韩国PIPC对扫地机器人开展个人信息处理实态检查：5大品牌（石头、三星、LG、科沃斯、小米）影像·语音·地图信息总体安全，五项法定义务履行不足已劝告整改

2026年9月14日，韩国个人信息保护委员会（PIPC，委员长 송경희）发布新闻稿，公布对韩国境内销售的**扫地机器人**个人信息处理实态的检查结果：扫地机器人所处理的影像、语音、地图信息在收集与传输过程中"总体上得到安全管理"，但在**收集·利用与同意取得方式、境外转移告知、境内代理人指定、安全措施**等《个人信息保护法》法定义务方面存在部分不足，已予以改正劝告。 一、检查的法律依据与程序性质。本次检查系依《个人信息保护法》第63条之2开展的**事前实态检查（사전 실태점검）**——该制度旨在事前排查个人信息保护薄弱因素、预防侵害风险；发现违法事项时以"改正劝告"方式处理，属PIPC"预防型监管"工具箱的核心手段。对尚未完成整改的事项，PIPC已于**9月9日第19次全体会议决议予以改正劝告**。 二、检查对象：5大品牌最新机型（2025年3月基准）。包括**石头（Roborock）、三星电子、LG电子、科沃斯（Ecovacs）、小米（Xiaomi）**。检查覆盖影像、语音、照片、地图信息在"扫地机器人—App—服务器"之间的收集、传输、存储、利用全过程。**其中三家为中国出海品牌**，这是本库首次收录韩国监管机关针对中国智能硬件品牌的合规检查。 三、技术面结论：主要数据路径总体安全。PIPC确认未发现特别侵害风险，并逐项说明：①**影像**：用户在App查看摄像头实时画面时，影像由扫地机器人加密传输至用户App，**不留存于企业服务器**；②**语音**：用户发出"打扫房间"等语音指令时，语音原始音频不在服务器留存——仅在设备本地处理，或由服务器转写为文字后**立即删除原始音频**，转写文字用户可自行删除；③**照片**：清洁中识别到的障碍物照片按品牌分别在设备或服务器临时存储后删除（至下次清洁时、用户查询时或24小时等）；④**地图信息**：为高效清洁而构建的家庭结构地图，主要保存在扫地机器人本体、**不保存在用户手机**（部分产品亦存于服务器）。 四、五项被指出不足并已整改的事项。①**处理合法性依据未区分告知**——未将"依合同订立·履行等无需同意即可处理的个人信息"与"须取得用户同意方可处理的个人信息"分别告知，已要求补充隐私政策、明确区分处理依据；②**服务改进目的的收集未落实选择权**——存在未获用户另行选择即以服务改进为目的收集·利用个人信息的情形，已要求改为**事前可选同意**，强化信息主体选择权；③**境外转移与留存期限告知不完整**——使用境外数据中心却在隐私政策中遗漏境外转移事项，或将留存期限笼统表述为"目的达成时为止"，已要求具体化告知；④**境内代理人指定不合规**——发现境外经营者未指定境内代理人，或指定为"非在韩国设立法人"的情形，已要求依《个人信息保护法》指定境内代理人，并在隐私政策中明确载明代理人姓名、地址、联系方式；⑤**访问权限与安全措置不足**——整改后个人信息处理人员的**权限授予记录留存期由200日延长至3年**、**访问记录留存由90日延长至2年以上**；部分经营者的扫地机器人访问控制与传输加密问题，最新型号已完成整改，其余型号整改中。 五、后续计划。PIPC表示将在2026年下半年以境内销售扫地机器人最新型号的**新增功能**为中心追加检查侵害风险，并计划在**年内设立"技术分析中心"**，对AI与IoT新技术·新服务的个人信息侵害威胁作实证分析，将持续扩大"预防型检查"。 六、实务意义。这是继韩国9月11日施行《个人信息保护法》修订法（惩罚性罚款金升至全体销售额10%、泄露可能性通知制、CPO任免须经董事会决议）之后，PIPC在**智能硬件与IoT场景**的首次系统性执法动作，可直接读出其对中国出海品牌的四项审查重点：处理依据分层告知、服务改进目的的单独同意、境外转移的具体化告知、以及**境内代理人必须是在韩设立法人**。尤其第④项为纯程序性要求但极易踩线，建议出海韩国的中国智能硬件企业即刻复核代理人适格性与隐私政策的境外转移条款表述。（本条亦是本库首次收录扫地机器人/IoT品类监管检查结果。）