韩国修订《个人信息保护法》9月11日生效：惩罚性罚款上限提至营业额10%，CEO承担最终责任

第一条是制裁与激励并举。对反复发生、或因故意与重大过失导致的个人信息泄露，引入以营业额10%为上限的惩罚性行政罚款，此前上限为3%。据韩国媒体报道，10%上限适用于受影响人数超过1000万的泄露、三年内同类型反复违法、以及拒不执行整改命令等情形。同时，事前在预算、人力、设施与治理方面作实质投入的企业，可获最高40%的罚款减免。

第二条是问责与治理。企业主或首席执行官被明示为个人信息处理的最终责任人；CPO职权强化，覆盖专职人员、预算及向CEO与董事会报告；CPO的任免变更须经董事会决议并向个人信息保护委员会备案。

第三条是数据主体救济。新增“泄露可能性通知”制度，组织在知悉可能发生泄露时即须通知或报告；通报事项扩充，伪造、变造、损毁个人信息纳入报告与通知范围；通报还须包含可用救济措施。第四条为强制ISMS-P认证，拟于2027年7月1日起对公私部门重要个人信息处理者实施。PIPC委员长表示，希望修订实施后形成以预防为中心的保护与安全管理体系。