PIPA

الأسس القانونية للمعالجة بموجب قانون PIPA

لا يشترط قانون PIPA الحصول على موافقة لكل عملية جمع أو استخدام للمعلومات الشخصية.

وبحسب الظروف، قد تكون المعالجة مسموحًا بها استنادًا إلى أسس قانونية منصوص عليها، منها:

• موافقة صاحب البيانات
• الضرورة لإبرام عقد أو تنفيذه
• الامتثال لالتزامات قانونية
• المعالجة اللازمة لمصالح مشروعة معينة يعترف بها قانون PIPA
• حالات الطوارئ التي تتعلق بالحياة أو السلامة الجسدية أو الممتلكات
• ظروف أخرى يسمح بها القانون صراحةً

وقد أكدت لجنة PIPC تحديدًا أنه لا ينبغي للمؤسسات أن تصف المعالجة على نحو غير صحيح بأنها تتطلب موافقة عندما ينطبق أساس قانوني منصوص عليه، مثل الضرورة التعاقدية.

ويُعد هذا التمييز مهمًا عند تصميم تجارب الموافقة على المواقع الإلكترونية.

الموافقة بموجب قانون PIPA

عندما تُستخدم الموافقة أساسًا قانونيًا، ينبغي للمؤسسات تزويد الأفراد بمعلومات واضحة عن المعالجة والحصول على الموافقة وفقًا لمتطلبات قانون PIPA.

وينبغي لواجهات الموافقة أن تميّز بين أنشطة المعالجة ذات الصلة بدلًا من دمج أغراض غير مترابطة في خيار واحد غير واضح.

وينبغي للمؤسسات الاحتفاظ بأدلة تُظهر:

• المعلومات التي عُرضت
• غرض المعالجة
• خيار الموافقة الذي عُرض
• قرار الفرد
• تاريخ الموافقة ووقتها
• إصدار سياسة الخصوصية أو الإشعار ذي الصلة
• أي سحب لاحق أو تغيير

يمكن لـ ConsentX المساعدة في الاحتفاظ بهذه الأدلة لأنشطة الموافقة على مستوى الموقع الإلكتروني.

متطلبات الموافقة المنفصلة

يتضمن قانون PIPA حالات تُشترط فيها موافقة منفصلة أو إضافية.

وقد تشمل هذه الحالات المعالجة التي تتعلق بما يلي:

• المعلومات الشخصية الحساسة
• معلومات التعريف الفريدة
• حالات معينة من الإفصاح لأطراف ثالثة
• حالات معينة من النقل عبر الحدود

وقد اتخذت لجنة PIPC إجراءات إنفاذ عندما أخفقت شركات في الحصول على الموافقة على المعالجة عبر الحدود أو في الإبلاغ عنها على النحو الصحيح.

المعلومات الشخصية الحساسة

يوفر قانون PIPA حماية معززة لـ المعلومات الشخصية الحساسة.

وتشمل هذه المعلومات ما يكشف عن مجالات مثل التالية أو يتعلق بها:

• الأيديولوجيا
• الآراء السياسية
• المعتقدات الدينية
• المعلومات الصحية والطبية
• الحياة الجنسية
• فئات أخرى يحددها القانون

تخضع معالجة المعلومات الشخصية الحساسة لقيود، وتتطلب أساسًا قانونيًا مناسبًا وضمانات إضافية. وعندما تكون الموافقة هي الأساس المعمول به، تُشترط موافقة منفصلة.

وينبغي للمؤسسات الإبقاء على ضوابط منفصلة لما يلي:

• الجمع
• تحديد الغرض
• الوصول
• التخزين
• الإفصاح
• الاحتفاظ
• الأمان
• الموافقة

معلومات التعريف الفريدة

يوفر قانون PIPA حماية إضافية لـ معلومات التعريف الفريدة.

ويجب على المؤسسات التي تعالج معلومات مثل بعض أرقام الهوية أن تمتثل لمتطلبات قانونية محددة.

وعندما تكون الموافقة مطلوبة، لا ينبغي للمؤسسات افتراض أن الموافقة العامة على الخصوصية تشمل تلقائيًا معالجة معلومات التعريف الفريدة.

وينبغي لمسارات عمل الموافقة والخصوصية أن تميّز هذه المعالجة بوضوح حيثما ينطبق ذلك.

المعلومات الشخصية للأطفال

يوفر قانون PIPA حماية إضافية للأطفال دون 14 عامًا.

وحيثما يُشترط ذلك، يجب على المؤسسات الحصول على موافقة الوصي القانوني للطفل وتطبيق إجراءات مناسبة للتحقق من هذه الموافقة وتوثيقها. وتحدد إرشادات لجنة PIPC الموجهة إلى الشركات الأجنبية تحديدًا موافقة الوصي على الأطفال دون 14 عامًا بوصفها التزامًا مهمًا بموجب قانون PIPA.

لذلك ينبغي للمؤسسات التي تخدم الأطفال أن تراعي:

• التحقق من العمر
• التعرف على الوصي
• موافقة الوصي
• سجلات الموافقة
• إشعارات خصوصية موجهة للأطفال
• التقليل المناسب للبيانات
• ضوابط الحذف والاحتفاظ

حقوق أصحاب البيانات بموجب قانون PIPA

يمنح قانون PIPA الأفراد حقوقًا مهمة تتعلق بمعلوماتهم الشخصية.

وبحسب الظروف، يمكن للأفراد ممارسة حقوق منها:

• الوصول إلى المعلومات الشخصية
• تصحيح المعلومات غير الدقيقة
• الحذف
• تعليق المعالجة
• تعليق الإرسال
• حقوق أخرى ينص عليها القانون

وتوفر لجنة PIPC آليات تتيح للأفراد طلب الوصول والتصحيح والحذف وتعليق المعالجة.

وينبغي للمؤسسات الإبقاء على مسارات عمل موثقة من أجل:

1. 1استلام الطلبات
2. 2التحقق من هوية مقدم الطلب
3. 3تحديد المعلومات الشخصية ذات الصلة
4. 4تقييم الطلب
5. 5تطبيق أي قيود أو استثناءات قانونية
6. 6تنفيذ الإجراء المطلوب
7. 7إبلاغ النتيجة
8. 8الاحتفاظ بأدلة على الرد

إشعارات الخصوصية

يُلزم قانون PIPA المؤسسات بوضع سياسة خصوصية مناسبة والإفصاح عنها.

وينبغي أن تقدم السياسة معلومات مفهومة عن معالجة المعلومات الشخصية ذات الصلة، بما في ذلك مسائل مثل:

• المعلومات الشخصية التي تُجمع
• غرض المعالجة
• فترات الاحتفاظ والاستخدام
• التقديم إلى أطراف ثالثة
• المعالجة المسندة إلى جهة أخرى
• المعالجة عبر الحدود
• حقوق أصحاب البيانات
• التدابير الأمنية
• بيانات الاتصال والموظفون المسؤولون
• معلومات أخرى يشترطها قانون PIPA

وتُبرز لجنة PIPC تحديدًا الإفصاح عن سياسة الخصوصية بوصفه التزامًا على الشركات الأجنبية الخاضعة لقانون PIPA.

تقليل البيانات وتحديد الغرض

ينبغي للمؤسسات جمع المعلومات الشخصية واستخدامها فقط بالقدر اللازم لأغراض معالجة مشروعة ومحددة.

وينبغي للشركات أن تراجع بانتظام:

• المعلومات التي تُجمع
• سبب جمعها
• ما إذا كان كل حقل لا يزال ضروريًا
• مدة الاحتفاظ بالمعلومات
• الأطراف الثالثة التي تتلقاها
• ما إذا كانت المعلومات تُستخدم لأغراض إضافية

وينبغي إتلاف البيانات التي لم تعد مطلوبة وفقًا لمتطلبات قانون PIPA المعمول بها.

متطلبات أمن البيانات

يُلزم قانون PIPA المؤسسات بتطبيق ضمانات مناسبة لحماية المعلومات الشخصية من:

• الفقدان
• السرقة
• التسريب
• الوصول غير المصرح به
• التعديل
• الإتلاف
• الحوادث الأمنية الأخرى

وينبغي للمؤسسات وضع ضوابط تقنية وتنظيمية على حد سواء.

وقد تشمل هذه الضوابط:

الضمانات التقنية

• ضوابط الوصول
• المصادقة
• التشفير
• المراقبة الأمنية
• إدارة الثغرات
• حماية الشبكة
• تسجيل عمليات الوصول

الضمانات التنظيمية

• سياسات الخصوصية
• تدريب الموظفين
• إجراءات إدارة الوصول
• خطط الاستجابة للحوادث
• الإشراف على الموردين
• التقييمات الأمنية الدورية
• توزيع مسؤوليات الخصوصية

وتركز لجنة PIPC بصورة متزايدة على الإدارة الوقائية للخصوصية والأمن بدلًا من الاعتماد فقط على الإنفاذ بعد وقوع الحوادث.

الإخطار بخروقات المعلومات الشخصية

يجب على المؤسسات الاستجابة فورًا لخروقات المعلومات الشخصية المستوفية للشروط.

بموجب الإطار الحالي، يجب على الشركات عمومًا إخطار السلطة المختصة وأصحاب البيانات المتأثرين دون تأخير غير مبرر وفي غضون 72 ساعة عندما تنطبق متطلبات الإخطار المعمول بها. وقد أكدت لجنة PIPC أيضًا شرط الـ 72 ساعة بالنسبة إلى الشركات الأجنبية التي تتعامل مع معلومات أصحاب البيانات الكوريين.

وينبغي أن يشمل برنامج الاستجابة للخروقات:

• اكتشاف الحوادث
• تقييم المخاطر
• الاحتواء
• الإخطار التنظيمي
• إخطار الأفراد
• المعالجة والإصلاح
• حفظ الأدلة
• مراجعة ما بعد الحادث

وقد فرضت لجنة PIPC عقوبات كبيرة حين أخفقت مؤسسات في الحفاظ على ضمانات كافية أو تأخرت في الإخطار بالخروقات.

نقل البيانات عبر الحدود

يتضمن قانون PIPA متطلبات محددة لنقل المعلومات الشخصية إلى خارج كوريا الجنوبية.

وبحسب الظروف والآلية المعمول بها، قد تحتاج المؤسسات إلى:

• الحصول على موافقة منفصلة
• تقديم المعلومات المطلوبة عن النقل
• إبرام ترتيبات تعاقدية مناسبة
• استخدام آلية نقل أخرى معترف بها قانونًا
• إجراء التقييمات المطلوبة
• الحفاظ على ضمانات مناسبة

وقد طبقت لجنة PIPC هذه القواعد بنشاط على الشركات التي نقلت معلومات المستخدمين الكوريين إلى الخارج دون استيفاء المتطلبات المعمول بها.

المعالجة عبر الحدود من قبل الموردين في الخارج

ينبغي للمؤسسات أن تميّز بين:

المعالجة المسندة

يعالج مقدم خدمة في الخارج المعلومات الشخصية نيابةً عن المؤسسة بموجب ترتيب الاستعانة بمصادر خارجية أو الإسناد المعمول به.

التقديم إلى أطراف ثالثة

يتلقى المستلم المعلومات أو يعالجها بشكل مستقل بطريقة تقع خارج نطاق المعالجة المسندة المعتادة.

ويكتسب هذا التمييز أهميته لأن الأساس القانوني المعمول به ومتطلبات الشفافية والالتزامات التعاقدية ومتطلبات النقل قد تختلف.

وقد أكدت لجنة PIPC تحديدًا أن مجرد وصف كل عملية نقل خارجية بأنها «مشاركة» أو «استعانة بمصادر خارجية» ليس كافيًا؛ بل ينبغي للمؤسسات توصيف العلاقة توصيفًا صحيحًا.

الممثل المحلي للشركات الأجنبية

قد يُطلب من بعض الشركات الأجنبية الخاضعة لقانون PIPA تعيين ممثل محلي في كوريا.

ويمكن أن يكون الممثل نقطة اتصال مهمة للمراسلات المتعلقة بالخصوصية والمسائل التنظيمية وحقوق أصحاب البيانات.

وينبغي للمؤسسات الأجنبية تقييم ما إذا كانت أنشطتها التجارية وأحجام المعالجة لديها تستوجب تطبيق متطلبات الممثل المحلي المعمول بها.

كبير مسؤولي الخصوصية وحوكمة الخصوصية

يولي قانون PIPA أهمية كبيرة للمساءلة المؤسسية.

وينبغي للمؤسسات تحديد المسؤولية عن حماية المعلومات الشخصية بوضوح، بما في ذلك دور كبير مسؤولي الخصوصية (CPO) حيثما ينطبق ذلك.

وتعزز تعديلات 2026 كذلك مساءلة الإدارة ودور مسؤولي الخصوصية، بما في ذلك تدابير تتعلق بالمؤسسات التي تتعامل مع كميات كبيرة من المعلومات الشخصية أو مع معلومات حساسة.

وينبغي أن تشمل حوكمة الخصوصية:

• سياسات الخصوصية الداخلية
• الإشراف على معالجة البيانات
• إدارة المخاطر
• تنسيق الأمن
• تدريب الموظفين
• الاستجابة للخروقات
• إدارة الموردين
• مراجعات الامتثال
• رفع التقارير إلى الإدارة العليا

تقييمات الأثر على الخصوصية

قد تحتاج المؤسسات التي تعالج المعلومات الشخصية في ظروف تشملها متطلبات التقييم في قانون PIPA إلى إجراء تقييم الأثر على المعلومات الشخصية (PIA).

ويمكن لتقييم PIA أن يساعد المؤسسات على تحديد:

• مخاطر المعالجة
• الثغرات الأمنية
• الجمع المفرط للبيانات
• مخاطر الخصوصية على الأفراد
• تدابير التخفيف المناسبة

وينبغي للمؤسسات تقييم ما إذا كانت أنشطة المعالجة لديها تندرج ضمن متطلبات PIA الإلزامية.

ملفات تعريف الارتباط والتتبع عبر الإنترنت بموجب قانون PIPA

قانون PIPA ليس قانونًا مخصصًا للموافقة على ملفات تعريف الارتباط.

غير أن ملفات تعريف الارتباط ووحدات البكسل ومعرّفات الإعلانات وأدوات التحليلات ومعرّفات الأجهزة وغيرها من تقنيات التتبع قد تنطوي على معلومات شخصية أو على معالجة مرتبطة بالمعلومات الشخصية بحسب طريقة استخدامها.

لذلك ينبغي للمؤسسات تقييم:

• المعلومات التي تجمعها أداة التتبع
• ما إذا كانت المعلومات تُعد معلومات شخصية
• ما إذا كان يمكن ربطها بأفراد قابلين للتعريف
• غرض المعالجة
• الأساس القانوني
• ما إذا كانت المعلومات تُقدَّم إلى أطراف ثالثة
• ما إذا كانت المعلومات تُنقل إلى خارج كوريا
• ما إذا كانت الموافقة المنفصلة مطلوبة

وبالنسبة إلى المواقع الإلكترونية، ينبغي للمؤسسات تجنب افتراض أن كل ملف تعريف ارتباط يتطلب تلقائيًا موافقة بموجب قانون PIPA. بل ينبغي تقييم نشاط المعالجة المحدد والأساس القانوني المعمول به.

الإعلانات عبر الإنترنت والمعلومات الشخصية

قد تنشأ عن منظومات الإعلانات والتحليلات اعتبارات إضافية للامتثال لقانون PIPA.

وينبغي للمؤسسات مراجعة:

• معرّفات الإعلانات
• تحليلات السلوك
• إعادة الاستهداف
• تقسيم الجمهور
• وحدات البكسل التابعة لأطراف ثالثة
• SDKs
• مزودي التحليلات عبر الحدود
• مشاركة البيانات مع منصات الإعلانات

وعندما يعالج طرف ثالث المعلومات الشخصية أو يستخدمها بشكل مستقل، ينبغي للمؤسسة تقييم ما إذا كان الترتيب يُعد معالجة مسندة أم تقديمًا إلى طرف ثالث، وتحديد المتطلبات القانونية المعمول بها.

اتخاذ القرارات الآلي

يتضمن قانون PIPA أحكامًا حمائية تتعلق باتخاذ القرارات الآلي.

وينبغي للمؤسسات التي تستخدم أنظمة آلية لاتخاذ قرارات تؤثر في الأفراد تقييم متطلبات الشفافية والتفسير والاعتراض وغيرها من المتطلبات المعمول بها.

ويكتسب هذا المجال أهمية خاصة بالنسبة إلى:

• أنظمة الذكاء الاصطناعي
• التصنيف الائتماني أو تقييم المخاطر
• أنظمة التوصية
• أنظمة التوظيف
• الإعلانات المخصصة
• القرارات الآلية بشأن الأهلية

وينبغي للمؤسسات توثيق كيفية عمل المعالجة الآلية وتحديد الحقوق والضمانات المعمول بها.

الذكاء الاصطناعي وقانون PIPA

طورت الجهة التنظيمية للخصوصية في كوريا الجنوبية بصورة متزايدة إرشادات تتناول استخدام المعلومات الشخصية في تطوير خدمات الذكاء الاصطناعي وتقديمها.

وقد اعترفت لجنة PIPC بـ المصالح المشروعة أساسًا قانونيًا محتملًا لبعض عمليات المعالجة المتعلقة بالذكاء الاصطناعي للبيانات المتاحة للعموم عند استيفاء المتطلبات القانونية، بما في ذلك مشروعية الغرض والضرورة والموازنة بين المصالح وحقوق أصحاب البيانات.

لذلك ينبغي للمؤسسات التي تستخدم المعلومات الشخصية في الذكاء الاصطناعي تقييم:

• مصدر بيانات التدريب
• الأساس القانوني
• الضرورة
• تقليل البيانات
• مخاطر الخصوصية
• الضوابط الأمنية
• حقوق أصحاب البيانات
• إزالة الهوية
• ضمانات النماذج والمخرجات
• تقييمات الأثر على الخصوصية حيثما ينطبق ذلك

تعديلات قانون PIPA لعام 2026

يُدخل تعديل قانون PIPA الذي أصبح نافذًا في 11 سبتمبر 2026 تغييرات مهمة على إطار إنفاذ الخصوصية وحوكمتها في كوريا الجنوبية.

ومن أبرز المستجدات:

عقوبات أشد على الخروقات الجسيمة والمتكررة

يُدخل الإطار المعدَّل عقوبات عقابية تصل إلى 10% من حجم الأعمال السنوي في حالات محددة من خروقات البيانات المتكررة والجسيمة.

تعزيز مساءلة الإدارة

تعزز التعديلات مسؤوليات الرؤساء التنفيذيين وكبار مسؤولي الخصوصية عن حماية المعلومات الشخصية.

مستجدات ISMS-P

يعزز الإطار المعدَّل العلاقة بين حماية الخصوصية وشهادة ISMS-P، بما في ذلك آليات إضافية للرقابة والوقاية.

التعديل المتعلق بالذكاء الاصطناعي

في أغسطس 2026، أقرت الجمعية الوطنية أيضًا تعديلًا آخر لقانون PIPA يتناول الاستخدام المشروع للمعلومات الشخصية في تطوير الذكاء الاصطناعي للمصلحة العامة، إلى جانب ضمانات إضافية للخصوصية وآليات رقابة تتولاها لجنة PIPC. وينبغي للمؤسسات متابعة تاريخ نفاذ هذا التعديل ومتطلبات تنفيذه.

الاحتفاظ بالبيانات وإتلافها

ينبغي للمؤسسات الاحتفاظ بالمعلومات الشخصية فقط للمدة اللازمة لغرض المعالجة المعمول به أو حسبما يقتضيه القانون.

وينبغي لبرامج الاحتفاظ أن تحدد:

• فترات الاحتفاظ
• غرض استمرار الاحتفاظ
• فئات البيانات
• المتطلبات القانونية للاحتفاظ
• مسببات الحذف
• أساليب الإتلاف الآمن
• توثيق عمليات الإتلاف

وقد أكدت لجنة PIPC أهمية إتلاف المعلومات الشخصية بمجرد انتفاء الحاجة إليها للحد من أثر الخروقات المحتملة.

الجهات المعالِجة من الأطراف الثالثة

ينبغي للمؤسسات التي تستعين بموردين لمعالجة المعلومات الشخصية أن تحافظ على إشراف مناسب.

ويشمل ذلك:

• العناية الواجبة تجاه الموردين
• اتفاقيات المعالجة
• متطلبات الأمان
• السرية
• ضوابط الجهات المعالِجة من الباطن
• متطلبات الإخطار بالخروقات
• حذف البيانات
• ضوابط الوصول
• تقييم النقل عبر الحدود
• مراقبة الامتثال

وعندما يعالج مورد في الخارج معلومات شخصية كورية، ينبغي للمؤسسة أن تقيّم بشكل منفصل متطلبات قانون PIPA المتعلقة بالنقل عبر الحدود.