PIPA

Правовые основания обработки по PIPA

PIPA не требует согласия для каждого сбора или использования персональной информации.

В зависимости от обстоятельств обработка может быть разрешена на основаниях, предусмотренных законом, в том числе:

• Согласие субъекта данных
• Необходимость для заключения или исполнения договора
• Выполнение обязанностей, установленных законом
• Обработка, необходимая для определенных законных интересов, признанных PIPA
• Чрезвычайные обстоятельства, затрагивающие жизнь, здоровье или имущество
• Иные обстоятельства, прямо разрешенные законом

PIPC прямо подчеркнула, что организации не должны неправомерно помечать обработку как требующую согласия, если применяется предусмотренное законом основание, например договорная необходимость.

Это различие важно при разработке механизмов получения согласия на веб-сайтах.

Согласие по PIPA

Если согласие используется в качестве правового основания, организации должны предоставлять людям ясную информацию об обработке и получать согласие в соответствии с требованиями PIPA.

Интерфейсы согласия должны разграничивать соответствующие операции обработки, а не объединять не связанные между собой цели в один неясный выбор.

Организации должны хранить доказательства, подтверждающие:

• какая информация была представлена
• цель обработки
• предложенный вариант согласия
• решение человека
• дату и время согласия
• соответствующую версию политики конфиденциальности или уведомления
• любой последующий отзыв или изменение

ConsentX может помочь хранить такие доказательства для согласий на уровне веб-сайта.

Требования об отдельном согласии

PIPA предусматривает случаи, в которых требуется отдельное или дополнительное согласие.

К ним может относиться обработка, связанная с:

• Чувствительной персональной информацией
• Уникальной идентифицирующей информацией
• Определенными случаями раскрытия третьим лицам
• Определенными случаями трансграничной передачи

PIPC принимала меры принуждения в тех случаях, когда компании не получали согласие на трансграничную обработку или ненадлежащим образом информировали о нем.

Чувствительная персональная информация

PIPA предусматривает усиленную защиту чувствительной персональной информации.

К ней относится информация, раскрывающая или касающаяся таких областей, как:

• Идеология
• Политические взгляды
• Религиозные убеждения
• Сведения о здоровье и медицинская информация
• Сексуальная жизнь
• Другие категории, указанные в законе

Обработка чувствительной персональной информации ограничена и требует надлежащего правового основания и дополнительных мер защиты. Если применимым основанием является согласие, требуется отдельное согласие.

Организации должны поддерживать отдельные меры контроля для:

• Сбора
• Определения целей
• Доступа
• Хранения
• Раскрытия
• Сроков хранения
• Безопасности
• Согласия

Уникальная идентифицирующая информация

PIPA предусматривает дополнительную защиту уникальной идентифицирующей информации.

Организации, обрабатывающие такую информацию, как определенные идентификационные номера, должны соблюдать специальные требования закона.

Если требуется согласие, организациям не следует исходить из того, что общее согласие на обработку персональных данных автоматически охватывает обработку уникальной идентифицирующей информации.

Процессы получения согласия и обеспечения конфиденциальности должны, где это применимо, четко выделять такую обработку.

Персональная информация детей

PIPA предусматривает дополнительную защиту детей в возрасте до 14 лет.

Если это требуется, организации должны получать согласие законного представителя ребенка и внедрять надлежащие процедуры проверки и документирования такого согласия. Руководство PIPC для иностранных компаний прямо называет согласие законного представителя для детей младше 14 лет важной обязанностью по PIPA.

Поэтому организациям, ориентированным на детей, следует учитывать:

• Проверку возраста
• Идентификацию законного представителя
• Согласие законного представителя
• Записи о согласии
• Уведомления о конфиденциальности, адаптированные для детей
• Надлежащую минимизацию данных
• Меры контроля удаления и хранения

Права субъектов данных по PIPA

PIPA предоставляет людям важные права в отношении их персональной информации.

В зависимости от обстоятельств люди могут осуществлять права, включая:

• Доступ к персональной информации
• Исправление неточной информации
• Удаление
• Приостановление обработки
• Приостановление передачи
• Иные права, предусмотренные законом

PIPC предоставляет людям механизмы для запроса доступа, исправления, удаления и приостановления обработки.

Организации должны иметь задокументированные процессы для:

1. 1Получения запросов
2. 2Проверки личности заявителя
3. 3Определения соответствующей персональной информации
4. 4Оценки запроса
5. 5Применения установленных законом ограничений или исключений
6. 6Выполнения запрошенного действия
7. 7Сообщения о результате
8. 8Хранения доказательств ответа

Уведомления о конфиденциальности

PIPA требует от организаций разработать и раскрыть надлежащую политику конфиденциальности.

Политика должна содержать понятную информацию о соответствующей обработке персональной информации, в том числе о таких вопросах, как:

• Собираемая персональная информация
• Цель обработки
• Сроки хранения и использования
• Предоставление третьим лицам
• Поручение обработки
• Трансграничная обработка
• Права субъектов данных
• Меры безопасности
• Контактные данные и ответственные сотрудники
• Иная информация, требуемая PIPA

PIPC прямо выделяет раскрытие политики конфиденциальности как обязанность иностранных компаний, на которые распространяется PIPA.

Минимизация данных и ограничение целей

Организации должны собирать и использовать персональную информацию только в той мере, в какой это необходимо для законных и определенных целей обработки.

Компаниям следует регулярно проверять:

• какая информация собирается
• зачем она собирается
• остается ли необходимым каждое поле
• как долго хранится информация
• какие третьи лица ее получают
• используется ли информация для дополнительных целей

Данные, которые больше не нужны, должны уничтожаться в соответствии с применимыми требованиями PIPA.

Требования к безопасности данных

PIPA требует от организаций принимать надлежащие меры защиты персональной информации от:

• Потери
• Кражи
• Утечки
• Несанкционированного доступа
• Изменения
• Уничтожения
• Других инцидентов безопасности

Организации должны внедрить как технические, так и организационные меры контроля.

Они могут включать:

Технические меры защиты

• Контроль доступа
• Аутентификацию
• Шифрование
• Мониторинг безопасности
• Управление уязвимостями
• Защиту сети
• Журналирование доступа

Организационные меры защиты

• Политики конфиденциальности
• Обучение сотрудников
• Процедуры управления доступом
• Планы реагирования на инциденты
• Контроль поставщиков
• Периодические оценки безопасности
• Закрепленные обязанности в сфере конфиденциальности

PIPC все больше подчеркивает важность превентивного управления конфиденциальностью и безопасностью, а не только правоприменения после инцидентов.

Уведомление об утечке персональной информации

Организации должны оперативно реагировать на утечки персональной информации, подпадающие под требования закона.

В рамках действующих правил компании, как правило, должны уведомлять соответствующий орган и затронутых субъектов данных без неоправданной задержки и в течение 72 часов, если срабатывают применимые требования об уведомлении. PIPC также подчеркнула требование о 72 часах для иностранных компаний, обрабатывающих информацию корейских субъектов данных.

Программа реагирования на утечки должна включать:

• Выявление инцидентов
• Оценку рисков
• Локализацию
• Уведомление регулятора
• Уведомление затронутых лиц
• Устранение последствий
• Сохранение доказательств
• Анализ после инцидента

PIPC применяла значительные санкции, когда организации не обеспечивали надлежащие меры защиты или затягивали уведомление об утечках.

Трансграничная передача данных

PIPA содержит специальные требования к передаче персональной информации за пределы Южной Кореи.

В зависимости от обстоятельств и применимого механизма организациям может потребоваться:

• Получить отдельное согласие
• Предоставить требуемую информацию о передаче
• Заключить надлежащие договорные соглашения
• Использовать другой признанный законом механизм передачи
• Провести требуемые оценки
• Поддерживать надлежащие меры защиты

PIPC активно применяла эти правила к компаниям, передававшим информацию корейских пользователей за рубеж без соблюдения применимых требований.

Трансграничная обработка зарубежными поставщиками

Организациям следует разграничивать:

Поручение обработки

Зарубежный поставщик услуг обрабатывает персональную информацию от имени организации в рамках применимого соглашения об аутсорсинге или поручении обработки.

Предоставление третьим лицам

Получатель самостоятельно получает или обрабатывает информацию способом, выходящим за рамки обычного поручения обработки.

Это различие важно, поскольку применимое правовое основание, требования к прозрачности, договорные обязательства и требования к передаче могут различаться.

PIPC прямо подчеркнула, что недостаточно просто называть любую внешнюю передачу «обменом» или «аутсорсингом»; организации должны правильно квалифицировать отношения.

Представитель в Корее для иностранных компаний

Некоторые иностранные компании, на которые распространяется PIPA, могут быть обязаны назначить внутреннего представителя в Корее.

Представитель может служить важным контактным лицом для коммуникаций по вопросам конфиденциальности, регуляторных вопросов и прав субъектов данных.

Иностранным организациям следует оценить, влекут ли их деловая активность и объемы обработки применение требований о внутреннем представителе.

Директор по вопросам конфиденциальности и управление конфиденциальностью

PIPA придает большое значение подотчетности организации.

Организации должны четко определить ответственность за защиту персональной информации, включая роль директора по вопросам конфиденциальности (CPO), где это применимо.

Поправки 2026 года дополнительно усиливают подотчетность руководства и роль сотрудников по вопросам конфиденциальности, включая меры, касающиеся организаций, обрабатывающих большие объемы персональной информации или чувствительную информацию.

Управление конфиденциальностью должно охватывать:

• Внутренние политики конфиденциальности
• Надзор за обработкой данных
• Управление рисками
• Координацию безопасности
• Обучение сотрудников
• Реагирование на утечки
• Управление поставщиками
• Проверки соблюдения требований
• Отчетность перед руководством

Оценки воздействия на конфиденциальность

Организациям, обрабатывающим персональную информацию в обстоятельствах, на которые распространяются требования PIPA об оценке, может потребоваться провести оценку воздействия на персональную информацию (PIA).

PIA может помочь организациям выявить:

• Риски обработки
• Уязвимости безопасности
• Избыточный сбор
• Риски конфиденциальности для людей
• Надлежащие меры по снижению рисков

Организациям следует оценить, подпадают ли их операции обработки под обязательные требования о PIA.

Файлы cookie и онлайн-отслеживание по PIPA

PIPA не является специальным законом о согласии на использование файлов cookie.

Однако файлы cookie, пиксели, рекламные идентификаторы, инструменты аналитики, идентификаторы устройств и другие технологии отслеживания могут, в зависимости от способа их использования, затрагивать персональную информацию или обработку, связанную с персональной информацией.

Поэтому организациям следует оценить:

• какую информацию собирает трекер
• является ли эта информация персональной
• можно ли связать ее с идентифицируемыми лицами
• цель обработки
• правовое основание
• предоставляется ли информация третьим лицам
• передается ли информация за пределы Кореи
• требуется ли отдельное согласие

Для веб-сайтов организациям не следует исходить из того, что каждый файл cookie автоматически требует согласия по PIPA. Вместо этого нужно оценивать конкретную операцию обработки и применимое правовое основание.

Онлайн-реклама и персональная информация

Рекламные и аналитические экосистемы могут порождать дополнительные вопросы соблюдения PIPA.

Организациям следует проверить:

• Рекламные идентификаторы
• Поведенческую аналитику
• Ретаргетинг
• Сегментацию аудитории
• Сторонние пиксели
• SDKs
• Трансграничных поставщиков аналитики
• Обмен данными с рекламными платформами

Если третье лицо самостоятельно обрабатывает или использует персональную информацию, организации следует оценить, является ли такое взаимодействие поручением обработки или предоставлением третьим лицам, и определить применимые правовые требования.

Автоматизированное принятие решений

PIPA содержит меры защиты, касающиеся автоматизированного принятия решений.

Организации, использующие автоматизированные системы для принятия решений, затрагивающих людей, должны оценить применимые требования к прозрачности, разъяснению, возражению и иные требования.

Эта область особенно актуальна для:

• Систем ИИ
• Кредитного скоринга или оценки рисков
• Рекомендательных систем
• Систем подбора персонала
• Персонализированной рекламы
• Автоматизированных решений о праве на получение услуг или льгот

Организациям следует документировать, как работает автоматизированная обработка, и определять применимые права и меры защиты.

ИИ и PIPA

Регулятор в сфере конфиденциальности Южной Кореи все активнее разрабатывает руководства по использованию персональной информации при разработке и предоставлении сервисов ИИ.

PIPC признала законные интересы возможным правовым основанием для определенной обработки общедоступных данных в связи с ИИ при соблюдении требований закона, включая законность цели, необходимость и баланс интересов и прав субъектов данных.

Поэтому организациям, использующим персональную информацию для ИИ, следует оценить:

• Источник обучающих данных
• Правовое основание
• Необходимость
• Минимизацию данных
• Риски конфиденциальности
• Меры контроля безопасности
• Права субъектов данных
• Деидентификацию
• Меры защиты моделей и результатов
• Оценки воздействия на конфиденциальность, где это применимо

Поправки к PIPA 2026 года

Поправка к PIPA, вступившая в силу 11 сентября 2026 года, вносит существенные изменения в систему правоприменения и управления в сфере конфиденциальности Южной Кореи.

Ключевые изменения включают:

Более строгие санкции за серьезные и повторные утечки

Измененная система вводит карательные санкции в размере до 10% годового оборота для определенных случаев повторных и серьезных утечек данных.

Усиление подотчетности руководства

Поправки усиливают ответственность генеральных директоров и директоров по вопросам конфиденциальности за защиту персональной информации.

Изменения в ISMS-P

Измененная система усиливает связь между защитой конфиденциальности и сертификацией ISMS-P, включая дополнительные механизмы надзора и предотвращения.

Поправка, связанная с ИИ

В августе 2026 года Национальное собрание также приняло еще одну поправку к PIPA о законном использовании персональной информации для разработки ИИ в общественных интересах, наряду с дополнительными мерами защиты конфиденциальности и механизмами надзора PIPC. Организациям следует отслеживать дату вступления в силу и требования к реализации этой поправки.

Хранение и уничтожение данных

Организации должны хранить персональную информацию только столько, сколько необходимо для применимой цели обработки или иным образом требуется законом.

Программы хранения должны устанавливать:

• Сроки хранения
• Цель дальнейшего хранения
• Категории данных
• Требования закона к хранению
• Условия удаления
• Безопасные методы уничтожения
• Документирование уничтожения

PIPC подчеркивала важность уничтожения персональной информации, как только она перестает быть необходимой, чтобы свести к минимуму последствия возможных утечек.

Сторонние обработчики

Организации, привлекающие поставщиков для обработки персональной информации, должны обеспечивать надлежащий надзор.

Это включает:

• Комплексную проверку поставщиков
• Соглашения об обработке
• Требования к безопасности
• Конфиденциальность
• Контроль субобработчиков
• Требования об уведомлении об утечках
• Удаление данных
• Контроль доступа
• Оценку трансграничной передачи
• Мониторинг соблюдения требований

Если зарубежный поставщик обрабатывает корейскую персональную информацию, организации следует отдельно оценить требования PIPA к трансграничной передаче.