2024监管升级:你之前的韩国隐私合规可能“白做了”

文/范臻、孙磊 元合律师事务所

来源/独立出海联合体

2024年4月4日,韩国个人信息保护委员会(PIPC)发布了《海外经营者个人信息保护法适用指南》。听名字就知道,这玩意专门就冲着咱出海的哥几个来的。先划个重点:这玩意叫“指南”,也就是对修订后个保法的“解释”——也就是说,无论下面列的这些你觉得多不合理,现在都已经“即时生效”了,不存在“政策缓冲期”。

鉴于全文内容较多,咱这次挑几个重点的来跟各位介绍。

一、“14岁年龄勾选”的模式作废

在此前设计年龄验证机制时,各家基本上用的都是“勾选是否成年”,主打一个宣誓法的效力。但在PIPC新发布的《指南》中,对于未成年人的验证有了最低限度的要求——

境外经营者为提供此类商品或者服务收集信息主体个人信息的,应当核实信息主体年龄信息,以确定其是否为儿童;至少应通过让信息主体输入出生日期的方式进行,或者根据《信息通信网络利用促进及信息保护等法律》第23条之3,利用本人确认机构提供的韩国境内本人确认服务。

说白了就是:之前的勾选方式已经不符合韩国监管的胃口了,现在,至少需要设计年龄滚轮。

而且真是“现在”,因为新法已经生效了,指南只是“解释”而已。

不过,也有部分大厂已经做到了这一步,比如Sony:

2024监管升级:你之前的韩国隐私合规可能“白做了”

再比如Epic,也是做了单独的年龄滚轮:

2024监管升级:你之前的韩国隐私合规可能“白做了”2024监管升级:你之前的韩国隐私合规可能“白做了”2024监管升级:你之前的韩国隐私合规可能“白做了”(顺带一提,这种“柔性”的提示词写法还是蛮不错的)

二、各种方式都算“在韩国提供服务”

之前我们在咨询中总会被客户问到:互联网不是“自由”的吗?我这儿一包发全球,您想在哪访问关我啥事,咋就说我针对韩国提供服务了?

要搁几年前,这问题可能真有些争议。早年韩国法律就此缺乏专门规定,司法判例给出的参考也较为有限。彼时,结合监管情况及韩国学者的通说观点,大致可以得出“游戏里使用韩语,意味着韩国人能看懂,所以构成向韩国提供服务”这样的结论。

但是,随着技术的发展以及全球化服务对日常生活的渗透,原有的概念逐渐捉襟见肘。就此次解释而言,PIPC列举了如下几种情形:

(1)将韩国指定为支持的国家和地区

例如,下面这个声称为韩国提供API访问:2024监管升级:你之前的韩国隐私合规可能“白做了”

2024监管升级:你之前的韩国隐私合规可能“白做了”

(2)使用单独的韩国域名

例如,URL写成ko-kr.xxx.com或www.xxx.com/ko-kr这种:

2024监管升级:你之前的韩国隐私合规可能“白做了”2024监管升级:你之前的韩国隐私合规可能“白做了”

(3)在韩国应用市场发布或者在全球应用市场发布时,将基础语言设置为韩语2024监管升级:你之前的韩国隐私合规可能“白做了”

2024监管升级:你之前的韩国隐私合规可能“白做了”

(4)虽然声称只适用特定国家的法律,但仅以韩语提供服务

2024监管升级:你之前的韩国隐私合规可能“白做了”

(5)其他可能让公司知道“这是个韩国用户”的行为

例如,在各种填写信息的界面中,“国家”能选择韩国:

2024监管升级:你之前的韩国隐私合规可能“白做了”

在网页上搭载翻译器导致页面可以直接翻译成韩语:

2024监管升级:你之前的韩国隐私合规可能“白做了”

提供韩语客服:

2024监管升级:你之前的韩国隐私合规可能“白做了”2024监管升级:你之前的韩国隐私合规可能“白做了”

三、“隐私政策”标题写法也有要求

韩国的颗粒度可能细到超乎你想象。比如最直接的,“隐私政策”这四个字就有“标准答案”。

而且这几个字,还不是咱机翻通常输入的“隐私政策”,而是译作“个人信息处理方针”,韩语写作“개인정보 처리방침”。

来跟机翻对比下:2024监管升级:你之前的韩国隐私合规可能“白做了”

2024监管升级:你之前的韩国隐私合规可能“白做了”

这条还是立法了的,在韩国《标准个人信息保护指南》里就有明确规定:

2024监管升级:你之前的韩国隐私合规可能“白做了”

隐私政策正文的要求还不一样,得写成“ 개인정보 처리방침”。比如说:

2024监管升级:你之前的韩国隐私合规可能“白做了”2024监管升级:你之前的韩国隐私合规可能“白做了”PIPC官方

2024监管升级:你之前的韩国隐私合规可能“白做了”

NCsoft

2024监管升级:你之前的韩国隐私合规可能“白做了”2024监管升级:你之前的韩国隐私合规可能“白做了”网禅

2024监管升级:你之前的韩国隐私合规可能“白做了”2024监管升级:你之前的韩国隐私合规可能“白做了”Kakao

对了,官网上也要有隐私政策,命名标准相同,而且需要用不同的字号、颜色或粗细与其他内容(如用户协议、版权说明等)进行区分。

四、韩国企业开始默认强锁区

部分韩国企业为了尽可能的避免“受监管的范围”扩大,在4月4日解释颁布后,纷纷开始对游戏通行证进行韩国锁区——增加toss或手机号验证,排除非韩国用户注册的可能性;对于非韩国IP,系统默认不会让你选韩服,而只能选“全球”或者其他区服;

所以,对于韩国游戏的“长期灰色地带”Steam,到底会如何应对本次监管升级,会是一个迷——其实Steam上至今没有按照GRAC的要求进行韩国本土分级,而Steam一直的理由就是“不是向韩国玩家提供服务”(但它又支持韩国银行卡);而2020年GRAC又一次“进行监管”后也无疾而终,仅仅是在2022年“卑微”地要求Steam下架了一款涉及色情的游戏。现在,按照最新的解释,Steam无论如何100%属于“向韩国用户提供服务”的平台,而相比于2020年,这次的突破口是个人信息而不是游戏分级。但一旦突破口打开,分级的问题也势必会成为一个巨大的问题。

2024监管升级:你之前的韩国隐私合规可能“白做了”

WEBZEN

2024监管升级:你之前的韩国隐私合规可能“白做了”

smilegate

(至少需要提供手机号验证)

2024监管升级:你之前的韩国隐私合规可能“白做了”

krafton

(至少需要提供手机号验证)

五、“国内代理人”也得安排上

根据此次PIPC的规定,在韩国无实体,且满足(1)上一年度总销售额1万亿韩元以上;或者(2)截止上一会计年度末,在过去三个月内存储和处理的韩国个人信息主体数量平均每天超过100万人的,都需要在韩国设置国内代理人。

同时,根据PIPC在2023年12月29日发布的《个人信息保护法及实施令修订事项指引》的说明:

(1)即使是在韩国设立了主体,如果该主体不提供实际服务,也属于“在国内无实体”;

(2)“销售额”不限定在韩国,也即为“全球流水”;

(3)“存储、处理的个人信息数量”,是指从上一年度10月1日至12月31日期间,每天存储、处理的个人信息总数除以92(天),看结果是否大于100万。

国内代理人需要书面指定,代理人违法视为被代理人违法。虽然代理人在国籍上不要求是韩国人,但要求能用韩语进行流利的沟通,且必须在韩国有住所或营业场所。此外,代理人还必须要作为一项重要内容写进隐私政策,且需要载明代理人姓名、电话、邮箱、地址等信息,代理人变更时需要对隐私政策进行更新。例如,可参考Epic的隐私政策:

2024监管升级:你之前的韩国隐私合规可能“白做了”

“立法潮”之后:韩国市场的未来是?

此次“海外经营者指南”虽然是针对《个人信息保护法》的解释,却也能够看出韩国对于出海韩国企业加强监管的态势。实际上,梳理韩国目前的修法节奏,不由让人有点“版本复刻”的味道:去年3月宣布游戏法修改,年底游戏法及实施令基本定调,次年(2024)年初搞个大新闻以儆效尤,然后(至少截止到目前)从官方到民间都开始各种行为艺术。当时游戏法留了个尾巴,对于咱这种“海外经营者”相关的国内代理指定和支付同意的制度,表示将在《电子商务法》修改时另行规定。那么,命运的齿轮绕了一圈又回到原点——2024年3月26日,韩国公布了《电子商务法修正案预备法》,核心之一就是为超过一定标准的海外企业指定国内代理人。

结合之前韩国“修法执法一条龙”的先例,我们理解,未来针对“出海企业”的整体风险将有所增加,从协议文本到UX落地甚至公司的人员配置与执行逻辑,通通得改。而且需要注意的是:《海外经营者个人信息保护法适用指南》也在尾部提出了:

1、个人隐私部分的客诉,和此前掉率一样,适用强制调解,而且这种调解是默认的,海外企业如果不回应,那就是默认同意调解。

2、海外公司,尤其是没有韩国本土企业的(其实有韩国分公司,这时候也不太可能出现),此前往往都是请韩国律师来从中和监管斡旋。现在不行了,韩国PIPC认为,如果韩国律师干扰办案,或者“认为韩国律师不太适合从中干预”,监管可以拒绝韩国律师参与,而要求海外公司直接来接受调查——就是你不来,就是拒绝配合,而你来,就需要独自“深入敌营”,会不会被扣下谁也不知道,因为调查不可能是几天就完事。

声明: 该内容为作者独立观点,不代表新零售资讯观点或立场,文章为网友投稿上传,版权归原作者所有,未经允许不得转载。 新零售资讯站仅提供信息存储服务,如发现文章、图片等侵权行为,侵权责任由作者本人承担。 如对本稿件有异议或投诉,请联系:wuchangxu@youzan.com
(0)
上一篇 2024年4月22日
下一篇 2024年4月22日

相关推荐