PIPA

Bases jurídicas del tratamiento según la PIPA

La PIPA no exige consentimiento para cada recopilación o uso de información personal.

Según las circunstancias, el tratamiento puede estar permitido con base en fundamentos legales, entre ellos:

• El consentimiento del titular de los datos
• La necesidad para celebrar o ejecutar un contrato
• El cumplimiento de obligaciones legales
• El tratamiento necesario para determinados intereses legítimos reconocidos por la PIPA
• Situaciones de emergencia que afecten a la vida, la integridad física o los bienes
• Otras circunstancias expresamente permitidas por la ley

La PIPC ha subrayado específicamente que las organizaciones no deben calificar indebidamente un tratamiento como sujeto a consentimiento cuando se aplica un fundamento legal, como la necesidad contractual.

Esta distinción es importante al diseñar las experiencias de consentimiento en sitios web.

El consentimiento según la PIPA

Cuando el consentimiento se utiliza como base jurídica, las organizaciones deben proporcionar a las personas información clara sobre el tratamiento y obtener el consentimiento conforme a los requisitos de la PIPA.

Las interfaces de consentimiento deben distinguir las actividades de tratamiento pertinentes en lugar de combinar finalidades no relacionadas en una única opción poco clara.

Las organizaciones deben conservar evidencias que muestren:

• Qué información se presentó
• La finalidad del tratamiento
• La opción de consentimiento presentada
• La decisión de la persona
• La fecha y hora del consentimiento
• La versión correspondiente de la política de privacidad o del aviso
• Cualquier retirada o cambio posterior

ConsentX puede ayudarte a conservar estas evidencias para las actividades de consentimiento a nivel de sitio web.

Requisitos de consentimiento separado

La PIPA contempla circunstancias en las que se requiere un consentimiento separado o adicional.

Pueden incluir tratamientos que impliquen:

• Información personal sensible
• Información de identificación única
• Determinadas divulgaciones a terceros
• Determinadas transferencias transfronterizas

La PIPC ha adoptado medidas de ejecución cuando las empresas no obtuvieron o no comunicaron adecuadamente el consentimiento para tratamientos transfronterizos.

Información personal sensible

La PIPA otorga una protección reforzada a la información personal sensible.

Incluye información que revela o se refiere a ámbitos como:

• Ideología
• Opiniones políticas
• Creencias religiosas
• Información de salud y médica
• Vida sexual
• Otras categorías especificadas por la ley

El tratamiento de información personal sensible está restringido y requiere una base jurídica adecuada y salvaguardas adicionales. Cuando el consentimiento es la base aplicable, se requiere un consentimiento separado.

Las organizaciones deben mantener controles separados para:

• Recopilación
• Especificación de la finalidad
• Acceso
• Almacenamiento
• Divulgación
• Conservación
• Seguridad
• Consentimiento

Información de identificación única

La PIPA prevé protecciones adicionales para la información de identificación única.

Las organizaciones que tratan información como determinados números de identificación deben cumplir requisitos legales específicos.

Cuando se requiere consentimiento, las organizaciones no deben suponer que un consentimiento general de privacidad cubre automáticamente el tratamiento de información de identificación única.

Los flujos de consentimiento y privacidad deben distinguir claramente este tratamiento cuando corresponda.

Información personal de menores

La PIPA prevé protecciones adicionales para los menores de 14 años.

Cuando sea necesario, las organizaciones deben obtener el consentimiento del tutor legal del menor e implementar procedimientos adecuados para verificar y documentar dicho consentimiento. Las orientaciones de la PIPC para empresas extranjeras identifican específicamente el consentimiento del tutor para menores de 14 años como una obligación importante de la PIPA.

Por tanto, las organizaciones que prestan servicios a menores deben considerar:

• Verificación de la edad
• Identificación del tutor
• Consentimiento del tutor
• Registros de consentimiento
• Avisos de privacidad específicos para menores
• Minimización adecuada de datos
• Controles de eliminación y conservación

Derechos de los titulares de datos según la PIPA

La PIPA otorga a las personas derechos importantes sobre su información personal.

Según las circunstancias, las personas pueden ejercer derechos como:

• Acceso a la información personal
• Corrección de información inexacta
• Eliminación
• Suspensión del tratamiento
• Suspensión de la transmisión
• Otros derechos previstos en la ley

La PIPC ofrece mecanismos para que las personas soliciten el acceso, la corrección, la eliminación y la suspensión del tratamiento.

Las organizaciones deben mantener flujos de trabajo documentados para:

1. 1Recibir las solicitudes
2. 2Verificar la identidad del solicitante
3. 3Identificar la información personal pertinente
4. 4Evaluar la solicitud
5. 5Aplicar las restricciones o excepciones legales que correspondan
6. 6Completar la acción solicitada
7. 7Comunicar el resultado
8. 8Conservar evidencia de la respuesta

Avisos de privacidad

La PIPA exige a las organizaciones establecer y publicar una política de privacidad adecuada.

La política debe proporcionar información comprensible sobre los tratamientos de información personal pertinentes, incluidos aspectos como:

• Información personal recopilada
• Finalidad del tratamiento
• Plazos de conservación y uso
• Comunicación a terceros
• Tratamiento encomendado
• Tratamiento transfronterizo
• Derechos de los titulares de datos
• Medidas de seguridad
• Datos de contacto y personal responsable
• Otra información exigida por la PIPA

La PIPC destaca específicamente la publicación de la política de privacidad como una obligación para las empresas extranjeras sujetas a la PIPA.

Minimización de datos y limitación de la finalidad

Las organizaciones deben recopilar y utilizar información personal solo en la medida necesaria para finalidades de tratamiento legítimas y definidas.

Las empresas deben revisar periódicamente:

• Qué información se recopila
• Por qué se recopila
• Si cada campo sigue siendo necesario
• Cuánto tiempo se conserva la información
• Qué terceros la reciben
• Si la información se utiliza para finalidades adicionales

Los datos que ya no sean necesarios deben destruirse de acuerdo con los requisitos aplicables de la PIPA.

Requisitos de seguridad de los datos

La PIPA exige a las organizaciones implementar salvaguardas adecuadas para proteger la información personal frente a:

• Pérdida
• Robo
• Filtración
• Acceso no autorizado
• Alteración
• Destrucción
• Otros incidentes de seguridad

Las organizaciones deben establecer controles tanto técnicos como organizativos.

Estos pueden incluir:

Salvaguardas técnicas

• Controles de acceso
• Autenticación
• Cifrado
• Monitorización de la seguridad
• Gestión de vulnerabilidades
• Protección de la red
• Registro de accesos

Salvaguardas organizativas

• Políticas de privacidad
• Formación de los empleados
• Procedimientos de gestión de accesos
• Planes de respuesta a incidentes
• Supervisión de proveedores
• Evaluaciones periódicas de seguridad
• Asignación de responsabilidades de privacidad

La PIPC ha hecho cada vez más hincapié en la gestión preventiva de la privacidad y la seguridad, en lugar de depender únicamente de la aplicación de la ley tras un incidente.

Notificación de brechas de información personal

Las organizaciones deben responder con prontitud a las brechas de información personal que cumplan los criterios aplicables.

Según el marco actual, las empresas generalmente deben notificar a la autoridad competente y a los titulares de datos afectados sin demora indebida y en un plazo de 72 horas cuando se activan los requisitos de notificación aplicables. La PIPC también ha subrayado el requisito de las 72 horas para las empresas extranjeras que tratan información de titulares de datos coreanos.

Un programa de respuesta a brechas debe incluir:

• Detección de incidentes
• Evaluación de riesgos
• Contención
• Notificación a la autoridad
• Notificación a las personas
• Remediación
• Preservación de evidencias
• Revisión posterior al incidente

La PIPC ha impuesto sanciones importantes cuando las organizaciones no mantuvieron salvaguardas adecuadas o retrasaron la notificación de brechas.

Transferencias transfronterizas de datos

La PIPA contiene requisitos específicos para transferir información personal fuera de Corea del Sur.

Según las circunstancias y el mecanismo aplicable, las organizaciones pueden necesitar:

• Obtener un consentimiento separado
• Proporcionar la información requerida sobre la transferencia
• Celebrar acuerdos contractuales adecuados
• Utilizar otro mecanismo de transferencia legalmente reconocido
• Realizar las evaluaciones requeridas
• Mantener salvaguardas adecuadas

La PIPC ha aplicado activamente estas normas frente a empresas que transfirieron al extranjero información de usuarios coreanos sin cumplir los requisitos aplicables.

Tratamiento transfronterizo por proveedores extranjeros

Las organizaciones deben distinguir entre:

Tratamiento encomendado

Un proveedor de servicios extranjero trata información personal en nombre de la organización conforme al acuerdo de externalización o encomienda aplicable.

Comunicación a terceros

El destinatario recibe o trata la información de forma independiente, de un modo que queda fuera del tratamiento encomendado ordinario.

La distinción es importante porque la base jurídica aplicable, la transparencia, las obligaciones contractuales y los requisitos de transferencia pueden diferir.

La PIPC ha subrayado específicamente que no basta con describir cada transferencia externa como «intercambio» o «externalización»; las organizaciones deben caracterizar correctamente la relación.

Representante nacional para empresas extranjeras

Determinadas empresas extranjeras sujetas a la PIPA pueden estar obligadas a designar un representante nacional en Corea.

El representante puede servir como un punto de contacto importante para las comunicaciones relacionadas con la privacidad, los asuntos regulatorios y los derechos de los titulares de datos.

Las organizaciones extranjeras deben evaluar si sus actividades comerciales y sus volúmenes de tratamiento activan los requisitos aplicables sobre el representante nacional.

Responsable de privacidad y gobernanza de la privacidad

La PIPA pone un énfasis considerable en la responsabilidad organizativa.

Las organizaciones deben establecer responsabilidades claras en materia de protección de la información personal, incluido el rol del responsable de privacidad (CPO) cuando corresponda.

Las reformas de 2026 refuerzan aún más la responsabilidad de la dirección y el papel de los responsables de privacidad, incluidas medidas relativas a organizaciones que tratan grandes cantidades de información personal o información sensible.

La gobernanza de la privacidad debe abarcar:

• Políticas internas de privacidad
• Supervisión del tratamiento de datos
• Gestión de riesgos
• Coordinación de la seguridad
• Formación de los empleados
• Respuesta a brechas
• Gestión de proveedores
• Revisiones de cumplimiento
• Informes a la dirección

Evaluaciones de impacto en la privacidad

Las organizaciones que tratan información personal en circunstancias cubiertas por los requisitos de evaluación de la PIPA pueden necesitar realizar una evaluación de impacto sobre la información personal (PIA).

Una PIA puede ayudar a las organizaciones a identificar:

• Riesgos del tratamiento
• Vulnerabilidades de seguridad
• Recopilación excesiva
• Riesgos para la privacidad de las personas
• Medidas de mitigación adecuadas

Las organizaciones deben evaluar si sus actividades de tratamiento están sujetas a los requisitos obligatorios de PIA.

Cookies y seguimiento en línea según la PIPA

La PIPA no es una ley específica sobre el consentimiento de cookies.

Sin embargo, las cookies, píxeles, identificadores publicitarios, herramientas de analítica, identificadores de dispositivo y otras tecnologías de seguimiento pueden implicar información personal o tratamientos relacionados con información personal, según cómo se utilicen.

Por tanto, las organizaciones deben evaluar:

• Qué información recopila el rastreador
• Si la información constituye información personal
• Si puede vincularse con personas identificables
• La finalidad del tratamiento
• La base jurídica
• Si la información se comunica a terceros
• Si la información se transfiere fuera de Corea
• Si se requiere un consentimiento separado

En los sitios web, las organizaciones deben evitar suponer que cada cookie requiere automáticamente consentimiento según la PIPA. En su lugar, debe evaluarse la actividad de tratamiento específica y la base jurídica aplicable.

Publicidad en línea e información personal

Los ecosistemas de publicidad y analítica pueden generar consideraciones adicionales de cumplimiento de la PIPA.

Las organizaciones deben revisar:

• Identificadores publicitarios
• Analítica del comportamiento
• Retargeting
• Segmentación de audiencias
• Píxeles de terceros
• SDKs
• Proveedores de analítica transfronterizos
• Intercambio de datos con plataformas publicitarias

Cuando un tercero trata o utiliza información personal de forma independiente, la organización debe evaluar si el acuerdo constituye un tratamiento encomendado o una comunicación a terceros e identificar los requisitos legales aplicables.

Toma de decisiones automatizada

La PIPA incluye protecciones relativas a la toma de decisiones automatizada.

Las organizaciones que utilizan sistemas automatizados para tomar decisiones que afectan a las personas deben evaluar los requisitos aplicables de transparencia, explicación, oposición y otros.

Este ámbito es especialmente relevante para:

• Sistemas de IA
• Evaluación crediticia o de riesgos
• Sistemas de recomendación
• Sistemas de selección de personal
• Publicidad personalizada
• Decisiones automatizadas de elegibilidad

Las organizaciones deben documentar cómo funciona el tratamiento automatizado e identificar los derechos y salvaguardas aplicables.

IA y PIPA

El regulador de privacidad de Corea del Sur ha elaborado cada vez más orientaciones sobre el uso de información personal en el desarrollo y los servicios de IA.

La PIPC ha reconocido el interés legítimo como posible base jurídica para determinados tratamientos relacionados con la IA de datos disponibles públicamente cuando se cumplen los requisitos legales, incluidos la legitimidad de la finalidad, la necesidad y la ponderación entre los intereses y los derechos de los titulares de datos.

Por tanto, las organizaciones que utilizan información personal para IA deben evaluar:

• Origen de los datos de entrenamiento
• Base jurídica
• Necesidad
• Minimización de datos
• Riesgos para la privacidad
• Controles de seguridad
• Derechos de los titulares de datos
• Desidentificación
• Salvaguardas de los modelos y sus resultados
• Evaluaciones de impacto en la privacidad cuando corresponda

Reformas de la PIPA de 2026

La reforma de la PIPA que entró en vigor el 11 de septiembre de 2026 introduce cambios significativos en el marco surcoreano de aplicación y gobernanza de la privacidad.

Entre las principales novedades se incluyen:

Sanciones más estrictas por brechas graves y reiteradas

El marco reformado introduce sanciones punitivas de hasta el 10 % de la facturación anual en determinadas circunstancias de brechas de datos reiteradas y graves.

Mayor responsabilidad de la dirección

Las reformas refuerzan las responsabilidades de los directores generales y de los responsables de privacidad en materia de protección de la información personal.

Novedades sobre ISMS-P

El marco reformado refuerza la relación entre la protección de la privacidad y la certificación ISMS-P, incluidos mecanismos adicionales de supervisión y prevención.

Reforma relacionada con la IA

En agosto de 2026, la Asamblea Nacional también aprobó una nueva reforma de la PIPA sobre el uso lícito de información personal para el desarrollo de IA en interés público, junto con salvaguardas de privacidad adicionales y mecanismos de supervisión de la PIPC. Las organizaciones deben hacer seguimiento de la fecha de entrada en vigor y de los requisitos de aplicación de esta reforma.

Conservación y destrucción de datos

Las organizaciones deben conservar la información personal solo durante el tiempo necesario para la finalidad de tratamiento aplicable o según lo exija la ley.

Los programas de conservación deben establecer:

• Plazos de conservación
• Finalidad de la conservación continuada
• Categorías de datos
• Requisitos legales de conservación
• Supuestos que activan la eliminación
• Métodos de destrucción segura
• Documentación de la destrucción

La PIPC ha subrayado la importancia de destruir la información personal una vez que ya no sea necesaria para minimizar el impacto de posibles brechas.

Encargados del tratamiento externos

Las organizaciones que recurren a proveedores para tratar información personal deben mantener una supervisión adecuada.

Esto incluye:

• Diligencia debida de proveedores
• Acuerdos de tratamiento
• Requisitos de seguridad
• Confidencialidad
• Controles de subencargados
• Requisitos de notificación de brechas
• Eliminación de datos
• Controles de acceso
• Evaluación de transferencias transfronterizas
• Supervisión del cumplimiento

Cuando un proveedor extranjero trata información personal coreana, la organización debe evaluar por separado los requisitos transfronterizos de la PIPA.