Luật Bảo Vệ Thông Tin Cá Nhân Hàn Quốc (PIPA): Điều Doanh Nghiệp Việt Cần Biết

Ngày đăng: 26/10/2026 · Cập nhật lần cuối: 30/10/2026

Nói ngắn gọn: Luật Bảo vệ Thông tin Cá nhân của Hàn Quốc (PIPA) có thể áp dụng cho doanh nghiệp nước ngoài nếu họ cung cấp hàng hóa, dịch vụ cho người dùng tại Hàn Quốc hoặc xử lý dữ liệu có tác động lớn đến họ. Theo hai bản tin của hãng luật năm 2024, những dấu hiệu như dùng tiếng Hàn, tên miền .kr hay hỗ trợ khách bằng tiếng Hàn có thể được xem xét. Bài này là tổng quan từ các nguồn đó, không phải tư vấn pháp lý, và các nguồn không hoàn toàn thống nhất về một số chi tiết.

Khi nào PIPA áp dụng với doanh nghiệp nước ngoài?

Hãng luật Baker McKenzie (tháng 5 năm 2024) tóm tắt hướng dẫn của Ủy ban Bảo vệ Thông tin Cá nhân (PIPC) ban hành ngày 4 tháng 4 năm 2024 với ba trường hợp: cung cấp hàng hóa hoặc dịch vụ cho người dùng tại Hàn Quốc; xử lý dữ liệu có tác động trực tiếp và đáng kể đến người dùng Hàn Quốc; hoặc có pháp nhân tại Hàn Quốc nơi dữ liệu được xử lý. Các yếu tố được nêu gồm ngôn ngữ, đơn vị tiền tệ và tên miền website. Shin & Kim liệt kê các ví dụ thường bị xem là thuộc phạm vi: miền .kr, ra mắt trên kho ứng dụng của Hàn Quốc và hỗ trợ khách hàng chỉ bằng tiếng Hàn, đồng thời nói rằng còn những điểm chưa rõ, nhất là thế nào là tác động trực tiếp và đáng kể. Một bản tin khác của Lee & Ko nhận xét luật không định nghĩa rõ phạm vi áp dụng ngoài lãnh thổ và thường được hiểu là áp dụng khi doanh nghiệp nước ngoài xử lý dữ liệu của người Hàn hoặc cư dân tại Hàn Quốc.

Các yêu cầu thường được nhắc tới

• Chính sách quyền riêng tư phải bằng tiếng Hàn; Shin & Kim nêu bản dịch đơn thuần là chưa đủ. Chính sách cần nêu bên kiểm soát dữ liệu, việc xử lý ở nước ngoài và quốc gia liên quan.
• Với trẻ dưới 14 tuổi cần sự đồng ý của người đại diện hợp pháp.
• Thông báo rò rỉ dữ liệu cho Ủy ban và người bị ảnh hưởng trong vòng 72 giờ. Lee & Ko nêu thêm ngưỡng báo cáo với cơ quan quản lý, ví dụ từ 1.000 người trở lên.
• Quyền của chủ thể dữ liệu như truy cập, sửa và xóa, theo Baker McKenzie.
• Khi chuyển dữ liệu ra nước ngoài, phải thông báo bằng văn bản rõ ràng, gồm tên đơn vị nước ngoài và quốc gia. Lee & Ko còn nêu các căn cứ khác ngoài sự đồng ý, như quy định luật, hiệp ước, chứng nhận được PIPC công nhận hoặc quốc gia được xem là đủ mức bảo vệ.

Đại diện trong nước cho doanh nghiệp nước ngoài

Theo Lee & Ko, doanh nghiệp nước ngoài phải chỉ định đại diện trong nước khi đạt một trong ba điều kiện: tổng doanh thu năm trên 1.000 tỷ won; trung bình mỗi ngày xử lý dữ liệu của hơn một triệu người Hàn Quốc trong ba tháng cuối của năm trước; hoặc PIPC yêu cầu. Đại diện là một pháp nhân trong nước do doanh nghiệp lập ra hoặc có ảnh hưởng chi phối, và thông tin liên hệ phải được nêu trong chính sách quyền riêng tư. Digital Policy Alert ghi nhận sửa đổi năm 2025 có hiệu lực từ ngày 2 tháng 10 năm 2025. Shin & Kim (năm 2024) cũng cảnh báo rằng đại diện bị xem như chưa được chỉ định nếu chỉ dùng ghi âm để chuyển khách sang email hoặc biểu mẫu, hoặc không xử lý được khiếu nại. Một doanh nghiệp Việt quy mô nhỏ thường khó đạt hai ngưỡng đầu, nhưng vẫn có thể phát sinh nếu PIPC yêu cầu. Đây là suy luận từ ngưỡng được công bố, không phải kết luận pháp lý. Với quy định tương tự dành cho người bán trên sàn thương mại điện tử, xem quy định cho người bán nước ngoài.

Mức phạt và ví dụ xử lý

Lee & Ko cho biết mức phạt hành chính có thể tới 3% tổng doanh thu (phần doanh thu không liên quan đến vi phạm được loại trừ), còn Shin & Kim dùng cụm doanh thu toàn cầu, nên cần đối chiếu văn bản luật. Việc không thông báo rò rỉ dữ liệu có thể bị phạt tới 30 triệu won theo Lee & Ko. Nguồn này dẫn các ví dụ tháng 1 năm 2025 là KakaoPay bị phạt 5,9 tỷ won và Apple 2,4 tỷ won liên quan đến thông báo chuyển dữ liệu ra nước ngoài, đồng thời nói các biện pháp xử lý đang được khởi kiện tại tòa.

Gợi ý cho doanh nghiệp Việt

Đây là gợi ý cách làm việc, không phải tư vấn pháp lý:

• Rà lại website, biểu mẫu liên hệ và công cụ thu email có nhắm tới người dùng Hàn Quốc không, vì những nơi này thu thập thông tin cá nhân.
• Chuẩn bị chính sách quyền riêng tư bằng tiếng Hàn do người bản xứ viết thay vì chỉ dịch máy. Xem bản địa hóa nội dung.
• Ghi rõ nơi xử lý dữ liệu và quốc gia của đơn vị xử lý ở nước ngoài trong chính sách.
• Lập quy trình thông báo sự cố rò rỉ trong 72 giờ và hỏi luật sư Hàn Quốc nếu chạm các ngưỡng.
• Nếu bán hàng hoặc livestream cho người Hàn, xem thêm live commerce Hàn Quốc và lộ trình bán hàng sang Hàn Quốc.

Cần hỗ trợ bản địa hóa website: yêu cầu tư vấn miễn phí.

Câu hỏi thường gặp

Nguồn tham khảo

• Baker McKenzie, South Korea issues guidelines on applying PIPA to foreign business operators (2024)
• Shin & Kim, newsletter on PIPA guidelines for foreign business operators (2024)
• Digital Policy Alert, PIPA amendment on domestic representatives (2025)
• Lee & Ko via Law.asia, Doing business in Korea: Data privacy compliance

Bài viết liên quan

• Người Bán Nước Ngoài Trên Sàn Thương Mại Điện Tử Hàn Quốc: Quy Định Cần Biết
• Bản Địa Hóa Nội Dung Hàn Quốc Là Gì?
• Làm Sao Để Doanh Nghiệp Việt Nam Bán Hàng Sang Hàn Quốc?

Dịch vụ liên quan

• Tất cả dịch vụ marketing Hàn Quốc của KRWORK