个人信息泄露举报数量急剧增加，但实际进行现场调查的案件仅占总数的5.7%。 根据国会政务委员会成员朴成勋从个人信息保护委员会获得的资料显示，今年1至8月接收的个人信息泄露举报共579件，截至9月底仅有33件进行了现场调查，占总举报数量的5.7%。 个人信息委员会表示，鉴于泄露举报的激增，首先通过要求提交资料等书面调查确认泄露规模和经过等事实情况。随后，根据书面调查结果、事件的紧急性和重要性、现场确认的必要性等综合考虑，逐步进行现场调查。 然而，在泄露举报快速增加的情况下，必须加强现场调查和事故初期的应对能力。仅依靠书面调查可能无法有效识别事故现场的安全漏洞或泄露经过，因此需要建立快速现场确认的事件筛选和应对机制。 朴议员指出，在个人信息泄露和黑客事件增加的情况下，仅依靠书面调查的应对措施难以迅速阻止损失扩散。他强调：“国民的金融信息和个人信息正成为黑客的目标，监管机构不应仅仅查看文件而错失阻止损失扩散的黄金时间，必须重新审视高风险机构的现场调查和预防机制。” 实际上，个人信息泄露举报呈上升趋势。今年1至8月接收的579件举报比去年全年接收的447件多出132件，增幅为29.5%。按年度统计，2022年为167件，2023年为318件，2024年略微减少至307件，去年再次增加至447件。 泄露原因中，黑客造成的比例也很大。去年447件泄露举报中，因黑客造成的举报有276件，占61.7%。尤其是民营企业因黑客造成的泄露举报，从2022年的47件增加至2023年的136件。2024年保持在135件的相似水平，但去年再次增加至232件。※ 本报道经人工智能（AI）系统翻译与编辑。

自11日起，强化以预防为中心的个人信息保护体系的修订个人信息保护法将正式实施。该法不仅加强了对重大侵害的制裁，还对企业的前期投资和快速响应给予激励，同时强化了首席执行官（CEO）和董事会在个人信息保护方面的责任。 此次修订在加强制裁的同时，也增强了企业前期投资和快速响应的激励结构。作为引导个人信息保护投资的激励措施，企业若能充分进行事前预防和事故后的应对，罚款可减免最高达80%。 杨青三个人信息保护委员会事务处长在10日于首尔政府厅的简报会上强调：“此次法修订的核心在于从事后制裁转向以事前预防为中心的个人信息保护政策的范式转变。”他表示，个人信息保护应被视为提升客户信任和企业价值的前期投资，而非事故发生后需要承担的成本。 修订法将对重复或重大个人信息侵害的罚款上限从原来的整体销售额的3%提高至最高10%。对于故意或重大过失重复违规，或造成超过1000万人的大规模损害，或未能执行整改命令导致泄露事故发生的情况，均适用此规定。 杨处长解释，即使不是重复事故，只要认定为故意或重大过失，并造成超过1000万人的损害，也可适用最高10%的罚款。这些条件并非必须全部满足，而是作为独立的加重理由适用。 相反，对于在个人信息保护方面进行充分投资和管理的企业，罚款可减免最高40%。这适用于在事故发生后迅速检测异常迹象，并及时通知信息主体和相关部门，积极采取措施防止损害扩散和改善漏洞的企业。 个人信息委员会在加强制裁的同时，也重视引导企业进行预防投资和事故后的响应。若企业在事前投资和事故后响应均充分，减免幅度可高达80%。由于单靠事后制裁难以减少个人信息泄露，因此希望企业平时能建立保护体系，并在事故发生时迅速公开和应对。 不过，投资金额的多少并不直接决定减免幅度。个人信息委员会将综合考虑投资规模和持续性、个人信息资产和风险识别、安全措施水平、信息保护责任人（CPO）和CEO的角色等因素来判断减免水平。杨处长表示：“由于不同行业的特性不同，个人信息保护投资难以用统一的数字来规定。” 管理层的责任也将进一步加大。修订法明确规定，企业主或代表为个人信息处理和保护的最终管理责任人。个人信息保护责任人（CPO）需向CEO或董事会报告个人信息保护现状、主要风险和改进需求，管理层则需提供必要的预算和人力支持。这将个人信息保护提升为管理层的重要决策事项，而非仅仅是实务部门的工作。 因此，企业通知泄露事实的时点也将提前。未来，即使个人信息泄露尚未最终确认，也必须具备客观上高度可能泄露的情形。 个人信息委员会举例说明，若在暗网中流通的信息与实际数据库结构一致，或确认有入侵迹象但损害规模尚未确定等情况。 杨处长表示：“仅仅因为存在漏洞或有迹象并不能作为通知的依据，必须有客观上明确的怀疑情形。” CPO的举报义务将在明年12月之前设定一个宽限期。目前，约有600至700家企业被指定为专业CPO。针对宽限期超过一年是否过长的质疑，杨处长解释道：“举报期限自实施日起为6个月，因此考虑到实际违规案例发生在明年3月之后，设定了年底之前的宽限期。”※ 本报道经人工智能（AI）系统翻译与编辑。

个人信息保护委员会（以下简称个人信息委员会）对违反个人信息保护法规的GS零售处以128亿3600万元的罚款，并处以300万元的罚款。同时，对恩瑞斯和SK电信也进行了罚款和罚金处理，对艾托兹则给予警告。 个人信息委员会在8月26日召开第17次全体会议，决定对GS零售、恩瑞斯、SK电信和艾托兹四家企业共计处以129亿5444万元的罚款和1020万元的罚金，并要求制定防止再次发生的对策，并在相关企业网站上公布结果。 个人信息委员会认为，这些企业在个人信息处理系统的访问控制等安全措施上存在疏忽，导致个人信息泄露。 GS零售被处以128亿3600万元的罚款和300万元的罚金。 根据个人信息委员会的报告，身份不明的黑客于2024年6月21日至2025年2月13日期间对GS零售运营的GS SHOP网站进行“凭证填充”攻击，并于2024年12月26日至2025年1月4日期间对GS25网站进行攻击，成功登录。凭证填充攻击是一种利用事先获取的大量用户名和密码信息进行暴力登录的攻击方式。 随后，黑客通过会员信息修改页面，泄露了GS SHOP的158万1025名用户和GS25的7万9128名用户的个人信息（包括姓名、性别、出生日期、联系方式、地址、电子邮件等）。 GS零售未能制定能够检测和阻止同一IP地址在短时间内进行大规模登录尝试的措施。尽管登录尝试和登录失败的异常情况急剧增加，但未能及时识别，导致信息泄露持续了较长时间。 在意识到泄露后，GS零售未采取适当措施，导致GS SHOP的个人信息泄露进一步加剧。尽管在2025年1月4日首次意识到GS25网站的信息泄露，但直到同年2月才意识到GS SHOP网站也遭受了相同的攻击。因此，从首次意识到泄露的1月4日至2月13日，信息泄露持续发生。 在意识到GS25网站的信息泄露后，GS零售未能充分应对，未能及时识别GS SHOP网站上发生的相同攻击。这导致在首次意识到泄露的2025年1月4日之后，信息泄露持续到2月13日。特别是，GS25攻击中使用的327个IP地址在GS SHOP攻击中也被确认使用。 调查显示，事故发生时缺乏专门的个人信息保护组织，安全运营分散，个人信息保护组织的构建和运营也显得不足。首次泄露通知后，调查过程中又确认了1599名泄露对象，但在没有正当理由的情况下，超过72小时后才通知泄露事实。 因此，个人信息委员会对GS零售处以128亿3600万元的罚款和300万元的罚金，并命令其在网站上公布处理结果。 此外，个人信息委员会还要求GS零售制定防止再次发生的对策，包括分析服务访问量和模式，以识别异常访问，并加强个人信息保护专门人员的配置，明确个人信息保护责任人的权利和责任，全面检查和改善治理体系。 个人信息委员会对恩瑞斯处以1184万元的罚款和360万元的罚金。恩瑞斯运营的约会应用程序中，身份不明的黑客利用身份验证漏洞，于2023年3月23日至27日对16803个手机号码进行登录尝试。在此过程中，736个账户的昵称、性别、个人资料照片、出生日期、性格、学历、职业、身高、血型等个人信息被泄露。 调查结果显示，恩瑞斯对应用程序内身份验证漏洞的检查和措施疏忽，未设置阻止同一IP地址的过多访问的政策，违反了安全性保障措施的义务。 个人信息委员会对SK电信处以360万元的罚金并下达整改命令，对艾托兹则给予警告。 艾托兹受SK电信委托，制作和运营元宇宙服务“IFLAND”的活动网站。在此过程中，从2022年11月21日至2023年1月3日，管理员页面被搜索引擎曝光，导致1140名用户的姓名和手机号码泄露。 调查显示，艾托兹未对管理员页面实施IP地址限制等访问控制措施。SK电信在意识到个人信息泄露后，超过24小时才进行泄露通知和报告。 该事件适用旧版个人信息保护法，信息通信服务提供者在意识到个人信息泄露后，必须在24小时内进行泄露通知和报告。 个人信息委员会通过此次处理强调，在个人信息处理系统运营时，必须采取限制未授权访问等访问控制措施，定期进行漏洞检查和措施等基本原则。此外，发生个人信息泄露事故时，呼吁信息主体能够迅速识别并在72小时内进行泄露报告和通知。 GS零售表示：“我们已成立由主要高管和外部专家参与的‘信息安全对策委员会’，以提升安全应对体系，并全面检查事故后的安全系统和管理体系，增强信息保护水平。我们将继续以客户为中心，将个人信息保护作为重要的经营课题，持续进行员工培训和内部管理体系的整顿，以防止再次发生。”※ 本报道经人工智能（AI）系统翻译与编辑。

因个人信息泄露事件而受到影响的쿠팡用户的集体争议调解程序已重新启动。个人信息保护委员会（个人信息委员会）在对쿠팡作出罚款决定后，暂停于今年2月的救济程序也随之恢复。 根据12日个人信息委员会的消息，个人信息争议调解委员会将针对对쿠팡提出的两起集体争议调解申请进行合并，并开始调解程序。尚未参与集体争议调解的受害者可以从当天起至26日申请额外参与。 根据个人信息委员会的调查，此次事件中泄露的个人信息涉及3322万名쿠팡会员和至少433万名非会员，总计超过3756万人。争议调解委员会决定将已接收的高某等50人申请的案件与金某等1626人申请的案件合并进行审理。 个人信息委员会在去年11月启动对쿠팡个人信息泄露事件的调查后，认为调查结果可能会影响争议调解，因此于今年2月暂停了集体争议调解程序。随后，在10日对쿠팡作出罚款和整改命令的决定后，暂停的调解程序得以恢复。 收到쿠팡个人信息泄露通知的用户可以额外参与集体争议调解。参与者需填写申请表，并通过电子邮件或邮寄方式提交给争议调解委员会。争议调解委员会将在申请结束后10天内通知申请人的资格，并在接收截止日期后的60天内向当事人通知调解方案。 集体争议调解是针对50名以上遭受相同或类似个人信息侵害的受害者，且案件核心争议点相同的情况下使用的制度。与个别诉讼不同，该制度无需额外费用，可以一次性救济多名受害者。受害者无需单独提起损害赔偿诉讼，即可通过一个程序调整损害赔偿范围和精神损害赔偿等。 然而，集体争议调解与具有强制力的法院判决不同。即使争议调解委员会制定了调解方案，申请人和企业都必须接受该方案，调解才能成立。若调解成立，根据个人信息保护法，调解将具有与法院和解相同的效力，但若企业不接受调解方案，受害者需通过单独的民事诉讼来索赔。 近期大规模个人信息泄露事件频发，集体争议调解制度的使用也在增加。此前，个人信息争议调解委员会在SK电信SIM卡信息泄露事件中，曾决定向申请人支付每人30万韩元的调解方案。 ※ 本报道经人工智能（AI）系统翻译与编辑。

个人信息保护委员会对쿠팡处以总额6246亿8100万元的历史最高罚款，쿠팡对此表示遗憾，并暗示将采取法律措施。 쿠팡在11日发布的声明中表示：“对于此次个人信息泄露事件给客户和公众带来的困扰，我们深表歉意，并将进一步加强个人信息保护框架，努力以新的决心恢复客户信任。” 不过，쿠팡对个人信息委员会的决定表示失望。 쿠팡表示：“我们对去年数据泄露事件采取的预防措施和基于明确事实的解释未能充分反映在个人信息委员会的决定中感到遗憾。” 个人信息委员会当天指出，쿠팡泄露了约3750万人的个人信息，并在没有法律依据的情况下收集和保存了1117万会员的在线活动记录，因此处以总额6246亿8100万元的罚款。这是韩国国内个人信息保护法违规事件中的最高罚款。 쿠팡还对与其一起受到制裁的“쿠팡伙伴”运营方式表示没有问题。 쿠팡称：“쿠팡伙伴是数千名国内创作者、博主和小商户推荐商品并创造收益的项目，采用与其他全球企业相同的合作模式，合法运营并保护客户数据。” 最后，쿠팡表示：“期待在收到个人信息委员会的正式决定书后，通过法律程序明确事实。”※ 本报道经人工智能（AI）系统翻译与编辑。