2026年3月10日，韓國(guó)對(duì)《個(gè)人信息保護(hù)法》進(jìn)行了新一輪修訂。

這次修法并不是一次孤立的制度調(diào)整，而是發(fā)生在一個(gè)非常具體的背景之下——過(guò)去幾年，韓國(guó)持續(xù)出現(xiàn)大規(guī)模數(shù)據(jù)泄露事件，涉及金融、電信、電商等多個(gè)行業(yè)，監(jiān)管執(zhí)法強(qiáng)度也在同步上升。在這樣的現(xiàn)實(shí)壓力下，原有以滿(mǎn)足合規(guī)要求為導(dǎo)向的制度，已經(jīng)越來(lái)越難以支撐監(jiān)管預(yù)期。

也正是在這個(gè)背景中，本輪修法呈現(xiàn)出一個(gè)非常值得關(guān)注的變化：它沒(méi)有簡(jiǎn)單通過(guò)“增加更多義務(wù)”來(lái)強(qiáng)化監(jiān)管，而是開(kāi)始調(diào)整一個(gè)更底層的問(wèn)題——企業(yè)究竟如何對(duì)待數(shù)據(jù)風(fēng)險(xiǎn)。

一方面，規(guī)則被前移。通過(guò)引入在達(dá)到法定風(fēng)險(xiǎn)標(biāo)準(zhǔn)時(shí)即需履行通知義務(wù)的機(jī)制，合規(guī)不再以“事件已經(jīng)發(fā)生”為起點(diǎn)，而被提前至風(fēng)險(xiǎn)識(shí)別階段；另一方面，責(zé)任被上移。通過(guò)強(qiáng)化企業(yè)負(fù)責(zé)人責(zé)任、引入最高可達(dá)相關(guān)營(yíng)業(yè)額10%的罰款機(jī)制，并將個(gè)人信息保護(hù)負(fù)責(zé)人納入董事會(huì)層面的決策與報(bào)告體系，數(shù)據(jù)保護(hù)被正式拉入公司治理框架之中。

如果把這些制度變化與近期一系列典型執(zhí)法案件放在一起看，會(huì)發(fā)現(xiàn)一個(gè)比監(jiān)管趨嚴(yán)更值得注意的轉(zhuǎn)向：監(jiān)管關(guān)注的核心，正在從企業(yè)“是否已經(jīng)合規(guī)”，轉(zhuǎn)向企業(yè)內(nèi)部是否有人在為數(shù)據(jù)風(fēng)險(xiǎn)作出判斷，并承擔(dān)后果。

修法前后，韓國(guó)連續(xù)出現(xiàn)多起具有代表性的數(shù)據(jù)泄露事件。有金融機(jī)構(gòu)將居民登記號(hào)以明文形式寫(xiě)入日志系統(tǒng)，最終導(dǎo)致數(shù)百萬(wàn)用戶(hù)信息泄露；也有品牌因訪(fǎng)問(wèn)控制與認(rèn)證機(jī)制薄弱，被攻擊者直接獲取客戶(hù)數(shù)據(jù)；還有平臺(tái)型企業(yè)由于基礎(chǔ)安全措施缺失，造成更大范圍的數(shù)據(jù)外泄。

這些事件在表面上都有一個(gè)共同標(biāo)簽——“被攻擊”。但如果沿著監(jiān)管的復(fù)盤(pán)邏輯往下看，就會(huì)發(fā)現(xiàn)問(wèn)題并不在攻擊本身。

真正的問(wèn)題在于——企業(yè)在關(guān)鍵環(huán)節(jié)缺乏最基本的風(fēng)險(xiǎn)判斷能力。什么數(shù)據(jù)需要更高等級(jí)保護(hù)、系統(tǒng)中哪些環(huán)節(jié)存在結(jié)構(gòu)性漏洞、異常行為出現(xiàn)時(shí)是否能夠被及時(shí)識(shí)別——這些本應(yīng)在日常運(yùn)營(yíng)中被持續(xù)處理的問(wèn)題，在很多案例中都處于缺位狀態(tài)。

因此，這些案件所暴露的，并不是單一的安全事故，而是企業(yè)在風(fēng)險(xiǎn)識(shí)別、內(nèi)部控制和響應(yīng)機(jī)制上的系統(tǒng)性失靈。

從制度設(shè)計(jì)上看，一個(gè)最直觀的變化，是通知義務(wù)的前移。

在多數(shù)法域中，數(shù)據(jù)合規(guī)的基本邏輯仍然圍繞事件發(fā)生之后。一旦確認(rèn)泄露，企業(yè)需要在規(guī)定時(shí)間內(nèi)向監(jiān)管機(jī)構(gòu)和用戶(hù)進(jìn)行通報(bào)。這是一種典型的事后響應(yīng)機(jī)制。

韓國(guó)這次的調(diào)整，則刻意打破了這一時(shí)間順序。

根據(jù)修訂后的第34條，在滿(mǎn)足特定條件的情況下，即便尚未確認(rèn)發(fā)生泄露，只要已經(jīng)存在達(dá)到法定標(biāo)準(zhǔn)的風(fēng)險(xiǎn)，企業(yè)就需要啟動(dòng)通知。這意味著，企業(yè)不能再以“尚未發(fā)生”為理由延遲決策，而必須在不確定狀態(tài)下完成判斷。

與此同時(shí)，通知本身也不再只是告知發(fā)生了什么。企業(yè)還需要明確說(shuō)明用戶(hù)可以采取的法律行動(dòng)路徑，包括損害賠償、法定賠償以及爭(zhēng)議解決方式等。這使得通知從信息披露行為，轉(zhuǎn)變?yōu)橐粋€(gè)帶有法律后果的合規(guī)動(dòng)作。

但如果僅把這理解為義務(wù)前移，其實(shí)還是停留在表層。更重要的是，這一變化在倒逼企業(yè)具備一項(xiàng)能力——在風(fēng)險(xiǎn)尚未完全坐實(shí)時(shí)，做出判斷。

相比義務(wù)前移，更值得關(guān)注的是責(zé)任結(jié)構(gòu)的變化。

本輪修法并沒(méi)有直接規(guī)定對(duì)企業(yè)所有者或代表人的個(gè)人罰款或刑事責(zé)任，但通過(guò)一系列制度安排，已經(jīng)把數(shù)據(jù)保護(hù)責(zé)任明確嵌入到公司治理結(jié)構(gòu)之中。企業(yè)經(jīng)營(yíng)者或代表人不再只是最終責(zé)任人的抽象表述，而需要通過(guò)資源配置、制度建設(shè)等方式，對(duì)安全措施的有效性承擔(dān)實(shí)質(zhì)責(zé)任。同時(shí)，個(gè)人信息保護(hù)負(fù)責(zé)人被納入董事會(huì)決策與報(bào)告體系，其任命、變更以及履職情況，都需要在公司治理層面被持續(xù)關(guān)注。

在這樣的制度安排下，數(shù)據(jù)合規(guī)已經(jīng)很難再被理解為一個(gè)可以由單一部門(mén)完成的職能，或者說(shuō)，它本來(lái)就不該只是某一個(gè)部門(mén)獨(dú)立完成的事項(xiàng)。

數(shù)據(jù)處理天然貫穿產(chǎn)品設(shè)計(jì)、技術(shù)架構(gòu)、運(yùn)營(yíng)流程、商業(yè)決策乃至外部合作等多個(gè)環(huán)節(jié)，其風(fēng)險(xiǎn)也并不是集中發(fā)生在某一個(gè)單點(diǎn)，而是以鏈條化、系統(tǒng)化的方式分布在整個(gè)業(yè)務(wù)運(yùn)行過(guò)程中。正因?yàn)槿绱?，?shù)據(jù)合規(guī)從一開(kāi)始就不只是法務(wù)、合規(guī)或技術(shù)團(tuán)隊(duì)的局部工作，而應(yīng)當(dāng)被理解為一項(xiàng)需要企業(yè)投入資源、由專(zhuān)業(yè)人員牽頭并推動(dòng)多部門(mén)協(xié)同的整體性工作。

過(guò)去之所以在不少公司中仍然被當(dāng)作某個(gè)單一職能來(lái)處理，更多反映的是管理層對(duì)這項(xiàng)工作的性質(zhì)和重要性認(rèn)識(shí)不足，而不是它本身適合被這樣切割。也正因此，當(dāng)通知義務(wù)被前移、風(fēng)險(xiǎn)判斷需要在不確定狀態(tài)下完成、資源投入本身開(kāi)始成為監(jiān)管評(píng)價(jià)因素時(shí)，這些問(wèn)題最終都不可避免地指向同一個(gè)層級(jí)——管理層。

10%的罰款上限無(wú)疑是本輪修法中最具沖擊力的部分。但如果只看到更重，反而容易忽略它真正的作用方式。

修訂后的規(guī)則將高額罰款與特定情形掛鉤，例如重復(fù)發(fā)生重大違規(guī)、因故意或重大過(guò)失導(dǎo)致大規(guī)模數(shù)據(jù)泄露，或在未落實(shí)整改要求的情況下再次發(fā)生事故等。同時(shí)，制度也明確，在企業(yè)已就個(gè)人信息保護(hù)投入充分資源（包括人員、預(yù)算及技術(shù)措施）的情況下，可以酌情減輕處罰。

這實(shí)際上在引入一種更具針對(duì)性的評(píng)價(jià)邏輯，即監(jiān)管不再只問(wèn)結(jié)果如何，而開(kāi)始追問(wèn)——在結(jié)果發(fā)生之前，企業(yè)是否作出了合理判斷，并為此配置了相應(yīng)資源。

也正是在這一點(diǎn)上，處罰開(kāi)始與前文所提到的責(zé)任結(jié)構(gòu)發(fā)生聯(lián)動(dòng)。罰款不再只是對(duì)結(jié)果的懲罰，而是在倒逼一個(gè)更具體的問(wèn)題——這些決策是誰(shuí)作出的，又是否具備充分依據(jù)。

換句話(huà)說(shuō)，處罰的指向，正在從結(jié)果本身，轉(zhuǎn)向決策過(guò)程。

如果把上述變化放在一起看，可以看到一個(gè)更深層的轉(zhuǎn)向。

這次修法，并不是簡(jiǎn)單提高了合規(guī)門(mén)檻，而是在改變企業(yè)處理數(shù)據(jù)問(wèn)題的方式。數(shù)據(jù)保護(hù)不再只是一個(gè)需要“滿(mǎn)足”的合規(guī)事項(xiàng)，而逐漸成為一個(gè)需要被持續(xù)判斷、持續(xù)投入資源的經(jīng)營(yíng)議題。

企業(yè)需要面對(duì)的，不再只是規(guī)則本身，而是在規(guī)則尚未完全明確、風(fēng)險(xiǎn)尚未完全發(fā)生的情況下，如何作出決策，以及這些決策由誰(shuí)承擔(dān)。也正是在這一過(guò)程中，數(shù)據(jù)風(fēng)險(xiǎn)開(kāi)始進(jìn)入企業(yè)的日常經(jīng)營(yíng)邏輯。它不再只是事后被動(dòng)應(yīng)對(duì)的問(wèn)題，而是前置到業(yè)務(wù)推進(jìn)過(guò)程中，需要被持續(xù)評(píng)估、權(quán)衡和管理的變量。

因此，“誰(shuí)來(lái)負(fù)責(zé)”并不是一個(gè)額外提出的問(wèn)題，而是在決策被前移之后自然浮現(xiàn)的結(jié)果——當(dāng)風(fēng)險(xiǎn)判斷成為日常經(jīng)營(yíng)的一部分，這一責(zé)任也不可能停留在執(zhí)行層，而必然落在具備資源配置與決策權(quán)的管理層。

這一變化，對(duì)出海企業(yè)的影響是非?，F(xiàn)實(shí)的。

很多企業(yè)——尤其是出海企業(yè)——既缺乏成體系的內(nèi)部機(jī)制，也缺乏穩(wěn)定的資源投入與專(zhuān)業(yè)支撐。數(shù)據(jù)合規(guī)往往被分散在法務(wù)、技術(shù)、產(chǎn)品或安全團(tuán)隊(duì)之間，日常各自為戰(zhàn)，風(fēng)險(xiǎn)發(fā)生后再臨時(shí)拼湊應(yīng)對(duì)方案。這樣的狀態(tài)，在過(guò)去或許尚可維持，但在當(dāng)前監(jiān)管邏輯下，已經(jīng)越來(lái)越難以支撐。

因?yàn)楝F(xiàn)在被持續(xù)追問(wèn)的，已經(jīng)不僅只是“制度是否存在”“文件是否完備”，而是企業(yè)在面對(duì)不確定風(fēng)險(xiǎn)時(shí)，能否及時(shí)識(shí)別問(wèn)題、形成判斷，并推動(dòng)跨部門(mén)協(xié)同，將這些判斷轉(zhuǎn)化為可以被監(jiān)管接受的處理結(jié)果。對(duì)于大多數(shù)出海企業(yè)而言，這并不是一項(xiàng)可以依靠?jī)?nèi)部自然演進(jìn)就迅速具備的能力。

問(wèn)題的關(guān)鍵，也因此發(fā)生了轉(zhuǎn)移——難點(diǎn)不再只是主觀上的是否重視，而在于如何將這種重視轉(zhuǎn)化為一套可以持續(xù)運(yùn)行的機(jī)制。哪些風(fēng)險(xiǎn)需要被優(yōu)先識(shí)別，哪些問(wèn)題需要上升至管理層決策，業(yè)務(wù)、技術(shù)與合規(guī)之間如何形成有效協(xié)同，以及在規(guī)則不斷變化的情況下，如何保持判斷的一致性與可解釋性。

從實(shí)踐來(lái)看，能夠較快建立起上述能力的企業(yè)，往往并非依賴(lài)內(nèi)部逐步摸索，而是通過(guò)更成熟的經(jīng)驗(yàn)框架，對(duì)既有結(jié)構(gòu)進(jìn)行系統(tǒng)性梳理與重構(gòu)，使原本分散的職責(zé)、模糊的邊界和滯后的響應(yīng)，轉(zhuǎn)變?yōu)橐惶卓梢猿掷m(xù)運(yùn)轉(zhuǎn)的治理機(jī)制。

因此，這一輪變化帶來(lái)的現(xiàn)實(shí)影響，并不在于企業(yè)是否做了合規(guī)，而在于能否盡快補(bǔ)齊這一能力缺口，并使相關(guān)責(zé)任在組織結(jié)構(gòu)中被真實(shí)承載。

類(lèi)似的趨勢(shì)在中國(guó)亦有所體現(xiàn)。個(gè)人信息保護(hù)負(fù)責(zé)人制度的發(fā)展，本質(zhì)上同樣是在推動(dòng)責(zé)任向具備資源調(diào)配能力的層級(jí)集中。不同法域在具體制度設(shè)計(jì)上存在差異，但其背后的邏輯正在趨同。

對(duì)于企業(yè)而言，這一輪變化真正提出的問(wèn)題，其實(shí)非常具體：

在數(shù)據(jù)風(fēng)險(xiǎn)尚未發(fā)生、規(guī)則尚未完全明確的情況下，企業(yè)內(nèi)部是否有人能夠作出判斷，并為此承擔(dān)后果。

如果這個(gè)問(wèn)題無(wú)法被回答，那么是否合規(guī)本身已經(jīng)不再構(gòu)成真正的風(fēng)險(xiǎn)邊界。真正決定企業(yè)風(fēng)險(xiǎn)暴露程度的，是其是否具備在不確定性中作出判斷的能力，以及這些判斷，是否被放在了正確的層級(jí)上。