韩国《个人信息保护法》修订案9月11日生效：重大泄露最高罚营业额10%，引入潜在泄露72小时通报

罚则方面，10%上限适用于三类情形：三年内故意或重大过失重复违法、故意或重大过失造成1000万人以上大规模损害、以及未履行整改命令而导致泄露。计罚基数由“三年平均营业额”改为“上一年营业额”与“三年平均营业额”两者取高。

同时引入“预防投资激励”：监管将综合评估企业在数据保护预算、人力、设施与设备上的投入规模与连续性，以及CPO制度运行实效，最高可减免40%罚款；早期发现、及时报告通知并防止损害扩大的，同样可获最高40%减免。故意或重大过失导致的泄露不适用减免。

新增“潜在泄露通知制度”：即使泄露尚未确认，只要企业判断存在较高外泄可能性（如处理系统遭非法访问、发现部分个人信息被非法交易），须自知悉起72小时内通知信息主体。勒索软件导致的个人信息伪造、变造、损毁首次纳入报告与通知范围，通知时还须告知损害赔偿、纠纷调解等救济途径。

治理层面，年营业额超1800亿韩元且处理100万人以上个人信息、或5万人以上敏感/唯一识别信息的企业，任免CPO须经董事会审议通过并报PIPC；2万人以上高校、三级综合医院与主要公共系统运营者适用同一要求。CEO被明确为个人信息处理的最终责任人。出海韩国的中资企业应同步复核CPO任免程序、泄露预案与72小时通知能力。