數據跨境中國做好提前第一韓國合規企業關建設出海傳輸

　　近幾年來，中国做好韓國數據執法動作頻頻。企业KakaoPay、出海传输Apple跨境傳輸案以逾83億韓元罰單刷新韓國數據跨境處罰紀錄，韩国合规AliExpress、第关Temu等中國跨境電商平台接連被罰。提前密集的数据罰單，正在為在韓企業劃出清晰的跨境合規紅線。

　　與此同時，建设韓國個人信息保護委員會(PIPC)的中国做好監管邏輯也在發生深刻轉變，從“以罰代管”走向“預防引領”，企业個人信息保護監管重心前移至事前識別與風險防範。出海传输

　　在此背景下，韩国合规讀懂韓國的第关個人信息保護法律法規與監管體係，是提前在韓企業邁穩出海步伐的第一關。

　　韓國個保法規體係“數據三法”

　　以PIPA為統領、行業立法為補充

　　韓國的個人信息保護法律體係以《個人信息保護法》(Personal　Information　Protection　Act，下稱PIPA)為統領，同時輔以金融、通信、位置信息及人工智能等多領域立法，形成“數據三法”的基本格局。PIPA於2011年頒布，經2020年全麵修訂後，已升格為適用於所有領域個人信息處理者的普遍性一般法。韓國憲法雖未直接列明個人信息權利，但憲法法院通過判例確立了“個人信息自決權”，該權利從憲法所保障的一般人格權、隱私權和自由中推導而來，從而為PIPA提供了憲法層麵的法理基礎，使個人信息保護獲得了基本權利的位階。

　　針對不同行業和特殊數據類型，韓國另有多部專門法律聯動補位。金融信用領域有《信用信息使用和保護法》；互聯網與在線服務場景中，《信息通信網絡利用促進和信息保護法》對廣告發送規則、首席信息安全官(CISO)的任命要求以及信息安全管理係統認證等作出具體安排；高度敏感的個人位置信息則交由《位置信息保護和使用法》規製。隨著人工智能的發展，韓國首部AI基礎法律《關於人工智能(AI)發展和構建信賴基礎的基本法》(下稱《人工智能基本法》)於2026年1月22日生效，以高影響AI為監管重點，並對生成式AI的輸出提出標注要求。其中規定AI係統若涉及處理個人信息，仍須同時遵守PIPA的規定，已忠實履行PIPA義務的，在個人數據處理範圍內可視為滿足《人工智能基本法》的相關要求。這種“一般法+行業法+新興領域法”的嵌套結構，讓個人信息保護幾乎覆蓋所有數據處理形態。

　　個保監管機構“一主多元”

　　下位規範從施行令到操作指南層層細化

　　在監管機構設置方麵，2020年韓國對原先分散在行政安全部、廣播通信委員會和金融委員會的個人信息保護職能進行了集中整合，成立了個人信息保護委員會(PIPC)，並將其升格為獨立的中央行政機關，委員會主席由總統直接任命。PIPC不僅負責製定相關政策、調查違法案件和處以罰款，還承擔審批跨境數據傳輸、發布標準合同條款等核心職能。

　　但這並不意味著PIPC“一家獨唱”。韓國的個人信息保護監管呈現出“一主多元”的分工格局：金融委員會負責信用信息領域的監管；廣播通信委員會主理信息通信服務領域的在線隱私保護；科學技術信息通信部主管信息通信網絡的穩定與信息安全，並在《人工智能基本法》框架下執行相關監管任務；韓國互聯網振興院則承擔受理數據泄露報告、運營ISMS/ISMS-P信息安全認證體係等具體執行工作。各機構按照職能分工各司其職，形成了環環相扣、覆蓋較全麵的監管網絡，既保證了政策的統一性，又兼顧了行業的專業性。

　　PIPA之下，韓國構建了層次分明、內容細致的下位規則體係，為企業提供了較為清晰的合規路徑。首先是總統令級別的《PIPA施行令》，對法律各條款作出具體實施細則；其次是《PIPA施行規則》，進一步規定施行令所委任的事項。在此基礎上，PIPC還發布了大量指南和標準，作為企業理解和執行PIPA的操作手冊，如2025年7月PIPC發布的《個人信息處理綜合指南》，還有《隱私政策起草指南》《確保個人信息安全措施的標準》《個人信息影響評估通知》《違反PIPA的處罰標準》等配套文件。

　　從事後處罰轉向事前預防

　　推動“隱私設計”原則製度化

　　2026年，PIPC的執法思路發生質變。年初，PIPC正式確立了從被動應對向“基於風險的主動檢查”轉型的年度調查政策方向，將檢查重點鎖定為六大領域：大規模個人信息處理者、生物識別等高風險信息、暗模式等過度收集行為、新興前沿技術場景、公共部門係統漏洞、企業重組中的數據流轉。5月，PIPC宣布了《向預防為主的個人信息管理體係轉型計劃》，標誌著監管模式從過去的“事後處罰”，轉向“事前預防和管理”。新計劃旨在通過激勵企業加大風險管理和預防投入，構建一個能夠在事前識別並化解風險的體係。

　　依據這一體係，韓國根據數據處理規模、敏感性和行業特點，將個人信息處理行業劃分為高、中、低風險三個等級。處理大量個人信息或敏感信息的平台、金融機構、公共機構、教育科技(Edutech)和護理醫院等被列為高風險行業，將接受定期與不定期的深度檢查。

　　與此同時，這套體係還包含了一係列激勵與引導機製。對主動采取超出法定標準的前瞻性保護措施、積極進行安全投資的企業，PIPC將給予罰款減免等激勵。監管範圍還將擴大至軟件即服務(SaaS)、雲服務等整個供應鏈，確保上下遊環節的合規一致性。此外，PIPC還在推動“隱私設計”原則的製度化，要求企業在服務規劃、設計階段就將個人信息保護作為默認配置嵌入其中，從而從源頭上提升數據保護水平。

　　律師提醒

　　跨境數據傳輸接連遭重罰

　　在韓企業應關注八項合規要務

　　PIPC於2024年4月發布的《關於〈個人信息保護法〉適用於外國經營者的指引》明確，《個人信息保護法》在三種情形下適用於外國經營者：向韓國數據主體提供商品或服務、處理個人信息直接影響韓國數據主體或對其產生重大影響、在韓設有營業場所。《信息通信網絡利用促進和信息保護法》及《人工智能基本法》亦設有域外適用條款。換言之，一個外國網站隻要有韓文界麵、接受韓元支付、向韓國發貨，或針對韓國用戶進行營銷推廣，便可能被納入韓國法律的管轄範圍。

　　在此嚴監管下，多家中資背景企業因跨境數據傳輸違規被重罰。2025年1月，PIPC對KakaoPay、Apple開出合計83.752億韓元罰單，Alipay被責令銷毀NSF評分模型，原因包括未經用戶單獨同意將約4000萬KakaoPay用戶個人信息傳輸至境外，且未作隱私政策披露等。此外，AliExpress、Temu也分別因向海外賣家提供用戶信息、未指定國內代理人等違規，被罰19.78億和13.69億韓元。

　　針對上述執法態勢，廣信君達律師事務所閃濤律師團隊建議在韓企業重點關注八項合規要務：首先對照PIPC　2024年指引的三種適用情形，主動自查是否觸發域外管轄；其次是製定韓文版隱私政策，明確告知收集項目、目的、保留期限、第三方提供情況、跨境傳輸詳情、首席隱私官聯係方式及國內代理人信息等；收集使用、向第三方提供、跨境傳輸等個人信息處理行為須分別取得用戶獨立同意，不得捆綁；營收超1萬億韓元或日均處理超100萬用戶數據的外國實體，須依法指定韓國國內代理人並公開披露；參照《確保個人信息安全措施的標準》，優先落實加密存儲與訪問控製等核心措施；建立72小時數據泄露應急響應機製，及時通知數據主體並報告PIPC或韓國互聯網振興院；全麵梳理跨境數據傳輸鏈路，跨境傳輸須取得單獨同意，同時與境外接收方簽訂合規合同，並評估韓國用戶關鍵數據在本地化存儲的可行性；持續跟蹤2026年9月罰款上限升至總營收10%的立法動態、《人工智能基本法》雙重要求及MyData製度進展，提前完成合規差距分析。