CevroCorea del Sur: Korea PIPA y lo que exige
Personal Information Protection Act (PIPA): marco legal consolidado, con aplicación efectiva. Supervisión: Personal Information Protection Commission (PIPC).
Requisitos clave de un vistazo
| Registro ante la autoridad | No obligatorio |
|---|---|
| Delegado de protección de datos | Obligatorio |
| Notificación de brechas | En un máximo de 72 horas |
| Restricciones a transferencias internacionales | Obligatorio |
| Localización de datos | No obligatorio |
Sanciones y aplicación
Sanción administrativa de hasta el 3 % de la facturación total (excluidos ingresos no relacionados) por infracciones graves, incluida la falta de medidas de seguridad; sanciones penales para los responsables; la notificación tardía puede acarrear una multa de hasta 30 millones de KRW.
Qué saber en la práctica
Informar a los titulares dentro de las 72 horas siguientes a descubrir una brecha, y comunicarla a la PIPC o a la KISA en 72 horas cuando afecte a 1.000 o más personas, a datos sensibles o de identificación única, o cuando haya acceso externo ilegal. El decreto de desarrollo detalla salvaguardas mínimas: plan de gestión interna, control de acceso, cifrado y registros de acceso. Debe designarse un responsable de privacidad.
El deber de seguridad
Según Art. 29: Deber de salvaguarda: medidas técnicas, de gestión y físicas como un plan de gestión interna, controles de acceso, cifrado y registros de acceso. Fuente: texto publicado, verificado en 2026-10.
Cómo ayuda Cevro
- Asocia Korea PIPA con el resto de tu programa de cumplimiento, de modo que las evidencias recogidas para SOC 2 o ISO 27001 también cuentan aquí cuando coinciden.
- Cuenta tus comprobaciones técnicas automáticas como evidencia del deber de seguridad (Art. 29).
- Da a cada control fallido una corrección concreta y una forma de volver a comprobarlo.
Preguntas frecuentes
Corea del Sur: ¿quién supervisa la protección de datos?
Personal Information Protection Commission (PIPC) supervisa la aplicación de Personal Information Protection Act (PIPA).
Korea PIPA: ¿es obligatoria la notificación de brechas?
La ley fija un plazo de 72 horas para notificar a la autoridad una brecha de datos personales, por lo que se necesita detección y un proceso de incidentes capaces de cumplirlo.
Corea del Sur: ¿se restringen las transferencias internacionales de datos?
Sí. La salida de datos personales de la jurisdicción está restringida, así que confirma una base lícita de transferencia antes de que los datos salgan.
Korea PIPA: ¿hay que designar un delegado de protección de datos?
Sí. La designación de un delegado de protección de datos es obligatoria.
Corea del Sur: ¿qué sanciones hay por incumplimiento?
Sanción administrativa de hasta el 3 % de la facturación total (excluidos ingresos no relacionados) por infracciones graves, incluida la falta de medidas de seguridad; sanciones penales para los responsables; la notificación tardía puede acarrear una multa de hasta 30 millones de KRW.