韩国 PIPC 对 DeepSeek 作出改正建议：跨境传输无单独同意、用户输入被传至火山引擎、无境内代理人
主体：杭州深度求索人工智能基础技术研究有限公司
发生了什么
DeepSeek 于 2025 年 1 月 15 日在韩国上线其 R1 大语言模型聊天机器人，当时仅提供中文与英文版隐私政策。PIPC 于 2025 年 1 月 31 日发函询问，并与韩国互联网振兴院（KISA）共同进行技术分析，发现存在第三方数据传输流量以及隐私政策透明度不足。
监管或当事方如何处理
PIPC 启动"现状检查"程序，认定的主要问题包括：隐私政策缺少销毁程序与方法、已采取保护措施的细节与个人信息保护负责人（CPO）姓名及联系方式，并提及会收集击键模式与节奏等广泛信息；向位于中国和美国的服务器传输用户个人数据时未取得单独同意、未在隐私政策中披露；曾将设备信息、用户网络、应用与用户输入内容传输至北京火山引擎科技有限公司；未向用户提供拒绝以其输入内容训练模型的选项；虽声称不收集 14 岁以下儿童信息但无年龄验证程序。DeepSeek 在检查期间暂停了在 App Store 与 Google Play 的新增下载。
结果
PIPC 于 2025 年 4 月 23 日审结。改正建议包括：为跨境传输建立稳固的法定依据、销毁已传输至火山引擎的用户输入数据、提升服务提供透明度。改进建议包括：落实 PIPC 推荐的更强保护措施、核查是否收集了儿童个人信息并予以销毁、全面检修个人信息处理体系并升级安全措施、指定境内代理人。整改过程中 DeepSeek 已于 2025 年 3 月 17 日上线训练数据拒绝选项、2025 年 3 月 28 日提交韩文版隐私政策、2025 年 4 月 10 日起阻断用户输入内容的对外传输。
对中国出海企业的启示
- · 上线前先做"隐私政策本地语言版 + 境内代理人 + 跨境传输单独同意"这三件事。韩国《个人信息保护法》要求跨境传输落在第 28 条之八的法定路径之一，其中同意路径必须是与其他事项分离的单独同意，不能包含在总的服务条款勾选里。
- · 自家技术栈里的中国云服务是跨境传输的隐蔽入口。把 CDN、日志、APM、A/B 测试、风控、客服工单、模型推理加速等第三方组件全部列入数据流图，逐个确认数据落地国与接收方主体——本案被点名的正是用于安全与体验优化的云服务。
- · "用户输入是否必要传出"是监管会直接质疑的问题。PIPC 认定用户输入的传输并非必要，企业随即阻断。设计时应默认最小化：用户 prompt 不出境，除非能逐项论证必要性。
- · 模型训练的拒绝选项（opt-out）在韩国、欧盟已成为事实门槛。把"训练用途开关 + 生效时点记录 + 历史数据回溯删除"做成产品能力，而不是隐私政策里的一句承诺。
- · 监管机构与国家网络安全机构联合做流量级技术分析。隐私政策里写什么，抓包就能验什么——不要写与实际实现不一致的收集项（本案的"击键模式"即是写了但公司称未实际收集，仍被认定为透明度问题）。
来源（1）
- 韩国个人信息保护委员会公布对 DeepSeek 服务的现状检查结果韩国个人信息保护委员会（PIPC） · 发布 2025-04-30 · 核实 2026-09-12
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。