CevroCoreia do Sul: Korea PIPA e o que exige
Personal Information Protection Act (PIPA): marco legal consolidado, com aplicação efetiva. Supervisão: Personal Information Protection Commission (PIPC).
Principais requisitos em resumo
| Registro na autoridade | Não obrigatório |
|---|---|
| Encarregado de proteção de dados | Obrigatório |
| Notificação de violações | Em até 72 horas |
| Restrições a transferências internacionais | Obrigatório |
| Localização de dados | Não obrigatório |
Sanções e fiscalização
Sanção administrativa de até 3% do faturamento total (excluídas receitas não relacionadas) por violações graves, inclusive ausência de medidas de segurança; sanções penais para os responsáveis; a notificação tardia pode gerar multa de até 30 milhões de KRW.
O que saber na prática
Informar os titulares em até 72 horas após descobrir uma violação e comunicá-la à PIPC ou à KISA em até 72 horas quando envolver 1.000 ou mais pessoas, dados sensíveis ou de identificação única, ou acesso externo ilegal. O decreto de execução detalha salvaguardas mínimas: plano de gestão interna, controle de acesso, criptografia e registros de acesso. Deve-se designar um responsável pela privacidade.
O dever de segurança
Conforme Art. 29: Dever de salvaguarda: medidas técnicas, de gestão e físicas, como plano de gestão interna, controles de acesso, criptografia e registros de acesso. Fonte: texto publicado, verificado em 2026-10.
Como a Cevro ajuda
- Associa Korea PIPA ao restante do seu programa de conformidade, de modo que as evidências coletadas para SOC 2 ou ISO 27001 também valem aqui quando se sobrepõem.
- Conta suas verificações técnicas automáticas como evidência do dever de segurança (Art. 29).
- Dá a cada controle reprovado uma correção específica e uma forma de verificá-lo de novo.
Perguntas frequentes
Coreia do Sul: quem supervisiona a proteção de dados?
Personal Information Protection Commission (PIPC) supervisiona a aplicação de Personal Information Protection Act (PIPA).
Korea PIPA: a notificação de violações é obrigatória?
A lei fixa um prazo de 72 horas para comunicar à autoridade uma violação de dados pessoais; por isso é preciso ter detecção e um processo de incidentes capazes de cumpri-lo.
Coreia do Sul: as transferências internacionais de dados são restritas?
Sim. A saída de dados pessoais da jurisdição é restrita, portanto confirme uma base legal de transferência antes de os dados saírem.
Korea PIPA: é preciso nomear um encarregado de proteção de dados?
Sim. A nomeação de um encarregado de proteção de dados é obrigatória.
Coreia do Sul: quais são as sanções por descumprimento?
Sanção administrativa de até 3% do faturamento total (excluídas receitas não relacionadas) por violações graves, inclusive ausência de medidas de segurança; sanções penais para os responsáveis; a notificação tardia pode gerar multa de até 30 milhões de KRW.