🌐 Language / 語言 / 言語 / Idioma: English 中文 日本語 Español 📋 Korean Law Insight | Korean Legal System By Attorney NOH UJIN | HANBYOL LAW LLC, Seoul Public Notary (공증) System in Korea: A Complete Legal Guide to Document Authentication for Foreign Individuals and Businesses Korea's notarization system — operating under the Notary Public Act (공증인법) and the Civil Procedure Code's provisions on notarial deeds — differs significantly from common-law notary systems familiar to many foreign businesspeople and individuals. Understanding how Korean public notaries (공증인) function is essential for anyone executing powers of attorney, loan agreements, corporate resolutions, or other documents intended for use in Korea or abroad. 1. What Is a Korean Public Notary, and How Does It Differ from the Western Notary? In common-law jurisdictions (US, UK, etc.), a "notary public" is typically a low-level official who verifies identity and witnesses signatures. I...
Get link
Facebook
X
Pinterest
Email
Other Apps
Biometric Data and Facial Recognition Regulation in Korea: A Legal Guide for Foreign Technology Companies (EN/中文/日本語/Español)
Get link
Facebook
X
Pinterest
Email
Other Apps
-
🌐 Language / 語言 / 言語 / Idioma:
📋 Korean Law Insight | Data Privacy
By Attorney NOH UJIN | HANBYOL LAW LLC, Seoul
Biometric Data and Facial Recognition Regulation in Korea: A Legal Guide for Foreign Technology Companies
As facial recognition, fingerprint authentication, iris scanning, and voice biometrics become embedded in everything from smartphone unlock features to airport immigration gates and retail loss-prevention systems, Korea has developed one of Asia's more stringent regulatory regimes for biometric data. For foreign technology companies deploying biometric-enabled products, hardware, or SaaS platforms into the Korean market — or processing biometric data of Korean data subjects from abroad — understanding the interplay between the Personal Information Protection Act (PIPA), sector-specific guidelines from the Personal Information Protection Commission (PIPC), and emerging AI regulation is essential to avoid substantial fines and reputational damage.
1. Legal Classification: Biometric Data as "Sensitive Information"
Under Article 23 of PIPA, biometric information used to uniquely identify a specific individual — including fingerprints, facial geometry, iris patterns, voiceprints, and gait recognition data — is classified as "sensitive information" (민감정보), a category subject to heightened protection alongside health data, genetic information, and information on political views or criminal records. Processing sensitive information generally requires separate, explicit consent from the data subject, distinct from the consent obtained for ordinary personal information processing. A single omnibus consent checkbox covering both general and sensitive data is considered non-compliant by the PIPC in enforcement practice.
2. PIPC Biometric Information Processing Guidelines
The PIPC has issued specific guidance (생체정보 처리 가이드라인) requiring that companies deploying biometric authentication or recognition systems: (i) conduct a Privacy Impact Assessment (PIA) prior to deployment where the system processes biometric data of a large user base or public-facing population; (ii) implement technical safeguards such as irreversible template encryption (storing a mathematical hash rather than raw biometric images) so that the original biometric characteristic cannot be reconstructed from stored data; (iii) apply data minimization by deleting raw capture images immediately after template extraction; and (iv) establish a retention and destruction schedule tied to the purpose of collection, rather than indefinite storage.
3. Facial Recognition in Public and Commercial Spaces
Facial recognition deployed in CCTV networks, retail stores, or public venues triggers additional obligations under both PIPA and the Act on the Protection, Use, etc. of Location Information, if location data is also captured. Real-time facial recognition for surveillance purposes in publicly accessible spaces is heavily restricted, and covert facial recognition without clear signage and prior notice is a common enforcement target. The PIPC has fined domestic and multinational companies for deploying facial recognition-based advertising analytics in retail environments without adequate consent mechanisms.
4. Cross-Border Transfer of Biometric Data
Foreign companies that process Korean users' biometric data on servers located outside Korea (e.g., cloud-based facial recognition SDKs, centralized biometric authentication platforms) must comply with PIPA's cross-border transfer rules under Article 28-8, which require either (a) separate informed consent explicitly describing the recipient country, recipient identity, purpose, retention period, and data items transferred, or (b) reliance on an adequacy determination or certified data transfer mechanism. Given that biometric data is sensitive information, the consent notice must be unambiguous and cannot be bundled with unrelated terms of service.
5. Emerging AI Regulation Overlay
With the enactment of Korea's AI Basic Act (AI 기본법), biometric-based AI systems — particularly those used for identity verification, emotion recognition, or automated decision-making in employment or credit contexts — may additionally be classified as "high-impact AI," triggering obligations for risk management documentation, human oversight, and pre-deployment testing. Foreign AI vendors supplying biometric recognition modules to Korean enterprise customers should anticipate contractual flow-down of these compliance obligations.
6. Penalties for Non-Compliance
PIPA violations involving sensitive information such as biometric data carry among the highest penalty tiers under Korean law: administrative fines of up to 3% of related revenue for serious violations, and criminal penalties (imprisonment up to 5 years or fines up to KRW 50 million) for unlawful processing or leakage of sensitive information. The PIPC has significantly increased its enforcement activity against both domestic and multinational technology companies since 2023.
Frequently Asked Questions (FAQ)
Q1: Does Korean biometric data law apply to a foreign company with no physical office in Korea?
Yes. PIPA has extraterritorial effect under Article 3 where a foreign entity processes personal information of data subjects located in Korea in connection with providing goods or services to them, regardless of whether the company has a Korean subsidiary or branch.
Q2: How does Korea's approach compare to the EU's GDPR and biometric provisions?
Item
Korea (PIPA)
EU (GDPR)
Legal basis for biometric processing
Separate explicit consent (default) plus statutory exceptions
Explicit consent or listed exceptions (Art. 9)
Max administrative fine
Up to 3% of related revenue
Up to 4% of global annual turnover
Criminal liability
Yes — imprisonment possible
Generally no (member state dependent)
Cross-border transfer mechanism
Separate consent, adequacy, or certification
SCCs, adequacy decisions, BCRs
Q3: Is anonymized or de-identified biometric data still regulated?
If biometric data is irreversibly de-identified such that it cannot be linked back to an individual even with additional information reasonably available, it falls outside PIPA's scope. However, PIPC guidance imposes a high bar for what qualifies as true de-identification for biometric templates given re-identification risks.
Q4: What are the practical steps to achieve compliance before launching a biometric product in Korea?
Conduct a Privacy Impact Assessment (PIA) if processing scale meets PIPC thresholds
Draft a separate, plain-language consent form specific to biometric data collection
Implement template-based encryption and immediate deletion of raw capture data
Appoint or designate a Chief Privacy Officer (CPO) if required by company size
Prepare a cross-border transfer notice if data is processed outside Korea
Document retention and destruction schedules aligned to processing purpose
Engage local counsel to review consent flows and data processing agreements
Q5: Does a local representative or entity need to be appointed?
Foreign companies without a Korean establishment that process personal information of a certain volume of Korean data subjects may be required under PIPA Article 39-11 to designate a local representative for regulatory correspondence and compliance matters.
Q6: What is the typical PIPC investigation timeline for a biometric data complaint?
PIPC investigations typically take three to twelve months depending on complexity, often beginning with a written request for information, followed by an on-site inspection, and concluding with a deliberation and resolution by the Commission that may include corrective orders and fines.
Q7: Can biometric data be used for employee time-and-attendance systems?
Yes, but employers must obtain separate consent from employees, offer an alternative non-biometric method where feasible, and cannot make employment conditional on biometric enrollment absent legitimate necessity, per PIPC guidance on employee monitoring.
Need Legal Assistance?
HANBYOL LAW LLC provides expert Korean legal counsel for international clients.
📧 ujin95@hanbl.co.kr | 🌐 www.hanbl.co.kr Initial consultations are complimentary.
Regulación de Datos Biométricos y Reconocimiento Facial en Corea: Guía Legal para Empresas Tecnológicas Extranjeras
A medida que el reconocimiento facial, la autenticación por huella dactilar, el escaneo de iris y la biometría de voz se integran en todo, desde el desbloqueo de teléfonos inteligentes hasta las puertas de inmigración en aeropuertos y los sistemas de prevención de pérdidas en tiendas, Corea ha desarrollado uno de los regímenes regulatorios más estrictos de Asia para datos biométricos. Para las empresas tecnológicas extranjeras que despliegan productos, hardware o plataformas SaaS habilitados con biometría en el mercado coreano, o que procesan datos biométricos de sujetos de datos coreanos desde el extranjero, comprender la interacción entre la Ley de Protección de Información Personal (PIPA), las directrices sectoriales de la Comisión de Protección de Información Personal (PIPC) y la regulación emergente de IA es esencial para evitar multas sustanciales y daños a la reputación.
1. Clasificación Legal: Datos Biométricos como "Información Sensible"
Según el Artículo 23 de la PIPA, la información biométrica utilizada para identificar de manera única a un individuo específico —incluyendo huellas dactilares, geometría facial, patrones de iris, huellas de voz y datos de reconocimiento de marcha— se clasifica como "información sensible" (민감정보), una categoría sujeta a protección reforzada junto con datos de salud, información genética e información sobre opiniones políticas o antecedentes penales. El procesamiento de información sensible generalmente requiere un consentimiento explícito y separado del sujeto de datos, distinto del consentimiento obtenido para el procesamiento ordinario de información personal.
2. Directrices de la PIPC sobre Procesamiento de Información Biométrica
La PIPC ha emitido directrices específicas (생체정보 처리 가이드라인) que exigen que las empresas que implementen sistemas de autenticación o reconocimiento biométrico: (i) realicen una Evaluación de Impacto en la Privacidad (PIA) antes del despliegue cuando el sistema procese datos biométricos de una gran base de usuarios; (ii) implementen salvaguardas técnicas como el cifrado irreversible de plantillas (almacenando un hash matemático en lugar de imágenes biométricas sin procesar); (iii) apliquen la minimización de datos eliminando las imágenes de captura sin procesar inmediatamente después de la extracción de la plantilla; y (iv) establezcan un cronograma de retención y destrucción vinculado al propósito de la recopilación.
3. Reconocimiento Facial en Espacios Públicos y Comerciales
El reconocimiento facial desplegado en redes de CCTV, tiendas minoristas o lugares públicos activa obligaciones adicionales bajo la PIPA y la Ley de Protección y Uso de Información de Ubicación, si también se capturan datos de ubicación. El reconocimiento facial en tiempo real con fines de vigilancia en espacios de acceso público está muy restringido, y el reconocimiento facial encubierto sin señalización clara y aviso previo es un objetivo común de aplicación.
4. Transferencia Transfronteriza de Datos Biométricos
Las empresas extranjeras que procesan datos biométricos de usuarios coreanos en servidores ubicados fuera de Corea deben cumplir con las reglas de transferencia transfronteriza de la PIPA bajo el Artículo 28-8, que requieren consentimiento informado separado que describa explícitamente el país receptor, la identidad del receptor, el propósito, el período de retención y los elementos de datos transferidos, o basarse en una determinación de adecuación o mecanismo de transferencia certificado.
5. Superposición de Regulación Emergente de IA
Con la promulgación de la Ley Básica de IA de Corea, los sistemas de IA basados en biometría —particularmente aquellos utilizados para verificación de identidad, reconocimiento de emociones o toma de decisiones automatizada en contextos de empleo o crédito— pueden clasificarse adicionalmente como "IA de alto impacto", generando obligaciones de documentación de gestión de riesgos, supervisión humana y pruebas previas al despliegue.
6. Sanciones por Incumplimiento
Las violaciones de la PIPA que involucran información sensible como datos biométricos conllevan algunos de los niveles de penalización más altos bajo la ley coreana: multas administrativas de hasta el 3% de los ingresos relacionados para infracciones graves, y sanciones penales (prisión de hasta 5 años o multas de hasta 50 millones de KRW) por procesamiento ilegal o filtración de información sensible.
Preguntas Frecuentes (FAQ)
P1: ¿La ley coreana de datos biométricos se aplica a una empresa extranjera sin oficina física en Corea?
Sí. La PIPA tiene efecto extraterritorial bajo el Artículo 3 cuando una entidad extranjera procesa información personal de sujetos de datos ubicados en Corea en relación con la provisión de bienes o servicios, independientemente de si la empresa tiene una subsidiaria o sucursal coreana.
P2: ¿Cómo se compara el enfoque de Corea con el GDPR de la UE?
Aspecto
Corea (PIPA)
UE (GDPR)
Base legal para procesamiento biométrico
Consentimiento explícito separado (predeterminado) más excepciones legales
Consentimiento explícito o excepciones enumeradas (Art. 9)
Multa administrativa máxima
Hasta 3% de ingresos relacionados
Hasta 4% de la facturación anual global
Responsabilidad penal
Sí — posible prisión
Generalmente no (depende del estado miembro)
Mecanismo de transferencia transfronteriza
Consentimiento separado, adecuación o certificación
SCC, decisiones de adecuación, BCR
P3: ¿Los datos biométricos anonimizados o de-identificados siguen estando regulados?
Si los datos biométricos están de-identificados de manera irreversible de modo que no puedan vincularse a un individuo incluso con información adicional razonablemente disponible, quedan fuera del alcance de la PIPA. Sin embargo, la guía de la PIPC impone un estándar alto para lo que califica como verdadera de-identificación de plantillas biométricas.
P4: ¿Cuáles son los pasos prácticos para lograr el cumplimiento antes de lanzar un producto biométrico en Corea?
Realizar una Evaluación de Impacto en la Privacidad (PIA) si la escala de procesamiento cumple con los umbrales de la PIPC
Redactar un formulario de consentimiento separado y en lenguaje claro específico para la recopilación de datos biométricos
Implementar cifrado basado en plantillas y eliminación inmediata de datos de captura sin procesar
Designar un Director de Privacidad (CPO) si lo requiere el tamaño de la empresa
Preparar un aviso de transferencia transfronteriza si los datos se procesan fuera de Corea
Documentar cronogramas de retención y destrucción alineados con el propósito del procesamiento
Contratar asesoría legal local para revisar los flujos de consentimiento y acuerdos de procesamiento de datos
P5: ¿Es necesario designar un representante o entidad local?
Las empresas extranjeras sin establecimiento coreano que procesan información personal de un cierto volumen de sujetos de datos coreanos pueden estar obligadas bajo el Artículo 39-11 de la PIPA a designar un representante local.
P6: ¿Cuál es el plazo típico de investigación de la PIPC para una queja de datos biométricos?
Las investigaciones de la PIPC típicamente toman de tres a doce meses dependiendo de la complejidad, comenzando a menudo con una solicitud escrita de información, seguida de una inspección in situ, y concluyendo con una deliberación y resolución de la Comisión.
P7: ¿Se pueden usar datos biométricos para sistemas de asistencia y control horario de empleados?
Sí, pero los empleadores deben obtener consentimiento separado de los empleados, ofrecer un método alternativo no biométrico cuando sea factible, y no pueden condicionar el empleo a la inscripción biométrica sin necesidad legítima.
🌐 Language / 語言 / 言語 / Idioma: English 中文 日本語 Español 📋 Korean Law Insight | Transportation Law By Attorney NOH UJIN | HANBYOL LAW LLC, Seoul Korea's passenger transport sector — taxis, car-sharing platforms, and ride-hailing-adjacent services — operates under one of the most tightly regulated mobility frameworks in Asia. Foreign mobility companies, investors, and platform operators considering entry into the Korean market must navigate the Passenger Transport Service Act (여객자동차 운수사업법), licensing quotas, and a legal environment shaped by years of conflict between incumbent taxi operators and new mobility platforms. This guide explains the legal landscape for taxi and car-sharing regulation in Korea. 1. The Passenger Transport Service Act: Licensing Structure All passenger transport businesses in Korea — including taxis, limousine services, and chartered vehicles — require a license under the Passenger Transport Service Act, issued by munici...
How Foreign Creditors Can Recover Debts in South Korea: A Step-by-Step Legal Guide How Foreign Creditors Can Recover Debts in South Korea: A Step-by-Step Legal Guide By Attorney NOH UJIN | HANBYOL LAW LLC, Seoul Labels: Debt Recovery • Cross-Border Litigation • Korean Legal System EN 中文 日本語 Español South Korea's sophisticated legal infrastructure makes it one of the more creditor-friendly jurisdictions in Asia — if you know how to navigate it. For foreign businesses owed money by Korean debtors, understanding the step-by-step legal process is essential to protecting your financial interests. This guide walks you through the primary pathways available under Korean law. 1. Understanding Your Legal Foundations Debt recovery in Korea is governed primarily by two statutes: the Civil Procedure Act (민사소송법) for initiating and conducting litigation, and the Civil E...
Commercial Arbitration in South Korea: What Foreign Businesses Must Know Commercial Arbitration in South Korea: What Foreign Businesses Must Know By Attorney NOH UJIN | HANBYOL LAW LLC, Seoul Labels: Cross-Border Litigation • Business Law • Korean Legal System EN 中文 日本語 Español South Korea has firmly positioned itself as a leading arbitration hub in Northeast Asia. Seoul is home to the Korean Commercial Arbitration Board (대한상사중재원, KCAB), one of the most active arbitral institutions in the region. For foreign businesses entering contracts with Korean counterparties — or seeking to enforce arbitral awards against them — a working knowledge of Korea's arbitration framework is indispensable. 1. The Legal Framework: The Korean Arbitration Act The primary statute governing arbitration in Korea is the Arbitration Act (중재법). Korea substantially reformed its Arbitr...
Comments
Post a Comment