โครงสร้างของ PIPA หลังการแก้ไขปี 2023

PIPA คือกฎหมายข้อมูลส่วนบุคคลหลักของเกาหลีใต้ และเวอร์ชันที่ได้รับการแก้ไขคือจุดอ้างอิงสำหรับผู้เผยแพร่ทุกรายที่ดำเนินงานตั้งแต่ปี 2024 เป็นต้นไป ทีมงานที่ทำงานจากข้อความก่อนปี 2023 กำลังดูกรอบที่ล้าสมัยอยู่

สิ่งที่การแก้ไขปี 2023 เปลี่ยนแปลง

การแก้ไขปี 2023 ได้ทำการเปลี่ยนแปลงโครงสร้างหลายประการ:

• รวมภาระหน้าที่ของผู้ควบคุมข้อมูลในทุกภาคส่วน โดยขจัดระบอบที่แตกต่างกันซึ่งก่อนหน้านี้ปฏิบัติต่อผู้ให้บริการสื่อสารและข้อมูลต่างจากผู้ควบคุมรายอื่น
• ปรับโครงสร้างกรอบการถ่ายโอนข้ามพรมแดนให้ห่างออกจากความยินยอมอย่างชัดแจ้งต่อการถ่ายโอนแต่ละครั้ง ไปสู่รูปแบบความเพียงพอและมาตรการป้องกันที่ใกล้เคียงกับโมเดล GDPR มากขึ้น
• กำหนดสิทธิ์ที่ชัดเจนในการไม่ตกอยู่ภายใต้การตัดสินใจที่เป็นอัตโนมัติอย่างสมบูรณ์ซึ่งก่อให้เกิดผลกระทบอย่างมีนัยสำคัญ พร้อมสิทธิ์ในการขอทบทวนโดยมนุษย์
• กำหนดระยะเวลาการแจ้งเตือนการละเมิดข้อมูลบังคับให้เหลือ 72 ชั่วโมง ซึ่งสอดคล้องกับมาตรฐาน GDPR
• ยกเพดานค่าปรับทางปกครองขึ้นเป็น สูงสุดร้อยละ 3 ของรายได้รวม สำหรับการละเมิดร้ายแรง ซึ่งเพิ่มขึ้นอย่างมากจากเพดานเดิมที่ผูกติดกับรายได้จากกิจกรรมที่ละเมิด

บทบาทของ PIPC

PIPC คือหน่วยงานคุ้มครองข้อมูลที่รวมศูนย์ มีอำนาจครอบคลุมการสืบสวน การกำหนดค่าปรับ คำสั่งแก้ไข และการเปิดเผยต่อสาธารณะเกี่ยวกับการตัดสินใจบังคับใช้ นับตั้งแต่ปี 2023 ได้ดำเนินงานในฐานะองค์กรระดับคณะรัฐมนตรีพร้อมทรัพยากรที่ขยายออกอย่างมีความหมายและท่าทีการบังคับใช้ที่แข็งกร้าวขึ้นอย่างเห็นได้ชัด

ใครบ้างที่ต้องปฏิบัติตาม

PIPA ใช้บังคับกับการประมวลผลข้อมูลส่วนบุคคลของผู้อยู่อาศัยในเกาหลีทุกประการ โดยไม่คำนึงถึงสถานที่ตั้งของผู้ควบคุม ผู้เผยแพร่ที่ตั้งอยู่ในสหรัฐอเมริกาที่ให้บริการแก่ผู้ใช้เกาหลีผ่านเว็บไซต์ที่ปรับให้เหมาะกับท้องถิ่น หรือผู้ซื้อแบบ programmatic ที่เสนอราคาบนพื้นที่โฆษณาของเกาหลี ล้วนอยู่ในขอบเขต การครอบคลุมนอกอาณาเขตนี้ได้รับการยืนยันในการปฏิบัติของ PIPC และได้รับการเสริมสร้างในหลายการดำเนินการบังคับใช้ต่อแพลตฟอร์มต่างชาตินับตั้งแต่ปี 2023

อะไรที่นับเป็นข้อมูลส่วนบุคคล

คำนิยามของ PIPA นั้นกว้างขวาง ข้อมูลส่วนบุคคลรวมถึงข้อมูลใด ๆ เกี่ยวกับบุคคลที่มีชีวิตที่สามารถระบุตัวตนของบุคคลนั้นได้ ไม่ว่าจะโดยตรงหรือโดยการรวมกับข้อมูลอื่น PIPC ได้ปฏิบัติต่อตัวระบุออนไลน์ทั้งหมดอย่างสม่ำเสมอ ทั้งคุกกี้ รหัสโฆษณา ที่อยู่ IP ลายนิ้วมือของอุปกรณ์ และโปรไฟล์พฤติกรรม ว่าเป็นข้อมูลส่วนบุคคลเมื่อสามารถเชื่อมโยงกับบุคคลได้โดยตรงหรือด้วยวิธีที่สมเหตุสมผล

ข้อมูลที่มีความอ่อนไหว

กฎหมายเกาหลีกำหนดหมวดหมู่เฉพาะของ ข้อมูลที่มีความอ่อนไหว (민감정보) ที่กระตุ้นข้อกำหนดความยินยอมที่เข้มงวดขึ้น ซึ่งรวมถึงอุดมการณ์ ความเชื่อ การเป็นสมาชิกสหภาพแรงงานหรือพรรคการเมือง ความคิดเห็นทางการเมือง สุขภาพ ชีวิตทางเพศ ข้อมูลทางพันธุกรรม ข้อมูลไบโอเมตริกซ์ที่ใช้เพื่อการระบุตัวตน และประวัติอาชญากรรม การประมวลผลข้อมูลที่มีความอ่อนไหวต้องได้รับความยินยอมแยกต่างหากและเฉพาะเจาะจง ไม่ใช่ความยินยอมแบบรวมที่อาจครอบคลุมข้อมูลส่วนบุคคลทั่วไป

ข้อมูลการระบุตัวตนที่เป็นเอกลักษณ์

PIPA แยกหมวดหมู่เพิ่มเติม คือ ข้อมูลการระบุตัวตนที่เป็นเอกลักษณ์ (고유식별정보) ซึ่งรวมถึงหมายเลขทะเบียนราษฎร หมายเลขหนังสือเดินทาง หมายเลขใบขับขี่ และหมายเลขทะเบียนชาวต่างชาติ การประมวลผลข้อมูลเหล่านี้ถูกจำกัดอย่างเข้มงวดและโดยทั่วไปถูกห้ามสำหรับวัตถุประสงค์ทางการตลาดหรือโฆษณา

ทำไมสิ่งนี้จึงสำคัญสำหรับคุกกี้

คุกกี้ที่จัดเก็บตัวระบุ session อย่างง่ายเป็นข้อมูลส่วนบุคคลทั่วไปและอยู่ภายใต้ระบอบความยินยอมทั่วไป คุกกี้ที่ป้อนข้อมูลกลุ่มเป้าหมายที่แตะหมวดหมู่อ่อนไหว ทั้งความสนใจด้านสุขภาพ แนวโน้มทางการเมือง ความสัมพันธ์ทางศาสนา จะเข้าสู่อาณาเขตของข้อมูลที่มีความอ่อนไหวและต้องการขั้นตอนความยินยอมแบบแยกต่างหากและเฉพาะเจาะจง ผู้เผยแพร่ที่กำหนดเป้าหมายกลุ่มเป้าหมายที่ซ้อนทับกับรายการข้อมูลอ่อนไหวของ PIPA ไม่ควรเรียกใช้กลุ่มเหล่านั้นภายใต้ความยินยอมโฆษณาทั่วไป

ความยินยอมคุกกี้ภายใต้ PIPA ในปี 2026

เกาหลีใต้ปฏิบัติตามโมเดลความยินยอม opt-in อย่างเข้มงวด จุดยืนของ PIPC เกี่ยวกับคุกกี้นั้นสอดคล้องกันและได้รับการยืนยันโดยการตัดสินใจบังคับใช้หลายครั้งตลอดปี 2024 และ 2025

ห้าองค์ประกอบของความยินยอมที่ถูกต้อง

PIPA กำหนดให้ความยินยอมสำหรับคุกกี้ที่ไม่จำเป็นและเทคโนโลยีที่คล้ายกันต้องเป็น:

• เฉพาะเจาะจงตามวัตถุประสงค์ — ความยินยอมแบบครอบคลุมทั่วไปไม่ถูกต้อง แต่ละวัตถุประสงค์การประมวลผลต้องการความยินยอมของตัวเอง
• ได้รับแจ้งข้อมูล — ผู้ใช้ต้องเข้าใจว่ามีการเก็บรวบรวมข้อมูลอะไร เพราะเหตุใด ใครรับข้อมูล และเป็นระยะเวลาเท่าใด
• เป็นไปโดยสมัครใจ — ต้องสามารถปฏิเสธได้โดยไม่ถูกปฏิเสธบริการที่ผู้ใช้มีสิทธิ์ได้รับ
• แสดงโดยการกระทำเชิงบวก — ช่องทำเครื่องหมายที่เลือกไว้ล่วงหน้า ความยินยอมโดยนัย และการเลื่อนหน้าจอในฐานะความยินยอมล้วนไม่ถูกต้อง
• แยกต่างหากสำหรับแต่ละหมวดหมู่วัตถุประสงค์ — ที่จำเป็น การวิเคราะห์ การโฆษณา การปรับให้เป็นส่วนตัว และการถ่ายโอนข้ามพรมแดน แต่ละอย่างต้องการความยินยอมที่รวบรวมแยกต่างหากของตัวเอง

CMP ที่สอดคล้องหน้าตาเป็นอย่างไร

CMP ที่กำหนดค่าสำหรับทราฟฟิกเกาหลีในปี 2026 ควรแสดง:

• แบนเนอร์ที่มองเห็นได้ก่อนที่คุกกี้ที่ไม่จำเป็นจะทำงาน โดยตั้งค่าเริ่มต้นเป็นภาษาเกาหลี (한국어) สำหรับผู้ใช้เกาหลี
• การกระทำ ยอมรับ ปฏิเสธ และกำหนดเอง แยกต่างหากพร้อมความโดดเด่นทางภาพที่เท่ากัน โดย PIPC ได้อ้างถึงการออกแบบแบนเนอร์โดยเฉพาะที่ปฏิเสธนั้นมองเห็นได้น้อยกว่ายอมรับ
• การควบคุมแบบละเอียดต่อวัตถุประสงค์ รวมถึงสวิตช์ที่ชัดเจนสำหรับการถ่ายโอนข้ามพรมแดน
• ขั้นตอนแยกต่างหากที่มีป้ายกำกับชัดเจนสำหรับการประมวลผลข้อมูลที่มีความอ่อนไหว ซึ่งถูกล็อคไว้หลังการกระทำของตัวเอง
• กลไกถาวรที่หาได้ง่ายเพื่อถอนความยินยอมหลังจากการเลือกครั้งแรก
• นโยบายความเป็นส่วนตัวภาษาเกาหลี (개인정보 처리방침) พร้อมการเปิดเผยข้อมูลครบถ้วน

บันทึกความยินยอม

ผู้ควบคุมต้องเก็บรักษาหลักฐานความยินยอม ทั้งผู้ที่ให้ความยินยอม เมื่อใด สำหรับอะไร ผ่านอินเทอร์เฟซใด บันทึกความยินยอมที่ส่งออกได้และมีการประทับเวลาคือความคาดหวังพื้นฐาน และบันทึกความยินยอมที่ไม่เพียงพอได้รับการอ้างถึงในการดำเนินการบังคับใช้ของ PIPC หลายครั้ง

การถ่ายโอนข้ามพรมแดนหลังการแก้ไขปี 2023

ระบอบการถ่ายโอนข้ามพรมแดนของเกาหลีได้รับการปรับโครงสร้างอย่างละเอียดกว่าการอัปเดตความเป็นส่วนตัวระดับชาติอื่น ๆ หลังปี 2023 แทบทุกฉบับ การทำความเข้าใจกรอบใหม่คือช่องว่างการปฏิบัติตามที่ใหญ่ที่สุดเพียงอย่างเดียวสำหรับผู้เผยแพร่ต่างชาติในปี 2026

กรอบการถ่ายโอนใหม่

PIPA ที่แก้ไขแล้วมีเส้นทางสี่ทางสำหรับการถ่ายโอนข้ามพรมแดนที่ถูกต้องตามกฎหมาย:

• การตัดสินใจด้านความเพียงพอ ที่ออกโดย PIPC สำหรับประเทศหรือภาคส่วนปลายทาง
• การรับรอง ผู้รับต่างชาติภายใต้โครงการรับรองที่ PIPC รับรอง
• สัญญามาตรฐาน ที่ได้รับการอนุมัติจาก PIPC ซึ่งทำงานคล้ายคลึงกับข้อกำหนดสัญญามาตรฐานของ GDPR
• ความยินยอมอย่างชัดแจ้งแยกต่างหาก จากเจ้าของข้อมูลสำหรับการถ่ายโอนเฉพาะ เป็นกลไกสำรองสุดท้าย

ทำไมสิ่งนี้จึงสำคัญ

ก่อนการแก้ไขปี 2023 กระแสข้ามพรมแดนส่วนใหญ่อาศัยเส้นทางที่สี่ ซึ่งก็คือความยินยอมต่อการถ่ายโอน ซึ่งก่อให้เกิด CMP ที่หนาและซับซ้อนและยากต่อการบำรุงรักษาสำหรับ stack แบบ programmatic กรอบปี 2023 ให้ผู้ควบคุมพึ่งพาสัญญามาตรฐานหรือการรับรองได้ ลดภาระความยินยอมและสอดคล้องกับแนวปฏิบัติสากล ผู้เผยแพร่ที่ไม่ได้อัปเดตสัญญาผู้จำหน่ายเพื่ออ้างอิงสัญญามาตรฐานของ PIPC ยังคงดำเนินงานภายใต้ระบอบเก่าโดยค่าเริ่มต้น ซึ่งขณะนี้เป็นภาระผูกพันการปฏิบัติตามมากกว่าสินทรัพย์

แนวทางปฏิบัติปี 2026

ผู้เผยแพร่ต่างชาติส่วนใหญ่ขณะนี้กำลังดำเนินการสัญญามาตรฐานของ PIPC กับผู้ประมวลผลต่างชาติ บันทึกกลไกการถ่ายโอนในนโยบายความเป็นส่วนตัว และเก็บความยินยอมแยกต่างหากต่อการถ่ายโอนไว้เป็นเพียงทางเลือกสำรองสำหรับกรณีพิเศษเท่านั้น สิ่งนี้ใช้งานได้จริง สามารถปกป้องได้ และง่ายกว่าสิ่งที่ผ่านมาอย่างมีความหมาย

การตัดสินใจอัตโนมัติและความโปร่งใสของอัลกอริธึม

การแก้ไขปี 2023 ได้กำหนดสิทธิ์ที่จะไม่ตกอยู่ภายใต้การตัดสินใจที่เป็นอัตโนมัติอย่างสมบูรณ์ซึ่งก่อให้เกิดผลกระทบอย่างมีนัยสำคัญ และสิทธิ์ในการขอทบทวนโดยมนุษย์สำหรับการตัดสินใจดังกล่าว สำหรับผู้เผยแพร่ สิ่งนี้ใช้บังคับได้อย่างเห็นได้ชัดที่สุดกับการคัดเลือกเนื้อหาด้วยอัลกอริธึม การกำหนดราคาเฉพาะบุคคล และการกำหนดเป้าหมายกลุ่มเป้าหมายใด ๆ ที่ก่อให้เกิดผลลัพธ์เชิงความแตกต่างอย่างมีนัยสำคัญ

ภาระหน้าที่การเปิดเผยข้อมูล

ผู้ควบคุมต้องเปิดเผยในนโยบายความเป็นส่วนตัวว่ามีการใช้การตัดสินใจอัตโนมัติ อธิบายตรรกะพื้นฐาน และอธิบายผลกระทบสำคัญที่อาจเกิดขึ้น ซึ่งไม่ได้หมายความว่าต้องเปิดเผยอัลกอริธึมที่เป็นกรรมสิทธิ์ แต่ต้องมีสรุปที่มีความหมายในภาษาธรรมดาที่ผู้ใช้ทั่วไปสามารถเข้าใจได้

สิทธิ์ในการทบทวน

ผู้ใช้ที่ได้รับผลกระทบจากการตัดสินใจอัตโนมัติที่มีนัยสำคัญสามารถขอทบทวนโดยมนุษย์ การแก้ไข หรือคำอธิบายได้ ผู้ควบคุมต้องจัดให้มีช่องทางสำหรับคำขอนี้และตอบสนองภายในกรอบเวลามาตรฐานของ PIPA

สิทธิ์ของเจ้าของข้อมูล

PIPA มอบกลุ่มสิทธิ์ที่คุ้นเคยที่ใช้ผ่านกรอบเกาหลี:

• สิทธิ์ในการรับแจ้งข้อมูลเกี่ยวกับการประมวลผล
• สิทธิ์ในการเข้าถึงข้อมูลที่ประมวลผล
• สิทธิ์ในการแก้ไขข้อมูลที่ไม่ถูกต้อง
• สิทธิ์ในการระงับการประมวลผล
• สิทธิ์ในการลบเมื่อการประมวลผลไม่มีความชอบธรรมอีกต่อไป
• สิทธิ์ในการถอนความยินยอมได้ง่ายพอ ๆ กับที่ให้ไว้
• สิทธิ์ในการคัดค้านการตัดสินใจอัตโนมัติที่ก่อให้เกิดผลกระทบอย่างมีนัยสำคัญ
• สิทธิ์ในการร้องเรียนต่อ PIPC

กรอบเวลาการตอบสนอง

ผู้ควบคุมต้องตอบสนองต่อคำขอส่วนใหญ่ของเจ้าของข้อมูลภายใน 10 วัน สามารถขยายได้ครั้งหนึ่งอีก 10 วันพร้อมแจ้งเตือน ซึ่งเข้มงวดกว่าหน้าต่าง 30 วันของ GDPR อย่างมีนัยสำคัญ นี่คือหนึ่งในช่องว่างการปฏิบัติการที่พบบ่อยกว่าสำหรับผู้เผยแพร่ต่างชาติ ซึ่งโดยปกติมีเครื่องมือและคู่มือปฏิบัติการที่ปรับให้เหมาะกับจังหวะ 30 วันของ GDPR

บทลงโทษและท่าทีการบังคับใช้ในปี 2026

กิจกรรมการบังคับใช้ของ PIPC ได้เพิ่มขึ้นอย่างรวดเร็วนับตั้งแต่ปี 2023 และปี 2025 ให้ค่าปรับที่ใหญ่ที่สุดในประวัติศาสตร์ของตน หลายรายการเป็นแพลตฟอร์มต่างชาติและผู้เผยแพร่

ค่าปรับทางปกครอง

การแก้ไขปี 2023 ยกระดับชั้นค่าปรับสูงสุดเป็น สูงสุดร้อยละ 3 ของรายได้รวม สำหรับการละเมิดร้ายแรงที่สุด ค่าปรับชั้นล่างใช้บังคับกับความล้มเหลวด้านความยินยอม การแจ้งเตือน ความปลอดภัยของข้อมูล การแจ้งเตือนการละเมิด และการถ่ายโอนข้ามพรมแดน PIPC ยินดีใช้ชั้นบนสุดในปี 2025 ซึ่งไม่ใช่รูปแบบทางประวัติศาสตร์ของตน

ความรับผิดทางอาญา

PIPA มีบทลงโทษทางอาญา รวมถึงการจำคุก สำหรับการละเมิดที่ร้ายแรงที่สุด เช่น การขายข้อมูลส่วนบุคคลอย่างผิดกฎหมายหรือการละเมิดขนาดใหญ่โดยเจตนา สิ่งเหล่านี้หายาก แต่เป็นความจริงและได้รับการอ้างถึงในคดีปี 2025

ธีมการบังคับใช้

การดำเนินการปี 2025 ของ PIPC รวมกลุ่มกันในประเด็นที่เกิดซ้ำ ได้แก่ แบนเนอร์ความยินยอมที่ไม่เพียงพอหรือคลุมเครือ การถ่ายโอนข้ามพรมแดนโดยไม่มีกลไกที่ถูกต้องหลังปี 2023 การแจ้งเตือนการละเมิดที่ไม่เพียงพอ และความล้มเหลวในการปฏิบัติตามสิทธิ์ของเจ้าของข้อมูลภายในหน้าต่าง 10 วัน ผู้เผยแพร่ต่างชาติได้รับการอ้างถึงในทั้งสี่หมวดหมู่

รายการตรวจสอบการตรวจสอบสำหรับทราฟฟิกเกาหลีในปี 2026

• แบนเนอร์ CMP ให้บริการเป็นภาษาเกาหลี (한국어) พร้อมยอมรับ ปฏิเสธ และกำหนดเองในระดับความโดดเด่นทางภาพที่เท่ากัน
• วัตถุประสงค์ความยินยอมมีรายละเอียดและแยกการประมวลผลข้อมูลที่มีความอ่อนไหวใด ๆ ไว้หลังขั้นตอนความยินยอมเฉพาะของตัวเอง
• การถ่ายโอนข้ามพรมแดนอาศัยสัญญามาตรฐานของ PIPC การรับรอง หรือความเพียงพอ ไม่ใช่ความยินยอมแบบเก่าต่อการถ่ายโอน
• นโยบายความเป็นส่วนตัว (개인정보 처리방침) มีให้ในภาษาเกาหลีพร้อมการเปิดเผยข้อมูลผู้ประมวลผล วัตถุประสงค์ การเก็บรักษา และสิทธิ์อย่างครบถ้วน รวมถึงตรรกะการตัดสินใจอัตโนมัติในกรณีที่เกี่ยวข้อง
• บันทึกความยินยอมมีการประทับเวลา ส่งออกได้ และเก็บรักษาไว้อย่างน้อยตลอดระยะเวลาการประมวลผลบวกกับระยะขอบที่ตรวจสอบได้
• เวิร์กโฟลว์คำขอของเจ้าของข้อมูลสามารถตอบสนองภายใน 10 วันตั้งแต่ต้นจนจบ ในภาษาเกาหลี
• คู่มือปฏิบัติการแจ้งเตือนการละเมิดได้รับการปรับให้เข้ากับหน้าต่าง 72 ชั่วโมงของ PIPC
• การเปิดเผยข้อมูลการตัดสินใจอัตโนมัติอยู่ในนโยบายความเป็นส่วนตัวซึ่งมีการตัดสินใจที่สำคัญโดยใช้ระบบดังกล่าว
• รายชื่อผู้จำหน่ายได้รับการทบทวนเพื่อความจำเป็น โดยนำผู้จำหน่ายที่ไม่ได้ใช้หรือซ้ำซ้อนออก

แนวโน้มปี 2026

ระบอบความเป็นส่วนตัวของเกาหลีใต้ได้พัฒนาจากหนึ่งในกรอบที่เข้มงวดในทางทฤษฎีในเอเชียไปสู่หนึ่งในระบอบที่เข้มงวดในการบังคับใช้จริงในระดับโลก การแก้ไขปี 2023 ขจัดอุปสรรคโครงสร้างที่ทำให้การปฏิบัติตามมีค่าใช้จ่ายสูง และ PIPC ได้ใช้สองปีที่ผ่านมาเพื่อมุ่งเน้นการบังคับใช้กฎหมายส่วนที่เหลือ ผู้เผยแพร่ที่มี stack ความยินยอมระดับ GDPR ต้องการการปรับเปลี่ยนค่อนข้างน้อยเพื่อให้พร้อมสำหรับเกาหลี ได้แก่ CMP และนโยบายในภาษาเกาหลี สัญญามาตรฐานของ PIPC สำหรับกระแสข้ามพรมแดน จังหวะการตอบสนอง 10 วัน และความระมัดระวังกับรายการข้อมูลที่มีความอ่อนไหว ผู้เผยแพร่ที่ยังคงปฏิบัติต่อเกาหลีในฐานะตลาดที่เบากว่าจะพบว่าปี 2026 และ 2027 มีค่าใช้จ่ายสูงกว่าปีก่อน ๆ อย่างมีนัยสำคัญ ข่าวดีคือช่องว่างนั้นเป็นเรื่องการปฏิบัติการ ไม่ใช่สถาปัตยกรรม และสามารถปิดได้ภายในสัปดาห์หากให้ความสำคัญ