韩国个人信息保护委员会（PIPC）对某全球云服务商将韩国金融数据存储于境外未获充分同意处以罚款案（2023年）

【案件背景】
韩国《个人信息保护法》（PIPA）于2020年2月修订时新增了'假名信息'制度和数据跨境传输专章，但未设定全面的数据本地化义务。然而，韩国《信用信息法》（Credit Information Act）和金融委员会的行业指引对金融领域的个人信用信息存储提出了严格的本地化要求。此外，韩国《云计算发展与用户保护法》要求为公共机构提供服务的云服务商须通过安全认证，其中审查要素包括数据的存储地理位置。2023年，PIPC开始对在韩运营的外资云服务商的数据存储实践进行系统性审查。

【违法事实】
PIPC调查认定：1）某全球云服务商在韩国为多家金融机构和金融科技公司提供云服务过程中，其韩国客户的金融交易数据、信用信息和客户身份信息的主存储节点和备份数据均位于日本和美国的数据中心，未在韩国境内设立任何数据存储区域（Region）；2）该云服务商在与韩国金融机构签订的服务协议中未以韩语充分说明数据将存储于境外的事实，协议文本中关于数据存储地点的表述含糊且为英文技术术语，韩国客户实际上无法基于充分知情作出是否接受境外存储的选择；3）根据金融委员会的相关指引，金融消费者个人信用信息的存储和处理原则上应在韩国境内完成，除非获得金融委员会的特别批准和用户明确同意——该云服务商未取得上述批准和同意；4）该云服务商未对跨境数据存储安排进行定期安全审计和数据保护影响评估。

【处罚决定】
PIPC依据《个人信息保护法》对云服务商韩国子公司处以9.8亿韩元（约合人民币540万元）的行政罚款，并附加责令：1）立即停止将新产生的韩国金融相关客户数据存储于境外；2）在韩国境内建立符合金融行业安全标准的本地云存储区域（KR Region）；3）对已存储在境外的韩国金融类客户数据进行安全评估，并向PIPC和金融委员会报告；4）修订面向韩国客户的合同文本和数据处理协议，以韩语清晰载明数据存储地点和安全措施；5）每半年接受一次PIPC的合规审计直至完全满足要求。PIPC同时将此案移送韩国金融委员会（FSC）和金融监督院（FSS），由上述金融监管机构评估是否需要对使用该云服务的金融机构进行连带处罚。

【典型意义】
韩国案例展示了在'法律未规定普遍性数据本地化'背景下，通过行业特定规范和数据主体知情同意路径实现实质本地化要求的多层监管模式。本案的核心启示包括：第一，金融数据是数据本地化的'前沿阵地'——大多数国家即使未建立全面的数据本地化法律，也会在金融、医疗等关键行业设定本地存储要求；第二，对于B2B云服务商而言，不仅需要自身的合规，还需要确保其客户（金融机构）能够通过使用其服务满足自身的合规义务——这是对云服务责任范围的实质性扩展；第三，PIPC同时移送金融监管机构的做法表明，数据本地化违规可能触发跨监管部门的联合执法，违规云服务商及其客户可能同时面临数据保护机构和行业监管机构的多重追责。