Corea del Sur refuerza las obligaciones de protección de datos personales en una reforma de su decreto

La República de Corea ha promulgado el Decreto Presidencial No. 36671, una enmienda parcial al Decreto de Ejecución de la Ley de Protección de Información Personal, publicado en la Gaceta Oficial de la República de Corea (관보) No. 21319 del 10 de septiembre de 2026. Firmado por el Presidente Lee Jae-myung, la Primera Ministra Han Sung-sook y el Ministro del Interior y Seguridad Yoon Ho-jung bajo la competencia de la Comisión de Protección de Información Personal (PIPC), el decreto entra en vigor el 11 de septiembre de 2026.

La enmienda implementa la Ley de Protección de Información Personal según lo revisado por la Ley No. 21445 (promulgada el 10 de marzo de 2026, efectiva el 11 de septiembre de 2026), la cual fortaleció la autoridad e independencia de los oficiales de privacidad e introdujo el deber de notificación ante posibles filtraciones de datos. El decreto también aumenta las multas administrativas que estaban fijadas muy por debajo de los topes legales, intensificando el efecto disuasorio de la aplicación de la ley.

Ampliación del deber de designar un oficial de privacidad

El decreto amplía la categoría de responsables del tratamiento de datos que deben designar un oficial de privacidad, y requiere que dicho oficial sea elegido entre personas que cumplan los criterios de calificación del Anexo 1. El recién insertado Artículo 32(3) cubre a los responsables que cumplan cualquiera de los siguientes umbrales:

• Ventas anuales que superen los 180 mil millones de wones (excluyendo escuelas e instituciones médicas bajo la Ley de Servicios Médicos) que procesen información sensible o de identificación única de 50,000 o más interesados, o información personal de 1 millón o más de interesados;
• Escuelas bajo la Ley de Educación Superior con 20,000 o más estudiantes matriculados (incluyendo estudiantes de posgrado);
• Hospitales generales terciarios (상급종합병원) bajo la Ley de Servicios Médicos;
• Instituciones operadoras de sistemas públicos.

Los responsables que entren bajo estos criterios deben informar la designación, cambio o remoción de su oficial de privacidad a la PIPC dentro de los seis meses posteriores al evento desencadenante, utilizando un formulario establecido por aviso de la PIPC. El plazo puede extenderse hasta un año en caso de que la junta directiva no pueda reunirse por razones comerciales. Una regla transitoria requiere que los responsables que ya hubieran designado un oficial antes de que el decreto entrara en vigor presenten el informe dentro de los seis meses posteriores a la entrada en vigor.

Nuevo deber de notificación de 72 horas por posible filtración

El decreto introduce los Artículos 39-2 y 39-3, creando la obligación de notificar a los interesados cuando se sospeche de una posible filtración pero esta aún no haya sido confirmada. La notificación debe realizarse por escrito dentro de las 72 horas posteriores al conocimiento del evento en dos situaciones:

• Ha ocurrido un acceso ilegal a un sistema o dispositivo de procesamiento de información personal y se sospecha una filtración, pero aún no se puede identificar a los interesados afectados;
• Se ha confirmado una filtración parcial y es posible que la información de otros interesados también haya sido comprometida.

El aviso debe indicar los elementos de información personal posiblemente afectados, la hora y las circunstancias sospechosas de la filtración, y el hecho de que se emitirá un aviso posterior una vez que se confirme la filtración. Si el responsable del tratamiento confirma posteriormente que en realidad no se produjo ninguna filtración, deberá notificarlo inmediatamente a los interesados. En los casos en que los datos de contacto sean desconocidos, el responsable podrá, en su lugar, publicar el aviso en su sitio web o en un lugar visible del establecimiento durante al menos 30 días.

Concepto más amplio de “filtración” y sanciones más elevadas

El decreto amplía el término “유출등” (filtración, etc.) —anteriormente limitado a la pérdida, el robo y la filtración— para cubrir también la falsificación, alteración y daño de la información personal, alineando las obligaciones de notificación y reporte con este concepto más amplio. También detalla los criterios para reducir las recargas administrativas (과징금) para los responsables que inviertan en la protección de la privacidad, permitiendo una reducción de hasta el 40% del monto base, y aumenta las multas administrativas por no adoptar las medidas de seguridad requeridas de 6/12/24 millones de wones a 9/18/30 millones de wones para la primera, segunda y tercera o más infracciones, respectivamente.

Para las empresas e instituciones que manejan grandes volúmenes de datos personales, el decreto implica deberes de cumplimiento más estrictos, una comunicación de brechas más rápida al público y una exposición financiera materialmente mayor por incumplimiento. Para los ciudadanos, la regla de notificación de 72 horas y el concepto ampliado de “filtración” refuerzan su derecho a ser informados prontamente cuando sus datos puedan estar en riesgo, incluso antes de que una brecha sea totalmente confirmada.

Fuente: Boletín Oficial de la República de Corea (관보), No. 21319, 10 de septiembre de 2026, Sección I (Decretos Presidenciales) (referencia oficial: Decreto Presidencial No. 36671).