Coreia do SulPIPA
Lei de Proteção de Informações Pessoais da Coreia do Sul
A Lei de Proteção de Informações Pessoais (PIPA) da Coreia do Sul é o marco abrangente do país para proteger informações pessoais e regular sua coleta, uso, divulgação, armazenamento, transferência e outras formas de tratamento.
A PIPA se aplica a organizações que tratam informações pessoais na Coreia do Sul e também pode se aplicar a determinadas empresas estrangeiras que fornecem bens ou serviços a pessoas na Coreia, tratam informações de formas que afetam significativamente titulares de dados coreanos ou mantêm um estabelecimento comercial na Coreia.
A PIPA estabelece requisitos sobre:
- Tratamento lícito e transparente
- Especificação da finalidade e minimização de dados
- Consentimento quando o consentimento é a base legal aplicável
- Informações pessoais sensíveis
- Fornecimento a terceiros
- Transferências internacionais de dados
- Avisos de privacidade
- Salvaguardas de segurança
- Notificação de violações de dados
- Direitos dos titulares de dados
- Informações pessoais de crianças
- Governança de privacidade e responsabilização
O consentimento é importante na PIPA, mas não é exigido para todas as atividades de tratamento. Por exemplo, o tratamento necessário para executar um contrato pode se basear em um fundamento legal em vez do consentimento.
Coreia do Sul
Em vigor; alterações importantes vigentes desde 11 de setembro de 2026
Ásia e África
Quem deve cumprir a PIPA?
A PIPA se aplica a organizações que tratam informações pessoais no curso de suas atividades.
Ela também pode se aplicar a operadores comerciais estrangeiros quando, entre outras circunstâncias, eles:
- Fornecem bens ou serviços a titulares de dados coreanos
- Realizam tratamento de informações pessoais que afeta direta e significativamente titulares de dados coreanos
- Mantêm um estabelecimento comercial na Coreia onde ocorre o tratamento pertinente
A Comissão de Proteção de Informações Pessoais da Coreia (PIPC) publicou especificamente orientações sobre como a PIPA se aplica a empresas estrangeiras.
Por isso, empresas estrangeiras podem precisar avaliar a PIPA mesmo quando sua sede e sua infraestrutura principal estão fora da Coreia.
Penalidades da PIPA
A PIPA prevê sanções administrativas e de outros tipos significativas por violações.
O regime atual de sobretaxas punitivas pode impor sanções de até 3% da receita relevante por determinadas violações. As alterações vigentes desde 11 de setembro de 2026 introduziram um mecanismo punitivo mais rigoroso para determinadas violações de informações pessoais reiteradas e graves, permitindo sanções de até 10% do faturamento anual nas circunstâncias especificadas pela lei alterada.
Outras medidas de fiscalização podem incluir:
- Ordens corretivas
- Multas administrativas
- Publicação dos resultados das sanções
- Recomendações ou ordens de melhoria
- Penalidades criminais para violações específicas
- Outras medidas previstas na PIPA
A PIPC tem demonstrado uma fiscalização ativa contra empresas coreanas e estrangeiras, incluindo sanções substanciais envolvendo violações de dados e transferências internacionais ilícitas.
Principais obrigações da PIPA
Organizações sujeitas à PIPA devem estabelecer controles para:
- Tratamento lícito
- Especificação da finalidade
- Minimização de dados
- Avisos de privacidade
- Gestão de consentimento
- Informações pessoais sensíveis
- Compartilhamento de dados com terceiros
- Transferências internacionais
- Dados de crianças
- Direitos dos titulares de dados
- Salvaguardas de segurança
- Notificação de violações
- Retenção e destruição de dados
- Gestão de operadores
- Governança de privacidade
- Responsabilidades do diretor de privacidade
Bases legais para o tratamento na PIPA
A PIPA não exige consentimento para toda coleta ou uso de informações pessoais.
Dependendo das circunstâncias, o tratamento pode ser permitido com base em fundamentos legais, incluindo:
- Consentimento do titular dos dados
- Necessidade para celebrar ou executar um contrato
- Cumprimento de obrigações legais
- Tratamento necessário para determinados interesses legítimos reconhecidos pela PIPA
- Circunstâncias de emergência envolvendo vida, integridade física ou patrimônio
- Outras circunstâncias expressamente permitidas pela lei
A PIPC enfatizou especificamente que as organizações não devem rotular indevidamente um tratamento como dependente de consentimento quando se aplica um fundamento legal, como a necessidade contratual.
Essa distinção é importante ao projetar experiências de consentimento em sites.
Consentimento na PIPA
Quando o consentimento é usado como base legal, as organizações devem fornecer às pessoas informações claras sobre o tratamento e obter o consentimento de acordo com os requisitos da PIPA.
As interfaces de consentimento devem distinguir as atividades de tratamento pertinentes, em vez de combinar finalidades não relacionadas em uma única escolha pouco clara.
As organizações devem manter evidências que mostrem:
- Quais informações foram apresentadas
- A finalidade do tratamento
- A opção de consentimento apresentada
- A decisão da pessoa
- Data e hora do consentimento
- A versão pertinente da política de privacidade ou do aviso
- Qualquer revogação ou alteração posterior
A ConsentX pode ajudar a manter essas evidências para as atividades de consentimento no nível do site.
Requisitos de consentimento separado
A PIPA prevê circunstâncias em que é exigido consentimento separado ou adicional.
Isso pode incluir tratamentos que envolvam:
- Informações pessoais sensíveis
- Informações de identificação única
- Determinadas divulgações a terceiros
- Determinadas transferências internacionais
A PIPC adotou medidas de fiscalização quando empresas deixaram de obter ou de comunicar adequadamente o consentimento para tratamentos internacionais.
Informações pessoais sensíveis
A PIPA confere proteção reforçada às informações pessoais sensíveis.
Isso inclui informações que revelam ou se referem a áreas como:
- Ideologia
- Opiniões políticas
- Crenças religiosas
- Informações de saúde e médicas
- Vida sexual
- Outras categorias especificadas pela lei
O tratamento de informações pessoais sensíveis é restrito e exige uma base legal adequada e salvaguardas adicionais. Quando o consentimento é a base aplicável, é exigido consentimento separado.
As organizações devem manter controles separados para:
- Coleta
- Especificação da finalidade
- Acesso
- Armazenamento
- Divulgação
- Retenção
- Segurança
- Consentimento
Informações de identificação única
A PIPA prevê proteções adicionais para informações de identificação única.
Organizações que tratam informações como determinados números de identificação devem cumprir requisitos legais específicos.
Quando o consentimento é exigido, as organizações não devem presumir que um consentimento geral de privacidade abrange automaticamente o tratamento de informações de identificação única.
Os fluxos de consentimento e privacidade devem distinguir claramente esse tratamento, quando aplicável.
Informações pessoais de crianças
A PIPA prevê proteções adicionais para crianças com menos de 14 anos de idade.
Quando exigido, as organizações devem obter o consentimento do responsável legal da criança e implementar procedimentos adequados para verificar e documentar esse consentimento. As orientações da PIPC para empresas estrangeiras identificam especificamente o consentimento do responsável para crianças menores de 14 anos como uma obrigação importante da PIPA.
Por isso, organizações que atendem crianças devem considerar:
- Verificação de idade
- Identificação do responsável
- Consentimento do responsável
- Registros de consentimento
- Avisos de privacidade específicos para crianças
- Minimização adequada de dados
- Controles de exclusão e retenção
Direitos dos titulares de dados na PIPA
A PIPA confere às pessoas direitos importantes sobre suas informações pessoais.
Dependendo das circunstâncias, as pessoas podem exercer direitos como:
- Acesso às informações pessoais
- Correção de informações imprecisas
- Exclusão
- Suspensão do tratamento
- Suspensão da transmissão
- Outros direitos previstos na lei
A PIPC disponibiliza mecanismos para que as pessoas solicitem acesso, correção, exclusão e suspensão do tratamento.
As organizações devem manter fluxos de trabalho documentados para:
- Receber solicitações
- Verificar a identidade do solicitante
- Identificar as informações pessoais pertinentes
- Avaliar a solicitação
- Aplicar eventuais restrições ou exceções legais
- Concluir a ação solicitada
- Comunicar o resultado
- Manter evidências da resposta
Avisos de privacidade
A PIPA exige que as organizações estabeleçam e divulguem uma política de privacidade adequada.
A política deve fornecer informações compreensíveis sobre os tratamentos de informações pessoais pertinentes, incluindo aspectos como:
- Informações pessoais coletadas
- Finalidade do tratamento
- Períodos de retenção e uso
- Fornecimento a terceiros
- Tratamento confiado
- Tratamento internacional
- Direitos dos titulares de dados
- Medidas de segurança
- Dados de contato e pessoal responsável
- Outras informações exigidas pela PIPA
A PIPC destaca especificamente a divulgação da política de privacidade como uma obrigação para empresas estrangeiras sujeitas à PIPA.
Minimização de dados e limitação da finalidade
As organizações devem coletar e usar informações pessoais apenas na medida necessária para finalidades de tratamento legítimas e definidas.
As empresas devem revisar regularmente:
- Quais informações são coletadas
- Por que são coletadas
- Se cada campo continua necessário
- Por quanto tempo as informações são retidas
- Quais terceiros as recebem
- Se as informações são usadas para finalidades adicionais
Dados que não sejam mais necessários devem ser destruídos de acordo com os requisitos aplicáveis da PIPA.
Requisitos de segurança de dados
A PIPA exige que as organizações implementem salvaguardas adequadas para proteger as informações pessoais contra:
- Perda
- Roubo
- Vazamento
- Acesso não autorizado
- Alteração
- Destruição
- Outros incidentes de segurança
As organizações devem estabelecer controles técnicos e organizacionais.
Eles podem incluir:
Salvaguardas técnicas
- Controles de acesso
- Autenticação
- Criptografia
- Monitoramento de segurança
- Gestão de vulnerabilidades
- Proteção de rede
- Registro de acessos
Salvaguardas organizacionais
- Políticas de privacidade
- Treinamento de funcionários
- Procedimentos de gestão de acessos
- Planos de resposta a incidentes
- Supervisão de fornecedores
- Avaliações periódicas de segurança
- Atribuição de responsabilidades de privacidade
A PIPC tem enfatizado cada vez mais a gestão preventiva de privacidade e segurança, em vez de depender apenas da fiscalização após incidentes.
Notificação de violações de informações pessoais
As organizações devem responder prontamente a violações de informações pessoais que se enquadrem nos critérios aplicáveis.
No marco atual, as empresas geralmente devem notificar a autoridade competente e os titulares de dados afetados sem demora indevida e em até 72 horas quando os requisitos de notificação aplicáveis forem acionados. A PIPC também enfatizou o requisito de 72 horas para empresas estrangeiras que tratam informações de titulares de dados coreanos.
Um programa de resposta a violações deve incluir:
- Detecção de incidentes
- Avaliação de riscos
- Contenção
- Notificação à autoridade
- Notificação às pessoas
- Remediação
- Preservação de evidências
- Revisão pós-incidente
A PIPC impôs sanções significativas quando organizações deixaram de manter salvaguardas adequadas ou atrasaram a notificação de violações.
Transferências internacionais de dados
A PIPA contém requisitos específicos para a transferência de informações pessoais para fora da Coreia do Sul.
Dependendo das circunstâncias e do mecanismo aplicável, as organizações podem precisar:
- Obter consentimento separado
- Fornecer as informações exigidas sobre a transferência
- Firmar acordos contratuais adequados
- Usar outro mecanismo de transferência legalmente reconhecido
- Realizar as avaliações exigidas
- Manter salvaguardas adequadas
A PIPC tem aplicado ativamente essas regras contra empresas que transferiram informações de usuários coreanos para o exterior sem cumprir os requisitos aplicáveis.
Tratamento internacional por fornecedores estrangeiros
As organizações devem distinguir entre:
Tratamento confiado
Um prestador de serviços estrangeiro trata informações pessoais em nome da organização, nos termos do acordo de terceirização ou delegação aplicável.
Fornecimento a terceiros
O destinatário recebe ou trata as informações de forma independente, de maneira que fica fora do tratamento confiado comum.
A distinção é importante porque a base legal aplicável, a transparência, as obrigações contratuais e os requisitos de transferência podem ser diferentes.
A PIPC enfatizou especificamente que simplesmente descrever toda transferência externa como "compartilhamento" ou "terceirização" não é suficiente; as organizações devem caracterizar corretamente a relação.
Representante nacional para empresas estrangeiras
Determinadas empresas estrangeiras sujeitas à PIPA podem ser obrigadas a designar um representante nacional na Coreia.
O representante pode atuar como um importante ponto de contato para comunicações relacionadas à privacidade, questões regulatórias e direitos dos titulares de dados.
As organizações estrangeiras devem avaliar se suas atividades comerciais e seus volumes de tratamento acionam os requisitos aplicáveis de representante nacional.
Diretor de privacidade e governança de privacidade
A PIPA dá grande ênfase à responsabilização organizacional.
As organizações devem estabelecer responsabilidades claras pela proteção de informações pessoais, incluindo o papel do diretor de privacidade (CPO), quando aplicável.
As alterações de 2026 reforçam ainda mais a responsabilização da alta administração e o papel dos encarregados de privacidade, incluindo medidas relativas a organizações que tratam grandes volumes de informações pessoais ou informações sensíveis.
A governança de privacidade deve abranger:
- Políticas internas de privacidade
- Supervisão do tratamento de dados
- Gestão de riscos
- Coordenação de segurança
- Treinamento de funcionários
- Resposta a violações
- Gestão de fornecedores
- Revisões de conformidade
- Relatórios à alta administração
Avaliações de impacto à privacidade
Organizações que tratam informações pessoais em circunstâncias abrangidas pelos requisitos de avaliação da PIPA podem precisar realizar uma Avaliação de Impacto sobre Informações Pessoais (PIA).
Uma PIA pode ajudar as organizações a identificar:
- Riscos do tratamento
- Vulnerabilidades de segurança
- Coleta excessiva
- Riscos à privacidade das pessoas
- Medidas de mitigação adequadas
As organizações devem avaliar se suas atividades de tratamento se enquadram nos requisitos obrigatórios de PIA.
Cookies e rastreamento online na PIPA
A PIPA não é uma lei dedicada ao consentimento de cookies.
No entanto, cookies, pixels, identificadores de publicidade, ferramentas de análise, identificadores de dispositivo e outras tecnologias de rastreamento podem envolver informações pessoais ou tratamentos relacionados a informações pessoais, dependendo de como são usados.
Por isso, as organizações devem avaliar:
- Quais informações o rastreador coleta
- Se as informações constituem informações pessoais
- Se podem ser vinculadas a pessoas identificáveis
- A finalidade do tratamento
- A base legal
- Se as informações são fornecidas a terceiros
- Se as informações são transferidas para fora da Coreia
- Se é exigido consentimento separado
Em sites, as organizações devem evitar presumir que todo cookie exige automaticamente consentimento na PIPA. Em vez disso, devem ser avaliadas a atividade de tratamento específica e a base legal aplicável.
Publicidade online e informações pessoais
Ecossistemas de publicidade e análise podem gerar considerações adicionais de conformidade com a PIPA.
As organizações devem revisar:
- Identificadores de publicidade
- Análise comportamental
- Retargeting
- Segmentação de público
- Pixels de terceiros
- SDKs
- Provedores de análise internacionais
- Compartilhamento de dados com plataformas de publicidade
Quando um terceiro trata ou usa informações pessoais de forma independente, a organização deve avaliar se o acordo constitui tratamento confiado ou fornecimento a terceiros e identificar os requisitos legais aplicáveis.
Tomada de decisão automatizada
A PIPA inclui proteções relativas à tomada de decisão automatizada.
Organizações que usam sistemas automatizados para tomar decisões que afetam pessoas devem avaliar os requisitos aplicáveis de transparência, explicação, oposição e outros.
Essa área é especialmente relevante para:
- Sistemas de IA
- Pontuação de crédito ou de risco
- Sistemas de recomendação
- Sistemas de recrutamento
- Publicidade personalizada
- Decisões automatizadas de elegibilidade
As organizações devem documentar como o tratamento automatizado funciona e identificar os direitos e salvaguardas aplicáveis.
IA e PIPA
O regulador de privacidade da Coreia do Sul tem desenvolvido cada vez mais orientações sobre o uso de informações pessoais no desenvolvimento e nos serviços de IA.
A PIPC reconheceu o legítimo interesse como uma possível base legal para determinados tratamentos relacionados à IA de dados publicamente disponíveis, quando os requisitos legais forem atendidos, incluindo a legitimidade da finalidade, a necessidade e o balanceamento entre interesses e direitos dos titulares de dados.
Por isso, organizações que usam informações pessoais para IA devem avaliar:
- Origem dos dados de treinamento
- Base legal
- Necessidade
- Minimização de dados
- Riscos à privacidade
- Controles de segurança
- Direitos dos titulares de dados
- Desidentificação
- Salvaguardas para modelos e resultados
- Avaliações de impacto à privacidade, quando aplicável
Alterações da PIPA em 2026
A alteração da PIPA que entrou em vigor em 11 de setembro de 2026 introduz mudanças significativas no marco sul-coreano de fiscalização e governança de privacidade.
Os principais desenvolvimentos incluem:
Sanções mais rigorosas para violações graves e reiteradas
O marco alterado introduz sanções punitivas de até 10% do faturamento anual em circunstâncias específicas de violações de dados reiteradas e graves.
Maior responsabilização da alta administração
As alterações reforçam as responsabilidades dos CEOs e dos diretores de privacidade pela proteção de informações pessoais.
Desenvolvimentos do ISMS-P
O marco alterado fortalece a relação entre a proteção da privacidade e a certificação ISMS-P, incluindo mecanismos adicionais de supervisão e prevenção.
Alteração relacionada à IA
Em agosto de 2026, a Assembleia Nacional também aprovou uma nova alteração da PIPA sobre o uso lícito de informações pessoais para o desenvolvimento de IA de interesse público, juntamente com salvaguardas de privacidade adicionais e mecanismos de supervisão da PIPC. As organizações devem acompanhar a data de entrada em vigor e os requisitos de implementação dessa alteração.
Retenção e destruição de dados
As organizações devem reter informações pessoais somente pelo tempo necessário para a finalidade de tratamento aplicável ou conforme exigido por lei.
Os programas de retenção devem estabelecer:
- Períodos de retenção
- Finalidade da retenção continuada
- Categorias de dados
- Requisitos legais de retenção
- Gatilhos de exclusão
- Métodos de destruição segura
- Documentação da destruição
A PIPC enfatizou a importância de destruir as informações pessoais assim que deixarem de ser necessárias, para minimizar o impacto de possíveis violações.
Operadores terceiros
Organizações que usam fornecedores para tratar informações pessoais devem manter uma supervisão adequada.
Isso inclui:
- Due diligence de fornecedores
- Acordos de tratamento
- Requisitos de segurança
- Confidencialidade
- Controles de suboperadores
- Requisitos de notificação de violações
- Exclusão de dados
- Controles de acesso
- Avaliação de transferências internacionais
- Monitoramento da conformidade
Quando um fornecedor estrangeiro trata informações pessoais coreanas, a organização deve avaliar separadamente os requisitos de transferência internacional da PIPA.
Como a ConsentX ajuda na conformidade com a PIPA
A ConsentX pode ajudar as organizações a operacionalizar, no nível do site, os controles de privacidade e consentimento relevantes para a PIPA.
Consentimento detalhado por item
Crie opções de consentimento claramente separadas para as atividades de tratamento em que o consentimento é exigido.
Consentimento para dados sensíveis
Configure fluxos de consentimento distintos para informações pessoais sensíveis quando se aplicar o consentimento separado.
Controles de compartilhamento com terceiros
Mantenha registros de consentimento claros para as atividades aplicáveis de divulgação a terceiros.
Consentimento para transferências internacionais
Crie experiências de consentimento específicas por região para transferências internacionais de dados quando a PIPA exigir consentimento ou divulgações adicionais.
Bloqueio prévio de scripts
Impeça que cookies e rastreadores não essenciais configurados sejam ativados antes da decisão de consentimento aplicável.
Evidências de consentimento
Mantenha registros auditáveis das escolhas dos usuários, incluindo registro de data e hora, contexto do consentimento, versão da política e preferências aplicáveis.
Conformidade por localização
Use regras regionais para oferecer experiências de consentimento e privacidade adequadas aos visitantes da Coreia do Sul.
Fluxo de solicitações de direitos
Ofereça suporte a fluxos de trabalho para gerenciar solicitações aplicáveis de acesso, exclusão, correção e suspensão do tratamento.
Prepare-se para a PIPA com a ConsentX
Crie um fluxo estruturado de privacidade e consentimento para sites que atendem usuários na Coreia do Sul.
Faça a varredura do seu site, identifique rastreadores e tecnologias de terceiros, configure regras de consentimento específicas para a Coreia, bloqueie os rastreadores aplicáveis antes do consentimento e mantenha evidências de consentimento auditáveis.
Como cumprir a PIPA usando a ConsentX
- 1
Faça a varredura do seu site
Execute uma varredura do site para identificar cookies, pixels, rastreadores, scripts, ferramentas de análise e tecnologias de terceiros.
- 2
Mapeie seus tratamentos
Identifique:
- Quais informações são coletadas
- Por que são coletadas
- Qual base legal se aplica
- Quais terceiros as recebem
- Se elas saem da Coreia do Sul
- 3
Configure as categorias de consentimento
Crie categorias de consentimento separadas para as atividades de tratamento que exigem consentimento na PIPA.
- 4
Configure os controles de dados sensíveis
Quando informações pessoais sensíveis forem tratadas, implemente os controles aplicáveis de consentimento separado e de privacidade.
- 5
Bloqueie os rastreadores aplicáveis
Use o bloqueio prévio de scripts para impedir que os rastreadores não essenciais configurados sejam disparados antes da decisão de consentimento exigida.
- 6
Registre as evidências de consentimento
Armazene recibos de consentimento que documentem:
- A escolha do usuário
- Data e hora
- A categoria de consentimento
- A versão do aviso ou da política
- O contexto do tratamento
- 7
Gerencie as solicitações de dados
Use o fluxo de DSAR para gerenciar as solicitações aplicáveis de acesso, correção, exclusão ou suspensão do tratamento.
- 8
Revise as transferências a terceiros e internacionais
Identifique serviços de terceiros e fornecedores estrangeiros que tratam informações pessoais coreanas e avalie os requisitos aplicáveis da PIPA.
- 9
Mantenha evidências de auditoria
Mantenha registros de consentimento, preferências, avisos de privacidade, alterações nos tratamentos e solicitações de direitos para apoiar as revisões de conformidade.
Perguntas frequentes
País sujeito à PIPA
대한민국
GDPR
UK GDPR
CCPA / CPRA
VCDPA
Colorado CPA
CTDPA
UCPA
TDPSA
Oregon OCPA
Montana MCDPA
Florida FDBR
LGPD
PIPEDA
DPDPA
PDPA
POPIA
FADP
Law 25
LFPDPPP
PDPL
Law 21.719
Law 1581
Law 29733
Law 18.331Aviso legal
Esta página apresenta, em linguagem simples, uma visão geral da Lei de Proteção de Informações Pessoais da Coreia do Sul para fins informativos gerais. Ela não constitui aconselhamento jurídico.
As obrigações da PIPA podem variar conforme as atividades da organização, os métodos de tratamento, as categorias de dados, o setor, o porte da organização, as transferências internacionais e outras leis e regulamentações coreanas aplicáveis.
A PIPA foi alterada em 2026 e outras mudanças relacionadas à IA e a outras áreas podem entrar em vigor conforme suas respectivas datas de vigência. As organizações devem verificar os requisitos atuais com base na legislação mais recente, nas regulamentações, diretrizes e orientações de fiscalização da PIPC, e obter aconselhamento jurídico coreano qualificado quando necessário.