Page traduite et vérifiée automatiquement. La version anglaise fait foi. Certaines parties restent en anglais le temps que leur traduction soit vérifiée. Voir en anglais · Signaler une erreur de traduction
Réglementations › Reste du monde › Corée du Sud
PIPA
Loi sur la protection des informations personnelles
QuandEn vigueur depuis le 30 septembre 2011
Qui en assure l’applicationCommission de protection des informations personnelles (PIPC)
À qui elle s’appliqueTous les responsables du traitement d’informations personnelles publics et privés, y compris les entreprises étrangères qui servent des utilisateurs coréens (lesquelles peuvent devoir désigner un représentant local).
Informer le régulateurSignaler à la PIPC dans un délai de 72 heures lorsque 1,000+ personnes, des identifiants sensibles ou uniques, ou un accès exter…
DPO requisChaque responsable du traitement doit désigner un responsable en chef de la protection de la vie privée
EnregistrementLes institutions publiques doivent enregistrer leurs fichiers d’informations personnelles auprès de la PIPC ; aucun enregistrement po…
Transferts à l’étrangerLe transfert à l’étranger nécessite un consentement distinct, une base légale, une nécessité contractuelle avec information,…
Délai de réponse aux demandesL’accès doit être accordé dans un délai de 10 jours à compter de la réception de la demande
Amende maximalePénalité financière jusqu’à 3% du chiffre d’affaires total (hors chiffre d’affaires sans lien avec l’infraction)
Every requirement we score, with the rule in plain words and the section it comes from. Darker means more demanding. See every law side by side →
Portée et base légale
Portée extraterritoriale
2
No express territorial clause, but foreign controllers meeting Decree thresholds without a Korean address must designate a domestic agent; PIPC applies the Act to services targeting Koreans.Art. 31-2 · source ↗
Extraterritorial reach rests on the domestic-agent rule and PIPC practice, not an explicit scope article.
Base légale
1
Consent, law, public duties, contract, vital interests, legitimate interests that clearly override data subject rights, and urgent public safety.Art. 15(1) · source ↗
Consentement
3
Consent must be requested in a clearly recognizable way, item by item and separately, with key matters clearly marked in written consent.Art. 22 · source ↗
Données sensibles
2
Sensitive data (beliefs, union, politics, health, sex life, etc.) may be processed only with separate consent or where law requires or permits.Art. 23 · source ↗
Droits des personnes
Droits
3
Access, portability (transmission), correction, erasure, suspension of processing, and the right to object to or seek explanation of automated decisions.Arts. 35, 35-2, 36, 37, 37-2 · source ↗
Délai de réponse aux demandes
3
Access must be granted within 10 days of receiving the request.Art. 35(3); Enforcement Decree Art. 41(4) · secondary source · source ↗
Decree text read via Prighter reproduction of the Enforcement Decree.
Marketing
2
Electronic advertising requires the recipient's prior explicit opt-in consent.Network Act Art. 50 · secondary source · source ↗
Article number not stated by source; from memory.
Gouvernance
DPO requis
3
Every controller must designate a chief privacy officer; small businesses default to the owner or representative.Art. 31 · source ↗
Amendment passed 12 Feb 2026, in force 11 Sep 2026 (per DLA Piper). Certain organizations must now report CPO designation to PIPC.
Qualifications du DPO
2
Large controllers (revenue KRW 150bn+ plus volume thresholds) need a CPO with 3+ years privacy and 6+ years combined privacy/IT experience.Art. 31; Enforcement Decree Art. 32 · secondary source · source ↗
Decree article number not verified this session.
Enregistrement
1
Public institutions must register personal information files with the PIPC; no registration for private controllers.Art. 32 · source ↗
DPIA
1
Mandatory for public institutions with high-risk files; private controllers should endeavor to conduct one.Art. 33 · source ↗
Scored 1 for private-sector organizations.
Registres
1
Public institution file registration and privacy policy disclosures; no general ROPA for private controllers.Arts. 30, 32 · source ↗
Conservation
2
Destroy personal information without delay once the retention period ends or the purpose is achieved.Art. 21 · source ↗
Enforcement Decree sets a 5-day destruction window (not verified this session).
Violations
Informer le régulateur
2
Report to PIPC within 72 hours where 1,000+ persons, sensitive or unique identifiers, or external hacking are involved.Art. 34(3); Enforcement Decree Art. 40 · secondary source · source ↗
72-hour figure from DLA Piper. Amendment passed 12 Feb 2026, in force 11 Sep 2026 (per DLA Piper). Trigger now includes the possibility of a breach and forgery or alteration.
Information des personnes
3
Notify affected data subjects of any leak within 72 hours of becoming aware.Art. 34(1); Enforcement Decree Art. 39 · secondary source · source ↗
Act says 'without delay'; 72 hours from Decree per DLA Piper.
Transferts
Transferts à l’étranger
2
Transfer abroad needs separate consent, a statutory basis, contract necessity with disclosure, a certified recipient, or a PIPC-recognized country.Art. 28-8 · source ↗
PIPC may order suspension of transfers (Art. 28-9).
Localisation
1
No general localization; sectoral limits exist (e.g. map data, some financial data).None in PIPA · secondary source · source ↗
Application
Amende maximale
3
Penalty surcharge up to 3% of total revenue (excluding unrelated revenue); up to 10% for repeat, mass (10m+) or post-order breaches.Art. 64-2 · secondary source · source ↗
Amendment passed 12 Feb 2026, in force 11 Sep 2026 (per DLA Piper). Transition rules apply to the 10% ceiling.
Responsabilité pénale
2
Imprisonment up to 5 years (some offenses 10 years) for unlawful provision or use; corporate joint penalties.Arts. 70-74 · secondary source · source ↗
Max terms from DLA Piper; article mapping not re-verified.
Action privée
3
Damages with reversed burden of proof, up to 5x for intentional or negligent leaks, statutory damages up to KRW 3 million, and group suits.Arts. 39, 39-2, 51 · source ↗
Scores are our reading on the published rubric, checked 18 October 2026. Not legal advice.
Bibliothèque des réglementations
Toutes les lois des États américains sur la vie privée, sur une seule carte
24 États disposent d’une loi générale sur la vie privée dans la bibliothèque, aux côtés des lois de l’UE, du Royaume-Uni, des lois fédérales américaines et des lois du reste du monde : 102 au total, chacune expliquée en termes simples avec ses sources. Sélectionnez un État pour voir ce qui s’y applique.
- En vigueur
- Entrée en vigueur prochaine
- Lois sectorielles