Hàn Quốc dự kiến thưởng tới 30% tiền phạt cho người tố giác vi phạm dữ liệu cá nhân

Ủy ban Bảo vệ Thông tin Cá nhân Hàn Quốc (PIPC) đang thúc đẩy hàng loạt biện pháp mạnh nhằm tăng cường bảo vệ dữ liệu cá nhân, trong đó nổi bật là đề xuất thưởng cho người tố giác các vụ rò rỉ dữ liệu với mức tối đa lên tới 30% số tiền xử phạt doanh nghiệp vi phạm. Đồng thời, cơ quan này cũng dự kiến thành lập quỹ thống nhất hỗ trợ bồi thường cho các nạn nhân bị lộ thông tin cá nhân.

Kế hoạch trên được PIPC báo cáo trong chương trình công tác nửa cuối năm 2026 tại cuộc họp do Tổng thống Lee Jae-myung chủ trì ngày 16/7.

Theo đề xuất, những vụ rò rỉ dữ liệu quy mô lớn sẽ được giao cho các tổ điều tra chuyên trách nhằm đẩy nhanh quá trình xác minh và xử lý. Các doanh nghiệp không hợp tác điều tra, che giấu hoặc tiêu hủy chứng cứ sẽ phải đối mặt với các chế tài nghiêm khắc hơn.

Về cơ chế bồi thường, PIPC cho biết sẽ sửa đổi quy định để làm rõ trách nhiệm bồi thường thiệt hại của doanh nghiệp, đồng thời tăng cường chế độ bồi thường theo luật định, buộc doanh nghiệp phải chứng minh đầy đủ trách nhiệm liên quan đến sự cố rò rỉ dữ liệu.

Bên cạnh đó, cơ quan này đang phối hợp với các bộ, ngành nghiên cứu thành lập quỹ hỗ trợ khắc phục thiệt hại, sử dụng một phần nguồn thu từ tiền xử phạt để phục hồi quyền lợi cho người bị ảnh hưởng.

Một điểm đáng chú ý là Hàn Quốc dự kiến áp dụng cơ chế thưởng cho người tố giác vi phạm với mức tối đa khoảng 30% số tiền xử phạt thu được. Chủ tịch PIPC Song Kyung-hee cho biết mức thưởng này được tham khảo từ mô hình đang áp dụng tại Ủy ban Dịch vụ Tài chính (FSC), nơi người tố giác có thể nhận tối đa 30% khoản tiền thu hồi hoặc tiền phạt mà không bị giới hạn mức trần.

Ngược lại, các doanh nghiệp cố tình che giấu sự cố sẽ bị xử lý nghiêm hơn. Theo kế hoạch, những đơn vị chủ động báo cáo và phối hợp khắc phục sẽ được xem xét giảm mức xử phạt, trong khi doanh nghiệp không khai báo và chỉ bị phát hiện sau đó có thể bị tăng tiền phạt thêm từ 30% trở lên.

PIPC cũng dự kiến áp dụng cơ chế "thỏa thuận khắc phục thiệt hại", cho phép doanh nghiệp chủ động đề xuất biện pháp bồi thường và sửa chữa hậu quả để được xem xét giải quyết vụ việc theo hình thức đồng thuận.

Trước tình trạng các vụ rò rỉ dữ liệu ngày càng gia tăng, Hàn Quốc sẽ cải tổ toàn diện quy trình điều tra. Những vụ việc liên quan đến từ một triệu dữ liệu cá nhân trở lên sẽ được điều tra tập trung bởi lực lượng chuyên trách, trong khi các vụ nhỏ hơn sẽ được xử lý theo quy trình rút gọn nhằm đẩy nhanh tiến độ.

Theo thống kê, số vụ báo cáo rò rỉ dữ liệu tại Hàn Quốc đã tăng từ 307 vụ năm 2024 lên 447 vụ năm 2025. Chỉ trong nửa đầu năm 2026 đã có 432 vụ được ghi nhận, gần bằng cả năm trước.

Hiện PIPC đang điều tra nhiều vụ rò rỉ dữ liệu tại các doanh nghiệp và nền tảng lớn như KT, TVING, Yes24, GS Retail, Netmarble và hệ thống xe đạp công cộng Seoul "Ddareungi". Các vụ việc có ảnh hưởng lớn đến đời sống người dân dự kiến sẽ được xử lý dứt điểm trong năm nay.

Từ tháng 9 tới, Hàn Quốc cũng sẽ chính thức áp dụng chế độ tiền phạt mang tính trừng phạt, cho phép phạt tới 10% doanh thu đối với các hành vi vi phạm nghiêm trọng hoặc tái phạm nhiều lần.

Ngoài ra, PIPC sẽ thúc đẩy sửa đổi Luật Bảo vệ Thông tin Cá nhân nhằm bổ sung nhiều công cụ cưỡng chế mới như phạt doanh nghiệp không hợp tác điều tra, yêu cầu bảo toàn chứng cứ và áp dụng các biện pháp bảo vệ khẩn cấp.

Đối với hành vi mua bán dữ liệu cá nhân bị đánh cắp trên các nền tảng như dark web, cơ quan này đề xuất bổ sung quy định hình sự mới. Người biết rõ dữ liệu có nguồn gốc bất hợp pháp nhưng vẫn mua bán hoặc phát tán có thể bị phạt tới 5 năm tù hoặc 50 triệu won tiền phạt.

Song song với đó, PIPC muốn được trao thêm thẩm quyền trực tiếp thu thập, phát hiện, yêu cầu gỡ bỏ và chặn các thông tin cá nhân bị phát tán trái phép trên môi trường mạng.

Đối với doanh nghiệp vừa và nhỏ, cơ quan quản lý sẽ ưu tiên hướng dẫn phòng ngừa thay vì xử phạt ngay. Các vi phạm nhẹ có thể được miễn xử lý nếu doanh nghiệp chủ động khắc phục, nhưng sẽ bị xử phạt nghiêm nếu tái phạm. Khi xảy ra sự cố, doanh nghiệp cũng sẽ được hỗ trợ kỹ thuật khẩn cấp để giảm thiểu thiệt hại.


Trong lĩnh vực dữ liệu cá nhân (MyData), Hàn Quốc đang nghiên cứu cơ chế chia sẻ một phần lợi nhuận từ việc khai thác dữ liệu cho chính chủ sở hữu dữ liệu. Mô hình này dự kiến sẽ được thí điểm trong các lĩnh vực như chăm sóc sức khỏe và vận chuyển cấp cứu.

Để đáp ứng nhu cầu phát triển trí tuệ nhân tạo (AI), PIPC cũng đề xuất cơ chế đặc biệt cho phép sử dụng dữ liệu gốc trong các dự án AI phục vụ lợi ích công cộng và xã hội, với điều kiện phải áp dụng các biện pháp bảo vệ dữ liệu phù hợp. Dự luật sửa đổi liên quan đã được Ủy ban Chính sách Quốc hội thông qua vào tháng 5 vừa qua.

Trước sự xuất hiện của các công nghệ mới như AI và kính thông minh (smart glasses), Hàn Quốc sẽ xây dựng lại toàn bộ hệ thống quản lý dữ liệu cá nhân theo hướng phân loại mức độ nhạy cảm và rủi ro để áp dụng các tiêu chuẩn bảo vệ phù hợp.

PIPC cho biết hiện cơ quan này đang làm việc với các doanh nghiệp phát triển kính thông minh để xác định rõ những nghĩa vụ mà các nhà cung cấp công nghệ phải tuân thủ theo Luật Bảo vệ Thông tin Cá nhân.

Ngoài ra, Hàn Quốc cũng sẽ sửa đổi quy định liên quan đến dữ liệu của người đã qua đời nhằm tạo sự cân bằng giữa bảo vệ quyền riêng tư và nhu cầu thực tế, như cho phép thân nhân tiếp cận tài khoản trực tuyến của người mất trong các tình huống khẩn cấp hoặc thiên tai.