Asie · Protection des données

Corée du Sud : Korea PIPA et ses exigences

Personal Information Protection Act (PIPA) : cadre juridique établi, avec une application effective. Supervision : Personal Information Protection Commission (PIPC).

Référentiel vérifié pour la dernière fois en 2026-09.

Les exigences clés en un coup d'œil

Enregistrement auprès de l'autorité	Non obligatoire
Délégué à la protection des données	Obligatoire
Notification des violations	Sous 72 heures
Restrictions aux transferts internationaux	Obligatoire
Localisation des données	Non obligatoire

Sanctions et application

Sanction administrative jusqu'à 3 % du chiffre d'affaires total (hors recettes sans rapport) pour les violations graves, notamment l'absence de mesures de sécurité ; sanctions pénales pour les personnes responsables ; une notification tardive peut valoir une amende jusqu'à 30 millions de KRW.

À retenir en pratique

Informer les personnes concernées dans les 72 heures suivant la découverte d'une violation, et la signaler à la PIPC ou à la KISA dans les 72 heures lorsque 1 000 personnes ou plus, des données sensibles ou d'identification unique, ou un accès externe illégal sont en cause. Le décret d'application précise des garanties minimales : plan de gestion interne, contrôle d'accès, chiffrement et journaux d'accès. Un responsable de la vie privée doit être désigné.

L'obligation de sécurité

Selon Art. 29 : Obligation de garanties : mesures techniques, de gestion et physiques telles qu'un plan de gestion interne, des contrôles d'accès, le chiffrement et des journaux d'accès. Source: texte publié, vérifié en 2026-10.

Comment Cevro vous aide

Rattache Korea PIPA au reste de votre programme de conformité : les preuves collectées pour SOC 2 ou ISO 27001 comptent aussi ici lorsqu'elles se recoupent.
Compte vos contrôles techniques automatisés comme preuves de l'obligation de sécurité (Art. 29).
Donne à chaque contrôle en échec une correction précise et un moyen de le revérifier.

Questions fréquentes

Corée du Sud : qui supervise la protection des données ?

Personal Information Protection Commission (PIPC) supervise l'application de Personal Information Protection Act (PIPA).

Korea PIPA : la notification des violations est-elle obligatoire ?

Le texte prévoit un délai de 72 heures pour informer l'autorité d'une violation de données personnelles ; il faut donc un dispositif de détection et un processus d'incident capables de le respecter.

Corée du Sud : les transferts internationaux de données sont-ils restreints ?

Oui. Les transferts de données personnelles hors de la juridiction sont encadrés : confirmez une base de transfert licite avant que les données ne la quittent.

Korea PIPA : faut-il désigner un délégué à la protection des données ?

Oui. La désignation d'un délégué à la protection des données est obligatoire.

Corée du Sud : quelles sanctions en cas de non-conformité ?

Juridictions voisines : Asie

Référence à titre informatif uniquement, ne constitue pas un avis juridique. Compilée à partir d'une source de septembre 2026 examinant les textes de protection des données ; les lois évoluent, tout comme la pratique de leur application. Vérifiez les exigences en vigueur auprès d'un conseil local qualifié avant toute décision de conformité.