Korean Payment Gateway (PG) and Electronic Payment Service Provider Regulation for Foreign Fintech Companies (EN/中文/日本語/Español)

🌐 Language / 語言 / 言語 / Idioma:

📋 Korean Law Insight | Fintech / Payment Law

By Attorney NOH UJIN | HANBYOL LAW LLC, Seoul

---

Korean Payment Gateway (PG) and Electronic Payment Service Provider Regulation for Foreign Fintech Companies

Korea's digital payments market is among the most sophisticated in Asia, powered by near-universal smartphone penetration, a mature card infrastructure, and an active fintech ecosystem. For foreign companies seeking to enter this market — whether as a payment gateway (PG) operator, an e-money issuer, a cross-border remittance provider, or a platform integrating third-party payment rails — the regulatory gateway is the Electronic Financial Transactions Act (전자금융거래법, "EFTA"), supervised jointly by the Financial Services Commission (FSC) and the Financial Supervisory Service (FSS).

This article provides a comprehensive legal guide to PG and electronic payment regulation in Korea, tailored for foreign fintech companies, payment processors, and e-commerce platforms considering market entry.

1. Regulatory Framework: The Electronic Financial Transactions Act

The EFTA governs all "electronic financial business" (전자금융업), which includes:

• Electronic payment gateway service providers (전자지급결제대행업자, PG) — entities that relay payment instructions between merchants, card networks, and settlement banks;
• Electronic money issuers (전자화폐발행업자) — issuers of stored-value instruments (e-money);
• Prepaid electronic payment means issuers (선불전자지급수단발행업자) — issuers of prepaid balances such as mobile wallets and gift-card-style credits;
• Electronic bill presentment and payment (전자고지결제업자); and
• Electronic fund transfer agencies (전자자금이체업자).

Most foreign payment companies entering Korea will be classified as PG operators or prepaid electronic payment means issuers, both of which require registration (등록) with the FSC — not a full banking license, but a formal licensing process nonetheless.

2. Registration Requirements

To register as a PG operator in Korea, an applicant must satisfy the following core requirements under the EFTA and its Enforcement Decree:

• Corporate form: The applicant must be a Korean stock company (주식회사) — meaning foreign companies must establish a locally incorporated subsidiary; a branch office alone is generally insufficient for full PG registration.
• Minimum capital: Generally KRW 300 million (approx. USD 220,000) or more, though the FSC may require higher paid-in capital depending on business scope and transaction volume projections.
• Personnel and IT systems: The applicant must demonstrate adequate electronic financial infrastructure, including systems for transaction processing, fraud detection, and business continuity, along with personnel holding relevant IT security and financial compliance expertise.
• Financial soundness: Directors and major shareholders must meet "fit and proper" standards — no history of financial crime, insolvency, or regulatory sanctions.
• Security certification: Many electronic financial businesses are also required to obtain ISMS (Information Security Management System) certification from the Korea Internet & Security Agency (KISA), particularly where annual transaction volume or user base exceeds statutory thresholds.

3. Customer Fund Segregation and Custody Rules

One of the most heavily scrutinized areas of PG regulation is the protection of customer (merchant and consumer) funds. Under the EFTA:

• PG operators must segregate customer settlement funds from their own operating capital, typically through a dedicated trust account or deposit at a licensed bank;
• Settlement to merchants must generally occur within a statutorily defined period (commonly within a few business days of transaction confirmation, subject to contractual and regulatory timing rules);
• Prepaid balance issuers must maintain a reserve or guarantee (e.g., bank guarantee, insurance, or trust) sufficient to cover outstanding prepaid balances, protecting consumers in the event of issuer insolvency.

This segregation regime is conceptually similar to the EU's "safeguarding" requirements under PSD2, and failure to maintain adequate segregation is one of the most common grounds for FSC enforcement action, including suspension of registration.

4. Data Security Obligations

PG operators handle large volumes of sensitive financial and personal data, triggering overlapping obligations under the EFTA, the Personal Information Protection Act (PIPA), and sector-specific guidelines from the FSC/FSS. Key obligations include:

• Encryption of payment card data and personal identification information both in transit and at rest;
• Mandatory incident reporting to the FSS and KISA within statutory timeframes upon discovery of a data breach;
• Regular security audits and penetration testing, particularly for ISMS-certified entities;
• Restrictions on cross-border transfer of financial transaction data, which may require explicit consumer consent or qualify under PIPA's cross-border transfer exceptions.

5. Foreign Company Market Entry Considerations

Foreign fintech companies face several structural considerations when entering the Korean payments market:

• Local incorporation: A Korean subsidiary (주식회사) is generally required to hold a PG or e-money registration; mere representative offices or branches typically cannot independently hold the license.
• Local representative and compliance officer: The FSC generally expects a Korea-resident compliance officer or representative director familiar with EFTA obligations.
• Partnership models: Many foreign companies initially enter via partnership or white-label arrangements with an existing licensed Korean PG, deferring the need for a standalone registration while building transaction volume.
• Foreign exchange considerations: Cross-border settlement flows must comply with the Foreign Exchange Transactions Act, including reporting obligations to the Bank of Korea for certain transaction types.

6. Penalties for Unlicensed Operation

Operating a PG or electronic payment business without registration constitutes a criminal offense under the EFTA, punishable by imprisonment of up to several years and/or substantial fines, in addition to administrative measures such as business suspension orders, corrective orders, and public disclosure of violations. The FSC has increasingly targeted unregistered cross-border payment facilitators and "shadow" payment aggregators operating without proper licensing, including those serving e-commerce platforms selling into Korea.

7. Korea vs. EU (PSD2) vs. US: Comparative Table

Criteria	Korea (EFTA)	EU (PSD2)	United States
Regulator	FSC / FSS	National competent authorities (e.g., BaFin, ACPR) under EBA guidance	State money transmitter regulators + FinCEN (federal)
License type	Registration as PG / e-money issuer	Payment Institution / E-Money Institution authorization	Money Transmitter License (state-by-state)
Minimum capital	~KRW 300 million+	€20,000–€350,000 depending on service type	Varies by state, often $25,000–$1,000,000+ surety bond
Fund safeguarding	Segregated settlement account / trust / guarantee	Safeguarding via segregated account or insurance	Permissible investments / surety bonds per state law
Passporting	No — Korea-specific registration only	Yes — EU passporting across member states	No — separate license required per state
Data localization	Cross-border transfer restrictions under PIPA	GDPR cross-border transfer rules	Generally no federal data localization requirement

8. Step-by-Step Compliance Checklist

1. Incorporate a Korean stock company (주식회사) or secure a licensed local partner for a white-label arrangement.
2. Determine the precise license category needed (PG, prepaid e-payment issuer, e-money issuer) based on your business model.
3. Prepare minimum capital and demonstrate financial soundness of shareholders/directors.
4. Build or contract for EFTA-compliant IT infrastructure, including fraud monitoring and settlement systems.
5. Obtain ISMS certification if transaction/user thresholds apply.
6. Establish a segregated customer fund account with a licensed Korean bank.
7. Draft PIPA-compliant data handling and cross-border transfer policies.
8. Submit registration application to the FSC with required documentation and await review (often several months).
9. Implement ongoing compliance monitoring, including periodic FSS reporting and audits.

Frequently Asked Questions (FAQ)

Q1: Can a foreign company operate a PG business in Korea without a local subsidiary?

Generally no. PG registration under the EFTA requires the applicant to be a Korean stock company. Foreign companies typically establish a local subsidiary or partner with an existing licensed Korean PG operator under a white-label or referral arrangement.

Q2: How long does the FSC registration process take?

Typical processing time ranges from three to six months, depending on the completeness of the application, the complexity of the business model, and whether supplemental information is requested by the FSC during review.

Q3: What happens if customer funds are not properly segregated?

Failure to segregate customer settlement funds is a serious compliance failure that can trigger FSC corrective orders, suspension or revocation of registration, and potential criminal liability for responsible officers, particularly if commingled funds are misused or lost.

Q4: Does Korea require ISMS certification for all payment companies?

ISMS certification is mandatory once a company's annual revenue or user base exceeds statutory thresholds set by KISA and the Ministry of Science and ICT. Many PG operators voluntarily obtain certification earlier to build merchant and consumer trust.

Q5: Can payment data be transferred outside Korea for processing?

Cross-border transfer of financial and personal data is permitted but subject to PIPA requirements, including consumer consent, disclosure of the transfer destination and purpose, and in some cases FSC/FSS notification. Cloud-based processing arrangements with offshore data centers require careful legal structuring.

Q6: What are the penalties for operating as an unregistered PG?

Unregistered electronic payment business operation is a criminal offense under the EFTA, carrying potential imprisonment and significant fines, along with administrative sanctions such as cease-and-desist orders and public disclosure.

Q7: Is a Korean compliance officer mandatory?

While not always a strict statutory mandate for every entity type, the FSC in practice expects a Korea-based officer with responsibility for EFTA compliance, AML obligations, and liaison with regulators — this is treated as a practical precondition for smooth registration and ongoing supervision.

📌 Official References

• Korean Law Information Center
• Financial Services Commission (FSC)
• Financial Supervisory Service (FSS)

📚 Related Articles

• Korean Open Banking and MyData / Electronic Financial Services Regulation for Foreign Fintech Companies
• Korean Cloud Computing and Data Localization Law for Foreign Tech Companies

Need Legal Assistance?
HANBYOL LAW LLC provides expert Korean legal counsel for international clients.
📧 ujin95@hanbl.co.kr | 🌐 www.hanbl.co.kr
Initial consultations are complimentary.

📋 韩国法律洞察 | 金融科技 / 支付法

撰文：卢佑镇律师 | HANBYOL LAW LLC，首尔

---

韩国支付网关（PG）与电子支付服务提供商监管：外国金融科技公司指南

韩国的数字支付市场是亚洲最成熟的市场之一，智能手机普及率近乎全民化，银行卡基础设施发达，金融科技生态系统活跃。对于希望进入该市场的外国公司——无论是支付网关（PG）运营商、电子货币发行商、跨境汇款服务提供商，还是整合第三方支付通道的平台——监管的核心法律是《电子金融交易法》（전자금융거래법，"EFTA"），由金融委员会（FSC）和金融监督院（FSS）共同监管。

本文为希望进入韩国市场的外国金融科技公司、支付处理商和电子商务平台，提供关于PG和电子支付监管的全面法律指南。

一、监管框架：《电子金融交易法》

EFTA规范所有"电子金融业务"（전자금융업），包括：

• 电子支付结算代行业者（전자지급결제대행업자，PG）——在商户、银行卡网络和结算银行之间传递支付指令的实体；
• 电子货币发行业者（전자화폐발행업자）——储值工具（电子货币）的发行人；
• 预付电子支付手段发行业者（선불전자지급수단발행업자）——移动钱包等预付余额的发行人；
• 电子账单呈示与支付业者（전자고지결제업자）；以及
• 电子资金转账业者（전자자금이체업자）。

大多数进入韩国的外国支付公司将被归类为PG运营商或预付电子支付手段发行商，两者均需向FSC进行注册（등록）——虽非完整银行牌照，但仍是正式的许可程序。

二、注册要求

• 公司形式：申请人必须为韩国株式会社（주식회사）——即外国公司必须设立本地法人子公司；仅设立分公司通常不足以获得完整PG注册。
• 最低资本：通常为3亿韩元（约22万美元）以上，FSC可能根据业务范围和预计交易量要求更高的实缴资本。
• 人员与IT系统：申请人必须具备充分的电子金融基础设施，包括交易处理、欺诈检测和业务连续性系统，以及具备IT安全与金融合规专长的人员。
• 财务健全性：董事及主要股东须符合"适格性"标准——无金融犯罪、破产或监管处罚记录。
• 安全认证：许多电子金融业务还须从韩国互联网振兴院（KISA）取得ISMS（信息安全管理体系）认证，尤其当年交易量或用户基数超过法定门槛时。

三、客户资金隔离与托管规则

PG监管中最受严格审查的领域之一是对客户（商户及消费者）资金的保护。根据EFTA：

• PG运营商必须将客户结算资金与自身运营资本隔离，通常通过在持牌银行设立专用信托账户或存款实现；
• 向商户的结算通常须在法定期限内完成（通常为交易确认后数个工作日内，具体依合同及监管时限规定）；
• 预付余额发行商须维持足以覆盖未使用预付余额的准备金或担保（如银行保函、保险或信托），以保护消费者在发行商破产时的权益。

该资金隔离制度在概念上类似于欧盟PSD2下的"资金保全"要求，隔离不足是FSC执法行动（包括暂停注册）最常见的理由之一。

四、数据安全义务

• 支付卡数据及个人身份信息在传输与存储阶段均须加密；
• 发现数据泄露后须在法定时限内向FSS及KISA强制报告；
• 定期进行安全审计与渗透测试，尤其是已获ISMS认证的实体；
• 金融交易数据的跨境传输受限，可能需要消费者明确同意，或须符合PIPA跨境传输例外规定。

五、外国公司市场准入考量

• 本地法人设立：通常须设立韩国株式会社方可持有PG或电子货币注册；单纯代表处或分公司通常不能独立持有牌照。
• 本地代表及合规官：FSC通常期望有常驻韩国、熟悉EFTA义务的合规官或代表董事。
• 合作模式：许多外国公司最初通过与现有持牌韩国PG的合作或白标安排进入市场，在积累交易量的同时推迟独立注册需求。
• 外汇考量：跨境结算资金流须符合《外汇交易法》，包括特定交易类型向韩国银行的报告义务。

六、无牌经营的处罚

未经注册经营PG或电子支付业务构成EFTA项下的刑事犯罪，可处以数年有期徒刑及/或高额罚款，此外还可能面临业务暂停令、整改令及违规公开披露等行政措施。FSC近年来日益打击未注册的跨境支付促成商及为进入韩国市场的电商平台提供服务的"影子"支付聚合商。

七、韩国 vs 欧盟（PSD2）vs 美国比较表

标准	韩国（EFTA）	欧盟（PSD2）	美国
监管机构	FSC / FSS	各国主管机关（如BaFin、ACPR），受EBA指导	各州货币转账监管机构 + 联邦FinCEN
牌照类型	PG/电子货币发行商注册	支付机构/电子货币机构授权	货币转账牌照（各州分别申请）
最低资本	约3亿韩元以上	依服务类型2万至35万欧元	各州不同，常需2.5万至100万美元以上保证金
资金保全	隔离结算账户/信托/担保	隔离账户或保险保全	依各州法律规定的允许投资/保证金
通行证制度	无——仅限韩国本地注册	有——欧盟成员国间通行	无——每州须单独申请牌照
数据本地化	PIPA下跨境传输受限	GDPR跨境传输规则	通常无联邦数据本地化要求

八、分步合规清单

1. 设立韩国株式会社，或与持牌本地合作伙伴达成白标安排。
2. 根据业务模式确定所需的具体牌照类别（PG、预付电子支付发行商、电子货币发行商）。
3. 准备最低资本并证明股东/董事的财务健全性。
4. 建立或外包符合EFTA要求的IT基础设施，包括欺诈监测与结算系统。
5. 如达到交易量/用户门槛，取得ISMS认证。
6. 在持牌韩国银行开设隔离的客户资金账户。
7. 制定符合PIPA的数据处理及跨境传输政策。
8. 向FSC提交注册申请并配齐所需文件，等待审查（通常需数月）。
9. 实施持续合规监控，包括定期向FSS报告及接受审计。

常见问题（FAQ）

问1：外国公司能否在无本地子公司的情况下经营PG业务？

一般不能。EFTA下的PG注册要求申请人须为韩国株式会社。外国公司通常设立本地子公司，或与现有持牌韩国PG运营商以白标或推荐安排合作。

问2：FSC注册流程需要多长时间？

通常需时三至六个月，具体取决于申请材料的完整性、业务模式的复杂程度，以及审查期间FSC是否要求补充材料。

问3：若客户资金未妥善隔离会怎样？

未能隔离客户结算资金属严重合规违规，可能引发FSC整改令、注册暂停或撤销，以及在资金被混用或损失情况下责任人的潜在刑事责任。

问4：韩国是否要求所有支付公司取得ISMS认证？

当公司年收入或用户基数超过KISA及科学技术信息通信部设定的法定门槛时，ISMS认证为强制性要求。许多PG运营商为建立商户及消费者信任而提前自愿取得认证。

问5：支付数据可否转移至韩国境外处理？

跨境转移金融及个人数据是允许的，但须符合PIPA要求，包括消费者同意、披露传输目的地及目的，某些情况下还需FSC/FSS通知。基于云的离岸数据中心处理安排需谨慎的法律架构设计。

问6：未注册经营PG的处罚是什么？

未注册经营电子支付业务属EFTA项下的刑事犯罪，可处以潜在监禁及高额罚款，并可能面临停止令及违规公开披露等行政制裁。

问7：是否必须配备韩国合规官？

虽非对所有实体类型的严格法定强制要求，但FSC在实践中期望设有负责EFTA合规、反洗钱义务及与监管机构联络的常驻韩国官员——这在实务中被视为顺利注册及持续监管的前提条件。

📌 官方参考资料

• 韩国法律信息中心
• 金融委员会（FSC）
• 金融监督院（FSS）

📚 相关文章

• 韩国开放银行与MyData/电子金融服务监管：外国金融科技公司指南
• 韩国云计算与数据本地化法：外国科技公司指南

需要法律帮助？
HANBYOL LAW LLC 为国际客户提供专业的韩国法律服务。
📧 ujin95@hanbl.co.kr | 🌐 www.hanbl.co.kr
初次咨询免费。

📋 韓国法律インサイト | フィンテック／決済法

執筆：盧佑鎭（ノ・ウジン）弁護士 | HANBYOL LAW LLC、ソウル

---

外国フィンテック企業のための韓国PG（決済代行）・電子決済サービス事業者規制ガイド

韓国のデジタル決済市場は、ほぼ全国民に普及したスマートフォン、成熟したカードインフラ、活発なフィンテックエコシステムに支えられ、アジアでも最先端の市場の一つです。PG（決済代行）事業者、電子マネー発行者、越境送金事業者、または第三者決済手段を統合するプラットフォームとして韓国市場への参入を検討する外国企業にとって、規制の入口となるのが電子金融取引法（전자금융거래법、「EFTA」）であり、金融委員会（FSC）と金融監督院（FSS）が共同で監督しています。

本稿では、韓国市場への参入を検討する外国フィンテック企業、決済処理業者、EC事業者向けに、PG・電子決済規制の包括的な法的ガイドを提供します。

1. 規制の枠組み：電子金融取引法

EFTAはすべての「電子金融業」（전자금융업）を規律しており、以下を含みます：

• 電子支給決済代行業者（전자지급결제대행업자、PG）——加盟店、カードネットワーク、決済銀行間で決済指示を中継する事業者；
• 電子貨幣発行業者（전자화폐발행업자）——ストアドバリュー手段（電子マネー）の発行者；
• 先払電子支給手段発行業者（선불전자지급수단발행업자）——モバイルウォレット等の前払残高の発行者；
• 電子告知決済業者（전자고지결제업자）；および
• 電子資金移動業者（전자자금이체업자）。

韓国に参入する外国決済企業の多くは、PG事業者または先払電子支給手段発行業者に分類され、いずれもFSCへの登録（등록）が必要です——完全な銀行免許ではありませんが、正式な許認可プロセスです。

2. 登録要件

• 会社形態：申請者は韓国の株式会社（주식회사）でなければならず、外国企業は現地法人子会社を設立する必要があります。支店のみでは通常、完全なPG登録には不十分です。
• 最低資本金：通常3億ウォン（約22万米ドル）以上。事業範囲や想定取引量によりFSCがより高い払込資本を要求する場合があります。
• 人員とITシステム：取引処理、不正検知、事業継続性のためのシステムを含む十分な電子金融インフラと、IT セキュリティおよび金融コンプライアンスの専門知識を持つ人員が必要です。
• 財務健全性：取締役および主要株主は「適格性」基準を満たす必要があります——金融犯罪、破産、規制処分の履歴がないこと。
• セキュリティ認証：多くの電子金融業者は、年間取引量または利用者数が法定基準を超える場合、韓国インターネット振興院（KISA）からISMS（情報セキュリティマネジメントシステム）認証の取得が求められます。

3. 顧客資金の分離・保管ルール

PG規制の中で最も厳しく審査される分野の一つが、顧客（加盟店および消費者）資金の保護です。EFTAの下では：

• PG事業者は顧客決済資金を自社運転資本と分離しなければならず、通常は免許を受けた銀行における専用の信託口座または預金により行われます；
• 加盟店への決済は通常、法定期間内（一般的には取引確認後数営業日以内、契約および規制上の時期的ルールに従う）に行われなければなりません；
• 先払残高発行者は、発行者破綻時の消費者保護のため、未使用前払残高をカバーするのに十分な準備金または保証（銀行保証、保険、信託等）を維持しなければなりません。

この資金分離制度は、EUのPSD2における「保護措置（セーフガーディング）」要件と概念的に類似しており、分離の不備はFSCの執行措置（登録停止を含む）の最も一般的な根拠の一つです。

4. データセキュリティ義務

• 決済カードデータおよび個人識別情報は、通信時・保存時ともに暗号化が必要です；
• データ侵害発覚時には法定期間内にFSSおよびKISAへの報告が義務付けられています；
• 特にISMS認証取得事業者については、定期的なセキュリティ監査および侵入テストが必要です；
• 金融取引データの越境移転は制限されており、消費者の明示的同意が必要な場合や、PIPAの越境移転例外規定に該当する必要がある場合があります。

5. 外国企業の市場参入上の留意点

• 現地法人設立：PGまたは電子マネー登録の保有には通常、韓国株式会社の設立が必要であり、単なる代表事務所や支店が単独で免許を保有することは通常できません。
• 現地代表者およびコンプライアンス責任者：FSCは一般に、韓国居住のEFTA義務に精通したコンプライアンス責任者または代表取締役の存在を期待します。
• 提携モデル：多くの外国企業は、取引量を積み上げながら単独登録の必要性を先送りするため、既存の免許を持つ韓国PGとの提携またはホワイトレーベル契約を通じて最初に参入します。
• 外国為替上の留意点：越境決済資金フローは外国為替取引法に従う必要があり、特定の取引類型については韓国銀行への報告義務が含まれます。

6. 無登録営業に対する罰則

登録なしにPGまたは電子決済事業を営むことはEFTA上の刑事犯罪を構成し、数年の懲役刑および／または高額の罰金、さらに営業停止命令、是正命令、違反事実の公表などの行政措置の対象となり得ます。FSCは近年、未登録の越境決済仲介業者や、韓国市場に販売するECプラットフォームにサービスを提供する「シャドー」決済集約業者への取締りを強化しています。

7. 韓国 vs EU（PSD2）vs 米国 比較表

基準	韓国（EFTA）	EU（PSD2）	米国
規制当局	FSC / FSS	各国所管当局（BaFin、ACPR等）、EBAの指導の下	各州の送金業者規制当局＋連邦FinCEN
免許種別	PG／電子マネー発行者登録	決済機関／電子マネー機関の許可	マネートランスミッターライセンス（州ごと）
最低資本金	約3億ウォン以上	サービス種類により2万～35万ユーロ	州により異なり、25,000～1,000,000米ドル以上の保証金が必要な場合も
資金保護	分離決済口座／信託／保証	分離口座または保険による保護	州法に基づく許容投資／保証金
パスポート制度	なし——韓国限定の登録のみ	あり——EU加盟国間でのパスポート制度	なし——州ごとに個別免許が必要
データローカライゼーション	PIPAの下での越境移転制限	GDPRの越境移転ルール	一般に連邦レベルのデータローカライゼーション要件なし

8. 段階的コンプライアンスチェックリスト

1. 韓国株式会社を設立するか、ホワイトレーベル提携のため免許を持つ現地パートナーを確保する。
2. 事業モデルに基づき必要な免許カテゴリー（PG、先払電子決済発行者、電子マネー発行者）を決定する。
3. 最低資本金を準備し、株主・取締役の財務健全性を証明する。
4. 不正監視・決済システムを含むEFTA準拠のITインフラを構築または委託する。
5. 取引量・利用者数の基準に該当する場合、ISMS認証を取得する。
6. 免許を持つ韓国銀行に顧客資金の分離口座を開設する。
7. PIPAに準拠したデータ取扱い・越境移転ポリシーを策定する。
8. 必要書類を揃えてFSCに登録申請を提出し、審査（通常数ヶ月）を待つ。
9. FSSへの定期報告や監査を含む継続的なコンプライアンスモニタリングを実施する。

よくある質問（FAQ）

Q1：外国企業は現地子会社なしで韓国でPG事業を営めますか？

一般的にできません。EFTAに基づくPG登録には申請者が韓国株式会社であることが求められます。外国企業は通常、現地子会社を設立するか、既存の免許を持つ韓国PG事業者とホワイトレーベルまたは紹介契約を通じて提携します。

Q2：FSC登録手続きにはどれくらいの期間がかかりますか？

通常3～6ヶ月程度で、申請書類の完全性、事業モデルの複雑さ、審査中にFSCが追加情報を求めるかどうかにより異なります。

Q3：顧客資金が適切に分離されていない場合はどうなりますか？

顧客決済資金の分離不備は重大なコンプライアンス違反であり、FSCの是正命令、登録の停止または取消、さらに資金が混用または毀損された場合には責任者の刑事責任につながる可能性があります。

Q4：韓国ではすべての決済会社にISMS認証が義務付けられていますか？

年間売上または利用者数がKISAおよび科学技術情報通信部の定める法定基準を超える場合、ISMS認証は義務となります。多くのPG事業者は、加盟店・消費者の信頼構築のため、より早期に自主的に認証を取得しています。

Q5：決済データを韓国国外で処理のために移転できますか？

金融・個人データの越境移転は許可されていますが、PIPAの要件（消費者同意、移転先・目的の開示、場合によってはFSC/FSSへの通知）に従う必要があります。オフショアデータセンターを用いたクラウド処理の取り決めには、慎重な法的設計が必要です。

Q6：無登録でPGを営業した場合の罰則は何ですか？

無登録での電子決済事業の運営はEFTA上の刑事犯罪であり、懲役刑および高額罰金の対象となり得るほか、停止命令や違反事実の公表などの行政制裁を受ける可能性があります。

Q7：韓国人のコンプライアンス責任者は必須ですか？

すべての事業形態に対する厳格な法定義務ではありませんが、FSCは実務上、EFTAコンプライアンス、AML義務、規制当局との連絡を担う韓国常駐の責任者の存在を期待しており、これは円滑な登録と継続的監督の実務上の前提条件とみなされています。

📌 公式参考資料

• 韓国法令情報センター
• 金融委員会（FSC）
• 金融監督院（FSS）

📚 関連記事

• 韓国のオープンバンキングとMyData／電子金融サービス規制：外国フィンテック企業向けガイド
• 韓国のクラウドコンピューティングとデータローカライゼーション法：外国テック企業向けガイド

法律相談が必要ですか？
HANBYOL LAW LLCは、国際クライアントに専門的な韓国法律サービスを提供しています。
📧 ujin95@hanbl.co.kr | 🌐 www.hanbl.co.kr
初回相談は無料です。

📋 Perspectiva Legal Coreana | Fintech / Derecho de Pagos

Por el Abogado NOH UJIN | HANBYOL LAW LLC, Seúl

---

Regulación de Pasarelas de Pago (PG) y Proveedores de Servicios de Pago Electrónico en Corea para Empresas Fintech Extranjeras

El mercado de pagos digitales de Corea es uno de los más sofisticados de Asia, impulsado por una penetración casi universal de teléfonos inteligentes, una infraestructura de tarjetas madura y un ecosistema fintech activo. Para las empresas extranjeras que buscan ingresar a este mercado — ya sea como operadores de pasarelas de pago (PG), emisores de dinero electrónico, proveedores de remesas transfronterizas, o plataformas que integran redes de pago de terceros — la puerta de entrada regulatoria es la Ley de Transacciones Financieras Electrónicas (전자금융거래법, "EFTA"), supervisada conjuntamente por la Comisión de Servicios Financieros (FSC) y el Servicio de Supervisión Financiera (FSS).

Este artículo ofrece una guía legal integral sobre la regulación de PG y pagos electrónicos en Corea, dirigida a empresas fintech extranjeras, procesadores de pagos y plataformas de comercio electrónico que consideran ingresar al mercado.

1. Marco Regulatorio: La Ley de Transacciones Financieras Electrónicas

La EFTA regula todo "negocio financiero electrónico" (전자금융업), que incluye:

• Proveedores de servicios de pasarela de pago electrónico (전자지급결제대행업자, PG) — entidades que transmiten instrucciones de pago entre comercios, redes de tarjetas y bancos liquidadores;
• Emisores de dinero electrónico (전자화폐발행업자) — emisores de instrumentos de valor almacenado (dinero electrónico);
• Emisores de medios de pago electrónico prepagados (선불전자지급수단발행업자) — emisores de saldos prepagados como billeteras móviles;
• Agencias de presentación y pago de facturas electrónicas (전자고지결제업자); y
• Agencias de transferencia electrónica de fondos (전자자금이체업자).

La mayoría de las empresas de pago extranjeras que ingresan a Corea serán clasificadas como operadores de PG o emisores de medios de pago electrónico prepagados, ambos requieren registro (등록) ante la FSC — no una licencia bancaria completa, pero sí un proceso de licenciamiento formal.

2. Requisitos de Registro

• Forma corporativa: El solicitante debe ser una sociedad anónima coreana (주식회사) — es decir, las empresas extranjeras deben establecer una subsidiaria local; una oficina de representación por sí sola generalmente no es suficiente para el registro completo de PG.
• Capital mínimo: Generalmente KRW 300 millones (aproximadamente USD 220,000) o más, aunque la FSC puede exigir un capital social mayor según el alcance del negocio y las proyecciones de volumen de transacciones.
• Personal y sistemas de TI: El solicitante debe demostrar infraestructura financiera electrónica adecuada, incluyendo sistemas de procesamiento de transacciones, detección de fraude y continuidad del negocio, junto con personal con experiencia en seguridad de TI y cumplimiento financiero.
• Solidez financiera: Los directores y accionistas principales deben cumplir con estándares de "idoneidad" — sin antecedentes de delitos financieros, insolvencia o sanciones regulatorias.
• Certificación de seguridad: Muchos negocios financieros electrónicos también deben obtener la certificación ISMS (Sistema de Gestión de Seguridad de la Información) de la Agencia de Internet y Seguridad de Corea (KISA), particularmente cuando el volumen anual de transacciones o la base de usuarios supera los umbrales establecidos por ley.

3. Segregación de Fondos de Clientes y Reglas de Custodia

• Los operadores de PG deben segregar los fondos de liquidación de clientes de su propio capital operativo, típicamente mediante una cuenta fiduciaria dedicada o depósito en un banco autorizado;
• La liquidación a los comercios generalmente debe ocurrir dentro de un período definido por ley (comúnmente dentro de unos pocos días hábiles después de la confirmación de la transacción, sujeto a reglas contractuales y regulatorias);
• Los emisores de saldos prepagados deben mantener una reserva o garantía (por ejemplo, garantía bancaria, seguro o fideicomiso) suficiente para cubrir los saldos prepagados pendientes, protegiendo a los consumidores en caso de insolvencia del emisor.

Este régimen de segregación es conceptualmente similar a los requisitos de "salvaguarda" de la UE bajo PSD2, y la falta de segregación adecuada es uno de los motivos más comunes de acción de cumplimiento de la FSC, incluida la suspensión del registro.

4. Obligaciones de Seguridad de Datos

• Cifrado de datos de tarjetas de pago e información de identificación personal, tanto en tránsito como en reposo;
• Notificación obligatoria de incidentes a la FSS y KISA dentro de plazos legales tras el descubrimiento de una violación de datos;
• Auditorías de seguridad regulares y pruebas de penetración, particularmente para entidades certificadas con ISMS;
• Restricciones sobre la transferencia transfronteriza de datos de transacciones financieras, que pueden requerir consentimiento explícito del consumidor o calificar bajo las excepciones de transferencia transfronteriza de la PIPA.

5. Consideraciones de Entrada al Mercado para Empresas Extranjeras

• Incorporación local: Generalmente se requiere una subsidiaria coreana (주식회사) para mantener un registro de PG o dinero electrónico; las oficinas de representación o sucursales típicamente no pueden mantener la licencia de forma independiente.
• Representante local y oficial de cumplimiento: La FSC generalmente espera un oficial de cumplimiento o director representante residente en Corea familiarizado con las obligaciones de la EFTA.
• Modelos de asociación: Muchas empresas extranjeras inicialmente ingresan a través de acuerdos de asociación o marca blanca con un operador de PG coreano ya licenciado, posponiendo la necesidad de un registro independiente mientras acumulan volumen de transacciones.
• Consideraciones de divisas: Los flujos de liquidación transfronterizos deben cumplir con la Ley de Transacciones de Divisas, incluidas las obligaciones de reporte al Banco de Corea para ciertos tipos de transacciones.

6. Sanciones por Operación sin Licencia

Operar un negocio de PG o pago electrónico sin registro constituye un delito penal bajo la EFTA, sancionable con prisión de hasta varios años y/o multas sustanciales, además de medidas administrativas como órdenes de suspensión de negocios, órdenes correctivas y divulgación pública de violaciones. La FSC ha intensificado sus esfuerzos contra facilitadores de pago transfronterizo no registrados y agregadores de pago "en la sombra" que operan sin licencia adecuada.

7. Tabla Comparativa: Corea vs. UE (PSD2) vs. EE.UU.

Criterio	Corea (EFTA)	UE (PSD2)	Estados Unidos
Regulador	FSC / FSS	Autoridades nacionales competentes (ej. BaFin, ACPR) bajo orientación de la EBA	Reguladores estatales de transmisión de dinero + FinCEN (federal)
Tipo de licencia	Registro como PG / emisor de dinero electrónico	Autorización como Institución de Pago / Institución de Dinero Electrónico	Licencia de Transmisor de Dinero (estado por estado)
Capital mínimo	~KRW 300 millones+	€20,000–€350,000 según el tipo de servicio	Varía por estado, a menudo bono de garantía de $25,000–$1,000,000+
Salvaguarda de fondos	Cuenta de liquidación segregada / fideicomiso / garantía	Salvaguarda mediante cuenta segregada o seguro	Inversiones permisibles / bonos de garantía según ley estatal
Pasaporte regulatorio	No — solo registro específico de Corea	Sí — pasaporte en toda la UE	No — se requiere licencia separada por estado
Localización de datos	Restricciones de transferencia transfronteriza bajo PIPA	Reglas de transferencia transfronteriza del GDPR	Generalmente sin requisito federal de localización de datos

8. Lista de Verificación de Cumplimiento Paso a Paso

1. Constituir una sociedad anónima coreana (주식회사) o asegurar un socio local con licencia para un acuerdo de marca blanca.
2. Determinar la categoría de licencia precisa necesaria (PG, emisor de pago electrónico prepagado, emisor de dinero electrónico) según el modelo de negocio.
3. Preparar el capital mínimo y demostrar la solidez financiera de accionistas/directores.
4. Construir o contratar infraestructura de TI conforme a la EFTA, incluyendo monitoreo de fraude y sistemas de liquidación.
5. Obtener la certificación ISMS si aplican los umbrales de transacciones/usuarios.
6. Establecer una cuenta segregada de fondos de clientes en un banco coreano autorizado.
7. Redactar políticas de manejo de datos y transferencia transfronteriza conformes a la PIPA.
8. Presentar la solicitud de registro a la FSC con la documentación requerida y esperar la revisión (a menudo varios meses).
9. Implementar monitoreo continuo de cumplimiento, incluyendo reportes periódicos a la FSS y auditorías.

Preguntas Frecuentes (FAQ)

P1: ¿Puede una empresa extranjera operar un negocio de PG en Corea sin una subsidiaria local?

Generalmente no. El registro de PG bajo la EFTA requiere que el solicitante sea una sociedad anónima coreana. Las empresas extranjeras típicamente establecen una subsidiaria local o se asocian con un operador de PG coreano ya licenciado bajo un acuerdo de marca blanca o referencia.

P2: ¿Cuánto tiempo toma el proceso de registro de la FSC?

El tiempo típico de procesamiento varía de tres a seis meses, dependiendo de la integridad de la solicitud, la complejidad del modelo de negocio, y si la FSC solicita información adicional durante la revisión.

P3: ¿Qué sucede si los fondos de los clientes no están debidamente segregados?

El incumplimiento de la segregación de fondos de liquidación de clientes es una grave falla de cumplimiento que puede desencadenar órdenes correctivas de la FSC, suspensión o revocación del registro, y potencial responsabilidad penal para los funcionarios responsables, particularmente si los fondos mezclados son mal utilizados o perdidos.

P4: ¿Corea requiere certificación ISMS para todas las empresas de pago?

La certificación ISMS es obligatoria una vez que los ingresos anuales o la base de usuarios de una empresa superan los umbrales legales establecidos por KISA y el Ministerio de Ciencia y TIC. Muchos operadores de PG obtienen la certificación voluntariamente antes para generar confianza entre comercios y consumidores.

P5: ¿Se pueden transferir datos de pago fuera de Corea para su procesamiento?

La transferencia transfronteriza de datos financieros y personales está permitida pero sujeta a los requisitos de la PIPA, incluido el consentimiento del consumidor, la divulgación del destino y propósito de la transferencia, y en algunos casos la notificación a la FSC/FSS. Los acuerdos de procesamiento basados en la nube con centros de datos en el extranjero requieren una estructuración legal cuidadosa.

P6: ¿Cuáles son las sanciones por operar como PG no registrado?

La operación de un negocio de pago electrónico sin registro es un delito penal bajo la EFTA, con potencial prisión y multas significativas, junto con sanciones administrativas como órdenes de cese y desista y divulgación pública.

P7: ¿Es obligatorio un oficial de cumplimiento coreano?

Aunque no siempre es un mandato legal estricto para todo tipo de entidad, la FSC en la práctica espera un oficial con sede en Corea responsable del cumplimiento de la EFTA, obligaciones AML, y enlace con los reguladores — esto se trata como una precondición práctica para un registro fluido y supervisión continua.

📌 Referencias Oficiales

• Centro de Información Legal de Corea
• Comisión de Servicios Financieros (FSC)
• Servicio de Supervisión Financiera (FSS)

📚 Artículos Relacionados

• Banca Abierta Coreana y Regulación de MyData / Servicios Financieros Electrónicos para Empresas Fintech Extranjeras
• Ley Coreana de Computación en la Nube y Localización de Datos para Empresas Tecnológicas Extranjeras

¿Necesita Asistencia Legal?
HANBYOL LAW LLC ofrece asesoramiento jurídico coreano experto para clientes internacionales.
📧 ujin95@hanbl.co.kr | 🌐 www.hanbl.co.kr
Las consultas iniciales son gratuitas.