个人信息保护委员会已对CU便利店快递服务中发生的个人信息泄露事件展开调查。随着黑客攻击导致客户信息外泄的迹象被确认，泄露规模和安全措施的执行情况成为关注焦点。 据联合新闻15日报道，个人信息保护委员会自9日起对运营CU便利店快递服务的BGF网络进行调查。 委员会正在确认具体的泄露经过和受害规模，并将审查是否遵循了个人信息保护法中的安全措施义务及泄露通知和报告义务。 BGF网络于4日确认因黑客攻击导致个人信息泄露，并已完成补救措施。随后在5日通过官网公告泄露事实，并向个人信息保护委员会和韩国互联网振兴院等相关机构进行了报告。 泄露的信息包括用户名、密码、姓名、出生日期、性别、地址、电子邮件和手机号码等。 个人信息保护委员会表示，调查结果如发现违法行为，将依据相关法律法规进行处理。※ 本报道经人工智能（AI）系统翻译与编辑。

个人信息保护委员会与新加坡、香港的个人信息保护监管机构携手，旨在加强人工智能（AI）时代的个人信息保护合作。双方计划共同应对新的个人信息问题，同时扩大对个人信息非法流通的应对措施及亚太地区的合作基础。 个人信息保护委员会于15日在香港举行的第65届亚太个人信息协商体（APPA）论坛上宣布，已与新加坡个人信息保护委员会和香港个人信息保护委员会签署了关于加强AI时代个人信息保护及亚太地区合作的谅解备忘录（MOU）。 此次协议的意义在于建立了监管机构间针对AI技术发展带来的个人信息保护问题的合作机制。随着基于新技术的服务如代理AI和物理AI的快速普及，各国正在推动制定适应AI环境的个人信息保护原则和规范。 个人信息保护委员会表示，将通过此次协议共同应对个人信息的非法流通。在跨国数字环境中，个人信息泄露、非法交易、诈骗和语音钓鱼等个人信息滥用案例日益增加，因此加强监管机构间的合作成为当务之急。 特别是在APPA论坛上新成立的个人信息非法流通工作组中，个人信息保护委员会将与新加坡和香港共同参与，扩大相关合作。 此外，个人信息保护委员会还将与新加坡合作，支持亚太地区国家提升个人信息保护能力。计划在个人信息保护水平较高的国家与新兴国家之间架起桥梁，主导全球个人信息保护规范的讨论。 此次谅解备忘录还包括AI隐私政策及最佳实践的共享、调查与执法相关信息的交流与相互支持、个人信息保护教育及共同合作项目的推进等内容。 个人信息保护委员会委员宋京熙表示：“与新加坡和香港的此次协议将进一步加强AI时代亚太个人信息监管机构间的合作网络。未来，我们还将与全球主要个人信息监管机构紧密合作，引领全球个人信息保护的讨论。” ※ 本报道经人工智能（AI）系统翻译与编辑。

因个人信息泄露事件而受到影响的쿠팡用户的集体争议调解程序已重新启动。个人信息保护委员会（个人信息委员会）在对쿠팡作出罚款决定后，暂停于今年2月的救济程序也随之恢复。 根据12日个人信息委员会的消息，个人信息争议调解委员会将针对对쿠팡提出的两起集体争议调解申请进行合并，并开始调解程序。尚未参与集体争议调解的受害者可以从当天起至26日申请额外参与。 根据个人信息委员会的调查，此次事件中泄露的个人信息涉及3322万名쿠팡会员和至少433万名非会员，总计超过3756万人。争议调解委员会决定将已接收的高某等50人申请的案件与金某等1626人申请的案件合并进行审理。 个人信息委员会在去年11月启动对쿠팡个人信息泄露事件的调查后，认为调查结果可能会影响争议调解，因此于今年2月暂停了集体争议调解程序。随后，在10日对쿠팡作出罚款和整改命令的决定后，暂停的调解程序得以恢复。 收到쿠팡个人信息泄露通知的用户可以额外参与集体争议调解。参与者需填写申请表，并通过电子邮件或邮寄方式提交给争议调解委员会。争议调解委员会将在申请结束后10天内通知申请人的资格，并在接收截止日期后的60天内向当事人通知调解方案。 集体争议调解是针对50名以上遭受相同或类似个人信息侵害的受害者，且案件核心争议点相同的情况下使用的制度。与个别诉讼不同，该制度无需额外费用，可以一次性救济多名受害者。受害者无需单独提起损害赔偿诉讼，即可通过一个程序调整损害赔偿范围和精神损害赔偿等。 然而，集体争议调解与具有强制力的法院判决不同。即使争议调解委员会制定了调解方案，申请人和企业都必须接受该方案，调解才能成立。若调解成立，根据个人信息保护法，调解将具有与法院和解相同的效力，但若企业不接受调解方案，受害者需通过单独的民事诉讼来索赔。 近期大规模个人信息泄露事件频发，集体争议调解制度的使用也在增加。此前，个人信息争议调解委员会在SK电信SIM卡信息泄露事件中，曾决定向申请人支付每人30万韩元的调解方案。 ※ 本报道经人工智能（AI）系统翻译与编辑。

针对个人信息泄露事件的处罚力度正在不断加大。个人信息保护委员会对쿠팡处以6246亿8100万韩元的罚款，创下个人信息保护法实施以来的最高纪录。 这一罚款金额约为去年个人信息保护委员会对企业总罚款1677亿韩元的3.7倍，仅此一家公司所受的处罚便超过了去年的整体罚款总额。 历年来的罚款金额每年都在刷新最高纪录。2022年，个人信息保护委员会对谷歌和Meta分别因未征得用户同意收集第三方在线活动记录处以692亿韩元和308亿韩元的罚款，总计1000亿韩元，创下当时的最高纪录。 随后，因SK电信SIM卡信息泄露事件，罚款金额达到1348亿韩元，刷新了最高纪录。而此次对쿠팡的罚款为6246亿8100万韩元，约为SK电信罚款的4.6倍，超过谷歌和Meta合计罚款的6倍。 国内主要的个人信息侵害事件的处罚也在持续加强。因向支付宝提供约4000万用户信息的KakaoPay被罚款59亿6800万韩元，而因客户个人信息管理不善受到处罚的我们的卡则被罚款134亿5100万韩元。过去数十亿韩元的罚款，如今已扩大至数百亿甚至数千亿韩元。 罚款金额增加的原因之一是个人信息保护法的修订。现行法律规定，针对违规行为可处以与相关营业额最高3%的罚款。2023年法律修订后，罚款计算标准从与违规行为相关的营业额扩大至整体营业额，因此，用户和营业规模较大的平台企业所需承担的罚款金额也随之增加。不过，若企业能证明与违规行为无关的营业额，则该部分营业额将不计入罚款计算。 预计从9月起，处罚将进一步加强。个人信息保护委员会目前正在立法预告个人信息保护法修订案。修订案规定，若在3年内重复相同的违规行为，或造成1000万用户以上的个人信息泄露，或在未执行整改命令的情况下再次泄露个人信息等，将被纳入“惩罚性罚款”的征收范围。符合这些条件的，罚款上限将从现行整体营业额的最高3%提高至最高10%。然而，因쿠팡事件发生在修订案实施之前，因此此次惩罚性罚款不适用。 安全行业认为，随着大型平台上超大规模个人信息泄露事件的增加，处罚力度也将进一步加大。根据韩国互联网振兴院(KISA)的数据显示，去年个人信息泄露的举报达447件，比前一年增加了45.6%。IBM的《2025数据泄露成本报告》也分析称，随着人工智能的普及，攻击手法日益复杂，安全控制和内部管理不足的企业面临的泄露风险更大。※ 本报道经人工智能（AI）系统翻译与编辑。

个人信息保护委员会（个人信息委）对쿠팡处以6246亿8100万韩元的罚款，认为这并非简单的黑客事件，而是企业在基本个人信息保护义务上的全面疏忽。调查发现，不仅存在个人信息泄露，还有非法收集个人信息、妨碍调查、违反个人信息销毁义务等多项违规行为，因此做出了超过之前最大罚款SK电信的处罚决定。 宋京熙在11日的新闻发布会上表示：“此次事件并非高级黑客行为，而是由于认证签名密钥管理和访问控制等基本安全管理体系不足所导致的。”她强调：“无论是国内企业还是国际企业，我们都将依据法律和原则做出相应的处罚。” 此次处罚是在前一天举行的个人信息委全体会议上经过超过13小时的审议后确定的。会议于上午10点开始，至晚上11点30分结束，쿠팡方面出席并发表意见，与委员们进行了长时间的问答讨论。 事件始于去年11月20日，쿠팡因收到黑客的威胁邮件而报告了个人信息泄露的事实。个人信息委随即于次日展开调查，并考虑到这是一个众多国民使用的生活基础设施平台，联合韩国互联网振兴院（KISA）成立了专项工作组（TF）进行集中调查。 随后，쿠팡在自查过程中发现泄露规模远超首次报告，于11月29日进行了二次报告，并在今年2月确认约16万5000个会员账户的进一步泄露，进行了三次报告。 调查结果显示，黑客是去年年底离职的쿠팡前员工，他利用在职期间开发的替代认证体系的签名密钥，自今年4月至11月期间多次访问会员信息修改、配送地址管理、订单列表页面等，窃取个人信息。泄露规模达3322万名会员及至少433万名非会员的配送信息主体，合计约3755万条。 个人信息委特别认为，쿠팡在安全措施上的义务违反是一个严重问题。认证签名密钥以明文形式管理，且在相关员工离职后未立即废弃或更换该密钥。尽管在攻击期间发生了高达1亿4800万次的异常访问和流量急剧增加，但未能及时发现，且未对异常迹象进行进一步分析。个人信息委表示：“连攻击事实都未能察觉，意味着访问控制未能正常运作。” 在泄露后的应对措施上，个人信息委也认为其不够充分。쿠팡在意识到进一步泄露后，未在法定72小时内通知相关方，并且对非会员的配送信息主体在个人信息委多次要求下也未告知泄露事实。退会会员的个人信息与内部规定不符地被保留，部分信息实际泄露，调查过程中在资料保全命令后删除网页访问日志或维持自动删除政策，导致事故原因难以查明。个人信息委决定对妨碍调查的行为进行控告。 此外，个人信息委还发现，쿠팡在运营“쿠팡伙伴”时，未经用户同意收集了约1117万名用户的第三方网站及应用访问记录，并与会员编号一同保存。个人信息委指出，쿠팡在收集个人在线活动记录以进行定制广告时未具备法律依据，且对广告合作伙伴的所谓“绑架广告”管理不当，因此对相关违规行为追加罚款2011亿600万韩元。 쿠팡对个人信息委的决定表示遗憾。公司表示：“与数据泄露事件相关的二次损害防止的前瞻性措施和基于明确事实的说明未能充分反映在个人信息委的决定中。”并期待在收到正式决议后，通过法律程序明确事实。此外，쿠팡伙伴也表示其运营是基于与全球企业相同的合法合作模式。 ※ 本报道经人工智能（AI）系统翻译与编辑。

韩国个人信息保护委员会（个人信息保护委员会）对因大规模个人信息泄露事件而受到处罚的쿠팡处以创纪录的6246亿8100万韩元罚款。这一处罚不仅是由于个人信息泄露，还包括发现的多项违反个人信息保护法的行为，如无法律依据的个人信息收集。 个人信息保护委员会在前一天的全体会议上决定，因쿠팡未能履行安全措施义务及违反个人信息收集和使用相关法律，处以6246亿8100万韩元的罚款和1680万韩元的罚款，并决定发出整改命令、公告命令、举报及改进建议。同时，对쿠팡的子公司쿠팡物流服务（CFS）因违反个人信息收集、使用及敏感信息处理限制，处以2480万韩元的罚款。 个人信息保护委员会认为，쿠팡在认证签名密钥管理和访问控制方面的疏忽，导致约3750万条个人信息泄露。 在此过程中，委员会还确认了쿠팡违反了个人信息泄露通知义务和个人信息销毁义务，并未能保证个人信息保护责任人的独立性，且在调查过程中延迟提交资料，妨碍了调查。 此外，쿠팡还被发现无合法依据地收集了约1117万名访问其他网站和应用程序的会员的访问记录（URL、应用名称）、访问时间和IP地址等在线活动记录，并以可识别个人身份的形式存储在数据库中。 由于对广告合作伙伴的管理和监督不力，导致用户的服务使用记录被收集，这也被认定为违法行为。 CFS被调查发现收集了71名没有物流中心工作经历的警察局记者的个人信息，并将其管理为就业限制名单。此外，CFS还违反了敏感信息处理限制规定，将为员工健康管理而保留的体重信息在工伤诉讼过程中提交给法院。 个人信息保护委员会已对쿠팡发出整改命令，要求加强安全措施，通知信息主体而非会员的泄露情况，确保个人信息保护责任人的实际作用。同时，建议改善已退会会员的个人信息处理体系，保障信息主体对个性化广告的选择权，并加强防止虚假广告的管理体系，计划在三个月内检查整改结果。 ※ 本报道经人工智能（AI）系统翻译与编辑。

近期，因个人信息泄露事件而沉寂的Tving和CU再次引发关注。 据业内消息，因大规模泄露个人信息的Tving和便利店CU的运营公司BGF网络正在接受调查，个人信息保护委员会（以下简称个人信息保护委）对其正在推进的个人信息保护法实施条例修订案备受关注。 个人信息保护委近期接到Tving的个人信息泄露举报并已展开调查。泄露的信息包括用户ID、姓名、出生日期、性别、手机号码、电子邮件地址、关联信息（CI）、重复注册确认信息（DI）、退款账户号码和密码等。BGF网络也确认客户信息外泄的情况，并已采取应对措施。泄露的个人信息包括ID、密码、姓名、出生日期、性别、地址、电子邮件和手机号码等。 业内对CI的泄露表示严重关切。CI是由身份验证机构生成的唯一识别值，用于在不直接保存居民身份证号码的情况下确认同一身份。由于过去Coupang和乐天卡等大规模个人信息泄露事件中也包含CI信息，因此单一事件的损害可能有限，但多次泄露的数据结合后，风险可能大幅增加。 安全行业担忧，已泄露的信息如果相互关联，可能恢复个人的消费模式、偏好和生活信息。例如，过去泄露的购物历史数据与Tving的内容使用信息通过相同的CI连接后，可能会显著识别特定个人的在线活动。如果再结合地址或联系方式，可能会增加语音诈骗或短信诈骗等二次犯罪的风险。 基于此，个人信息保护委提出修订案，允许对重复性、重大个人信息侵害行为处以最高达整体营业额10%的罚款。此前的最高罚款为整体营业额的3%。此举旨在对忽视个人信息保护的企业施加惩罚性罚款，以促进其安全投资。该修订案将于9月11日实施，目前正在进行立法预告期的意见征集。 业内认为，个人信息保护法修订案可能导致对国内企业的逆向歧视。Coupang就是一个典型例子。个人信息保护委计划于10日的全体会议上决定对Coupang个人信息泄露的最终制裁力度。 根据当时适用的现行法律，最高罚款为整体营业额的3%，超过1万亿韩元。然而，美国政府对Coupang的案例表示反对，认为这会对本国企业造成不利影响，因此实际制裁力度可能低于这一水平。法律界预计，Coupang将面临约3000亿至4000亿韩元的罚款。 因此，以提高罚款为核心的个人信息保护法修订案可能导致对国内企业的逆向歧视。由于对全球平台运营商的执法并不容易，国内企业可能面临更大的监管负担。业内普遍认为，Coupang的制裁结果将成为未来泄露事件的判断标准。 前亚洲大学网络安全学教授朴春植表示：“加强个人信息保护责任的方向是必要的，但如果形成仅对国内企业施加过度负担的认知，可能会引发逆向歧视的争论。”他还指出：“应当在加强处罚的同时，推动企业扩大安全投资的政策。”※ 本报道经人工智能（AI）系统翻译与编辑。

个人信息保护委员会（个人信息保护）已对在线视频服务（OTT）“蒂宾（TVING）”的个人信息泄露事件展开调查。 个人信息保护委员会于4日表示，已接到蒂宾关于个人信息泄露的报告，并开始调查事件经过及受害规模等情况。 蒂宾在意识到发生了对数据库（DB）的未授权访问并导致个人信息泄露后，向个人信息保护委员会进行了报告。 目前推测泄露的个人信息包括：用户ID、姓名、出生日期、性别、关联信息（CI）、重复注册确认信息（DI）、手机号码、电子邮件地址、退款账户号码及密码等。 根据蒂宾目前的自查结果，疑似身份不明的黑客在访问存储个人信息的数据库后，将相关文件外传，从而导致了此次事件的发生。 个人信息保护委员会计划通过要求提交资料和现场调查等方式，确认具体的泄露经过及受害规模。同时，还将检查是否存在未履行安全措施义务及未遵守个人信息泄露通知和报告义务等违反个人信息保护法的情况。 ※ 本报道经人工智能（AI）系统翻译与编辑。

个人信息保护委员会（个人信息保护）对Naver的搜索人工智能（AI）代理服务“AI标签（AI Tab）”的适当性审查结果进行了审议和表决。 个人信息保护委员会于28日的全体会议上通过了对Naver AI标签服务的适当性审查结果，并于31日进行了公告。 适当性审查是指在企业规划和开发人工智能等新技术、新服务的过程中，个人信息保护法适用不明确时，与个人信息保护委员会合作制定适当的法律适用方案的制度。企业如能履行协商事项，则在该范围内不会受到事后不利处分。 Naver在推出与AI聊天机器人对话的个性化搜索结果的AI标签之前，向个人信息保护委员会申请了适当性审查，以确保安全使用用户数据。 个人信息保护委员会认为，Naver在履行用户保护的协商事项的前提下，可以合法运营AI标签服务，符合个人信息保护法的规定。 协商事项主要包括三点。首先，为不希望获得个性化回答的用户，需明确告知数据使用拒绝功能的存在及其意义，并持续完善反映用户意见的实际控制权保障方案。 其次，通过个人信息处理政策等透明公开AI标签服务中使用的个性化信息的项目和主要内容，并制定额外的安全措施以防止个人信息的滥用和泄露。 此外，在分析用户的服务使用记录时，确保不推断和使用敏感信息，并确保居民身份证号码等唯一识别信息、账户号码、信用卡信息等不包含在AI回答中。 个人信息保护委员会计划在AI标签正式发布后，检查Naver是否实际履行了协商事项。 ※ 本报道经人工智能（AI）系统翻译与编辑。

个人信息保护委员会针对手机开通过程中引入的面部识别制度表示，个人信息保护的审查不足，并向科学技术信息通信部提出了制度改善的建议。 个人信息保护委员会在前一天召开的全体会议上通过了关于手机开通时面部识别制度运营的改善建议。 目前，科技部自去年12月起，作为政府联合“打击诈骗电话综合对策”的一部分，在手机开通过程中试点运行面部识别制度，该制度实时比较身份证照片与实际面部。 个人信息保护委员会的调查结果显示，科技部未充分考虑生物识别信息的敏感性，缺乏个人信息保护的事前审查。面部信息属于个人信息保护法中的敏感信息，仅在信息主体同意或有明确法律依据时才能处理。 现行电信事业法等相关法律法规中，手机开通过程中是否可以将面部信息作为本人认证手段尚不明确。此外，个人信息保护委员会认为，用户实际上难以拒绝面部识别，缺乏实质性的选择权保障。委托公司系统中处理的信息范围也需要最小化。 个人信息保护委员会建议科技部在正式实施前，充分审查生物识别信息处理的必要性、适用范围、有效性、适当性和比例性。同时强调应按照个人信息保护中心设计(PbD)原则运营制度，并明确法律依据和信息主体权利保障措施。 个人信息保护委员会计划在未来检查改善建议的落实情况，并支持在个人信息保护体系内推进政府范围的打击诈骗电话预防对策。 ※ 本报道经人工智能（AI）系统翻译与编辑。