Швидка відповідь: Закон про захист персональних даних Південної Кореї (ПІПА) є одним з найвимогливіших правових рамок щодо конфіденційності даних в Азії, що вимагає явної згоди перед збором, використанням або передачею персональних даних. На відміну від законодавства GDPR, яке допускає законний інтерес, ПІПА за замовчуванням вимагає згоди та накладає детальні зобов'язання щодо розкриття інформації. Будь-який бізнес, як місцевий, так і іноземний, який обробляє дані про резидентів Південної Кореї, повинен дотримуватися вимог, а поправки 2026 року підвищили штрафи до 10% від загального річного доходу за серйозні порушення [1].
Основні висновки
- ПІПА вимагає явної, специфічної для мети згоди перед збором персональних даних, без винятків для законного інтересу для більшості видів обробки.
- Іноземні компанії, які намагаються залучити корейських користувачів, повинні призначити місцевого представника в Південній Кореї (термін: жовтень 2025 року) [2].
- Трансфери даних через кордон вимагають детальної згоди, що розкриває ім'я отримувача, країну, мету, категорії даних та термін зберігання [3].
- Угода про взаємну адекватність між ЄС і Кореєю (з грудня 2021 року) дозволяє вільний обмін даними між двома юрисдикціями до грудня 2028 року [2].
- В окремих секторах, таких як фінансові послуги, діють специфічні правила локалізації: Закон про електронні фінансові транзакції вимагає, щоб персональна кредитна інформація, оброблена через хмару, залишалася на серверах у Південній Кореї [2].
- Поправка березня 2026 року призначає генерального директора як остаточно відповідальну особу за дотримання вимог щодо захисту даних [2].
- Штрафи досягають 134,7 мільярда KRW у задокументованих випадках; компанія SK Telecom була оштрафована на цю суму за порушення, що вплинуло на 23 мільйони користувачів [1].
- Права на портативність даних набули чинності в березні 2025 року, дозволяючи особам запитувати структуровані, зручні для машин експорти даних [4].
- Файли cookie та технології відстеження вимагають явної згоди перед їх установкою, а не лише розкриття [1].
Що таке ПІПА Південної Кореї і як вона працює
Закон про захист персональних даних Південної Кореї (ПІПА) є основним законодавством країни щодо конфіденційності даних, вперше прийнятим у 2011 році та суттєво зміненим у 2020, 2023 роках і знову на початку 2026 року. Він регулює, як будь-яка організація, державна чи приватна, збирає, зберігає, використовує та передає персональну інформацію про резидентів Південної Кореї.
ПІПА працює за моделлю згоди. Контролери даних повинні отримати явну, усвідомлену згоду перед майже кожною діяльністю з обробки, і ця згода повинна бути детальною: окремі згоди потрібні для збору, використання, надання третім особам та передачі за кордон. Комісія з захисту персональних даних (PIPC) є основним органом, що здійснює контроль, з повноваженнями розслідувати, видавати коригувальні накази та накладати штрафи [1].
Як це працює на практиці:
- Контролер даних визначає категорії персональних даних, які потрібно зібрати.
- Окремі форми згоди надаються для кожної мети обробки.
- Особи повинні бути проінформовані про своє право відмовитися без негативних наслідків.
- Будь-яка зміна мети вимагає нової згоди.
- PIPC може проводити аудит дотримання та розслідувати повідомлення про порушення.
Що вважається персональними даними відповідно до ПІПА
Персональні дані відповідно до ПІПА — це будь-яка інформація, яка ідентифікує або може ідентифікувати живу особу, як окремо, так і в поєднанні з іншими даними. Це визначення навмисно широке і охоплює більше категорій, ніж багато порівнянних рамок.
Охоплені категорії включають:
- Імена, національні ідентифікаційні номери, адреси, номери телефонів та електронні адреси
- Біометричні дані (відбитки пальців, дані розпізнавання обличчя, сканування райдужної оболонки)
- Медичні та здоров'я дані
- Деталі фінансових рахунків та кредитні рейтинги
- Дані про місцезнаходження та IP-адреси, коли вони можуть бути пов'язані з особою
- Псевдонімізовані дані, які можуть бути повторно ідентифіковані при поєднанні з іншими наборами даних
ПІПА також окремо визначає "чутливу інформацію", включаючи ідеологію, переконання, членство в профспілках, політичні погляди, дані про здоров'я, сексуальну орієнтацію та кримінальні записи, що вимагає підвищеної згоди та суворішого оброблення [1][2].
ПІПА проти GDPR: Основні відмінності в вимогах до конфіденційності даних
ПІПА та GDPR мають структурні подібності, але різняться в питаннях згоди та правових підстав для обробки. GDPR пропонує шість законних підстав для обробки, включаючи законні інтереси. ПІПА, навпаки, розглядає згоду як стандарт і надає дуже обмежені альтернативи.
| Параметр | ПІПА Південної Кореї | GDPR ЄС |
|---|---|---|
| Стандартна правова основа | Явна згода | Шість підстав, включаючи законний інтерес |
| Гранулярність згоди | За метою, окремі форми | Прийнятна одношарова інформація |
| Трансфери через кордон | Необхідна згода + повне розкриття | Прийнятні адекватність, стандартні контрактні положення, внутрішні корпоративні правила |
| Відповідальність генерального директора | Законодавча (поправка 2026 року) | DPO потрібен для деяких контролерів |
| Портативність даних | Так (вступає в силу в березні 2025 року) | Так (Стаття 20) |
| Максимальний штраф | 10% від загального річного доходу | 4% від глобального річного обороту |
Вимоги до згоди відповідно до ПІПА є значно вищими. Бізнес, який покладається на законні інтереси відповідно до GDPR, не може просто повторити цей підхід для корейських користувачів, він повинен отримати нову, явну згоду [3].
Як вимоги до згоди відрізняються від інших країн
Вимоги ПІПА до згоди є одними з найсуворіших у світі. Згода повинна бути надана вільно, бути специфічною, усвідомленою та недвозначною, і вона повинна бути отримана до початку будь-якої обробки, а не після.
Що робить режим згоди ПІПА унікальним:
- Файли cookie та технології відстеження вимагають явної згоди перед установкою. Попередньо позначені поля або імпліцитна згода не прийнятні [1].
- Чутливі дані вимагають окремого, чітко визначеного повідомлення про згоду.
- Маркетингові комунікації вимагають окремої згоди від згоди на збір даних.
- Особи повинні бути чітко проінформовані про те, що можуть відмовитися від згоди без негативних наслідків.
- Об'єднані згоди, коли відмова від однієї мети означає відмову від усіх, заборонені.
Це контрастує з юрисдикціями, такими як Сполучені Штати, де не існує федеральної вимоги до згоди, або Японія, де дозволені механізми відмови для певних третіх сторін.
Правила локалізації даних ПІПА для бізнесу
ПІПА не накладає загальні вимоги до локалізації даних, дані, оброблені відповідно до ПІПА, не повинні фізично зберігатися в межах Південної Кореї в більшості випадків [5]. Однак специфічні для сектору правила створюють значні зобов'язання щодо локалізації для певних галузей.
Основні правила локалізації:
- Закон про електронні фінансові транзакції вимагає, щоб персональна кредитна інформація, оброблена через хмарні технології, залишалася на серверах, фізично розташованих у Південній Кореї [2].
- Сектори охорони здоров'я та телекомунікацій мають додаткові регуляторні вказівки, які можуть обмежувати зберігання даних за кордоном.
- Для більшості інших галузей трансфери через кордон дозволені за умови дотримання вимог правової основи.
Поширена помилка: Припущення, що через відсутність загального правила локалізації ПІПА не застосовуються вимоги до локалізації. Компанії у фінансових послугах, зокрема, повинні провести аудит своєї хмарної інфраструктури на предмет вимог до корейських серверів.
Обмеження та винятки щодо передачі даних ПІПА
Трансфери даних через кордон відповідно до ПІПА вимагають дійсної правової основи, і для більшості бізнесів це означає явну, детальну згоду. Під час передачі персональних даних за межі Південної Кореї контролер даних повинен розкрити: ім'я отримувача, країну отримувача, мету передачі, категорії переданих даних, термін зберігання за кордоном та право особи на відмову [3].
Доступні правові основи для трансферів через кордон:
- Явна індивідуальна згода з повним розкриттям
- Угоди про адекватність (в даний час застосовні до передачі даних в ЄС до грудня 2028 року) [2]
- Стандартні контрактні положення, затверджені PIPC
- Обов'язкові корпоративні правила для внутрішньогрупових передач
- Сертифікація за схемами, визнаними PIPC
Угода про взаємну адекватність між ЄС і Кореєю є особливо значущою: з вересня 2025 року південнокорейські організації можуть передавати дані до ЄС без отримання окремої згоди, а організації ЄС можуть передавати дані до Кореї без додаткових запобіжників до закінчення угоди в грудні 2028 року [2].
Які штрафи за порушення ПІПА
PIPC активно контролює дотримання ПІПА, а поправки 2026 року значно збільшили фінансові ризики для недотримуючих організацій. Штрафи поділяються за ступенем серйозності і можуть досягати 10% від загального річного доходу за найсерйозніші порушення [1].
Структура штрафів:
- Стандартні порушення: до 3% від відповідного доходу
- Серйозні порушення (наприклад, системні збої, масштабні порушення): до 10% від загального річного доходу
- Кримінальні штрафи: до 5 років позбавлення волі або штрафи до 50 мільйонів KRW за певні правопорушення
- Генеральний директор тепер несе особисту відповідальність відповідно до поправки березня 2026 року [2]
Задокументований приклад: компанія SK Telecom була оштрафована на 134,7 мільярда KRW після витоку даних, що вплинув на приблизно 23 мільйони користувачів [1]. Ця сума ілюструє масштаби ризику для недотримання.
Чи потрібно мені дотримуватися ПІПА, якщо я знаходжуся за межами Південної Кореї
Так, якщо ваша організація обробляє персональні дані резидентів Південної Кореї, ПІПА застосовується незалежно від того, де ваша організація зареєстрована або розташована. ПІПА має явний екстериторіальний обсяг дії.
Іноземні компанії, які намагаються залучити корейських користувачів через послуги корейською мовою, корейські платіжні методи або маркетинг, спрямований на корейських споживачів, підлягають ПІПА. Крім того, іноземні компанії повинні були призначити місцевого представника в Південній Кореї до жовтня 2025 року [2]. Цей представник займається запитами щодо конфіденційності, регуляторними комунікаціями та взаємодією з органами контролю від імені іноземної компанії.
Виберіть цей шлях дотримання, якщо: Ваш бізнес має веб-сайт корейською мовою, приймає корейські вони або активно рекламує свої послуги корейським споживачам. Вимога щодо призначення місцевого представника не є необов'язковою для кваліфікованих іноземних суб'єктів.
Як отримати явну згоду відповідно до вимог ПІПА
Отримання дійсної згоди відповідно до ПІПА вимагає більше, ніж просто галочка. Механізм згоди повинен відповідати специфічним структурним і змістовним вимогам, щоб бути дійсним.
Покроковий процес отримання згоди:
- Надати чітко відокремлене повідомлення про згоду для кожної окремої мети обробки.
- Розкрити: особу контролера даних, мету збору, категорії зібраних даних, термін зберігання та право на відмову.
- Забезпечити, щоб запит на згоду був візуально відмінним від інших умов.
- Для чутливих даних використовувати окрему, чітко позначену форму згоди.
- Для файлів cookie та відстеження реалізувати рішення для управління згодою, яке блокує скрипти відстеження до підтвердження згоди, Biscotti CMP (www.biscotti-cmp.com) підтримує цей робочий процес для згоди на файли cookie, що відповідає ПІПА.
- Записати згоду: час, версію представленого повідомлення та відповідь особи.
- Надати механізм для відкликання, який є таким же простим, як і надання згоди.
Поширена помилка: Надання єдиної об'єднаної форми згоди, яка охоплює збір, використання, надання третім особам та передачу за кордон в одному чекбоксі. ПІПА вимагає, щоб ці питання були окремо погоджені [1][3].
Яка документація потрібна для дотримання ПІПА
Дотримання ПІПА вимагає ведення задокументованої системи відповідальності, а не лише записів про згоду. PIPC може запитувати документацію під час розслідувань та аудитів.
Необхідна документація включає:
- Записи про обробку персональних даних (категорії, мети, графіки зберігання)
- Записи про згоди з часовими мітками та версіями повідомлень
- Угоди про обробку даних з третіми сторонами
- Записи про трансфери через кордон, включаючи деталі отримувача та правову основу
- Журнали повідомлень про порушення та записи відповідей
- Записи про призначення головного спеціаліста з конфіденційності (CPO)
- Внутрішні оцінки впливу на конфіденційність для обробки з високим ризиком
- Докази нагляду та відповідальності генерального директора (вимога 2026 року) [2]
Поширені помилки, які компанії роблять при дотриманні ПІПА
Декілька повторюваних невдач у дотриманні з'являються в діях контролю PIPC та консультаційних рекомендаціях.
- Покладання на дотримання GDPR як на заміну: Вимоги ПІПА до згоди є суворішими; повідомлення, що відповідає GDPR, не автоматично задовольняє вимоги ПІПА.
- Об'єднання згод: Поєднання кількох цілей обробки в одному чекбоксі згоди є прямим порушенням.
- Ігнорування вимоги про місцевого представника: Іноземні компанії, які пропустили термін жовтня 2025 року, підлягають контролю [2].
- Розгляд псевдонімізованих даних як анонімних: ПІПА охоплює псевдонімізовані дані, які можуть бути повторно ідентифіковані.
- Невиконання оновлення повідомлень про трансфери через кордон: Будь-яка зміна в отримувачі за кордоном або меті вимагає оновленої згоди.
- Банери cookie без справжньої згоди: Попередньо позначені поля або підходи "продовжити перегляд = згода" не задовольняють вимоги ПІПА [1].
Які галузі найбільше підлягають впливу ПІПА
Всі галузі, які обробляють персональні дані резидентів Південної Кореї, підлягають ПІПА, але певні сектори стикаються з підвищеними зобов'язаннями через обсяг і чутливість даних, які вони обробляють.
Сектори з найбільшим впливом:
- Фінансові послуги: Підлягають як ПІПА, так і Закону про електронні фінансові транзакції, включаючи вимоги до локалізації хмар [2].
- Телекомунікації: Великі бази користувачів та чутливі дані комунікацій; штраф у розмірі 134,7 мільярда KRW для SK Telecom ілюструє ризик [1].
- Електронна комерція та роздрібна торгівля: Високий обсяг збору даних споживачів з вимогами до згоди на маркетинг.
- Охорона здоров'я: Чутливі дані про здоров'я вимагають підвищеної згоди та суворих контролів зберігання.
- Технологічні платформи та додатки: Згода на файли cookie, поведінкове відстеження та трансфери через кордон всі викликають зобов'язання відповідно до ПІПА.
Як довго потрібно зберігати дані відповідно до ПІПА
ПІПА вимагає, щоб персональні дані були видалені без затримки, як тільки мета збору була досягнута або термін зберігання закінчився. Не існує єдиного законодавчого терміну зберігання, він залежить від заявленої мети в повідомленні про згоду.
Основні правила:
- Дані повинні бути видалені, коли мета обробки досягнута або термін згоди закінчився.
- Якщо правова обов'язок вимагає зберігання даних понад термін згоди, дані повинні зберігатися окремо та з обмеженим доступом.
- Особи можуть запитувати видалення в будь-який час, якщо дані більше не потрібні для первісної мети.
- Права на портативність даних (вступають в силу в березні 2025 року) дозволяють особам запитувати передачу своїх даних перед видаленням [4].
Крайній випадок: Якщо користувач відкликає згоду, але окремий правовий обов'язок (такий як податкове законодавство) вимагає зберігання, дані можуть зберігатися лише для цієї правової мети, у сегрегованій системі, і повинні бути видалені, як тільки цей обов'язок закінчується.
ПІПА проти APPI: Порівняння конфіденційності даних Японії
ПІПА (Південна Корея) та Закон Японії про захист персональної інформації (APPI) є двома найзначнішими рамками конфіденційності даних у Північно-Східній Азії, але вони суттєво відрізняються в вимогах до згоди та позиції щодо контролю.
| Параметр | ПІПА Південної Кореї | APPI Японії |
|---|---|---|
| Модель згоди | Явна згода за замовчуванням | Дозволена відмова для деяких передач |
| Чутливі дані | Явна окрема згода | Вимагається згода |
| Трансфери через кордон | Згода + повне розкриття | Відмова з повідомленням (для країн з адекватністю) |
| Контроль | PIPC, активний та добре фінансований | Комісія з захисту персональної інформації |
| Відповідальність генерального директора | Законодавча (2026) | Не явно передбачена |
ПІПА зазвичай вважається суворішою рамкою. Японський APPI дозволяє відмову для певних передач даних третім особам, тоді як ПІПА вимагає ствердної згоди в майже всіх випадках. Бізнес, що працює на обох ринках, повинен підтримувати окремі програми дотримання, а не застосовувати єдиний уніфікований підхід.
Питання та відповіді
Що таке ПІПА? ПІПА означає Закон про захист персональних даних, основний закон Південної Кореї щодо конфіденційності даних, вперше прийнятий у 2011 році та останній раз змінений у 2026 році.
Чи застосовується ПІПА до іноземних компаній? Так. Будь-яка організація, яка обробляє персональні дані резидентів Південної Кореї, підлягає ПІПА, незалежно від того, де розташована організація. Іноземні компанії, які намагаються залучити корейських користувачів, також повинні призначити місцевого представника в Південній Кореї [2].
Який максимальний штраф за ПІПА? Станом на поправку лютого 2026 року максимальний штраф за серйозні порушення становить 10% від загального річного доходу компанії. Стандартні порушення передбачають штрафи до 3% від відповідного доходу [1].
Чи завжди потрібна явна згода відповідно до ПІПА? Згода є стандартною правовою основою відповідно до ПІПА для більшості видів обробки. Існують обмежені винятки для правових обов'язків, життєвих інтересів та завдань суспільного інтересу, але вони тлумачаться вузько. Законний інтерес, як це розуміється відповідно до GDPR, не є визнаною основою відповідно до ПІПА.
Що таке угода про адекватність між ЄС та Кореєю? З грудня 2021 року персональні дані можуть вільно передаватися між ЄС та Південною Кореєю без додаткових запобіжників. Південна Корея відповіла в вересні 2025 року. Угода закінчується в грудні 2028 року, якщо не буде продовжена [2].
Чи потрібна згода на файли cookie відповідно до ПІПА? Так. ПІПА вимагає явної згоди перед установкою файлів cookie або подібних технологій відстеження, які збирають персональну інформацію. Попередньо позначені поля та імпліцитна згода не прийнятні [1].
Що таке місцевий представник відповідно до ПІПА? Місцевий представник — це особа або організація, призначена іноземним бізнесом для обробки запитів щодо конфіденційності та регуляторних комунікацій у Південній Кореї. Призначення було обов'язковим до жовтня 2025 року для кваліфікованих іноземних організацій [2].
Що таке права на портативність даних відповідно до ПІПА? З березня 2025 року особи мають право запитувати, щоб їх персональні дані були передані їм або призначеній третій стороні у структурованому, зручному для машин форматі [4].
Чи вимагає ПІПА, щоб дані зберігалися в Південній Кореї? ПІПА не накладає загальні вимоги до локалізації даних. Однак специфічні для сектору правила, особливо у фінансових послугах, вимагають, щоб певна персональна кредитна інформація, оброблена через хмару, залишалася на корейських серверах [2].
Хто несе відповідальність за дотримання ПІПА в компанії? Згідно з поправкою березня 2026 року, генеральний директор або представник є остаточно відповідальною особою. Вони відповідають за нагляд за головним спеціалістом з конфіденційності та забезпечення належного штату та бюджету для конфіденційності [2].
Посилання
[1] Kr Pipa - https://www.consentstack.io/regulations/kr-pipa?utm_source=openai
[2] Закони про конфіденційність даних Південної Кореї - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/south-korea-data-privacy-laws/?utm_source=openai
[3] ПІПА Згода Трансфер через кордон 2026 - https://www.koreabusinesshub.kr/blog/pipa-consent-cross-border-transfer-2026?utm_source=openai
[4] Південна Корея - https://ksandk.com/privacy-review/map/south-korea/?utm_source=openai
[5] Управління даними - https://kmoonshot.com/policy/data-governance/?utm_source=openai
Висновок
Законодавство ПІПА Південної Кореї: Навігація суворими вимогами згоди та локалізації даних в Азії вимагає більше, ніж просто виконання вимог. Поправки 2026 року підвищили як ставки, так і ланцюг відповідальності, покладаючи особисту відповідальність на генеральних директорів та піддаючи недотримуючі організації штрафам, які можуть досягати 10% від загального річного доходу.
Дії для організацій у 2026 році:
- Проведіть аудит усіх механізмів згоди для корейських користувачів і замініть будь-які об'єднані або імпліцитні згоди на окремі, специфічні для мети форми згоди.
- Підтвердіть, що ваш місцевий представник був призначений, якщо ваш бізнес намагається залучити корейських споживачів.
- Перегляньте всі угоди про трансфер даних через кордон і оновіть повідомлення про згоду, щоб включити ім'я отримувача, країну, мету, категорії даних та термін зберігання.
- Реалізуйте рішення для згоди на файли cookie, що відповідає ПІПА; Biscotti CMP (www.biscotti-cmp.com) надає технічну інфраструктуру для блокування скриптів відстеження до підтвердження явної згоди.
- Встановіть нагляд на рівні генерального директора за вашою програмою конфіденційності, включаючи задокументоване призначення CPO та виділений бюджет на конфіденційність.
- Якщо ви працюєте у фінансових послугах, перевірте, що персональна кредитна інформація, оброблена через хмару, зберігається на корейських серверах.
- Встановіть нагадування в календарі на грудень 2028 року, коли угода про адекватність між ЄС і Кореєю підлягає поновленню.
Дотримання ПІПА не є одноразовим проектом. Рамки еволюціонують, контроль активний, і PIPC продемонстрував готовність накладати значні штрафи. Створення надійної, задокументованої програми дотримання вже зараз є найекономічнішим підходом до роботи в одному з найважливіших цифрових ринків Азії.