Personal Data Breach Response Under PIPA in Korea: A Step-by-Step Legal Guide (EN/中文/日本語/Español)

🌐 Language / 語言 / 言語 / Idioma:

📋 Korean Law Insight | Data Privacy & Cybersecurity

By Attorney NOH UJIN | HANBYOL LAW LLC, Seoul

---

Personal Data Breach Response Under PIPA in Korea: A Step-by-Step Legal Guide for Foreign Companies

A personal data breach is one of the most legally consequential events a company operating in Korea can face. Under Korea's Personal Information Protection Act (PIPA, 개인정보 보호법) — one of the strictest privacy laws in the world — failing to respond swiftly and correctly to a data breach can result in administrative sanctions, criminal prosecution, and civil class action lawsuits. For foreign companies handling the personal data of Korean residents, the obligations apply regardless of where the company is headquartered. This guide walks through the legal framework, mandatory response timelines, notification requirements, and best practices for breach management under PIPA.

1. What Is a "Personal Data Breach" Under PIPA?

PIPA defines a personal data breach broadly as any incident involving the unauthorized disclosure, loss, theft, alteration, or damage of personal information processed by a personal information controller (개인정보처리자). This includes:

• Hacking or ransomware attacks leading to unauthorized access
• Accidental disclosure of personal data (e.g., misdirected emails, misconfigured cloud storage)
• Internal data theft by employees or contractors
• Loss or theft of devices containing personal data (laptops, USB drives)
• Unauthorized access by third-party processors or vendors

The definition does not require proof of harm — the mere unauthorized access or disclosure triggers the breach notification framework.

2. Who Is Subject to PIPA Breach Obligations?

Any entity that processes personal information of Korean residents in the course of its business activities is subject to PIPA, regardless of the entity's nationality or location. This means:

• Foreign companies with Korean subsidiaries or branches
• Foreign e-commerce platforms selling to Korean consumers
• Foreign companies processing personal data of Korean employees
• Foreign SaaS and cloud service providers with Korean business customers

The 2023 PIPA amendment significantly strengthened its extraterritorial reach. Foreign companies processing large volumes of Korean personal data are now explicitly required to designate a local representative in Korea (국내대리인) who can receive communications from the Personal Information Protection Commission (PIPC) and represent the foreign entity in enforcement proceedings.

3. The Legal Framework: PIPA 2023 Amendments

Korea's PIPA was substantially amended in 2023, with key changes effective from September 2023. The amendments introduced:

• Expanded breach notification obligations: More detailed requirements for what must be included in notifications
• Mandatory 72-hour notification to the PIPC for significant breaches (see below)
• Strengthened enforcement powers for the PIPC, including higher administrative fines
• New provisions on automated decision-making and data subject rights
• Mobile application privacy obligations for app developers
• Increased penalties: Administrative fines up to 3% of relevant revenue (previously capped at KRW 500 million)

4. Mandatory Notification Requirements: Who, What, and When

4.1 Notification to Data Subjects

Under Article 34 of PIPA, when a personal data breach occurs, the data controller must notify affected data subjects without delay. The notification must include:

• The items of personal information that were breached
• The time and circumstances of the breach
• Measures the data controller has taken or will take in response
• The measures data subjects can take to minimize damage
• The department handling the breach response and contact information
• Guidance on how data subjects can exercise their rights (access, correction, deletion)

The phrase "without delay" is interpreted strictly by the PIPC. In practice, notification should occur within 5 business days of discovering the breach, though the PIPC has pushed for faster notification in serious cases. Notification can be made by email, letter, text message, or — if individual contact is not possible — through a conspicuous notice on the company website or by other mass communication methods.

4.2 Notification to the PIPC

Following the 2023 amendments, controllers must also notify the PIPC (or the sector-specific supervisory authority) when a breach affects a significant number of data subjects or involves sensitive categories of data. The notification to the PIPC must occur within 72 hours of becoming aware of the breach in such cases.

The PIPC notification must include:

• Summary of the breach incident
• Categories and approximate number of data subjects affected
• Categories and approximate volume of data records affected
• Contact details of the data protection officer (DPO) or designated contact
• Likely consequences of the breach
• Measures taken or proposed to address the breach and mitigate effects

5. Immediate Response Steps: The Breach Response Protocol

Time is critical in a PIPA breach scenario. The following protocol should be activated as soon as a breach is suspected:

1. Containment (Hours 0–4): Isolate affected systems, disable compromised accounts, preserve forensic evidence, engage your internal incident response team and external cybersecurity specialists.
2. Initial Assessment (Hours 4–24): Determine the scope of the breach — what data categories were affected, how many data subjects, what was the likely cause and attack vector.
3. Legal Trigger Assessment (Hours 24–48): Determine whether PIPA notification obligations are triggered. Engage Korean privacy counsel immediately.
4. PIPC Notification (within 72 hours if required): Prepare and file the initial notification to the PIPC. Note that a preliminary notification is acceptable if the full investigation is not yet complete — a follow-up report can be filed once more information is available.
5. Data Subject Notification (within 5 business days): Prepare clear, accurate individual notifications. Avoid minimizing language that might later be seen as misleading.
6. Ongoing Investigation and Documentation: Document all response steps. This documentation is critical in any subsequent regulatory investigation or litigation.
7. Remediation: Patch vulnerabilities, implement enhanced security measures, update security policies, and conduct staff training.
8. Post-Incident Review: Prepare an internal lessons-learned report and update the data breach response plan.

6. Enforcement and Penalties

The PIPC is an active regulator. Following a breach, companies can expect:

• On-site investigations: The PIPC can conduct on-site inspections and request documents, interview staff, and access systems.
• Administrative fines: Up to 3% of the company's relevant revenue for serious violations following the 2023 amendments.
• Corrective orders: Orders to implement specific security measures or changes to data processing practices.
• Criminal penalties: Personal information controllers and their responsible officers can face criminal prosecution for willful or grossly negligent breaches — imprisonment up to 5 years or fines up to KRW 50 million for key violations.
• Statutory damages: Under PIPA's statutory damages provision, data subjects may claim up to KRW 3 million per incident without proving actual damages. This provision is increasingly used in class action-style litigation.

7. Cross-Border Data Breach Considerations

For foreign companies, data breaches often have a cross-border dimension. Key considerations include:

• Multi-jurisdictional notifications: A single breach may trigger notification obligations in Korea (PIPA), the EU (GDPR Article 33/34), the US (state breach notification laws), and other jurisdictions simultaneously. Notifications must be coordinated but may have different content requirements.
• Cross-border data transfers: If breached data includes personal information that was transferred overseas, the PIPC may scrutinize whether the transfer complied with PIPA's cross-border transfer provisions.
• Sector-specific regulators: Financial services companies are also subject to the Financial Supervisory Service (FSS); telecommunications companies to the Ministry of Science and ICT. Each has its own breach notification requirements that overlay PIPA.

8. Organizational Preparedness: Pre-Breach Best Practices

The best breach response is one that is planned before a breach occurs:

• Appoint a Privacy Officer / DPO: PIPA requires large data controllers to appoint a Chief Privacy Officer (개인정보 보호책임자, CPO).
• Maintain a Data Map: Know what personal data you hold, where it is stored, who has access, and what third-party processors are involved.
• Implement Technical and Organizational Security Measures: PIPA mandates implementation of technical (encryption, access controls, intrusion detection) and organizational (training, access authorization policies) security measures.
• Conduct Regular Privacy Impact Assessments (PIAs): Required for certain high-risk processing activities under PIPA.
• Test Your Breach Response Plan: Tabletop exercises and simulated breach drills should be conducted annually.
• Designate a Local Representative in Korea: Mandatory for foreign companies meeting the designation thresholds under the 2023 PIPA amendments.

Frequently Asked Questions (FAQ)

Q1: Does PIPA apply to my foreign company even if I have no Korean office?

Yes. PIPA applies to any entity that processes personal information of Korean residents in connection with goods or services offered to them, regardless of where the company is established. The 2023 amendments reinforced this extraterritorial application. Foreign companies processing significant volumes of Korean personal data are required to designate a local representative in Korea.

Q2: What is the difference between the 72-hour PIPC notification and the data subject notification?

The 72-hour notification is to the regulatory authority (PIPC) and applies when a significant breach occurs. The data subject notification (to affected individuals) must occur "without delay" — in practice within 5 business days of discovering the breach. Both obligations can arise simultaneously, but they serve different purposes: regulatory reporting vs. individual rights notification.

Q3: Can I delay notification while the investigation is still ongoing?

Under PIPA, notification cannot be delayed pending completion of an investigation. However, for the PIPC notification, a preliminary report can be filed with the information available at the time, followed by a supplementary report. For data subject notification, the notification should be sent once you have the basic facts confirmed, even if all details are not yet known. Delay for investigative purposes is not a recognized exception under PIPA.

Q4: What are the statutory damages data subjects can claim?

PIPA provides for statutory damages of up to KRW 3 million (approximately USD 2,200) per data subject per incident, claimable without proving actual economic harm. In large-scale breaches, this can create substantial aggregate liability even if no individual suffered identifiable economic loss. Korean courts have awarded statutory damages in class action-style proceedings, making this a significant enforcement mechanism.

Q5: How does PIPA breach notification compare to GDPR?

Feature	PIPA (Korea)	GDPR (EU)
Regulator notification timeline	72 hours (significant breaches)	72 hours (Article 33)
Data subject notification	Without delay (~5 business days)	Without undue delay (Article 34)
Maximum fine	3% of relevant revenue	4% of global turnover
Statutory damages	KRW 3M per person (no proof of harm)	Not directly in GDPR (national law varies)
Local representative required	Yes (for qualifying foreign entities)	Yes (Article 27)

Q6: What is a "local representative" under PIPA and when is it required?

Foreign companies that (a) have no domestic establishment and (b) either offer goods/services in Korea or monitor behavior of Korean residents at scale must designate a local representative (국내대리인). The representative acts as the point of contact for the PIPC, can receive official communications, and may be involved in enforcement proceedings. The local representative can be a law firm, licensed individual, or corporate entity registered in Korea. Failure to designate a local representative when required is itself a violation of PIPA.

Q7: What should the data subject notification actually say?

The notification must cover: (1) what categories of personal data were breached, (2) when and how the breach occurred, (3) what actions the company has taken to contain and address the breach, (4) what steps affected individuals can take to protect themselves (e.g., change passwords, monitor accounts), (5) the company's breach response contact, and (6) how data subjects can exercise their PIPA rights. Notifications should be clear, written in plain language, and free of technical jargon that might obscure the significance of the breach.

📌 Official References

• Korean Law Information Center (Ministry of Government Legislation)
• Personal Information Protection Commission (PIPC) — English
• Korea Legislation Research Institute — PIPA English Text
• Korea Internet & Security Agency (KISA) — Cybersecurity Guidelines

📚 Related Articles

• Environmental Regulations for Foreign Manufacturing in Korea: A Complete Compliance Guide
• Class Action and Consumer Litigation in Korea: A Complete Legal Guide
• Navigating Data Privacy Laws in Korea: A Guide for Foreign Businesses

Need Legal Assistance?
HANBYOL LAW LLC provides expert Korean legal counsel for international clients on PIPA compliance, data breach response, and regulatory investigations.
📧 ujin95@hanbl.co.kr | 🌐 www.hanbl.co.kr
Initial consultations are complimentary.

📋 韩国法律洞察 | 数据隐私与网络安全

作者：NOH UJIN 律师 | HANBYOL LAW LLC，首尔

---

韩国PIPA下的个人数据泄露应对：外资企业分步法律指南

个人数据泄露是在韩运营企业面临的法律后果最为严重的事件之一。根据韩国的《个人信息保护法》（PIPA）——全球最严格的隐私法之一——未能迅速且正确地应对数据泄露，可能导致行政制裁、刑事追诉和民事集体诉讼。对于处理韩国居民个人数据的外资企业，无论公司总部位于何处，上述义务均适用。

1. PIPA下的"个人数据泄露"定义

PIPA将个人数据泄露广泛定义为任何涉及个人信息控制者处理的个人信息被未经授权披露、丢失、窃取、篡改或损毁的事件。这包括黑客攻击、意外披露、内部数据窃取、设备丢失以及第三方处理商的未授权访问。该定义不要求证明实际损害——仅未经授权的访问或披露本身即触发泄露通知义务。

2. PIPA泄露义务的适用主体

任何在商业活动中处理韩国居民个人信息的主体均须遵守PIPA，无论其国籍或所在地。这意味着拥有韩国子公司或分支机构的外资企业、向韩国消费者销售产品的外国电商平台，以及处理韩国员工个人数据的外资企业，均须遵守PIPA。2023年PIPA修正案大幅加强了域外适用范围，处理大量韩国个人数据的外资企业须在韩国指定一名本地代表人。

3. 强制通知要求：对象、内容和时限

数据主体通知：发生泄露时，数据控制者须立即通知受影响的数据主体（实践中为5个工作日内），告知泄露的个人信息类别、泄露时间和情形、已采取的应对措施，以及数据主体可采取的减损措施。

PIPC通知：2023年修正案后，当泄露影响大量数据主体或涉及敏感类别数据时，控制者须在知悉泄露后72小时内通知个人信息保护委员会（PIPC），内容包括事件摘要、受影响数据主体的类别和大致数量、可能后果以及已采取或拟采取的应对措施。

4. 即时应对步骤：泄露应对协议

1. 遏制（0-4小时）：隔离受影响系统，禁用被攻破账户，保存取证证据。
2. 初步评估（4-24小时）：确定泄露范围——受影响数据类别、涉及数据主体数量及可能原因。
3. 法律触发评估（24-48小时）：确定是否触发PIPA通知义务，立即聘请韩国隐私律师。
4. PIPC通知（如需，72小时内）：准备并提交初步通知至PIPC。
5. 数据主体通知（5个工作日内）：准备清晰、准确的个人通知。
6. 持续调查与记录：记录所有应对步骤，这对后续监管调查或诉讼至关重要。
7. 整改：修补漏洞，实施加强的安全措施。
8. 事后审查：准备内部经验总结报告并更新泄露应对计划。

5. 执法与处罚

2023年修正案后，违规行为可面临高达相关收入3%的行政罚款、整改命令、刑事追诉（最高5年有期徒刑或5000万韩元罚款），以及每名数据主体最高300万韩元的法定损害赔偿（无需证明实际损失）。

常见问题（FAQ）

问1：PIPA是否适用于在韩无实体机构的外资企业？

是的。PIPA适用于任何在向韩国居民提供商品或服务时处理其个人信息的主体，无论企业设立地点如何。2023年修正案强化了这一域外适用规定。

问2：72小时PIPC通知与数据主体通知有何区别？

72小时通知是向监管机构（PIPC）提交的，适用于发生重大泄露时。数据主体通知（向受影响个人）须"立即"进行——实践中为发现泄露后5个工作日内。两项义务可能同时产生，但服务于不同目的：监管报告与个人权利通知。

问3：数据主体可主张的法定损害赔偿是多少？

PIPA规定，每名数据主体每起事件最高可主张300万韩元（约合2,200美元）的法定损害赔偿，无需证明实际经济损失。在大规模泄露中，即使没有个人遭受可识别的经济损失，这也可能产生巨额总体赔偿责任。

问4：PIPA泄露通知与GDPR的比较

特征	PIPA（韩国）	GDPR（欧盟）
监管通知时限	72小时（重大泄露）	72小时（第33条）
数据主体通知	立即（约5个工作日）	无不当延误（第34条）
最高罚款	相关收入的3%	全球营业额的4%
法定损害赔偿	每人最高300万韩元（无需证明损害）	GDPR中未直接规定

问5：何时需要在韩指定本地代表人？

在韩无国内机构且在韩国大规模提供商品/服务或监控韩国居民行为的外资企业，须指定本地代表人（국내대리인）。本地代表人作为与PIPC沟通的联系人，可以是律师事务所、持牌个人或在韩注册的法人实体。

问6：数据泄露通知应包含哪些具体内容？

通知须涵盖：(1)泄露的个人信息类别；(2)泄露发生的时间和方式；(3)公司已采取的遏制和应对措施；(4)受影响个人可采取的自我保护步骤；(5)公司的泄露应对联系方式；(6)数据主体如何行使PIPA权利。通知应使用清晰、通俗的语言撰写。

问7：在调查尚未完成时能否延迟通知？

根据PIPA，通知不得以等待调查完成为由而延迟。对于PIPC通知，可以在现有信息基础上提交初步报告，后续再提交补充报告。调查目的不构成PIPA认可的延迟通知理由。

📌 官方参考资料

• 韩国法律信息中心
• 个人信息保护委员会（PIPC）
• 韩国法制研究院 — PIPA英文文本
• 韩国互联网振兴院（KISA）

📚 相关文章

• 外资企业在韩国制造业的环境法规：完整合规指南
• 韩国集体诉讼与消费者诉讼：完整法律指南
• 韩国数据隐私法导航：外资企业指南

需要法律帮助？
HANBYOL LAW LLC 为国际客户提供专业的PIPA合规、数据泄露应对和监管调查法律服务。
📧 ujin95@hanbl.co.kr | 🌐 www.hanbl.co.kr

📋 韓国法律インサイト | データプライバシー・サイバーセキュリティ

担当弁護士：NOH UJIN | HANBYOL LAW LLC、ソウル

---

韓国PIPAにおける個人データ侵害への対応：外資系企業のためのステップバイステップ法律ガイド

個人データ侵害は、韓国で事業を展開する企業が直面し得る最も法的に重大な事態の一つです。韓国の個人情報保護法（PIPA）——世界で最も厳格なプライバシー法の一つ——の下では、データ侵害への迅速かつ適切な対応を怠ると、行政制裁、刑事訴追、民事集団訴訟につながる可能性があります。韓国居住者の個人データを取り扱う外資系企業は、本社の所在地を問わず、これらの義務を負います。

1. PIPAにおける「個人データ侵害」とは

PIPAは個人データ侵害を広く定義しており、個人情報処理者が処理する個人情報の不正な開示、紛失、盗難、変更、または毀損を伴うあらゆる事故を含みます。ハッキング、偶発的な開示、内部データ窃取、デバイスの紛失・盗難、第三者プロセッサによる不正アクセスなどが含まれます。実際の損害証明は不要で、不正なアクセスまたは開示だけで通知義務が発生します。

2. 強制通知要件：対象、内容、タイミング

データ主体への通知：侵害発生時、データ管理者は遅滞なく（実務上は5営業日以内）影響を受けたデータ主体に通知し、侵害された個人情報の種類、時間と状況、対応措置、データ主体が取り得る軽減策、対応窓口を知らせなければなりません。

PIPCへの通知：2023年改正後、大規模な侵害や機微データが関与する場合、管理者は侵害を認識してから72時間以内に個人情報保護委員会（PIPC）に通知しなければなりません。

3. 即時対応手順：侵害対応プロトコル

1. 封じ込め（0〜4時間）：影響システムの隔離、侵害されたアカウントの無効化、証拠保全
2. 初期評価（4〜24時間）：影響範囲の特定
3. 法的トリガー評価（24〜48時間）：PIPA通知義務の有無を判断し、直ちに韓国プライバシー弁護士を関与させる
4. PIPC通知（必要な場合は72時間以内）
5. データ主体通知（5営業日以内）
6. 継続調査と記録
7. 是正措置
8. 事後レビュー

4. 執行と罰則

2023年改正後、制裁には関連収益の最大3%の行政罰金、是正命令、刑事訴追（最大懲役5年または罰金5000万ウォン）、およびデータ主体1人当たり最大300万ウォンの法定損害賠償（実際の損害証明不要）が含まれます。

よくある質問（FAQ）

Q1：韓国に拠点がない外資系企業にもPIPAは適用されますか？

はい。PIPAは、商品やサービスの提供に関連して韓国居住者の個人情報を処理するすべての主体に適用されます。企業の設立地を問いません。2023年改正でこの域外適用が強化されました。

Q2：72時間のPIPC通知とデータ主体通知の違いは何ですか？

72時間通知は規制当局（PIPC）への通知で、重大な侵害の際に適用されます。データ主体通知（影響を受けた個人への通知）は「遅滞なく」（実務上は5営業日以内）行わなければなりません。

Q3：データ主体が請求できる法定損害賠償額は？

PIPAは、実際の経済的損害を証明することなく、データ主体1人当たり1事故につき最大300万ウォン（約2,200米ドル）の法定損害賠償を認めています。大規模な侵害では、個人に識別可能な経済的損失がなくても、多額の総賠償責任が生じる可能性があります。

Q4：PIPAの侵害通知とGDPRの比較

特徴	PIPA（韓国）	GDPR（EU）
規制当局通知期限	72時間（重大な侵害）	72時間（第33条）
データ主体通知	遅滞なく（約5営業日）	不当な遅延なく（第34条）
最大罰金	関連収益の3%	全世界売上高の4%
法定損害賠償	1人最大300万ウォン（損害証明不要）	GDPRに直接規定なし

Q5：韓国の国内代表者指定が必要なのはいつですか？

韓国に国内拠点がなく、かつ大規模に韓国居住者に商品/サービスを提供するか行動を監視する外資系企業は、国内代表者（국내대리인）を指定しなければなりません。国内代表者はPIPCとの連絡窓口として機能します。

Q6：侵害通知には何を記載すべきですか？

通知には(1)侵害された個人情報のカテゴリ、(2)侵害が発生した時期と方法、(3)会社が取った封じ込め・対応措置、(4)影響を受けた個人が取り得る自衛措置、(5)会社の侵害対応窓口、(6)データ主体がPIPA上の権利を行使する方法を含める必要があります。

Q7：調査中は通知を遅らせることができますか？

PIPAの下では、調査完了を待って通知を遅らせることはできません。PIPC通知については、利用可能な情報で予備報告書を提出し、後続補足報告書を提出することができます。調査目的はPIPAで認められた通知遅延の例外ではありません。

📌 公式参考資料

• 韓国法令情報センター
• 個人情報保護委員会（PIPC）
• 韓国法制研究院 — PIPA英文テキスト
• 韓国インターネット振興院（KISA）

📚 関連記事

• 韓国における外資系製造業の環境規制：完全コンプライアンスガイド
• 韓国のクラスアクションと消費者訴訟：完全法律ガイド
• 韓国のデータプライバシー法：外資系企業向けガイド

法律相談が必要ですか？
HANBYOL LAW LLCは、PIPA準拠、データ侵害対応、規制調査において国際クライアントに専門的な韓国法律サービスを提供しています。
📧 ujin95@hanbl.co.kr | 🌐 www.hanbl.co.kr

📋 Perspectiva Legal Coreana | Privacidad de Datos y Ciberseguridad

Por el Abogado NOH UJIN | HANBYOL LAW LLC, Seúl

---

Respuesta a Violaciones de Datos Personales bajo PIPA en Corea: Guía Legal Paso a Paso para Empresas Extranjeras

Una violación de datos personales es uno de los eventos con consecuencias legales más graves que puede enfrentar una empresa que opera en Corea. Bajo la Ley de Protección de Información Personal de Corea (PIPA) —una de las leyes de privacidad más estrictas del mundo— no responder de manera rápida y correcta a una violación de datos puede resultar en sanciones administrativas, enjuiciamiento penal y demandas civiles colectivas. Para las empresas extranjeras que manejan datos personales de residentes coreanos, las obligaciones aplican independientemente de dónde tenga su sede la empresa.

1. Definición de "Violación de Datos Personales" bajo PIPA

PIPA define ampliamente una violación de datos personales como cualquier incidente que involucre la divulgación, pérdida, robo, alteración o daño no autorizado de información personal procesada por un controlador de información personal. Esto incluye ataques de hackers, divulgaciones accidentales, robo interno de datos, pérdida o robo de dispositivos, y acceso no autorizado por procesadores de terceros. No se requiere prueba de daño — el mero acceso o divulgación no autorizada activa el marco de notificación de violaciones.

2. Requisitos Obligatorios de Notificación

Notificación a los interesados: Cuando ocurre una violación, el controlador de datos debe notificar a los interesados afectados sin demora (en la práctica, dentro de los 5 días hábiles desde el descubrimiento), informando sobre las categorías de datos violados, las circunstancias del incidente, las medidas adoptadas y los pasos que pueden tomar los afectados.

Notificación a la PIPC: Tras las enmiendas de 2023, cuando una violación afecta a un número significativo de interesados o involucra categorías sensibles de datos, los controladores deben notificar a la PIPC dentro de las 72 horas posteriores a tener conocimiento de la violación.

3. Pasos de Respuesta Inmediata: El Protocolo de Respuesta a Violaciones

1. Contención (Horas 0–4): Aislar los sistemas afectados, deshabilitar cuentas comprometidas, preservar evidencia forense.
2. Evaluación inicial (Horas 4–24): Determinar el alcance de la violación.
3. Evaluación del disparador legal (Horas 24–48): Determinar si se activan las obligaciones de notificación de PIPA; involucrar de inmediato a abogados de privacidad coreanos.
4. Notificación a la PIPC (dentro de 72 horas si es necesario)
5. Notificación a los interesados (dentro de 5 días hábiles)
6. Investigación continua y documentación
7. Remediación
8. Revisión post-incidente

4. Aplicación y Sanciones

Tras las enmiendas de 2023, las infracciones pueden resultar en multas administrativas de hasta el 3% de los ingresos relevantes, órdenes correctivas, enjuiciamiento penal (hasta 5 años de prisión o multas de hasta 50 millones de wones), y daños estatutarios de hasta 3 millones de wones por interesado por incidente (sin necesidad de probar daño real).

Preguntas Frecuentes (FAQ)

P1: ¿PIPA aplica a mi empresa extranjera incluso si no tengo oficina en Corea?

Sí. PIPA aplica a cualquier entidad que procese información personal de residentes coreanos en relación con bienes o servicios ofrecidos a ellos, independientemente de dónde esté establecida la empresa. Las enmiendas de 2023 reforzaron esta aplicación extraterritorial.

P2: ¿Cuál es la diferencia entre la notificación de 72 horas a la PIPC y la notificación a los interesados?

La notificación de 72 horas es para la autoridad reguladora (PIPC) y aplica cuando ocurre una violación significativa. La notificación a los interesados debe ocurrir "sin demora" —en la práctica dentro de los 5 días hábiles— desde que se descubre la violación.

P3: ¿Cuáles son los daños estatutarios que pueden reclamar los interesados?

PIPA prevé daños estatutarios de hasta 3 millones de wones (aproximadamente 2,200 USD) por interesado por incidente, reclamables sin probar daño económico real. En violaciones a gran escala, esto puede crear una responsabilidad agregada sustancial.

P4: ¿Cómo se compara la notificación de violaciones de PIPA con el RGPD?

Característica	PIPA (Corea)	RGPD (UE)
Plazo de notificación regulatoria	72 horas (violaciones significativas)	72 horas (Artículo 33)
Notificación a interesados	Sin demora (~5 días hábiles)	Sin dilación indebida (Artículo 34)
Multa máxima	3% de ingresos relevantes	4% del volumen de negocio global
Daños estatutarios	Hasta 3M KRW por persona (sin prueba de daño)	No en RGPD directamente

P5: ¿Cuándo se requiere designar un representante local en Corea?

Las empresas extranjeras sin establecimiento doméstico que ofrezcan bienes/servicios en Corea o monitoreen el comportamiento de residentes coreanos a escala deben designar un representante local (국내대리인). El representante actúa como punto de contacto con la PIPC.

P6: ¿Qué debe contener la notificación a los interesados?

La notificación debe cubrir: (1) categorías de datos personales violados, (2) cuándo y cómo ocurrió la violación, (3) medidas adoptadas por la empresa, (4) pasos que pueden tomar los afectados, (5) contacto de respuesta a violaciones de la empresa, y (6) cómo ejercer los derechos PIPA. Las notificaciones deben redactarse en lenguaje claro y sencillo.

P7: ¿Puede retrasarse la notificación mientras la investigación está en curso?

Bajo PIPA, la notificación no puede retrasarse en espera de completar una investigación. Para la notificación a la PIPC, se puede presentar un informe preliminar con la información disponible, seguido de un informe complementario. El propósito investigativo no es una excepción reconocida bajo PIPA.

📌 Referencias Oficiales

• Centro de Información Legal de Corea
• Comisión de Protección de Información Personal (PIPC)
• Instituto de Investigación Legislativa de Corea — Texto inglés de PIPA
• Agencia de Internet y Seguridad de Corea (KISA)

📚 Artículos Relacionados

• Regulaciones Ambientales para Fabricantes Extranjeros en Corea: Guía Completa de Cumplimiento
• Litigación Colectiva y del Consumidor en Corea: Guía Legal Completa
• Navegando las Leyes de Privacidad de Datos en Corea: Guía para Empresas Extranjeras

¿Necesita Asistencia Legal?
HANBYOL LAW LLC ofrece asesoramiento jurídico coreano experto para clientes internacionales en cumplimiento de PIPA, respuesta a violaciones de datos e investigaciones regulatorias.
📧 ujin95@hanbl.co.kr | 🌐 www.hanbl.co.kr