Att erhålla giltigt samtycke enligt PIPA kräver mer än en kryssruta. Samtyckesmekanismen måste uppfylla specifika strukturella och innehållsmässiga krav för att vara verkställbar.
Steg-för-steg samtyckesprocess:
- Presentera ett tydligt avgränsat samtyckesmeddelande för varje särskilt behandlingssyfte.
- Avslöja: identiteten på datakontrollanten, syftet med insamlingen, de insamlade datakategorierna, lagringsperioden och rätten att vägra.
- Säkerställ att samtyckesbegäran är visuellt åtskiljd från andra villkor och bestämmelser.
- För känsliga data, använd ett separat, tydligt märkt samtyckesformulär.
- För cookies och spårning, implementera en samtyckeshanteringslösning som blockerar spårningsskript tills opt-in bekräftas, Biscotti CMP (www.biscotti-cmp.com) stöder detta arbetsflöde för PIPA-kompatibelt cookie-samtycke.
- Registrera samtycket: tidsstämpel, version av meddelandet som presenterades och individens svar.
- Ge en mekanism för återkallelse som är lika enkel som att ge samtycke.
Vanligt misstag: Att presentera ett enda sammanbundet samtyckesformulär som täcker insamling, användning, delning med tredje part och överföring utomlands i en kryssruta. PIPA kräver att dessa ska samtyckas separat [1][3].
Vilken dokumentation behöver jag för PIPA-efterlevnad
PIPA-efterlevnad kräver att man upprätthåller en dokumenterad ansvarighetsram, inte bara samtyckesregister. PIPC kan begära dokumentation under utredningar och revisioner.
Krävd dokumentation inkluderar:
- Register över behandling av personlig data (kategorier, syften, lagringsscheman)
- Samtyckesregister med tidsstämplar och versionsnummer
- Avtal om databehandling med tredje parts behandlare
- Register över gränsöverskridande överföringar inklusive mottagarens detaljer och laglig grund
- Loggar över meddelanden om överträdelser och svar
- Register över utnämningar av Chief Privacy Officer (CPO)
- Interna konsekvensbedömningar för hög riskbehandling
- Bevis på VD:s tillsyn och ansvarighet (krav från 2026) [2]
Vanliga misstag företag gör med PIPA-efterlevnad
Flera återkommande efterlevnadsfel framträder i PIPC:s tillsynsåtgärder och rådgivande vägledning.
- Att förlita sig på GDPR-efterlevnad som substitut: PIPAs samtyckeskrav är striktare; ett GDPR-kompatibelt meddelande uppfyller inte automatiskt PIPA.
- Att sammanbinda samtycken: Att kombinera flera behandlingssyften i en samtyckeskryssruta är ett direkt brott.
- Att ignorera kravet på inhemsk representant: Utländska företag som missade deadline i oktober 2025 är utsatta för tillsynsåtgärder [2].
- Att behandla pseudonymiserade data som anonyma: PIPA omfattar pseudonymiserade data som kan återidentifieras.
- Att inte uppdatera meddelanden om gränsöverskridande överföringar: Eventuella ändringar i den utländska mottagaren eller syftet kräver uppdaterat samtycke.
- Cookie-banners utan verkligt opt-in: Förifyllda rutor eller "fortsätt surfa = samtycke" tillvägagångssätt uppfyller inte PIPA [1].
Vilka branscher påverkas mest av PIPA
Alla branscher som behandlar personlig data om koreanska medborgare omfattas av PIPA, men vissa sektorer står inför högre skyldigheter på grund av volymen och känsligheten av den data de hanterar.
Sektorer med störst påverkan:
- Finansiella tjänster: Omfattas av både PIPA och lagen om elektroniska finansiella transaktioner, inklusive krav på molnlokalisering [2].
- Telekommunikation: Stora användarbaser och känslig kommunikationsdata; SK Telecoms böter på KRW 134,7 miljarder illustrerar exponeringen [1].
- E-handel och detaljhandel: Hög volym av datainsamling med krav på marknadsföringssamtycke.
- Hälsovård: Känslig hälsodata kräver högre samtycke och strikta lagringskontroller.
- Teknologiplattformar och appar: Cookie-samtycke, beteendesporing och gränsöverskridande dataflöden utlöser alla PIPA-skyldigheter.
Hur länge har du på dig att radera data enligt PIPA
PIPA kräver att personlig data raderas utan dröjsmål när syftet med insamlingen har uppfyllts eller lagringsperioden har löpt ut. Det finns ingen enskild lagstadgad lagringsperiod, det beror på det angivna syftet i samtyckesmeddelandet.
Viktiga regler:
- Data måste raderas när behandlingssyftet uppnås eller samtyckeperioden löper ut.
- Om en laglig skyldighet kräver lagring utöver samtyckeperioden, måste datan lagras separat och begränsas i åtkomst.
- Individer kan begära radering när som helst om datan inte längre är nödvändig för det ursprungliga syftet.
- Rättigheter till dataportabilitet (gäller från mars 2025) tillåter individer att begära överföring av sina data innan radering [4].
Gränsfall: Om en användare återkallar sitt samtycke men en separat laglig skyldighet (såsom skatteregler) kräver lagring, kan datan hållas endast för det lagliga syftet, i ett avskilt system, och måste raderas när den skyldigheten upphör.
PIPA vs. APPI: Jämförelse av dataskydd i Japan
PIPA (Sydkorea) och Japans lag om skydd av personlig information (APPI) är de två mest betydelsefulla dataskyddsramarna i Nordöstra Asien, men de skiljer sig meningsfullt när det gäller samtyckeskrav och tillsynsinställning.
| Dimension | Sydkorea PIPA | Japan APPI |
|---|---|---|
| Samtyckesmodell | Uttryckligt opt-in som standard | Opt-out tillåten för vissa överföringar |
| Känsliga data | Uttryckligt separat samtycke | Opt-in krävs |
| Gränsöverskridande överföringar | Samtycke + fullständig information | Opt-out med meddelande (till adekvata länder) |
| Tillsyn | PIPC, aktiv och välfinansierad | Kommissionen för skydd av personlig information |
| VD:s ansvar | Lagstadgad (2026) | Inte uttryckligen ålagd |
PIPA anses generellt vara den striktare ramen. Japans APPI tillåter opt-out för vissa tredjepartsdataöverföringar, medan PIPA kräver bekräftande opt-in i nästan alla scenarier. Företag som verkar på båda marknaderna måste upprätthålla separata efterlevnadsprogram snarare än att tillämpa en enhetlig strategi.
FAQ
Vad står PIPA för? PIPA står för lagen om skydd av personlig information, Sydkoreas primära dataskyddslag, som först antogs 2011 och senast ändrades 2026.
Gäller PIPA för utländska företag? Ja. Alla organisationer som behandlar personlig data om sydkoreanska medborgare omfattas av PIPA, oavsett var organisationen är baserad. Utländska företag som riktar sig till koreanska användare måste också utse en inhemsk representant i Sydkorea [2].
Vad är den maximala böter enligt PIPA? Enligt ändringen i februari 2026 är den maximala bötesbeloppet för allvarliga överträdelser 10% av ett företags totala årliga intäkter. Standardöverträdelser medför böter på upp till 3% av relaterade intäkter [1].
Är uttryckligt samtycke alltid nödvändigt enligt PIPA? Samtycke är den standardlagliga grunden enligt PIPA för de flesta behandlingsaktiviteter. Begränsade undantag finns för lagliga skyldigheter, livsviktiga intressen och offentliga intressetjänster, men dessa tolkas snävt. Lagligt intresse, som förstås enligt GDPR, är inte en erkänd grund enligt PIPA.
Vad är EU-Korea adekvatsarrangemang? Sedan december 2021 kan personlig data flöda fritt mellan EU och Sydkorea utan ytterligare skydd. Sydkorea reciprocitet i september 2025. Arrangemanget löper ut i december 2028 om det inte förnyas [2].
Kräver cookies samtycke enligt PIPA? Ja. PIPA kräver uttryckligt opt-in samtycke innan cookies eller liknande spårningsteknologier som samlar in personlig information placeras. Förifyllda rutor och underförstått samtycke är inte acceptabla [1].
Vad är en inhemsk representant enligt PIPA? En inhemsk representant är en person eller enhet som utses av ett utländskt företag för att hantera integritetsfrågor och regulatoriska kommunikationer i Sydkorea. Utnämningen krävdes senast i oktober 2025 för kvalificerade utländska organisationer [2].
Vad är rättigheter till dataportabilitet enligt PIPA? Sedan mars 2025 har individer rätt att begära att deras personliga data överförs till dem själva eller en utsedd tredje part i ett strukturerat, maskinläsbart format [4].
Kräver PIPA att data lagras i Sydkorea? PIPA ålägger inte en generell datalokaliseringsregel. Men sektorsspecifika regler, särskilt inom finansiella tjänster, kräver att viss personlig kreditinformation som behandlas via moln förblir på koreanska servrar [2].
Vem är ansvarig för PIPA-efterlevnad inom ett företag? Enligt ändringen i mars 2026 är VD:n eller den representativa direktören den ytterst ansvariga personen. De är ansvariga för att övervaka Chief Privacy Officer och säkerställa adekvat personal och budget för integritet [2].
Referenser
[1] Kr Pipa - https://www.consentstack.io/regulations/kr-pipa?utm_source=openai
[2] Sydkoreas dataskyddslagar - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/south-korea-data-privacy-laws/?utm_source=openai
[3] Pipa samtycke gränsöverskridande överföring 2026 - https://www.koreabusinesshub.kr/blog/pipa-consent-cross-border-transfer-2026?utm_source=openai
[4] Sydkorea - https://ksandk.com/privacy-review/map/south-korea/?utm_source=openai
[5] Datastyrning - https://kmoonshot.com/policy/data-governance/?utm_source=openai
Slutsats
Sydkoreas PIPA: Navigera strikta opt-in och datalokaliseringskrav i Asien kräver mer än en efterlevnadschecklista. Ändringarna 2026 har höjt både insatserna och ansvarskedjan, vilket placerar personlig ansvarighet på VD:ar och utsätter icke-efterlevande organisationer för böter som kan nå 10% av den totala årliga intäkten.
Handlingsbara nästa steg för organisationer 2026:
- Granska alla samtyckesmekanismer för koreanska användare och ersätt eventuella sammanbundna eller underförstådda samtycken med separata, syftesspecifika opt-in formulär.
- Bekräfta att din inhemska representant har utsetts om ditt företag riktar sig till koreanska konsumenter.
- Granska alla avtal om gränsöverskridande datatransferering och uppdatera samtyckesmeddelanden för att inkludera mottagarens namn, land, syfte, datakategorier och lagringsperiod.
- Implementera en PIPA-kompatibel cookie-samtyckeslösning; Biscotti CMP (www.biscotti-cmp.com) tillhandahåller den tekniska infrastrukturen för att blockera spårningsskript tills uttryckligt opt-in bekräftas.
- Etablera VD-nivå övervakning av ditt integritetsprogram, inklusive dokumenterad utnämning av CPO och dedikerad budget för integritet.
- Om du verkar inom finansiella tjänster, verifiera att personlig kreditinformation som behandlas via moln är värd på koreanska servrar.
- Sätt en kalenderpåminnelse för december 2028 när EU-Korea adekvatsarrangemanget ska förnyas.
PIPA-efterlevnad är inte ett engångsprojekt. Ramverket utvecklas, tillsynen är aktiv, och PIPC har visat vilja att ålägga betydande böter. Att bygga ett hållbart, dokumenterat efterlevnadsprogram nu är det mest kostnadseffektiva tillvägagångssättet för att verka på en av Asiens mest betydelsefulla digitala marknader.