针对个人信息泄露事件，企业责任将得到加强，同时鼓励事前预防投资的修订版个人信息保护法及实施细则将于明日起实施。若因故意或重大过失导致个人信息重复泄露或造成超过1000万人的大规模损害，将可处以最高达整体销售额10%的罚款。
个人信息保护责任人（CPO）的权利和责任也将得到加强，若判断泄露可能性高，即使在实际泄露确认之前，也需通知信息主体。
首先，针对重复或重大个人信息侵害行为，罚款的征收标准将提高。若在三年内重复违规，或因故意或重大过失造成超过1000万人的大规模损害，或因未执行整改命令而导致个人信息泄露事件发生，均将成为罚款对象。个人信息保护委员会将综合考虑违规行为的内容、程度、经过及损害规模等因素，在整体销售额的10%以内计算罚款。
相反，事前在个人信息保护方面进行投资的企业将享有罚款减免的优惠。根据个人信息保护相关预算、人员、设备及装置的投资规模和持续性、首席执行官（CEO）、CPO及专业人员的保护体系水平，以及超出法律义务的安全性保障措施等，最高可减免基准金额的40%。
对重复违规的加重比例也将提高。现行的1次15%、2次以上30%的加重比例，将调整为1次20%、2次40%、3次以上80%。若未在法定期限内进行泄露报告和通知，且未采取损害扩散防止措施，罚款可加重至最高30%。
事故后的迅速响应也将作为减免因素。若事先建立事故响应体系，并在事故发生时进行早期检测、报告和通知、采取损害扩散防止措施，最高可减免40%。根据违规行为的内容和损害规模等，罚款可额外减免最高50%，对微小和中小企业的轻微违规，若接受技术支持进行整改，则可免除罚款。
CPO的权利和责任也将得到加强。需指定CPO的企业和机构在指定、变更或解除CPO时，需经董事会决议并向个人信息保护委员会报告。适用对象包括年销售额或收入超过1800亿韩元，处理超过100万人的个人信息或超过5万人的敏感信息、唯一识别信息的经营者，以及在校生超过2万人的大学、综合医院、主要公共系统运营机构等。
法律实施后，指定、变更或解除CPO时，需在发生事由之日起6个月内报告。实施前已指定的CPO需在实施日（11日）起6个月内报告，无需另行董事会决议。
个人信息保护委员会将为制度的落实设定2027年12月31日为过渡期，在此期间，未指定CPO或资格条件不足、违反董事会决议义务、未报告等情况将不予以罚款。
新的个人信息泄露可能性通知制度也将被引入。即使尚未最终确认个人信息泄露，但若合理判断泄露可能性高，仍需通知信息主体。若因非法系统访问而怀疑泄露，但难以特定受害者，或已确认部分个人信息的非法交易，可能导致其他信息主体的信息也被泄露，需在得知该事实后72小时内通知。
通知和报告的对象也将从原有的遗失、盗窃、泄露扩展至伪造、篡改、损坏。因此，因勒索软件等导致个人信息损坏的情况也需报告和通知。通知内容将增加损害赔偿请求和争议调解等法律救济程序，泄露时的个人信息回收和删除等损害扩散防止措施也将具体化。
不过，针对公共和民间主要个人信息处理者的个人信息保护管理体系（ISMS-P）认证义务规定，将考虑企业和机构的预算保障期，自2027年7月1日起实施。相关实施细则将在实施前另行修订。
个人信息保护委员会委员长宋京熙表示：“此次修订法令的实施将促进以事前预防为中心的个人信息保护，建立更为严格的安全管理体系，并期待将个人信息保护的投资转变为获取客户信任和扩大企业利益的‘前瞻性投资’。”
※ 本报道经人工智能（AI）系统翻译与编辑。
