文/范臻、孫磊 元合律師事務(wù)所

來源/獨(dú)立出海聯(lián)合體

2024年4月4日，韓國個人信息保護(hù)委員會（PIPC）發(fā)布了《海外經(jīng)營者個人信息保護(hù)法適用指南》。聽名字就知道，這玩意專門就沖著咱出海的哥幾個來的。先劃個重點(diǎn)：這玩意叫“指南”，也就是對修訂后個保法的“解釋”——也就是說，無論下面列的這些你覺得多不合理，現(xiàn)在都已經(jīng)“即時生效”了，不存在“政策緩沖期”。

鑒于全文內(nèi)容較多，咱這次挑幾個重點(diǎn)的來跟各位介紹。

一、“14歲年齡勾選”的模式作廢

在此前設(shè)計年齡驗(yàn)證機(jī)制時，各家基本上用的都是“勾選是否成年”，主打一個宣誓法的效力。但在PIPC新發(fā)布的《指南》中，對于未成年人的驗(yàn)證有了最低限度的要求——

境外經(jīng)營者為提供此類商品或者服務(wù)收集信息主體個人信息的，應(yīng)當(dāng)核實(shí)信息主體年齡信息，以確定其是否為兒童；至少應(yīng)通過讓信息主體輸入出生日期的方式進(jìn)行，或者根據(jù)《信息通信網(wǎng)絡(luò)利用促進(jìn)及信息保護(hù)等法律》第23條之3，利用本人確認(rèn)機(jī)構(gòu)提供的韓國境內(nèi)本人確認(rèn)服務(wù)。

說白了就是：之前的勾選方式已經(jīng)不符合韓國監(jiān)管的胃口了，現(xiàn)在，至少需要設(shè)計年齡滾輪。

而且真是“現(xiàn)在”，因?yàn)樾路ㄒ呀?jīng)生效了，指南只是“解釋”而已。

不過，也有部分大廠已經(jīng)做到了這一步，比如Sony：

再比如Epic，也是做了單獨(dú)的年齡滾輪：

（順帶一提，這種“柔性”的提示詞寫法還是蠻不錯的）

二、各種方式都算“在韓國提供服務(wù)”

之前我們在咨詢中總會被客戶問到：互聯(lián)網(wǎng)不是“自由”的嗎？我這兒一包發(fā)全球，您想在哪訪問關(guān)我啥事，咋就說我針對韓國提供服務(wù)了？

要擱幾年前，這問題可能真有些爭議。早年韓國法律就此缺乏專門規(guī)定，司法判例給出的參考也較為有限。彼時，結(jié)合監(jiān)管情況及韓國學(xué)者的通說觀點(diǎn)，大致可以得出“游戲里使用韓語，意味著韓國人能看懂，所以構(gòu)成向韓國提供服務(wù)”這樣的結(jié)論。

但是，隨著技術(shù)的發(fā)展以及全球化服務(wù)對日常生活的滲透，原有的概念逐漸捉襟見肘。就此次解釋而言，PIPC列舉了如下幾種情形：

（1）將韓國指定為支持的國家和地區(qū)

例如，下面這個聲稱為韓國提供API訪問：

（2）使用單獨(dú)的韓國域名

例如，URL寫成ko-kr.xxx.com或www.xxx.com/ko-kr這種：

（3）在韓國應(yīng)用市場發(fā)布或者在全球應(yīng)用市場發(fā)布時，將基礎(chǔ)語言設(shè)置為韓語

（4）雖然聲稱只適用特定國家的法律，但僅以韓語提供服務(wù)

（5）其他可能讓公司知道“這是個韓國用戶”的行為

例如，在各種填寫信息的界面中，“國家”能選擇韓國：

在網(wǎng)頁上搭載翻譯器導(dǎo)致頁面可以直接翻譯成韓語：

提供韓語客服：

三、“隱私政策”標(biāo)題寫法也有要求

韓國的顆粒度可能細(xì)到超乎你想象。比如最直接的，“隱私政策”這四個字就有“標(biāo)準(zhǔn)答案”。

而且這幾個字，還不是咱機(jī)翻通常輸入的“隱私政策”，而是譯作“個人信息處理方針”，韓語寫作“???? ????”。

來跟機(jī)翻對比下：

這條還是立法了的，在韓國《標(biāo)準(zhǔn)個人信息保護(hù)指南》里就有明確規(guī)定：

隱私政策正文的要求還不一樣，得寫成“<公司名稱> ???? ????”。比如說：

PIPC官方

NCsoft

網(wǎng)禪

Kakao

對了，官網(wǎng)上也要有隱私政策，命名標(biāo)準(zhǔn)相同，而且需要用不同的字號、顏色或粗細(xì)與其他內(nèi)容（如用戶協(xié)議、版權(quán)說明等）進(jìn)行區(qū)分。

四、韓國企業(yè)開始默認(rèn)強(qiáng)鎖區(qū)

部分韓國企業(yè)為了盡可能的避免“受監(jiān)管的范圍”擴(kuò)大，在4月4日解釋頒布后，紛紛開始對游戲通行證進(jìn)行韓國鎖區(qū)——增加toss或手機(jī)號驗(yàn)證，排除非韓國用戶注冊的可能性；對于非韓國IP，系統(tǒng)默認(rèn)不會讓你選韓服，而只能選“全球”或者其他區(qū)服；

所以，對于韓國游戲的“長期灰色地帶”Steam，到底會如何應(yīng)對本次監(jiān)管升級，會是一個迷——其實(shí)Steam上至今沒有按照GRAC的要求進(jìn)行韓國本土分級，而Steam一直的理由就是“不是向韓國玩家提供服務(wù)”（但它又支持韓國銀行卡）；而2020年GRAC又一次“進(jìn)行監(jiān)管”后也無疾而終，僅僅是在2022年“卑微”地要求Steam下架了一款涉及色情的游戲?，F(xiàn)在，按照最新的解釋，Steam無論如何100%屬于“向韓國用戶提供服務(wù)”的平臺，而相比于2020年，這次的突破口是個人信息而不是游戲分級。但一旦突破口打開，分級的問題也勢必會成為一個巨大的問題。

WEBZEN

smilegate

（至少需要提供手機(jī)號驗(yàn)證）

krafton

（至少需要提供手機(jī)號驗(yàn)證）

五、“國內(nèi)代理人”也得安排上

根據(jù)此次PIPC的規(guī)定，在韓國無實(shí)體，且滿足（1）上一年度總銷售額1萬億韓元以上；或者（2）截止上一會計年度末，在過去三個月內(nèi)存儲和處理的韓國個人信息主體數(shù)量平均每天超過100萬人的，都需要在韓國設(shè)置國內(nèi)代理人。

同時，根據(jù)PIPC在2023年12月29日發(fā)布的《個人信息保護(hù)法及實(shí)施令修訂事項(xiàng)指引》的說明：

（1）即使是在韓國設(shè)立了主體，如果該主體不提供實(shí)際服務(wù)，也屬于“在國內(nèi)無實(shí)體”；

（2）“銷售額”不限定在韓國，也即為“全球流水”；

（3）“存儲、處理的個人信息數(shù)量”，是指從上一年度10月1日至12月31日期間，每天存儲、處理的個人信息總數(shù)除以92（天），看結(jié)果是否大于100萬。

國內(nèi)代理人需要書面指定，代理人違法視為被代理人違法。雖然代理人在國籍上不要求是韓國人，但要求能用韓語進(jìn)行流利的溝通，且必須在韓國有住所或營業(yè)場所。此外，代理人還必須要作為一項(xiàng)重要內(nèi)容寫進(jìn)隱私政策，且需要載明代理人姓名、電話、郵箱、地址等信息，代理人變更時需要對隱私政策進(jìn)行更新。例如，可參考Epic的隱私政策：

“立法潮”之后：韓國市場的未來是？

此次“海外經(jīng)營者指南”雖然是針對《個人信息保護(hù)法》的解釋，卻也能夠看出韓國對于出海韓國企業(yè)加強(qiáng)監(jiān)管的態(tài)勢。實(shí)際上，梳理韓國目前的修法節(jié)奏，不由讓人有點(diǎn)“版本復(fù)刻”的味道：去年3月宣布游戲法修改，年底游戲法及實(shí)施令基本定調(diào)，次年（2024）年初搞個大新聞以儆效尤，然后（至少截止到目前）從官方到民間都開始各種行為藝術(shù)。當(dāng)時游戲法留了個尾巴，對于咱這種“海外經(jīng)營者”相關(guān)的國內(nèi)代理指定和支付同意的制度，表示將在《電子商務(wù)法》修改時另行規(guī)定。那么，命運(yùn)的齒輪繞了一圈又回到原點(diǎn)——2024年3月26日，韓國公布了《電子商務(wù)法修正案預(yù)備法》，核心之一就是為超過一定標(biāo)準(zhǔn)的海外企業(yè)指定國內(nèi)代理人。

結(jié)合之前韓國“修法執(zhí)法一條龍”的先例，我們理解，未來針對“出海企業(yè)”的整體風(fēng)險將有所增加，從協(xié)議文本到UX落地甚至公司的人員配置與執(zhí)行邏輯，通通得改。而且需要注意的是：《海外經(jīng)營者個人信息保護(hù)法適用指南》也在尾部提出了：

1、個人隱私部分的客訴，和此前掉率一樣，適用強(qiáng)制調(diào)解，而且這種調(diào)解是默認(rèn)的，海外企業(yè)如果不回應(yīng)，那就是默認(rèn)同意調(diào)解。

2、海外公司，尤其是沒有韓國本土企業(yè)的（其實(shí)有韓國分公司，這時候也不太可能出現(xiàn)），此前往往都是請韓國律師來從中和監(jiān)管斡旋?，F(xiàn)在不行了，韓國PIPC認(rèn)為，如果韓國律師干擾辦案，或者“認(rèn)為韓國律師不太適合從中干預(yù)”，監(jiān)管可以拒絕韓國律師參與，而要求海外公司直接來接受調(diào)查——就是你不來，就是拒絕配合，而你來，就需要獨(dú)自“深入敵營”，會不會被扣下誰也不知道，因?yàn)檎{(diào)查不可能是幾天就完事。