📋 Korean Law Insight | Data Privacy
By Attorney NOH UJIN | HANBYOL LAW LLC, Seoul
Personal Data Breach Response Under PIPA in Korea: Step-by-Step Guide for Foreign Companies
A personal data breach is one of the most consequential legal events a company can face in South Korea. Under the Personal Information Protection Act (개인정보 보호법, PIPA), first enacted in 2011 and substantially amended in 2023, companies must follow strict notification, investigation, and remediation procedures within tight timeframes — or face severe administrative fines, criminal sanctions, and reputational damage.
For foreign companies operating in Korea, or Korean companies with global operations subject to PIPA's extraterritorial reach, understanding breach response obligations is not a compliance checkbox — it is a crisis management imperative. This article provides a comprehensive, actionable guide to PIPA data breach response, including mandatory timelines, notification content requirements, regulatory expectations, and post-breach obligations.
1. What Constitutes a "Personal Data Breach" Under PIPA?
PIPA Article 2 defines personal information (개인정보) broadly: any information that identifies or can identify a living individual, including name, national ID number, address, email, IP address, biometric data, location data, and sensitive categories (medical records, racial/ethnic data, criminal records, union membership, sexual orientation).
A personal data breach (개인정보 유출) under PIPA includes:
- Unauthorized access to personal data systems
- Exfiltration or theft of personal data
- Accidental disclosure to unauthorized parties
- Loss of physical media containing personal data
- Ransomware encryption of personal data systems (even without confirmed exfiltration)
- Unauthorized internal access or misuse by employees
The 2023 PIPA amendments broadened the definition to align more closely with GDPR concepts of "personal data processing," and enhanced enforcement powers of the Personal Information Protection Commission (개인정보보호위원회, PIPC).
2. Mandatory Breach Notification Obligations
2.1 Notification to Data Subjects
Under PIPA Article 34, a data controller (개인정보처리자) that discovers a breach must notify affected data subjects without delay (지체 없이). The PIPC has interpreted this to mean within 72 hours of becoming aware of the breach, aligned with GDPR timing.
Notification to data subjects must include (PIPA Article 34(1)):
- Items of personal information breached
- Time of breach occurrence (if known)
- Measures data subjects can take to minimize damage
- Response measures taken by the company
- Contact information of the Privacy Officer (개인정보 보호책임자) or department handling the breach
Where it is impossible to notify individual data subjects (e.g., contact information lost or too many subjects), substitute notification is permitted by posting on the company's website for at least 30 days and notifying through at least two major newspapers or the PIPC official website.
2.2 Notification to PIPC (Regulatory Reporting)
For breaches involving:
- 1,000 or more data subjects, or
- Sensitive information (health data, financial records, etc.) regardless of volume
...the data controller must report to the PIPC within 72 hours of discovery (PIPA Article 34(3), as amended 2023). Reports must be submitted via the PIPC's official breach reporting portal (privacy.go.kr).
Reports must include:
- Estimated number of affected data subjects
- Types of personal information involved
- Cause and discovery timeline
- Immediate containment measures taken
- Planned remediation measures
3. Immediate Response Checklist (First 24 Hours)
- Activate incident response team — designate incident commander, legal counsel, PR, and IT security lead
- Contain the breach — isolate affected systems, revoke compromised credentials, preserve forensic evidence
- Document everything — timestamps, actions taken, communications, personnel involved
- Determine breach scope — which data? how many individuals? what categories (sensitive/non-sensitive)?
- Assess notification obligations — does the breach trigger the 72-hour PIPC reporting threshold?
- Engage legal counsel — privilege-protected investigation and response preparation
- Preserve evidence — do NOT delete logs or purge records pending investigation
- Assess third-party obligations — do processor agreements require notification to data controllers?
4. PIPA vs. GDPR: Key Comparison for Foreign Companies
| Feature | Korean PIPA (2023) | EU GDPR |
|---|
| Notification to Authority | 72 hours (for 1,000+ subjects or sensitive data) | 72 hours (all significant breaches) |
| Notification to Data Subjects | "Without delay" (interpreted as 72 hours) | "Without undue delay" |
| Regulatory Body | PIPC (Personal Information Protection Commission) | DPA of member state |
| Maximum Fine | 3% of global annual revenue (post-2023 amendment) | 4% of global annual turnover |
| Criminal Sanctions | Up to 5 years / KRW 50M fine | Not applicable (member state criminal law) |
| Extraterritorial Reach | Yes (if processing Korean residents' data) | Yes (if processing EU residents' data) |
| Local Representative | Required for large foreign processors | Required for non-EU controllers/processors |
| Data Protection Officer | Privacy Officer (개인정보 보호책임자) required for most processors | DPO required for high-risk processing |
5. Penalties for PIPA Breach Notification Failures
Failure to comply with PIPA breach notification obligations exposes companies to:
5.1 Administrative Fines (과태료)
- Failure to notify data subjects: up to KRW 30 million (approx. USD 22,000) per violation
- Failure to report to PIPC: up to KRW 30 million per violation
- Inadequate notification content: up to KRW 10 million
5.2 Corrective Orders and Sanctions (시정명령)
PIPC may issue corrective orders requiring specific remedial actions, including system upgrades, policy changes, and staff training. Non-compliance with corrective orders carries additional fines.
5.3 Criminal Liability (형사처벌)
Under PIPA Article 71, willful breach notification failures — particularly where a company conceals a known breach to avoid regulatory scrutiny — can result in criminal charges against responsible officers or employees, carrying up to 5 years imprisonment or KRW 50 million fines.
5.4 Civil Liability (손해배상)
Affected data subjects may file civil damages claims. The 2023 PIPA amendments introduced statutory damages of KRW 3 million per data subject for certain willful violations, without requiring proof of actual damage — a significant litigation risk for large-scale breaches.
6. Post-Breach Obligations and Remediation
Beyond immediate notification, PIPA imposes ongoing post-breach obligations:
- Root cause analysis: Companies must investigate and document the cause of the breach
- Technical remediation: Implement security patches, access control improvements, encryption upgrades as appropriate
- Staff training: PIPC may require evidence of updated privacy training following a breach
- Privacy Impact Assessment (PIA) review: Companies subject to mandatory PIA must review and update their assessments post-breach
- Third-party vendor audit: If breach originated with a processor, the data controller remains responsible and must audit the processor's security
7. Special Considerations for Foreign Companies
7.1 Extraterritorial Application
PIPA applies to any company — regardless of where it is incorporated — that processes personal information of Korean residents. Foreign companies that operate Korean-language websites, provide services to Korean users, or employ Korean residents are subject to PIPA's full breach notification obligations.
7.2 Local Representative Requirement
Foreign companies that process personal data of more than 1 million Korean residents, or generate annual revenues exceeding KRW 10 billion from Korean operations, must designate a local representative in Korea (개인정보 보호책임자 or 국내대리인). This representative is the point of contact for PIPC investigations and may bear personal liability for compliance failures.
7.3 Cross-Border Data Transfer Compliance
Breach investigation often involves transferring data to foreign forensics firms or legal counsel. Such transfers must comply with PIPA Chapter 3 (Transfer Restrictions). Transfers to countries with PIPC-approved adequacy status or based on standard contractual clauses (SCC-equivalent) are permissible, but must be disclosed in the breach report if the investigation involves cross-border transfers.
📌 Official References
Frequently Asked Questions (FAQ)
Q1: Does the 72-hour notification clock start when the breach occurred or when it was discovered?
The 72-hour clock under PIPA runs from the moment the company discovers or has reasonable grounds to believe a breach has occurred — not from when the breach actually happened. Companies cannot delay investigation to extend this clock; PIPC may find constructive knowledge if basic monitoring would have detected the breach earlier.
Q2: What if we cannot determine the exact number of affected data subjects within 72 hours?
PIPC guidance allows for reporting with an estimated number of affected subjects, to be updated as the investigation progresses. Companies should report promptly with available information and file supplemental reports as additional facts are confirmed. Waiting for certainty before reporting is not an acceptable practice.
Q3: Are there any exemptions to the breach notification obligation?
PIPA does not provide broad exemptions comparable to GDPR's "risk to rights and freedoms" threshold. The primary consideration is whether personal data was actually or likely exposed. However, internal accidental access that is immediately remediated with no risk of further disclosure may not trigger notification — legal advice is recommended for borderline cases.
Q4: Is ransomware always a reportable breach under PIPA?
Yes, in most cases. PIPC's position is that ransomware encryption of personal data constitutes a "breach" even if exfiltration cannot be confirmed, because encrypted data is unavailable to the controller (effectively lost) and the attacker has access to unencrypted data. Companies must report unless they can affirmatively demonstrate no personal data was affected.
Q5: Can a company be held liable for a breach caused entirely by a third-party processor?
Yes. Under PIPA, the data controller (the company that collected the data) retains primary responsibility for breach notification regardless of whether the breach occurred at a processor's systems. Controllers must ensure processors have adequate security measures in place and are contractually required to notify the controller of any breach promptly. Failure to supervise processors adequately constitutes a separate PIPA violation.
Q6: What are the obligations specific to healthcare or medical data breaches in Korea?
Medical and health data is classified as sensitive information (민감정보) under PIPA Article 23, triggering mandatory PIPC reporting regardless of the number of affected individuals. Additionally, the Medical Service Act (의료법) imposes separate confidentiality obligations on healthcare providers. A medical data breach may trigger simultaneous PIPC, Ministry of Health and Welfare (보건복지부), and criminal investigation obligations.
Q7: How should a foreign company communicate with PIPC during a breach investigation?
All official communications with PIPC should be in Korean (한국어) or accompanied by certified Korean translation. Companies may engage Korean legal counsel to communicate on their behalf. PIPC investigators typically conduct on-site inspections and document reviews; having Korean-speaking legal counsel present is strongly recommended. Voluntary cooperation is taken into account by PIPC in determining sanctions.
📚 Related Articles
Need Legal Assistance?
HANBYOL LAW LLC provides expert Korean legal counsel for international clients, including PIPA compliance, data breach response, and regulatory investigations.
📧
ujin95@hanbl.co.kr | 🌐
www.hanbl.co.kr
Initial consultations are complimentary.
📋 韩国法律解析 | 数据隐私
作者：NOH UJIN 律师 | HANBYOL LAW LLC，首尔
韩国PIPA下的个人数据泄露应对：外资企业分步指南
个人数据泄露是企业在韩国可能面临的最严重法律事件之一。根据《个人信息保护法》（개인정보 보호법，PIPA）（2011年颁布，2023年重大修订），企业必须在严格的时间窗口内履行通知、调查和补救程序，否则将面临严厉的行政罚款、刑事制裁和声誉损失。
1. PIPA下"个人数据泄露"的定义
PIPA第2条对个人信息（개인정보）做出宽泛定义：任何可识别或可用于识别在世自然人的信息，包括姓名、身份证号、地址、电子邮件、IP地址、生物特征数据、位置数据以及敏感类别（医疗记录、种族/族裔数据、犯罪记录、工会会员资格、性取向）。
PIPA下的个人数据泄露（개인정보 유출）包括：
- 未经授权访问个人数据系统
- 个人数据的泄露或盗窃
- 意外向未授权方披露
- 含个人数据的物理媒介丢失
- 勒索软件加密个人数据系统（即使未确认数据外泄）
- 员工未经授权的内部访问或滥用
2. 强制数据泄露通知义务
2.1 通知数据主体
根据PIPA第34条，数据控制者（个人信息处理者）发现泄露后必须立即（지체 없이）通知受影响的数据主体。个人信息保护委员会（PIPC）将此解释为在知悉泄露后72小时内完成通知。
通知内容须包括：
- 泄露的个人信息项目
- 泄露发生时间（如已知）
- 数据主体可采取的最小化损失措施
- 企业已采取的应对措施
- 隐私官或负责部门的联系方式
2.2 向PIPC报告（监管报告）
对于涉及1,000名或以上数据主体或敏感信息的泄露，数据控制者须在发现后72小时内向PIPC报告（PIPA第34条第3款，2023年修订版）。
3. 即时应对清单（前24小时）
- 启动应急响应团队——指定事件负责人、法律顾问、公关和IT安全负责人
- 控制泄露——隔离受影响系统，撤销被入侵凭证，保存取证证据
- 记录所有内容——时间戳、已采取措施、通信记录、涉及人员
- 确定泄露范围——哪些数据？涉及多少个人？属于何种类别？
- 评估通知义务——泄露是否触发72小时向PIPC报告的门槛？
- 聘请法律顾问——在特权保护下进行调查和应对准备
- 保存证据——调查期间切勿删除日志或清除记录
- 评估第三方义务——处理者协议是否要求通知数据控制者？
4. PIPA与GDPR的主要对比
| 特征 | 韩国PIPA（2023年） | 欧盟GDPR |
|---|
| 向监管机构通知 | 72小时（1,000名以上或敏感数据） | 72小时（所有重大泄露） |
| 向数据主体通知 | "立即"（解释为72小时） | "无不当延迟" |
| 最高罚款 | 全球年收入的3%（2023年修订后） | 全球年营业额的4% |
| 刑事制裁 | 最高5年监禁或5,000万韩元罚款 | 不适用（成员国刑法管辖） |
| 域外适用 | 是（处理韩国居民数据时） | 是（处理欧盟居民数据时） |
5. 违反PIPA通知义务的处罚
- 行政罚款：未通知数据主体或未向PIPC报告——每次违规最高3,000万韩元
- 刑事责任：故意隐瞒已知泄露——最高5年监禁或5,000万韩元罚款
- 民事损害赔偿：2023年修订版引入了每位数据主体300万韩元法定赔偿金（无需证明实际损失）
6. 外资企业的特别注意事项
6.1 域外适用
PIPA适用于处理韩国居民个人信息的任何企业，无论其在何处注册成立。在韩国运营韩语网站、向韩国用户提供服务或雇佣韩国居民的外资企业均须遵守PIPA的全部泄露通知义务。
6.2 本地代表要求
处理超过100万名韩国居民个人数据或韩国业务年收入超过100亿韩元的外资企业，须在韩国指定本地代表。该代表是PIPC调查的联络点，可能对合规失职承担个人责任。
📌 官方参考资料
常见问题解答（FAQ）
Q1：72小时通知时限从数据泄露发生时还是发现时开始计算？
PIPA规定的72小时时限从企业发现或有合理理由相信发生了泄露时开始计算，而非实际发生泄露的时间。
Q2：如果72小时内无法确定受影响数据主体的确切数量怎么办？
PIPC指南允许以估计数量进行报告，随着调查进展再行更新。企业应及时用现有信息报告，并在确认更多情况后提交补充报告。
Q3：PIPA泄露通知义务有哪些例外情形？
PIPA不提供类似GDPR"对权利和自由的风险"门槛的宽泛例外。主要考量因素是个人数据是否已经或可能被暴露。对于边界案例，建议寻求法律意见。
Q4：勒索软件攻击是否总须根据PIPA报告？
是的，大多数情况下需要报告。PIPC的立场是，勒索软件加密个人数据构成"泄露"，即使无法确认数据外泄，因为加密数据对控制者不可用。
Q5：企业是否可能因第三方处理者造成的泄露而承担责任？
是的。在PIPA下，数据控制者（收集数据的企业）保留泄露通知的主要责任，无论泄露是否发生在处理者的系统。未能充分监督处理者本身构成单独的PIPA违规行为。
Q6：韩国医疗数据泄露有哪些特别义务？
医疗健康数据被归类为PIPA第23条下的敏感信息（민감정보），无论受影响人数多少均须强制向PIPC报告。此外，《医疗法（의료법）》对医疗服务提供者施加单独的保密义务。
Q7：外资企业在泄露调查期间应如何与PIPC沟通？
与PIPC的所有正式通信应以韩语进行或附有经认证的韩语翻译。企业可聘请韩国法律顾问代为沟通。主动合作是PIPC在确定制裁时的重要考量因素。
📚 相关文章
📋 韓国法律インサイト | データプライバシー
弁護士 NOH UJIN | HANBYOL LAW LLC、ソウル
韓国PIPAにおける個人データ漏洩対応：外国企業のためのステップバイステップガイド
個人データ漏洩は、企業が韓国で直面し得る最も重大な法的事象の一つです。「個人情報保護法（개인정보 보호법、PIPA）」（2011年制定、2023年大幅改正）のもと、企業は厳格なタイムフレーム内で通知、調査、是正手続きを履行しなければなりません。
1. PIPAにおける「個人データ漏洩」の定義
PIPA第2条は個人情報（개인정보）を広く定義しており、氏名、住民登録番号、住所、メールアドレス、IPアドレス、生体データ、位置情報、そして機密カテゴリ（医療記録、人種・民族データ、犯罪歴、労働組合員資格、性的指向）を含む生存する個人を識別または識別できる情報すべてを対象とします。
2. 強制的な漏洩通知義務
2.1 データ主体への通知
PIPA第34条に基づき、漏洩を発見したデータ管理者は遅滞なく（지체 없이）影響を受けるデータ主体に通知しなければなりません。PIPCはこれを漏洩を認知してから72時間以内と解釈しています。
2.2 PIPCへの報告（規制当局への報告）
1,000名以上のデータ主体が関わる漏洩、または機密情報（件数を問わない）が含まれる漏洩については、データ管理者は発見から72時間以内にPIPCへ報告しなければなりません。
3. 即時対応チェックリスト（最初の24時間）
- インシデント対応チームの起動——事件責任者、法律顧問、PR、ITセキュリティリードを指名
- 漏洩の封じ込め——影響を受けたシステムを隔離、侵害された認証情報を無効化、フォレンジック証拠を保全
- すべてを文書化——タイムスタンプ、講じた措置、通信記録、関係者
- 漏洩範囲の特定——どのデータ？何人の個人が関係？どのカテゴリ？
- 通知義務の評価——72時間のPIPC報告基準を満たすか？
- 法律顧問の関与——秘匿特権に守られた調査と対応準備
- 証拠の保全——調査中はログの削除や記録の消去を絶対に行わない
- 第三者義務の評価——処理者契約はデータ管理者への通知を要求しているか？
4. PIPAとGDPRの主要比較
| 特徴 | 韓国PIPA（2023年） | EU GDPR |
|---|
| 当局への通知 | 72時間（1,000名以上または機密データ） | 72時間（すべての重大な漏洩） |
| データ主体への通知 | 「遅滞なく」（72時間と解釈） | 「不当な遅延なく」 |
| 最高罰金 | グローバル年間収益の3%（2023年改正後） | グローバル年間売上高の4% |
| 刑事制裁 | 最大5年禁固または5,000万ウォン罰金 | 非適用（加盟国刑法による） |
| 域外適用 | あり（韓国居住者データ処理時） | あり（EU居住者データ処理時） |
5. PIPA違反の罰則
- 行政罰金：データ主体への未通知、PIPCへの未報告——違反1件につき最高3,000万ウォン
- 刑事責任：故意の漏洩隠蔽——最高5年禁固または5,000万ウォン罰金
- 民事損害賠償：2023年改正で、一定の故意違反について損害証明なしでデータ主体1人当たり300万ウォンの法定損害賠償が導入
6. 外国企業の特別な考慮事項
6.1 域外適用
PIPAは、どこで設立されたかに関わらず、韓国居住者の個人情報を処理するあらゆる企業に適用されます。
6.2 国内代理人要件
100万人以上の韓国居住者のデータを処理する、または韓国事業の年間収益が100億ウォン超の外国企業は、韓国内に国内代理人を指定しなければなりません。
📌 公式参考資料
よくある質問（FAQ）
Q1：72時間の通知期限は漏洩が発生した時点から始まりますか、それとも発見した時点から始まりますか？
72時間の期限は、企業が漏洩を発見した時点、または漏洩が発生したと信じる合理的な理由が生じた時点から始まります——実際に漏洩が発生した時ではありません。
Q2：72時間以内に影響を受けるデータ主体の正確な人数を特定できない場合はどうすればよいですか？
PIPCのガイダンスでは、調査の進捗に応じて更新されることを前提に、推定人数での報告が認められています。
Q3：PIPAの漏洩通知義務に例外はありますか？
PIPAはGDPRの「権利と自由へのリスク」基準に相当する広範な例外を規定していません。主な検討事項は、個人データが実際にまたは潜在的に露出したかどうかです。
Q4：ランサムウェアはPIPAの下で常に報告義務のある漏洩となりますか？
はい、ほとんどの場合そうです。PIPCの見解では、データの外部流出が確認されない場合でも、ランサムウェアによる個人データの暗号化は「漏洩」を構成します。
Q5：第三者処理者が原因の漏洩について企業は責任を問われますか？
はい。PIPAの下では、漏洩が処理者のシステムで発生した場合でも、データ管理者が漏洩通知の主要責任を保持します。
Q6：韓国の医療データ漏洩に特有の義務は何ですか？
医療健康データはPIPA第23条の機密情報（민감정보）に分類され、影響を受ける個人の数に関わらず、PIPCへの報告が義務付けられています。
Q7：外国企業は漏洩調査中にPIPCとどのように連絡を取るべきですか？
PIPCとの公式通信はすべて韓国語で行うか、認定された韓国語翻訳を添付する必要があります。企業は韓国の法律顧問に代理を依頼することができます。
📚 関連記事
📋 Análisis Legal Coreano | Privacidad de Datos
Por el Abogado NOH UJIN | HANBYOL LAW LLC, Seúl
Respuesta a Brechas de Datos Personales bajo la PIPA en Corea: Guía Paso a Paso para Empresas Extranjeras
Una brecha de datos personales es uno de los eventos legales más graves que una empresa puede enfrentar en Corea del Sur. Bajo la Ley de Protección de Información Personal (개인정보 보호법, PIPA), promulgada en 2011 y sustancialmente enmendada en 2023, las empresas deben seguir procedimientos estrictos de notificación, investigación y remediación dentro de plazos estrechos.
1. ¿Qué Constituye una "Brecha de Datos Personales" bajo la PIPA?
El Artículo 2 de la PIPA define la información personal (개인정보) ampliamente, incluyendo nombre, número de identidad nacional, dirección, correo electrónico, dirección IP, datos biométricos, datos de ubicación y categorías sensibles (historial médico, datos raciales/étnicos, antecedentes penales, membresía sindical, orientación sexual).
2. Obligaciones Obligatorias de Notificación de Brechas
2.1 Notificación a los Interesados
Según el Artículo 34 de la PIPA, el responsable del tratamiento que descubra una brecha debe notificar a los interesados afectados sin demora (지체 없이). La PIPC interpreta esto como dentro de las 72 horas de tomar conocimiento de la brecha.
2.2 Notificación a la PIPC (Informe Regulatorio)
Para brechas que involucren 1,000 o más interesados, o información sensible independientemente del volumen, el responsable del tratamiento debe informar a la PIPC dentro de las 72 horas del descubrimiento.
3. Lista de Verificación de Respuesta Inmediata (Primeras 24 Horas)
- Activar el equipo de respuesta a incidentes
- Contener la brecha — aislar sistemas afectados, revocar credenciales comprometidas
- Documentar todo — marcas de tiempo, acciones tomadas, comunicaciones
- Determinar el alcance de la brecha — ¿qué datos? ¿cuántas personas?
- Evaluar las obligaciones de notificación
- Contratar asesoría legal
- Preservar evidencia — NO eliminar registros durante la investigación
- Evaluar obligaciones con terceros
4. PIPA vs. GDPR: Comparación Clave para Empresas Extranjeras
| Característica | PIPA Coreana (2023) | GDPR de la UE |
|---|
| Notificación a la Autoridad | 72 horas (1,000+ interesados o datos sensibles) | 72 horas (todas las brechas significativas) |
| Notificación a Interesados | "Sin demora" (interpretado como 72 horas) | "Sin demora indebida" |
| Multa Máxima | 3% de los ingresos anuales globales (tras reforma 2023) | 4% de la facturación anual global |
| Sanciones Penales | Hasta 5 años / multa de 50M KRW | No aplicable (derecho penal nacional) |
| Alcance Extraterritorial | Sí (si se procesan datos de residentes coreanos) | Sí (si se procesan datos de residentes de la UE) |
5. Sanciones por Incumplimiento de la Notificación PIPA
- Multas administrativas: No notificar a los interesados o no informar a la PIPC — hasta 30 millones de KRW por violación
- Responsabilidad penal: Ocultamiento doloso de una brecha conocida — hasta 5 años de prisión o multa de 50 millones de KRW
- Responsabilidad civil: La reforma de 2023 introdujo daños y perjuicios legales de 3 millones de KRW por interesado para ciertas violaciones dolosas, sin necesidad de probar daño real
6. Consideraciones Especiales para Empresas Extranjeras
6.1 Aplicación Extraterritorial
La PIPA se aplica a cualquier empresa, independientemente de dónde esté constituida, que procese información personal de residentes coreanos.
6.2 Requisito de Representante Local
Las empresas extranjeras que procesen datos de más de 1 millón de residentes coreanos, o con ingresos anuales superiores a 10.000 millones de KRW de operaciones coreanas, deben designar un representante local en Corea.
📌 Referencias Oficiales
Preguntas Frecuentes (FAQ)
P1: ¿El plazo de 72 horas comienza desde que ocurrió la brecha o desde que se descubrió?
El plazo de 72 horas bajo la PIPA corre desde el momento en que la empresa descubre o tiene motivos razonables para creer que ha ocurrido una brecha — no desde cuando ocurrió realmente.
P2: ¿Qué ocurre si no podemos determinar el número exacto de interesados afectados en 72 horas?
La guía de la PIPC permite informar con un número estimado de interesados afectados, que se actualiza conforme avanza la investigación.
P3: ¿Existen exenciones a la obligación de notificación de brechas?
La PIPA no proporciona exenciones amplias comparables al umbral de "riesgo para los derechos y libertades" del GDPR. La consideración principal es si los datos personales fueron o probablemente fueron expuestos.
P4: ¿Es el ransomware siempre una brecha reportable bajo la PIPA?
Sí, en la mayoría de los casos. La posición de la PIPC es que el cifrado por ransomware de datos personales constituye una "brecha" incluso si no se puede confirmar la exfiltración.
P5: ¿Puede una empresa ser responsable por una brecha causada enteramente por un procesador externo?
Sí. Bajo la PIPA, el responsable del tratamiento (la empresa que recopiló los datos) retiene la responsabilidad principal de notificación de brechas independientemente de si la brecha ocurrió en los sistemas del procesador.
P6: ¿Cuáles son las obligaciones específicas para brechas de datos médicos o de salud en Corea?
Los datos médicos y de salud se clasifican como información sensible (민감정보) bajo el Artículo 23 de la PIPA, lo que requiere notificación obligatoria a la PIPC independientemente del número de personas afectadas.
P7: ¿Cómo debe comunicarse una empresa extranjera con la PIPC durante una investigación de brecha?
Todas las comunicaciones oficiales con la PIPC deben realizarse en coreano o ir acompañadas de traducción certificada al coreano. Las empresas pueden contratar asesoría legal coreana para comunicarse en su nombre.
📚 Artículos Relacionados
¿Necesita Asistencia Legal?
HANBYOL LAW LLC ofrece asesoramiento jurídico coreano experto para clientes internacionales, incluyendo cumplimiento de PIPA, respuesta a brechas de datos e investigaciones regulatorias.
📧
ujin95@hanbl.co.kr | 🌐
www.hanbl.co.kr
Comments
Post a Comment