2026年3月10日，韓國對(duì)《個(gè)人信息保護(hù)法》進(jìn)行了新一輪修訂。
這次修法并不是一次孤立的制度調(diào)整，而是發(fā)生在一個(gè)非常具體的背景之下——過去幾年，韓國持續(xù)出現(xiàn)大規(guī)模數(shù)據(jù)泄露事件，涉及金融、電信、電商等多個(gè)行業(yè)，監(jiān)管執(zhí)法強(qiáng)度也在同步上升。在這樣的現(xiàn)實(shí)壓力下，原有以滿足合規(guī)要求為導(dǎo)向的制度，已經(jīng)越來越難以支撐監(jiān)管預(yù)期。
也正是在這個(gè)背景中，本輪修法呈現(xiàn)出一個(gè)非常值得關(guān)注的變化：它沒有簡單通過“增加更多義務(wù)”來強(qiáng)化監(jiān)管，而是開始調(diào)整一個(gè)更底層的問題——企業(yè)究竟如何對(duì)待數(shù)據(jù)風(fēng)險(xiǎn)。
一方面，規(guī)則被前移。通過引入在達(dá)到法定風(fēng)險(xiǎn)標(biāo)準(zhǔn)時(shí)即需履行通知義務(wù)的機(jī)制，合規(guī)不再以“事件已經(jīng)發(fā)生”為起點(diǎn)，而被提前至風(fēng)險(xiǎn)識(shí)別階段；另一方面，責(zé)任被上移。通過強(qiáng)化企業(yè)負(fù)責(zé)人責(zé)任、引入最高可達(dá)相關(guān)營業(yè)額10%的罰款機(jī)制，并將個(gè)人信息保護(hù)負(fù)責(zé)人納入董事會(huì)層面的決策與報(bào)告體系，數(shù)據(jù)保護(hù)被正式拉入公司治理框架之中。
如果把這些制度變化與近期一系列典型執(zhí)法案件放在一起看，會(huì)發(fā)現(xiàn)一個(gè)比監(jiān)管趨嚴(yán)更值得注意的轉(zhuǎn)向：監(jiān)管關(guān)注的核心，正在從企業(yè)“是否已經(jīng)合規(guī)”，轉(zhuǎn)向企業(yè)內(nèi)部是否有人在為數(shù)據(jù)風(fēng)險(xiǎn)作出判斷，并承擔(dān)后果。
修法前后，韓國連續(xù)出現(xiàn)多起具有代表性的數(shù)據(jù)泄露事件。有金融機(jī)構(gòu)將居民登記號(hào)以明文形式寫入日志系統(tǒng)，最終導(dǎo)致數(shù)百萬用戶信息泄露；也有品牌因訪問控制與認(rèn)證機(jī)制薄弱，被攻擊者直接獲取客戶數(shù)據(jù)；還有平臺(tái)型企業(yè)由于基礎(chǔ)安全措施缺失，造成更大范圍的數(shù)據(jù)外泄。
這些事件在表面上都有一個(gè)共同標(biāo)簽——“被攻擊”。但如果沿著監(jiān)管的復(fù)盤邏輯往下看，就會(huì)發(fā)現(xiàn)問題并不在攻擊本身。
真正的問題在于——企業(yè)在關(guān)鍵環(huán)節(jié)缺乏最基本的風(fēng)險(xiǎn)判斷能力。什么數(shù)據(jù)需要更高等級(jí)保護(hù)、系統(tǒng)中哪些環(huán)節(jié)存在結(jié)構(gòu)性漏洞、異常行為出現(xiàn)時(shí)是否能夠被及時(shí)識(shí)別——這些本應(yīng)在日常運(yùn)營中被持續(xù)處理的問題，在很多案例中都處于缺位狀態(tài)。
因此，這些案件所暴露的，并不是單一的安全事故，而是企業(yè)在風(fēng)險(xiǎn)識(shí)別、內(nèi)部控制和響應(yīng)機(jī)制上的系統(tǒng)性失靈。
從制度設(shè)計(jì)上看，一個(gè)最直觀的變化，是通知義務(wù)的前移。
在多數(shù)法域中，數(shù)據(jù)合規(guī)的基本邏輯仍然圍繞事件發(fā)生之后。一旦確認(rèn)泄露，企業(yè)需要在規(guī)定時(shí)間內(nèi)向監(jiān)管機(jī)構(gòu)和用戶進(jìn)行通報(bào)。這是一種典型的事后響應(yīng)機(jī)制。
韓國這次的調(diào)整，則刻意打破了這一時(shí)間順序。
根據(jù)修訂后的第34條，在滿足特定條件的情況下，即便尚未確認(rèn)發(fā)生泄露，只要已經(jīng)存在達(dá)到法定標(biāo)準(zhǔn)的風(fēng)險(xiǎn)，企業(yè)就需要啟動(dòng)通知。這意味著，企業(yè)不能再以“尚未發(fā)生”為理由延遲決策，而必須在不確定狀態(tài)下完成判斷。
與此同時(shí)，通知本身也不再只是告知發(fā)生了什么。企業(yè)還需要明確說明用戶可以采取的法律行動(dòng)路徑，包括損害賠償、法定賠償以及爭議解決方式等。這使得通知從信息披露行為，轉(zhuǎn)變?yōu)橐粋€(gè)帶有法律后果的合規(guī)動(dòng)作。
但如果僅把這理解為義務(wù)前移，其實(shí)還是停留在表層。更重要的是，這一變化在倒逼企業(yè)具備一項(xiàng)能力——在風(fēng)險(xiǎn)尚未完全坐實(shí)時(shí)，做出判斷。
相比義務(wù)前移，更值得關(guān)注的是責(zé)任結(jié)構(gòu)的變化。
本輪修法并沒有直接規(guī)定對(duì)企業(yè)所有者或代表人的個(gè)人罰款或刑事責(zé)任，但通過一系列制度安排，已經(jīng)把數(shù)據(jù)保護(hù)責(zé)任明確嵌入到公司治理結(jié)構(gòu)之中。企業(yè)經(jīng)營者或代表人不再只是最終責(zé)任人的抽象表述，而需要通過資源配置、制度建設(shè)等方式，對(duì)安全措施的有效性承擔(dān)實(shí)質(zhì)責(zé)任。同時(shí)，個(gè)人信息保護(hù)負(fù)責(zé)人被納入董事會(huì)決策與報(bào)告體系，其任命、變更以及履職情況，都需要在公司治理層面被持續(xù)關(guān)注。
在這樣的制度安排下，數(shù)據(jù)合規(guī)已經(jīng)很難再被理解為一個(gè)可以由單一部門完成的職能，或者說，它本來就不該只是某一個(gè)部門獨(dú)立完成的事項(xiàng)。
數(shù)據(jù)處理天然貫穿產(chǎn)品設(shè)計(jì)、技術(shù)架構(gòu)、運(yùn)營流程、商業(yè)決策乃至外部合作等多個(gè)環(huán)節(jié)，其風(fēng)險(xiǎn)也并不是集中發(fā)生在某一個(gè)單點(diǎn)，而是以鏈條化、系統(tǒng)化的方式分布在整個(gè)業(yè)務(wù)運(yùn)行過程中。正因?yàn)槿绱耍瑪?shù)據(jù)合規(guī)從一開始就不只是法務(wù)、合規(guī)或技術(shù)團(tuán)隊(duì)的局部工作，而應(yīng)當(dāng)被理解為一項(xiàng)需要企業(yè)投入資源、由專業(yè)人員牽頭并推動(dòng)多部門協(xié)同的整體性工作。
過去之所以在不少公司中仍然被當(dāng)作某個(gè)單一職能來處理，更多反映的是管理層對(duì)這項(xiàng)工作的性質(zhì)和重要性認(rèn)識(shí)不足，而不是它本身適合被這樣切割。也正因此，當(dāng)通知義務(wù)被前移、風(fēng)險(xiǎn)判斷需要在不確定狀態(tài)下完成、資源投入本身開始成為監(jiān)管評(píng)價(jià)因素時(shí)，這些問題最終都不可避免地指向同一個(gè)層級(jí)——管理層。
10%的罰款上限無疑是本輪修法中最具沖擊力的部分。但如果只看到更重，反而容易忽略它真正的作用方式。
修訂后的規(guī)則將高額罰款與特定情形掛鉤，例如重復(fù)發(fā)生重大違規(guī)、因故意或重大過失導(dǎo)致大規(guī)模數(shù)據(jù)泄露，或在未落實(shí)整改要求的情況下再次發(fā)生事故等。同時(shí)，制度也明確，在企業(yè)已就個(gè)人信息保護(hù)投入充分資源（包括人員、預(yù)算及技術(shù)措施）的情況下，可以酌情減輕處罰。
這實(shí)際上在引入一種更具針對(duì)性的評(píng)價(jià)邏輯，即監(jiān)管不再只問結(jié)果如何，而開始追問——在結(jié)果發(fā)生之前，企業(yè)是否作出了合理判斷，并為此配置了相應(yīng)資源。
也正是在這一點(diǎn)上，處罰開始與前文所提到的責(zé)任結(jié)構(gòu)發(fā)生聯(lián)動(dòng)。罰款不再只是對(duì)結(jié)果的懲罰，而是在倒逼一個(gè)更具體的問題——這些決策是誰作出的，又是否具備充分依據(jù)。
換句話說，處罰的指向，正在從結(jié)果本身，轉(zhuǎn)向決策過程。
如果把上述變化放在一起看，可以看到一個(gè)更深層的轉(zhuǎn)向。
這次修法，并不是簡單提高了合規(guī)門檻，而是在改變企業(yè)處理數(shù)據(jù)問題的方式。數(shù)據(jù)保護(hù)不再只是一個(gè)需要“滿足”的合規(guī)事項(xiàng)，而逐漸成為一個(gè)需要被持續(xù)判斷、持續(xù)投入資源的經(jīng)營議題。
企業(yè)需要面對(duì)的，不再只是規(guī)則本身，而是在規(guī)則尚未完全明確、風(fēng)險(xiǎn)尚未完全發(fā)生的情況下，如何作出決策，以及這些決策由誰承擔(dān)。也正是在這一過程中，數(shù)據(jù)風(fēng)險(xiǎn)開始進(jìn)入企業(yè)的日常經(jīng)營邏輯。它不再只是事后被動(dòng)應(yīng)對(duì)的問題，而是前置到業(yè)務(wù)推進(jìn)過程中，需要被持續(xù)評(píng)估、權(quán)衡和管理的變量。
因此，“誰來負(fù)責(zé)”并不是一個(gè)額外提出的問題，而是在決策被前移之后自然浮現(xiàn)的結(jié)果——當(dāng)風(fēng)險(xiǎn)判斷成為日常經(jīng)營的一部分，這一責(zé)任也不可能停留在執(zhí)行層，而必然落在具備資源配置與決策權(quán)的管理層。
這一變化，對(duì)出海企業(yè)的影響是非常現(xiàn)實(shí)的。
很多企業(yè)——尤其是出海企業(yè)——既缺乏成體系的內(nèi)部機(jī)制，也缺乏穩(wěn)定的資源投入與專業(yè)支撐。數(shù)據(jù)合規(guī)往往被分散在法務(wù)、技術(shù)、產(chǎn)品或安全團(tuán)隊(duì)之間，日常各自為戰(zhàn)，風(fēng)險(xiǎn)發(fā)生后再臨時(shí)拼湊應(yīng)對(duì)方案。這樣的狀態(tài)，在過去或許尚可維持，但在當(dāng)前監(jiān)管邏輯下，已經(jīng)越來越難以支撐。
因?yàn)楝F(xiàn)在被持續(xù)追問的，已經(jīng)不僅只是“制度是否存在”“文件是否完備”，而是企業(yè)在面對(duì)不確定風(fēng)險(xiǎn)時(shí)，能否及時(shí)識(shí)別問題、形成判斷，并推動(dòng)跨部門協(xié)同，將這些判斷轉(zhuǎn)化為可以被監(jiān)管接受的處理結(jié)果。對(duì)于大多數(shù)出海企業(yè)而言，這并不是一項(xiàng)可以依靠內(nèi)部自然演進(jìn)就迅速具備的能力。
問題的關(guān)鍵，也因此發(fā)生了轉(zhuǎn)移——難點(diǎn)不再只是主觀上的是否重視，而在于如何將這種重視轉(zhuǎn)化為一套可以持續(xù)運(yùn)行的機(jī)制。哪些風(fēng)險(xiǎn)需要被優(yōu)先識(shí)別，哪些問題需要上升至管理層決策，業(yè)務(wù)、技術(shù)與合規(guī)之間如何形成有效協(xié)同，以及在規(guī)則不斷變化的情況下，如何保持判斷的一致性與可解釋性。
從實(shí)踐來看，能夠較快建立起上述能力的企業(yè)，往往并非依賴內(nèi)部逐步摸索，而是通過更成熟的經(jīng)驗(yàn)框架，對(duì)既有結(jié)構(gòu)進(jìn)行系統(tǒng)性梳理與重構(gòu)，使原本分散的職責(zé)、模糊的邊界和滯后的響應(yīng)，轉(zhuǎn)變?yōu)橐惶卓梢猿掷m(xù)運(yùn)轉(zhuǎn)的治理機(jī)制。
因此，這一輪變化帶來的現(xiàn)實(shí)影響，并不在于企業(yè)是否做了合規(guī)，而在于能否盡快補(bǔ)齊這一能力缺口，并使相關(guān)責(zé)任在組織結(jié)構(gòu)中被真實(shí)承載。
類似的趨勢在中國亦有所體現(xiàn)。個(gè)人信息保護(hù)負(fù)責(zé)人制度的發(fā)展，本質(zhì)上同樣是在推動(dòng)責(zé)任向具備資源調(diào)配能力的層級(jí)集中。不同法域在具體制度設(shè)計(jì)上存在差異，但其背后的邏輯正在趨同。
對(duì)于企業(yè)而言，這一輪變化真正提出的問題，其實(shí)非常具體：
在數(shù)據(jù)風(fēng)險(xiǎn)尚未發(fā)生、規(guī)則尚未完全明確的情況下，企業(yè)內(nèi)部是否有人能夠作出判斷，并為此承擔(dān)后果。
如果這個(gè)問題無法被回答，那么是否合規(guī)本身已經(jīng)不再構(gòu)成真正的風(fēng)險(xiǎn)邊界。真正決定企業(yè)風(fēng)險(xiǎn)暴露程度的，是其是否具備在不確定性中作出判斷的能力，以及這些判斷，是否被放在了正確的層級(jí)上。
特別聲明：本文為合作媒體授權(quán)DoNews專欄轉(zhuǎn)載，文章版權(quán)歸原作者及原出處所有。文章系作者個(gè)人觀點(diǎn)，不代表DoNews專欄的立場，轉(zhuǎn)載請(qǐng)聯(lián)系原作者及原出處獲取授權(quán)。(有任何疑問都請(qǐng)聯(lián)系idonews@donews.com)
