PIPA-ს სტრუქტურა 2023 წლის ცვლილებების შემდეგ

PIPA სამხრეთ კორეაში პერსონალური მონაცემების პირველადი კანონია, და შეცვლილი ვერსია საორიენტაციო წერტილია ნებისმიერი გამომცემლისთვის, რომელიც 2024 წლიდან მოქმედებს. 2023 წლამდელი ტექსტით მომუშავე გუნდები მოძველებულ ჩარჩოს ხედავენ.

რა შეიცვალა 2023 წლის ცვლილებებით

2023 წლის ცვლილებებმა რამდენიმე სტრუქტურული ცვლილება შეიტანა:

• გაანიჩება მონაცემთა კონტროლიორის ვალდებულებები ყველა სექტორში, გამოირიცხა ფრაგმენტული სქემა, რომელიც ადრე ინფორმაციისა და კომუნიკაციის მომსახურების მიმწოდებლებს სხვა კონტროლიორებისგან განსხვავებულად ეპყრობოდა
• ხელახლა მოეწყო საზღვარგარეთ გადაცემის ჩარჩო: გადავიდა გადაცემა-ზე-ცალ-ცალ-ექსპლიციტური-თანხმობიდან GDPR-ის მოდელთან ახლო ადეკვატურობისა და გარანტიების ნიმუშებზე
• შემოიღო მკაფიო უფლება — არ ექვემდებარებოდე მნიშვნელოვანი ეფექტის მომტანი სრულად ავტომატური გადაწყვეტილებებს — ადამიანური გადასინჯვის მოთხოვნის უფლებასთან ერთად
• სავალდებულო დარღვევის შეტყობინების ვადა 72 საათამდე შემცირდა, GDPR-ის სტანდარტის შესაბამისად
• ადმინისტრაციული ჯარიმის ჭერი სერიოზული დარღვევებისთვის მთლიანი შემოსავლის 3 პროცენტამდე გაიზარდა — დრამატული ზრდა ადრინდელ ლიმიტებთან შედარებით, რომლებიც სამართალდარღვეო საქმიანობის შემოსავალს ეყრდნობოდა

PIPC-ის როლი

PIPC არის გაერთიანებული მონაცემთა დაცვის ორგანო, რომლის უფლებამოსილება მოიცავს გამოძიებას, ჯარიმების დაკისრებას, გამასწორებელ განკარგულებებს და სამართლებრივი გადაწყვეტილებების საჯარო გამჟღავნებას. 2023 წლიდან ის ფუნქციონირებს კაბინეტის დონის ორგანოდ მნიშვნელოვნად გაფართოებული რესურსებით და ვიზუალურად უფრო აგრესიული სამართლებრივი პოზიციით.

ვის ვრცელდება რეგულაცია

PIPA ვრცელდება კორეელი მაცხოვრებლების პერსონალური ინფორმაციის ნებისმიერ დამუშავებაზე, კონტროლიორის ადგილმდებარეობის მიუხედავად. აშშ-ში დაფუძნებული გამომცემელი, რომელიც ლოკალიზებული საიტის მეშვეობით კორეელ მომხმარებლებს ემსახურება, ან პროგრამული მყიდველი, რომელიც კორეულ ინვენტარზე ლიცენზია, გამოიყენება. ეს ექსტრატერიტორიული სფერო PIPC-ის პრაქტიკაში კარგად არის დამკვიდრებული და 2023 წლიდან უცხოელი პლატფორმების წინააღმდეგ მრავალ სამართლებრივ ქმედებაში დადასტურებულია.

რა ითვლება პერსონალურ ინფორმაციად

PIPA-ს განმარტება ფართოა. პერსონალური ინფორმაცია მოიცავს ცოცხალი პირის ნებისმიერ ინფორმაციას, რომელიც შეიძლება პირდაპირ ან სხვა ინფორმაციასთან კომბინაციით ამ პირს აიდენტიფიციროს. PIPC-მა თანმიმდევრულად განიხილა ონლაინ იდენტიფიკატორების სრული სპექტრი — cookie-ები, სარეკლამო ID-ები, IP-მისამართები, მოწყობილობის თითის ანაბეჭდები და ქცევითი პროფილები — როგორც პერსონალური ინფორმაცია, როდესაც ისინი პირდაპირ ან გონივრული საშუალებებით შეიძლება პირს დაუკავშირდეს.

მგრძნობიარე ინფორმაცია

კორეული კანონი განსაზღვრავს მგრძნობიარე ინფორმაციის (민감정보) განსხვავებულ კატეგორიას, რომელიც უფრო მკაცრ თანხმობის მოთხოვნებს წარმოქმნის. ეს მოიცავს იდეოლოგიას, რწმენებს, პროფკავშირში ან პოლიტიკურ პარტიაში წევრობას, პოლიტიკურ შეხედულებებს, ჯანმრთელობას, სექსუალურ ცხოვრებას, გენეტიკურ მონაცემებს, იდენტიფიკაციისთვის გამოყენებულ ბიომეტრიულ მონაცემებს და სისხლის სამართლის ისტორიას. მგრძნობიარე ინფორმაციის დამუშავება მოითხოვს ცალკე, სპეციფიკურ თანხმობას — არა ჩაყრილ თანხმობას, რომელმაც შეიძლება ჩვეულებრივი პერსონალური ინფორმაცია მოიცვას.

უნიკალური საიდენტიფიკაციო ინფორმაცია

PIPA განსაზღვრავს დამატებით კატეგორიას — უნიკალური საიდენტიფიკაციო ინფორმაცია (고유식별정보), რომელიც მოიცავს მოსახლეობის სარეგისტრაციო ნომრებს, პასპორტის ნომრებს, მართვის მოწმობის ნომრებს და უცხოელის სარეგისტრაციო ნომრებს. ამის დამუშავება მკაცრად შეზღუდულია და, როგორც წესი, მარკეტინგის ან სარეკლამო მიზნებისთვის აკრძალულია.

რატომ აქვს ეს მნიშვნელობა Cookie-ებისთვის

Cookie, რომელიც მარტივ სესიის იდენტიფიკატორს ინახავს, ჩვეულებრივი პერსონალური ინფორმაციაა და ზოგადი თანხმობის სქემას ექვემდებარება. Cookie, რომელიც მგრძნობიარე კატეგორიებს — ჯანდაცვის ინტერესები, პოლიტიკური მიდრეკილებები, რელიგიური კუთვნილება — მომხმარებელთა სეგმენტს ქმნის, მგრძნობიარე ინფორმაციის ტერიტორიაზე გადადის და ცალკე, სპეციფიკური თანხმობის ნაკადი სჭირდება. გამომცემლებმა, რომლებიც PIPA-ს მგრძნობიარე სიასთან გადამკვეთ აუდიტორიებს მიზნად ისახავენ, ეს სეგმენტები ზოგადი სარეკლამო თანხმობის ქვეშ არ უნდა გაუშვან.

Cookie-ების თანხმობა PIPA-ს მიხედვით 2026 წელს

სამხრეთ კორეა მკაცრ opt-in თანხმობის მოდელს მიჰყვება. PIPC-ის პოზიცია cookie-ებთან დაკავშირებით თანმიმდევრული ყოფილა და 2024–2025 წლების მრავალი სამართლებრივი გადაწყვეტილებით არის დადასტურებული.

მოქმედი თანხმობის ხუთი ელემენტი

PIPA მოითხოვს, რომ არასაჭირო cookie-ებისა და მსგავსი ტექნოლოგიების თანხმობა:

• მიზნისთვის სპეციფიკური — ზოგადი ქოლგის თანხმობა მოქმედი არ არის, თითოეულ დამუშავების მიზანს სჭირდება საკუთარი თანხმობა
• ინფორმირებული — მომხმარებელი უნდა ესმოდეს, რა მონაცემები გროვდება, რატომ, ვინ იღებს და რამდენ ხანს
• ნებაყოფლობითი — უარი უნდა იყოს შესაძლებელი სერვისზე უარის გარეშე, რომელზეც მომხმარებელი სხვა შემთხვევაში უფლებამოსილია
• დადასტურებული მოქმედებით — წინასწარ მოტანილი ველები, ნაგულისხმევი თანხმობა და გადახვევა-თანხმობად ყველა მოქმედი არ არის
• ცალ-ცალკე თითოეული მიზნის კატეგორიისთვის — საჭირო, ანალიტიკური, სარეკლამო, პერსონალიზებული და საზღვარგარეთ გადაცემის თანხმობა თითოეულს სჭირდება ცალ-ცალკე შეგროვებული თანხმობა

შესაბამისი CMP-ის სახე

კორეული ტრაფიკისთვის 2026 წელს კონფიგურირებული CMP უნდა წარმოადგინოს:

• თვალსაჩინო ბანერი ნებისმიერი არასაჭირო cookie-ის ჩართვამდე, კორეელი მომხმარებლებისთვის კორეული (한국어) ენის ნაგულისხმევით
• ცალ-ცალკე მიღება, უარყოფა და მორგება ქმედებები თანაბარი ვიზუალური თვალსაჩინოებით — PIPC-მა კონკრეტულად დაასახელა ბანერის დიზაინები, სადაც უარყოფა ნაკლებად ჩანს, ვიდრე მიღება
• დეტალური კონტროლი მიზნის მიხედვით, საზღვარგარეთ გადაცემის ექსპლიციტური გადამრთველის ჩათვლით
• ცალკე, მკაფიოდ მონიშნული ნაკადი მგრძნობიარე ინფორმაციის დასამუშავებლად, საკუთარი ქმედების უკან გამოკეტილი
• მუდმივი, ადვილად საპოვი მექანიზმი თანხმობის გასაუქმებლად პირვანდელი არჩევანის შემდეგ
• კორეულენოვანი კონფიდენციალობის პოლიტიკა (개인정보 처리방침) სრული გამჟღავნებით

თანხმობის ჩანაწერები

კონტროლიორმა უნდა შეინახოს თანხმობის მტკიცებულება — ვინ დათანხმდა, როდის, რაზე, რომელი ინტერფეისის მეშვეობით. ექსპორტირებადი, დროის ბეჭდიანი თანხმობის ჟურნალები ბაზისური მოლოდინია, და არაადეკვატური თანხმობის ჩანაწერები PIPC-ის რამდენიმე სამართლებრივ ქმედებაში იქნა მითითებული.

საზღვარგარეთ გადაცემები 2023 წლის ცვლილებების შემდეგ

კორეის საზღვარგარეთ გადაცემის სქემა უფრო ფუნდამენტურად გადაეწყო, ვიდრე 2023 წლის შემდგომი თითქმის ნებისმიერი ეროვნული კონფიდენციალობის განახლება. ახალი ჩარჩოს გაგება 2026 წელს უცხოელი გამომცემლებისთვის ყველაზე დიდი შესაბამისობის ხარვეზია.

ახალი გადაცემის ჩარჩო

შეცვლილი PIPA ლეგიტიმური საზღვარგარეთ გადაცემისთვის ოთხ გზას ითვალისწინებს:

• PIPC-ის მიერ სამიზნე ქვეყნების ან სექტორებისთვის გამოცემული ადეკვატურობის გადაწყვეტილებები
• PIPC-ის მიერ აღიარებული სერტიფიკაციის სქემის ფარგლებში საზღვარგარეთ მიმღების სერტიფიკაცია
• PIPC-ის მიერ დამტკიცებული სტანდარტული ხელშეკრულებები, რომლებიც GDPR-ის სტანდარტული სახელშეკრულებო პირობების ანალოგიურად ფუნქციონირებს
• მონაცემთა სუბიექტის ცალ-ცალკე ექსპლიციტური თანხმობა კონკრეტული გადაცემისთვის, ნარჩენ მექანიზმად

რატომ აქვს ეს მნიშვნელობა

2023 წლის ცვლილებებამდე საზღვარგარეთ ნაკადების უმეტესობა მეოთხე გზაზე — გადაცემა-ზე-ცალ-ცალ-თანხმობაზე — ეყრდნობოდა, რამაც სქელი, კომპლექსური CMP-ები შექმნა და პროგრამული სტეკებისთვის შენარჩუნება გაართულა. 2023 წლის ჩარჩო კონტროლიორებს საშუალებას აძლევს სტანდარტულ ხელშეკრულებებს ან სერტიფიკაციას დაეყრდნონ, შეამციროს თანხმობის ტვირთი და საერთაშორისო პრაქტიკასთან გასწოროს. გამომცემლები, რომლებმაც ვენდორის კონტრაქტები PIPC-ის სტანდარტული ხელშეკრულებების მითითებით არ განაახლეს, ჯერ კიდევ ძველი სქემის ქვეშ მუშაობენ ნაგულისხმევი ჩაბარებით, რაც ახლა შესაბამისობის ვალდებულებაა და არა აქტივი.

2026 წლის პრაქტიკული მიდგომა

უცხოელი გამომცემლების უმეტესობა ახლა PIPC-ის სტანდარტულ ხელშეკრულებებს ასრულებს საზღვარგარეთ პროცესორებთან, კონფიდენციალობის პოლიტიკაში გადაცემის მექანიზმს აფიქსირებს, და ცალ-ცალ-გადაცემაზე-ცალ-ცალ-თანხმობა მხოლოდ კიდური შემთხვევებისთვის ინახავს. ეს განხორციელებადია, დასაცავია, და მნიშვნელოვნად უფრო მარტივია, ვიდრე ადრე იყო.

ავტომატური გადაწყვეტილებების მიღება და ალგორითმული გამჭვირვალობა

2023 წლის ცვლილებებმა შეიტანა უფლება — არ ექვემდებარებოდე მნიშვნელოვანი ეფექტის მომტანი სრულად ავტომატური გადაწყვეტილებებს — და ასეთი გადაწყვეტილებების ადამიანური გადასინჯვის მოთხოვნის უფლება. გამომცემლებისთვის ეს ყველაზე თვალსაჩინოდ ვრცელდება ალგორითმულ შინაარსის კურაციაზე, პერსონალიზებულ ფასწარმოქმნაზე და ნებისმიერ აუდიტორიის სამიზნეზე, რომელიც მნიშვნელოვან დიფერენციულ შედეგებს იძლევა.

გამჟღავნების ვალდებულებები

კონტროლიორებმა კონფიდენციალობის პოლიტიკაში უნდა გამოაჩინონ, რომ ავტომატური გადაწყვეტილებების მიღება გამოიყენება, აღწეროს ძირითადი ლოგიკა, და ახსნა შესაძლო მნიშვნელოვანი ეფექტები. ეს არ ნიშნავს საკუთრებრივი ალგორითმების გამჟღავნებას — მაგრამ მოითხოვს მნიშვნელოვან მარტივ ენოვან შეჯამებას, რომლის გაგებაც ჩვეულებრივ მომხმარებელს შეუძლია.

გადასინჯვის უფლება

მნიშვნელოვანი ავტომატური გადაწყვეტილებით დაზარალებულ მომხმარებლებს შეუძლიათ ადამიანური გადასინჯვის, გასწორების ან განმარტების მოთხოვნა. კონტროლიორმა ამ მოთხოვნისთვის არხი უნდა მიაწოდოს და PIPA-ს სტანდარტულ ვადებში გასცეს პასუხი.

მონაცემთა სუბიექტის უფლებები

PIPA ანიჭებს კორეული ჩარჩოს გამოყენებით ნაცნობ უფლებათა ჯგუფს:

• დამუშავების შესახებ ინფორმირების უფლება
• დამუშავებულ მონაცემებზე წვდომის უფლება
• უზუსტო მონაცემების გასწორების უფლება
• დამუშავების შეჩერების უფლება
• წაშლის უფლება, სადაც დამუშავება აღარ არის გამართლებული
• თანხმობის გაუქმების უფლება, ისევე მარტივად, როგორც ის გაიცა
• მნიშვნელოვანი ეფექტის მომტანი ავტომატური გადაწყვეტილებების მიღებაზე წინააღმდეგობის გამოხატვის უფლება
• PIPC-ში ჩივილის შეტანის უფლება

პასუხის ვადები

კონტროლიორები მონაცემთა სუბიექტის მოთხოვნების უმეტეს ნაწილს 10 დღის ვადაში უნდა გასცენ პასუხი, ერთხელ გასახანგრძლივებელი კიდევ 10 დღით შეტყობინებით — GDPR-ის 30-დღიან ფანჯარაზე მნიშვნელოვნად მკაცრი. ეს ერთ-ერთი ყველაზე გავრცელებული საოპერაციო ხარვეზია უცხოელი გამომცემლებისთვის, რომლებსაც ჩვეულებრივ GDPR-ის 30-დღიანი კადენსისთვის მოწყობილი ინსტრუმენტები და სამუშაო წიგნები აქვთ.

სანქციები და 2026 წლის სამართლებრივი პოზიცია

PIPC-ის სამართლებრივი საქმიანობა 2023 წლიდან მკვეთრად გაიზარდა, და 2025 წელს მის ისტორიაში ყველაზე დიდი ჯარიმები გამოიცა — რამდენიმე მათგანი უცხოელი პლატფორმებისა და გამომცემლების წინააღმდეგ.

ადმინისტრაციული ჯარიმები

2023 წლის ცვლილებებმა ყველაზე სერიოზული დარღვევებისთვის ჯარიმის ზედა ნიშნული მთლიანი შემოსავლის 3 პროცენტამდე გაიზარდა. თანხმობის, შეტყობინების, მონაცემთა უსაფრთხოების, დარღვევის შეტყობინებისა და საზღვარგარეთ გადაცემის ირგვლივ ჩავარდნებისთვის დაბალ დონის ჯარიმები ვრცელდება. PIPC 2025 წელს მზად იყო გამოეყენებინა ზედა ნიშნული, რაც ადრე მისი ჩვეული ქცევა არ ყოფილა.

სისხლისსამართლებრივი პასუხისმგებლობა

PIPA სისხლისსამართლებრივ სასჯელებს — მათ შორის პატიმრობას — ითვალისწინებს ყველაზე გამეფილი დარღვევებისთვის, მაგ. პერსონალური ინფორმაციის უკანონო გაყიდვა ან განზრახი ფართომასშტაბიანი დარღვევები. ეს იშვიათია, მაგრამ რეალური, და 2025 წლის საქმეებში გამოყენებული იქნა.

სამართლებრივი თემები

PIPC-ის 2025 წლის ქმედებები განმეორებადი საკითხების ირგვლივ ჯგუფდება: არაადეკვატური ან ბუნდოვანი თანხმობის ბანერები, საზღვარგარეთ გადაცემები 2023 წლის შემდგომი ვალიდური მექანიზმის გარეშე, არასაკმარისი დარღვევის შეტყობინება, და 10-დღიანი ფანჯარის ფარგლებში მონაცემთა სუბიექტის უფლებების შეუსრულებლობა. უცხოელი გამომცემლები ყველა ოთხ კატეგორიაში დასახელდნენ.

2026 წლის კორეული ტრაფიკის აუდიტის სია

• CMP ბანერი კორეულ (한국어) ენაზე გეგმავდება მიღება, უარყოფა და მორგება თანაბარი ვიზუალური თვალსაჩინოებით
• თანხმობის მიზნები დეტალურია და მგრძნობიარე ინფორმაციის ნებისმიერი დამუშავება საკუთარი სპეციფიკური თანხმობის ნაკადის უკან გამოიყოფა
• საზღვარგარეთ გადაცემები PIPC-ის სტანდარტულ ხელშეკრულებაზე, სერტიფიკაციაზე ან ადეკვატურობაზეა დაფუძნებული — და არა ძველ გადაცემა-ზე-ცალ-ცალ-თანხმობაზე
• კონფიდენციალობის პოლიტიკა (개인정보 처리방침) კორეულ ენაზეა ხელმისაწვდომი პროცესორების, მიზნების, შენახვისა და უფლებების სრული გამჟღავნებით, ავტომატური გადაწყვეტილებების ლოგიკის ჩათვლით, სადაც გამოიყენება
• თანხმობის ჟურნალები დროის ბეჭდიანია, ექსპორტირებადია, და სულ ცოტა დამუშავების ვადის პლუს სარევიზიო მარჟისთვის ინახება
• მონაცემთა სუბიექტის მოთხოვნის სამუშაო ნაკადი 10 დღის ვადაში, კორეულ ენაზე პასუხის გაცემას ახერხებს
• დარღვევის შეტყობინების პროტოკოლი PIPC-ის 72-საათიანი ფანჯრისთვის მოწყობილია
• ავტომატური გადაწყვეტილებების მიღების გამჟღავნებები კონფიდენციალობის პოლიტიკაშია, სადაც ასეთი სისტემებით მნიშვნელოვანი გადაწყვეტილებები მიიღება
• ვენდორის სია საჭიროების თვალსაზრისით გადაიხედა, გამოუყენებელი ან ზედმეტი ვენდორები ამოღებული

2026 წლის პერსპექტივა

სამხრეთ კორეის კონფიდენციალობის სქემა დაწინაურდა აზიაში ქაღალდზე ყველაზე მკაცრ ჩარჩოთა შორის ერთ-ერთიდან გლობალურად სამართლებრივად ყველაზე მკაცრ სქემათა შორის ერთ-ერთამდე. 2023 წლის ცვლილებებმა მოხსნა სტრუქტურული ბლოკები, რამაც შესაბამისობა ძვირი გახადა, და PIPC-მა შემდგომი ორი წელი კანონის სხვა ნაწილების სამართლებრივ მექანიზმზე გამოიყენა. GDPR-ის კლასის თანხმობის სტეკის მქონე გამომცემლებს კორეისთვის მზადყოფნისთვის შედარებით მცირე კორექტირება სჭირდებათ: კორეულ ენოვანი CMP და პოლიტიკა, საზღვარგარეთ ნაკადებისთვის PIPC-ის სტანდარტული ხელშეკრულებები, 10-დღიანი პასუხის კადენსი, და მგრძნობიარე ინფორმაციის სიაზე სიფრთხილე. გამომცემლები, რომლებიც ჯერ კიდევ კორეას მსუბუქ ბაზრად ეპყრობიან, 2026 და 2027 წლებს ადრინდელ წლებზე მნიშვნელოვნად ძვირფასად ნახავენ. კარგი ამბავია, რომ ხარვეზი ოპერაციული და არა არქიტექტურულია, და პრიორიტეტების სწორად განსაზღვრის შემთხვევაში კვირებში შეიძლება დაიხუროს.