韩国隐私监管机构大幅提高数据泄露罚款，自周五起，因故意或重大过失泄露千万人以上个人数据的公司最高罚总营收10%。即使泄露未确认，若风险高，公司须72小时内通知用户。PIPC秘书长杨清三（Yang Cheong-sam）称，近期零售和电信等领域屡次发生大规模个人信息泄露，因此改进制度以追究严重违规。

韩国隐私监管机构大幅提高数据泄露的代价，意在推动企业把数据保护当作预防性投资，而不是日常经营成本。

自周五起，因故意或重大过失泄露1000万人以上个人数据的企业，最高可被处以总营收10%的罚款。这是修订后的《个人信息保护法》同日生效的更广泛改革的一部分。即使泄露尚未得到确认，只要暴露风险很高，企业也必须在72小时内通知用户。

“近期，零售、电信等与日常生活密切相关的领域反复发生个人数据泄露，且规模不断扩大，”韩国个人信息保护委员会（PIPC）秘书长杨清三周四对记者表示。“我们改进了制度，既要严格追究严重违规，也要帮助从一开始就防止泄露发生。”

依据施行令，这一上限适用于三年内反复故意或重大过失违规的企业，或未遵守纠正命令、随后因此发生泄露的企业。罚款根据违规性质与严重程度、具体情节和损害规模计算。

修订前，企业最高可被处以销售额3%的罚款。

把新旧规则套用到真实案例，差距一目了然。韩国电商巨头Coupang在6月因泄露3755万人的个人数据被罚6246亿韩元（约4.663亿美元）。按新标准，该案罚款可能达到数万亿韩元。不过实际处罚仍取决于故意、过失、损害规模及减轻情节。

事先投资数据保护的企业在新规下会得到加分。监管机构将考虑企业在数据保护预算、人员和设备方面的投入规模与持续性，以及包括首席隐私官在内的整体保护体系，最高可减少40%罚款。企业若及早发现泄露、及时上报并通知用户、防止损害扩大，也可最高减少40%。

修订还引入“潜在数据泄露通知制度”。若企业判断个人数据很可能已暴露——例如数据处理系统遭到非法访问，或发现部分个人数据被非法交易、暗示其他人的数据也可能泄露——就必须在知悉后72小时内通知受影响个人。被勒索软件等攻击伪造、篡改或损坏的数据，如今也适用同样的报告和通知要求。

大型企业和机构首席隐私官的权限与责任也将扩大。年收入超过1800亿韩元、处理100万人以上个人数据，或处理5万人以上敏感或唯一身份信息的企业，任命、更换或解职首席隐私官都须经董事会批准，并向PIPC报告。学生人数2万以上的大学、三级综合医院及主要公共系统运营方也适用同样要求。

“我们预计，企业看待数据保护投资的方式将从视为成本，转向把它当作建立客户信任、扩大企业利润的主动投资，”PIPC主席宋庆熙表示。

社区对该韩国按营收10%罚款涉数据泄露企业的立法看法分化，较多人赞赏其能迫使企业重视安全隐私，另一些人则怀疑财阀会规避或法律门槛高导致难以落实；有人调侃三星若违规罚款将达230亿美元天价。

认为重罚立法能迫使企业重视安全隐私

• 不少读者赞赏立法者敢于设定高额罚款，认为这才能让公司真正关心安全与隐私，并希望他国效仿；有人补充若罚款基数涵盖全球总营收则更理想，也有人称在当前盲目编写代码环境下重罚尤为合理。（认可度：较多人） > 终于有立法者敢于提出可能让企业真正在意安全与隐私的法案了（@prologic）

怀疑财阀会规避或法律难以落实

• 部分读者打赌财阀会无视罚款，因没有绝对安全系统且罚款可令低利润业务亏损；更有人指出企业可用壳公司存数据、被黑即破产以逃避责任，且“故意或重大过失”要件门槛过高恐少有罚单，甚至可能激励隐瞒泄露。（认可度：较多人） > 可以学我大学那样雇个三人壳公司存数据，被黑就破产换一家，省钱又免安全投入（@augment_me）