历史
韩国1994年的法律只适用于公共机构，私营部门则由《信息通信网法》等行业法分别规范。在接连发生泄露事件后，2011年制定了涵盖公私部门的综合性《个人信息保护法》。2014年三家信用卡公司泄露超过1亿条信息，促使监管收紧；2020年被称为“数据三法”的修订引入了假名信息概念，并使个人信息保护委员会成为独立的中央行政机关。2023年修订参照欧盟GDPR，将罚款上限提高到总营业额的3%，并新增数据可携权（MyData），其理念源于隐私权。
核心原则
个人信息只能按目的收集最低限度，并只能在该目的范围内使用。合法依据包括同意、法定义务、履行合同、紧急保护生命和正当利益等；2023年后法律摆脱“凡事须同意”，履行合同所需的信息无需另行同意即可处理。居民登记号码只有在有法律依据时才能处理，健康、思想、性生活等敏感信息需单独同意。替换姓名和号码后的假名信息可在统计和研究目的下无需同意使用。
信息主体的权利
任何人都可要求查阅、更正、删除自己的信息或停止处理；自2024年起，还可对人工智能等完全自动化决策要求说明或予以拒绝。发生泄露时，企业须在72小时内通知并报告。处罚力度也在加大，如2024年Kakao被罚151亿韩元。受害者可利用个人信息侵害举报中心（118）或纠纷调解委员会。员工随劳动合同提交的信息同样受该法保护。
常见问题
- 不同意可选条款就不能用服务吗？
- 不能因用户拒绝必需信息以外的可选项目而拒绝提供服务。
- 信息泄露后该怎么办？
- 更改密码、查看通知，若受损害可向118举报或申请调解、索赔。
来源核查日期：2026-10-26
参考文献
- 개인정보 보호법 (법률 제10465호, 2011. 3. 29. 제정; 2023. 3. 14. 일부개정).
- 개인정보보호위원회. (2024). 개인정보 보호법 및 시행령 개정사항 안내서.
- Greenleaf, G. (2014). Asian Data Privacy Laws: Trade and Human Rights Perspectives. Oxford University Press.