韓國嚴懲千萬筆以上個資外洩企業，最高處年營收 10% 罰款

韓國資料隱私主管機關個人資訊保護委員會（PIPC）宣布新法規，將針對因故意或重大過失造成 1,000 萬人以上個資外洩的企業，最高處以年營收 10% 的罰款。這個罰則設計的嚴厲程度，在全球的個資保護法制中屬於前段。

以年營收而非固定金額計算罰款，是近年個資法制的重要轉向。固定上限的罰款對大型企業而言往往只是營運成本的一部分，難以產生嚇阻作用；而與營收連動的罰則則確保處分的痛感與企業規模成比例，使資安投入在財務上成為理性選擇。

10% 的比例相當可觀。多數企業的淨利率遠低於營收的 10%，這意味著一次重大外洩事件的罰款可能超過該年度的全部獲利，甚至造成實質虧損。在這種量級下，資安預算的決策就不再只是技術部門的議題，而必須進入董事會層級。

門檻設定在 1,000 萬人則反映了針對性。這個規模的外洩只可能發生在大型平台、電信業者或金融機構——也就是持有最大量個資、且最有能力投入防護資源的組織；中小企業的事件不會觸及這個門檻，避免了過度的合規負擔。

「故意或重大過失」的要件同樣關鍵。它排除了已盡合理防護義務卻仍遭高階攻擊的情況，把重罰限定在管理明顯失當的案例——例如權限控管鬆散、已知漏洞長期未修補，或明知風險而未採取措施。這使罰則的正當性較易被接受。

後續觀察重點在於實際的認定標準與首批適用案例。「重大過失」的界線需要透過個案累積，而主管機關的裁量尺度將決定這項法規是實質嚇阻還是象徵條款；同時，其他司法管轄區是否跟進類似的營收連動罰則，也值得追蹤。