文/范臻、孙磊 元合律师事务所
来源/独立出海联合体
2024年4月4日，韩国个人信息保护委员会（PIPC）发布了《海外经营者个人信息保护法适用指南》。听名字就知道，这玩意专门就冲着咱出海的哥几个来的。先划个重点：这玩意叫“指南”，也就是对修订后个保法的“解释”——也就是说，无论下面列的这些你觉得多不合理，现在都已经“即时生效”了，不存在“政策缓冲期”。
鉴于全文内容较多，咱这次挑几个重点的来跟各位介绍。
一、“14岁年龄勾选”的模式作废
在此前设计年龄验证机制时，各家基本上用的都是“勾选是否成年”，主打一个宣誓法的效力。但在PIPC新发布的《指南》中，对于未成年人的验证有了最低限度的要求——
境外经营者为提供此类商品或者服务收集信息主体个人信息的，应当核实信息主体年龄信息，以确定其是否为儿童；至少应通过让信息主体输入出生日期的方式进行，或者根据《信息通信网络利用促进及信息保护等法律》第23条之3，利用本人确认机构提供的韩国境内本人确认服务。
说白了就是：之前的勾选方式已经不符合韩国监管的胃口了，现在，至少需要设计年龄滚轮。
而且真是“现在”，因为新法已经生效了，指南只是“解释”而已。
不过，也有部分大厂已经做到了这一步，比如Sony：
再比如Epic，也是做了单独的年龄滚轮：
（顺带一提，这种“柔性”的提示词写法还是蛮不错的）
二、各种方式都算“在韩国提供服务”
之前我们在咨询中总会被客户问到：互联网不是“自由”的吗？我这儿一包发全球，您想在哪访问关我啥事，咋就说我针对韩国提供服务了？
要搁几年前，这问题可能真有些争议。早年韩国法律就此缺乏专门规定，司法判例给出的参考也较为有限。彼时，结合监管情况及韩国学者的通说观点，大致可以得出“游戏里使用韩语，意味着韩国人能看懂，所以构成向韩国提供服务”这样的结论。
但是，随着技术的发展以及全球化服务对日常生活的渗透，原有的概念逐渐捉襟见肘。就此次解释而言，PIPC列举了如下几种情形：
（1）将韩国指定为支持的国家和地区
例如，下面这个声称为韩国提供API访问：
（2）使用单独的韩国域名
例如，URL写成ko-kr.xxx.com或www.xxx.com/ko-kr这种：
（3）在韩国应用市场发布或者在全球应用市场发布时，将基础语言设置为韩语
（4）虽然声称只适用特定国家的法律，但仅以韩语提供服务
（5）其他可能让公司知道“这是个韩国用户”的行为
例如，在各种填写信息的界面中，“国家”能选择韩国：
在网页上搭载翻译器导致页面可以直接翻译成韩语：
提供韩语客服：
三、“隐私政策”标题写法也有要求
韩国的颗粒度可能细到超乎你想象。比如最直接的，“隐私政策”这四个字就有“标准答案”。
而且这几个字，还不是咱机翻通常输入的“隐私政策”，而是译作“个人信息处理方针”，韩语写作“개인정보 처리방침”。
来跟机翻对比下：
这条还是立法了的，在韩国《标准个人信息保护指南》里就有明确规定：
隐私政策正文的要求还不一样，得写成“ 개인정보 처리방침”。比如说：
PIPC官方
NCsoft
网禅
Kakao
对了，官网上也要有隐私政策，命名标准相同，而且需要用不同的字号、颜色或粗细与其他内容（如用户协议、版权说明等）进行区分。
四、韩国企业开始默认强锁区
部分韩国企业为了尽可能的避免“受监管的范围”扩大，在4月4日解释颁布后，纷纷开始对游戏通行证进行韩国锁区——增加toss或手机号验证，排除非韩国用户注册的可能性；对于非韩国IP，系统默认不会让你选韩服，而只能选“全球”或者其他区服；
所以，对于韩国游戏的“长期灰色地带”Steam，到底会如何应对本次监管升级，会是一个迷——其实Steam上至今没有按照GRAC的要求进行韩国本土分级，而Steam一直的理由就是“不是向韩国玩家提供服务”（但它又支持韩国银行卡）；而2020年GRAC又一次“进行监管”后也无疾而终，仅仅是在2022年“卑微”地要求Steam下架了一款涉及色情的游戏。现在，按照最新的解释，Steam无论如何100%属于“向韩国用户提供服务”的平台，而相比于2020年，这次的突破口是个人信息而不是游戏分级。但一旦突破口打开，分级的问题也势必会成为一个巨大的问题。
WEBZEN
smilegate
（至少需要提供手机号验证）
krafton
（至少需要提供手机号验证）
五、“国内代理人”也得安排上
根据此次PIPC的规定，在韩国无实体，且满足（1）上一年度总销售额1万亿韩元以上；或者（2）截止上一会计年度末，在过去三个月内存储和处理的韩国个人信息主体数量平均每天超过100万人的，都需要在韩国设置国内代理人。
同时，根据PIPC在2023年12月29日发布的《个人信息保护法及实施令修订事项指引》的说明：
（1）即使是在韩国设立了主体，如果该主体不提供实际服务，也属于“在国内无实体”；
（2）“销售额”不限定在韩国，也即为“全球流水”；
（3）“存储、处理的个人信息数量”，是指从上一年度10月1日至12月31日期间，每天存储、处理的个人信息总数除以92（天），看结果是否大于100万。
国内代理人需要书面指定，代理人违法视为被代理人违法。虽然代理人在国籍上不要求是韩国人，但要求能用韩语进行流利的沟通，且必须在韩国有住所或营业场所。此外，代理人还必须要作为一项重要内容写进隐私政策，且需要载明代理人姓名、电话、邮箱、地址等信息，代理人变更时需要对隐私政策进行更新。例如，可参考Epic的隐私政策：
“立法潮”之后：韩国市场的未来是？
此次“海外经营者指南”虽然是针对《个人信息保护法》的解释，却也能够看出韩国对于出海韩国企业加强监管的态势。实际上，梳理韩国目前的修法节奏，不由让人有点“版本复刻”的味道：去年3月宣布游戏法修改，年底游戏法及实施令基本定调，次年（2024）年初搞个大新闻以儆效尤，然后（至少截止到目前）从官方到民间都开始各种行为艺术。当时游戏法留了个尾巴，对于咱这种“海外经营者”相关的国内代理指定和支付同意的制度，表示将在《电子商务法》修改时另行规定。那么，命运的齿轮绕了一圈又回到原点——2024年3月26日，韩国公布了《电子商务法修正案预备法》，核心之一就是为超过一定标准的海外企业指定国内代理人。
结合之前韩国“修法执法一条龙”的先例，我们理解，未来针对“出海企业”的整体风险将有所增加，从协议文本到UX落地甚至公司的人员配置与执行逻辑，通通得改。而且需要注意的是：《海外经营者个人信息保护法适用指南》也在尾部提出了：
1、个人隐私部分的客诉，和此前掉率一样，适用强制调解，而且这种调解是默认的，海外企业如果不回应，那就是默认同意调解。
2、海外公司，尤其是没有韩国本土企业的（其实有韩国分公司，这时候也不太可能出现），此前往往都是请韩国律师来从中和监管斡旋。现在不行了，韩国PIPC认为，如果韩国律师干扰办案，或者“认为韩国律师不太适合从中干预”，监管可以拒绝韩国律师参与，而要求海外公司直接来接受调查——就是你不来，就是拒绝配合，而你来，就需要独自“深入敌营”，会不会被扣下谁也不知道，因为调查不可能是几天就完事。