个人信息保护法（개인정보 보호법）
大韩民国国会 · 个人信息保护委员会（PIPC）执法 · Act No. 21445 (promulgated 10 Mar 2026, in force 11 Sep 2026)
PIPA 是韩国统一的个人信息保护法，2023 年全面修订后确立了国外移转的五条路径、自动化决定的拒绝与说明请求权、以及最高按“全体营业额 3%”计算的课徵金；2026 年修订（法律第 21445 号，2026-09-11 施行）在此之上做了三件对出海企业影响重大的事：把重大与重复违法的课徵金上限提高到全体营业额的 10%（无营业额或难以核算时 50 亿韩元）；把事业主或代表者明确为个人信息处理与保护的最终责任人，并强化 CPO 的人力与预算保障及指定申报；把泄露通知范围扩大到伪造、变造、毁损，并新设“存在泄露可能性”时的通知义务。第 32 条之二的强制认证自 2027-07-01 起适用。
中国 AI 企业在以下情形落入 PIPA：（1）向韩国用户提供应用、网站或模型 API 并处理其个人信息；（2）在韩国无住所或营业所但按营业额与个人信息保有规模达到总统令标准——此时必须以书面指定国内代理人，且国内代理人的违法视为处理者本人的行为；（3）承接韩国企业的数据处理委托，受第 26 条委托规制约束，委托方的管理监督疏失可直接被课徵金；（4）把韩国个人信息传至中国境内处理——第 28 条之八把“提供（含被调阅）、处理委托、保管”统一定义为“移转”，仅通过在中国的服务器可被境内查询亦构成移转。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、金融科技 AI、计算机视觉、AI 智能体
2023-09-15
2023 年全面修订主体条款施行，新增国外移转多元路径与自动化决定权利
第 28 条之八（国外移转）、第 28 条之九（移转中止命令）、第 37 条之二（自动化决定拒绝与说明请求权）均为 2023-03-14 修订新设条文。
2026-03-10
2026 年修订法公布（法律第 21445 号）
针对通信、金融、平台业者接连发生的大规模泄露，强化课徵金、明确事业主与代表者责任、强化 CPO 权限与独立性、引入泄露可能性通知制度、并对一定规模以上的处理者引入强制认证。
2026-09-11
2026 年修订法施行（公布后满 6 个月）
第 30 条之三事业主/代表者责任、第 31 条 CPO 强化、第 34 条通知范围扩大与泄露可能性通知、第 64 条之二第 2 项 10% 课徵金层级自该日起适用；配套《施行令》（第 36671 号，2026-09-10 公布）同日施行。
2027-07-01
强制个人信息保护认证义务（第 32 条之二第 1 项但书）开始适用
按营业额、个人信息处理规模等由总统令确定标准的处理者，须取得个人信息保护认证；未取得者按第 75 条第 2 项第 15 号课过怠金。
每条都写明触发条件、需要留存的证据与条款出处
收集、利用、提供个人信息须落在第 15、17、18 条所列法定事由之一；依赖同意时须按第 22 条分别、可区分地取得，不得以拒绝同意为由拒绝提供服务（超出必要范围的同意除外）。处理未满 14 周岁儿童个人信息须取得法定代理人同意。
首次达标投入估算：6–15 人日（估算，非承诺）
原则禁止向国外“移转”（含提供、被调阅、处理委托、保管）个人信息，例外为：（一）取得信息主体就国外移转的单独同意；（二）法律、韩国缔结的条约或国际协定有特别规定；（三）为与信息主体缔约与履约所必需的处理委托或保管，且已在隐私处理方针中公开第 2 项各号事项，或以电子邮件等总统令规定方式告知信息主体；（四）接收方取得第 32 条之二认证或 PIPC 告示认可的认证，且已采取保护所需安全措施与权利保障措施，并采取在接收国履行认证事项所需措施；（五）PIPC 认定接收国或国际组织的保护体系、权利保障范围与救济程序实质等同于本法水平。依（一）取得同意前须告知：移转的个人信息项目、移转国家与时间及方式、接收方姓名或名称与联系方式、接收方的利用目的与保有利用期间、拒绝移转的方法与程序及拒绝的效果；上述事项变更须重新告知并取得同意。不得缔结内容违反本法的国外移转合同。
首次达标投入估算：10–25 人日（估算，非承诺）
在韩国无住所或营业所、且按营业额与个人信息保有规模符合总统令标准的处理者，须以书面指定国内代理人，代理下列事务：第 31 条第 4 项第 5 号的投诉处理与损害救济、第 34 条第 1、2 项的通知与同条第 4 项的泄露申报、第 63 条第 1 项的物品与资料提交。国内代理人须在韩国有住所或营业所；若处理者设有韩国法人或对其人事与经营具支配性影响的韩国法人，须从该等法人中指定。处理者须按总统令对国内代理人进行教育、检查其业务现况并实施管理监督。代理人的姓名/名称、地址、电话与电子邮箱须写入隐私处理方针。国内代理人就上述事务违反本法的，视为处理者本人所为。
首次达标投入估算：5–12 人日（估算，非承诺）
知悉个人信息发生泄露等事态时，须不迟延地向信息主体告知第 34 条第 1 项各号事项：泄露的个人信息项目；发生时点与经过；为减少可能损害信息主体可采取的具体方法；处理者的应对措施与损害救济程序；受害时可受理申报的负责部门与联系方式；因泄露可主张的第 39 条损害赔偿、第 39 条之二法定损害赔偿请求与第 43 条纠纷调解等法律权利及其行使方法；以及总统令规定的其他事项。2026 年修订新增第 2 项：对按总统令规定存在泄露可能性的事态，知悉后须不迟延地向所有可能受影响的信息主体告知总统令规定事项。处理者还须采取包括回收、删除在内的防止损害扩大措施，并按总统令不迟延地向 PIPC 或专门机构申报。
首次达标投入估算：6–15 人日（估算，非承诺）
第 37 条之二规定：以完全自动化系统（包括适用人工智能技术的系统）处理个人信息作出的决定，若对信息主体的权利或义务产生重大影响，信息主体有权要求处理者拒绝适用该决定（依第 15 条第 1 项第 1、2、4 号作出的决定除外）；信息主体亦可就已作出的自动化决定要求说明等。处理者在收到拒绝或说明要求后，除有正当理由外，须不适用该自动化决定，或采取人工介入的再处理、说明等必要措施。处理者还须以信息主体易于确认的方式公开自动化决定的基准与程序、个人信息被处理的方式等。
首次达标投入估算：10–25 人日（估算，非承诺）
2026 年修订新设第 30 条之三，把事业主或代表者明确规定为个人信息处理与保护的最终责任人；第 31 条相应强化 CPO 制度：须保障 CPO 履职所需人力管理与预算确保，符合总统令标准的处理者须就 CPO 的指定、变更或解除事项向主管机关申报，且指定、变更或解除须经理事会决议。未满足 CPO 资格要件而指定、未经理事会决议、或未申报的，按第 75 条第 2 项课过怠金。
首次达标投入估算：5–12 人日（估算，非承诺）
第 29 条要求处理者采取安全性确保所需的技术、管理与物理措施，防止个人信息灭失、被盗、流出、伪造、变造或毁损。第 64 条之二第 1 项第 9 号明确：发生泄露等事态即可课徵金，但处理者已尽第 29 条安全性确保必要措施的除外——这使第 29 条的落实证据成为抗辩的核心。第 26 条第 4 项要求委托方对受托方实施管理监督与教育，疏失致受托方违法的同样属课徵金对象。
首次达标投入估算：12–30 人日（估算，非承诺）
2026 年修订在第 32 条之二第 1 项增设但书：按营业额、个人信息处理规模等由总统令确定标准的处理者，须强制取得个人信息保护认证。该条与第 75 条第 2 项第 15 号（未取得认证的过怠金）自 2027-07-01 起施行，应提前规划认证准备周期。第 28 条之八第 1 项第 4 号亦把持有该认证作为国外移转的路径之一，因此认证同时具备合规与业务价值。
首次达标投入估算：20–60 人日（估算，非承诺）
第 64 条之二第 1 项：对第 15(1)、17(1)、18(1)(2)、19 条违反处理，未取得法定代理人同意处理未满 14 周岁儿童个人信息，未经同意处理敏感信息，违法处理固有识别信息或居民登记号码，第 26(4) 条管理监督或教育疏失致受托方违法，违反第 28 条之五第 1 项以识别特定个人为目的处理假名信息，违反第 28 条之八第 1 项国外移转，不遵守第 28 条之九移转中止命令，以及发生个人信息泄露等——可处不超过全体营业额 3% 的课徵金；无营业额或难以核算时不超过 20 亿韩元。第 64 条之二第 2 项（2026 年新增）：受课徵金处分之日起 3 年内就同一号再次违法（以故意或重大过失为限）；因故意或重大过失违法且受害信息主体规模达 1,000 万人以上；或未遵守第 64 条第 1 项整改命令而发生泄露——可处不超过全体营业额 10% 的课徵金，无营业额或难以核算时不超过 50 亿韩元。课徵金按扣除与违法行为无关营业额后的金额计算；对已投入预算、人力、设备的处理者可减轻（故意或重大过失除外）。
国内代理人指定门槛、强制认证的规模标准、泄露可能性通知的触发情形与应告知事项、以及申报时限，均由《个人信息保护法施行令》规定；本轮核实了法律条文与施行令的最新公布信息（总统令第 36671 号，2026-09-10 公布、2026-09-11 施行，见 krlaw-kr-pipa-decree），但未逐条核对施行令正文，具体数值须回到施行令确认。本条目引用的韩文条文经官方开放接口取得，中文表述为研究翻译而非官方译本。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。